Data dodania: 18-05-2025
Znany również jako:
Network and Information Security Directive 2Dyrektywa NIS2NIS-2 Directive
Definicja NIS2
NIS2 to dyrektywa UE 2022/2555, która zastępuje NIS1 i tworzy jednolite ramy cyberbezpieczeństwa dla państw członkowskich. Dyrektywa rozszerza zakres podmiotów, zwiększa wymagania zarządzania ryzykiem oraz wprowadza ostrzejsze zasady raportowania incydentów.
Zakres podmiotowy
Dyrektywa dzieli organizacje na:
- Essential entities – podmioty z sektorów krytycznych przekraczające próg średniego przedsiębiorstwa.
- Important entities – pozostałe średnie i duże firmy z branż wskazanych w załączniku II.
Małe firmy są objęte jedynie w wyjątkowych przypadkach wysokiego ryzyka.
Kluczowe wymagania
- Zarządzanie ryzykiem – polityki, procedury i kontrole techniczne adekwatne do zagrożeń.
- Raportowanie incydentów – wstępne zgłoszenie do CSIRT oraz organów w ciągu 24 godzin, raport szczegółowy w ciągu 72 godzin oraz końcowy raport w ciągu 30 dni.
- Łańcuch dostaw – ocena i monitorowanie ryzyka u dostawców.
- Nadzór zarządu – kierownictwo odpowiada za zgodność, może ponosić osobistą odpowiedzialność.
- Szkolenia i świadomość – obowiązek ciągłego doskonalenia kompetencji pracowników.
Terminy i kary
- Termin transpozycji przez państwa członkowskie do 17 października 2024.
- Lista podmiotów zgodnie z dyrektywą musi być gotowa do 17 kwietnia 2025.
- Kary: do 10 mln € lub 2% obrotu dla essential entities oraz do 7 mln € lub 1,4% obrotu dla important entities.
Sektory objęte
| Kategoria | Przykładowe sektory |
|---|---|
| Krytyczne (Annex I) | energia, transport, bankowość, zdrowie, woda, infrastruktura cyfrowa |
| Ważne (Annex II) | produkcja, poczta, gospodarka odpadami, administracja publiczna, przestrzeń kosmiczna |
W sumie dyrektywa obejmuje 18 sektorów gospodarki.
Wyzwania wdrożenia
- Wzmożony napływ zgłoszeń i raportów w krótkim czasie.
- Konieczność zaangażowania zarządu i dodatkowych szkoleń.
- Integracja wymagań NIS2 z innymi regulacjami, jak DORA czy GDPR.
- Trudności w transpozycji przepisów we wszystkich państwach w terminie.
- Wysokie koszty wdrożenia i brak wykwalifikowanych specjalistów ds. cyberbezpieczeństwa.
Dobre praktyki dla organizacji
- Przeprowadzenie analizy luki (gap analysis) w porównaniu z istniejącymi procedurami.
- Aktualizacja planu reakcji na incydenty z respektowaniem nowych terminów raportowania.
- Regularne przeglądy ryzyka z udziałem zarządu oraz testy odporności.
- Wymaganie od dostawców potwierdzenia zgodności z wymaganiami NIS2.