Zaostrzenie wymogów związanych z cyberbezpieczeństwem

Dyrektywa NIS2, w celu zwiększenia poziomu cyberbezpieczeństwa, wymaga stworzenia przez podmioty podlegające jej przepisom stosownej dokumentacji i procedur oraz nakłada na nie obowiązek raportowania. Te narzędzia mogą przynieść zamierzony cel, ale pod pewnymi warunkami.

Niebawem minie rok, odkąd została przyjęta dyrektywa w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii, uchylająca dyrektywę (UE) 2016/1148, czyli tzw. dyrektywa NIS2. Państwa członkowskie do 17października 2024 roku mają przyjąć i opublikować przepisy niezbędne do wykonania dyrektywy. Przepisy te mają być stosowane od 18 października 2024 roku. W Polsce implementacja dyrektywy dokona się przez przyjęcie nowej (lub zmianę już istniejącej) stosownej ustawy w zakresie cyberbezpieczeństwa. We wrześniu tego roku wspomagając wysiłki implementacyjne państw członkowskich, Komisja Europejska opublikowała także wytyczne wyjaśniające stosowanie szczególnych przepisów dyrektywy.

Co zamienia dyrektywa NIS2…

Główne różnice pomiędzy pierwszą – jeszcze obowiązującą – dyrektywą w zakresie cyberbezpieczeństwa, tj. network and information security (NIS), a NIS2 dotyczą: podmiotów zobowiązanych, środków technicznych i organizacyjnych, które należy wdrożyć oraz zgłaszania incydentów i zagrożeń. We wszystkich wymienionych obszarach w dyrektywie NIS2 zakres w stosunku do zapisów dyrektywy NIS jest poszerzony.

W dyrektywie NIS2 podmioty zobowiązane zostały podzielone na dwie kategorie:

∑ podmioty kluczowe, w których znaleźli...