Dyrektywa NIS 2 – początek nowej ery cyberbezpieczeństwa w UE

Zgodnie z nowymi przepisami, które Polska powinna była wdrożyć do 17 października 2024 roku, tysiące podmiotów prywatnych oraz publicznych będzie zobowiązanych do spełnienia szeregu nowych wymagań z zakresu cyberbezpieczeństwa.

Z początkiem października Ministerstwo Cyfryzacji opublikowało już drugą wersję projektu ustawy nowelizującej ustawę o krajowym systemie cyberbezpieczeństwa, która ma wdrażać dyrektywę NIS 2. Uchwalenia ustawy przez Sejm można się spodziewać najwcześniej z początkiem 2025 r. Jednak ze względu na przewidziane w projekcie krótkie, bo zaledwie miesięczne vacatio legis, perspektywa rozpoczęcia obowiązywania tych przepisów nie jest odległa.

1. Podmioty objęte regulacjami dyrektywy NIS 2

W publicznym dyskursie na temat NIS 2 najczęściej podkreśla się znaczące rozszerzenie, w stosunku do wcześniejszej dyrektywy NIS, zakresu sektorów i podmiotów objętych jej regulacjami. Według szacunków kilkanaście, a nawet kilkadziesiąt tysięcy podmiotów będzie musiało wdrożyć nowe środki techniczne i organizacyjne, w celu zwiększenia swojego cyberbezpieczeństwa.

Stosunkowo niewielka jest natomiast świadomość tego, że również przedsiębiorstwa, które nie będą bezpośrednio objęte nowymi regulacjami, mogą zostać zobowiązane do spełnienia określonych wymagań z zakresu cyberbezpieczeństwa przez swoich kontrahentów. Podmioty objęte regulacjami dyrektywy NIS 2, czyli podmioty kluczowe oraz ważne, będą musiały bowiem uwzględniać nie tylko ryzyko związane z własnymi systemami informatycznymi, ale także ryzyko wynikające z relacji ze swoimi dostawcami i wykonawcami. Podmiotami...