Nowe regulacje prawne z zakresu cyberbezpieczeństwa. NIS2 / KSC, wymagania prawne oraz konsekwencje dla zarządu

Kontekst: dlaczego to nie jest kolejna dyrektywa do zignorowania

Dyrektywa NIS2 obowiązuje w prawie unijnym od 2023 roku, a jej pełna transpozycja do polskiego porządku prawnego odbywa się poprzez nowelizację ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC). Dla wielu organizacji to wciąż temat traktowany jako „kolejna dyrektywa, która nas pewnie nie dotyczy” - i to jest dokładnie ten sposób myślenia, który regulacja ma wyeliminować. NIS2 objęła osiemnaście sektorów gospodarki, znacznie szerszy zakres niż poprzednia dyrektywa NIS, i - co kluczowe - zlikwidowała rozróżnienie między operatorami usług kluczowych a dostawcami usług cyfrowych, wprowadzając w to miejsce jednolitą kategorię obowiązków dla podmiotów kluczowych i ważnych.

Skala zmiany nie ogranicza się do rozszerzenia listy branż. NIS2 to pierwsza regulacja tego typu, która w tak jednoznaczny sposób przenosi ciężar odpowiedzialności z działu IT na organy zarządzające - zarząd ma obowiązek zatwierdzać środki zarządzania ryzykiem, nadzorować ich wdrożenie i odbywać szkolenia z cyberbezpieczeństwa, a niedopełnienie tych obowiązków może skutkować sankcjami wymierzonymi bezpośrednio w konkretne osoby, nie tylko w organizację jako całość.

W tym artykule porządkujemy trzy rzeczy, które najczęściej mieszają się w rozmowach z klientami: kogo faktycznie dotyczy nowelizacja KSC, jakie konkretne wymagania trzeba spełnić, i czym grozi ich zignorowanie - zarówno organizacji, jak i osobiście członkom zarządu.

Kogo dotyczy nowelizacja ustawy o KSC

Najczęstszym błędem, jaki widzimy u klientów, jest zakładanie, że regulacja dotyczy wyłącznie oczywistej infrastruktury krytycznej - energetyki, wodociągów, dużych szpitali. Tymczasem NIS2 obejmuje osiemnaście sektorów, w tym część, które rzadko kojarzą się z „krytyczną infrastrukturą”: produkcję żywności, gospodarkę odpadami, usługi pocztowe i kurierskie, dostawców usług cyfrowych oraz - co szczególnie istotne - dostawców usług zarządzanych IT.

Kryterium wielkości ustawia próg zwykle na poziomie średnich i dużych przedsiębiorstw - ogólnie mówiąc, powyżej 50 pracowników lub 10 milionów euro rocznego obrotu - ale od tej reguły istnieją wyjątki w obie strony. Mniejsza firma może zostać objęta regulacją, jeśli świadczy usługi kluczowe dla podmiotu z sektora regulowanego jako jego dostawca lub podwykonawca - to właśnie mechanizm łańcucha dostaw, jedna z największych zmian względem poprzedniej dyrektywy. Z drugiej strony, nawet duży podmiot spoza wskazanych sektorów może nie podlegać regulacji wprost, choć w praktyce coraz częściej i tak dostosowuje się do jej wymogów, bo wymagają tego kontrahenci.

Podział na podmioty kluczowe i podmioty ważne determinuje przede wszystkim wysokość ewentualnych kar i intensywność nadzoru, a nie zakres samych obowiązków technicznych - te są, w przeciwieństwie do poprzedniej dyrektywy, jednolite dla obu kategorii.

Konkretne wymagania: co trzeba wdrożyć

Artykuł 21 dyrektywy definiuje minimalny zestaw środków technicznych, operacyjnych i organizacyjnych, które trzeba wdrożyć proporcjonalnie do skali i profilu ryzyka organizacji. W praktyce sprowadza się to do czterech obszarów.

Zarządzanie ryzykiem i ciągłość działania. Formalna, udokumentowana analiza ryzyka cyberbezpieczeństwa, polityka bezpieczeństwa informacji zatwierdzona przez zarząd, procedury zgłaszania i obsługi incydentów oraz plan ciągłości działania obejmujący scenariusze cyberataku - z realnie przetestowaną strategią kopii zapasowych, nie tylko jej opisem w dokumencie.

Bezpieczeństwo łańcucha dostaw. To jeden z najbardziej odczuwalnych elementów nowości względem poprzedniej dyrektywy - organizacja odpowiada nie tylko za własne systemy, ale i za ocenę ryzyka związanego z dostawcami usług IT oraz partnerami, przez których może dojść do ataku. To właśnie ten wymóg najczęściej „ściąga” pod regulację mniejsze firmy, będące dostawcami większych podmiotów.

Cyberhigiena i szkolenia. Podstawowe praktyki bezpiecznego korzystania z systemów oraz regularne, udokumentowane szkolenia - nie jednorazowe, lecz cykliczne - dla całej organizacji, w tym, co szczególnie często pomijane, dla samego zarządu.

Kontrola dostępu i uwierzytelnianie. Zarządzanie tożsamością i dostępem oparte na zasadzie najmniejszych uprawnień, uwierzytelnianie wieloskładnikowe tam, gdzie to zasadne, oraz polityki stosowania kryptografii i szyfrowania danych.

Klienci często pytają, od czego zacząć wdrożenie NIS2, jakby chodziło o jeden duży projekt. W praktyce to kilkanaście mniejszych, częściowo już znanych elementów - jeśli macie wdrożoną normę ISO 27001 albo choćby podstawowe dobre praktyki bezpieczeństwa, sporą część wymogów już spełniacie. Problem zwykle nie leży w technologii, tylko w tym, że nikt tego nigdy nie spisał i nie zatwierdził formalnie na poziomie zarządu.

Kamil Ciaś, współzałożyciel betternow.group | Chief Information Security Officer | Dyrektor ds. Bezpieczeństwa Informacji / Dyrektor ds. Cyberbezpieczeństwa

Czy certyfikat ISO 27001 wystarczy, żeby spełnić NIS2?

To pytanie pada niemal na każdej pierwszej rozmowie z klientem, który już wcześniej zainwestował w system zarządzania bezpieczeństwem informacji. Odpowiedź jest bardziej niuansowa niż proste tak lub nie: wdrożony i utrzymywany SZBI zgodny z normą ISO/IEC 27001:2022 pokrywa dużą część wymagań technicznych i organizacyjnych z artykułu 21 dyrektywy - politykę bezpieczeństwa, zarządzanie ryzykiem, kontrolę dostępu, zarządzanie incydentami. To realna, solidna podstawa, a nie punkt startowy od zera.

Nie pokrywa jednak automatycznie kilku elementów specyficznych dla NIS2: obowiązku zgłaszania incydentów do CSIRT w konkretnych ramach czasowych (norma ISO nie narzuca takiego terminu), formalnego zatwierdzania środków bezpieczeństwa przez organ zarządzający w sposób udokumentowany zgodnie z wymogami ustawy o KSC, ani obowiązku szkoleń samego zarządu jako odrębnej, prawnej kategorii, niezależnej od szkoleń zespołu technicznego. Certyfikat ISO 27001 to bardzo dobry punkt wyjścia do rozmowy o NIS2 - wymaga jednak dodatkowego mapowania na konkretne obowiązki ustawowe, a nie automatycznego założenia pełnej zgodności tylko dlatego, że certyfikat wisi na ścianie.

Konsekwencje dla zarządu

To sekcja, która najczęściej budzi realne zaniepokojenie klientów - i słusznie, bo NIS2 jako pierwsza regulacja tego typu w tak bezpośredni sposób łączy zaniedbania techniczne z odpowiedzialnością osobistą konkretnych ludzi w organizacji.

Po pierwsze, zarząd ma obowiązek formalnie zatwierdzać środki zarządzania ryzykiem i regularnie nadzorować ich wdrożenie - nie jako czysto formalna uchwała raz do roku, lecz jako rzeczywisty, udokumentowany proces decyzyjny. Po drugie, członkowie zarządu mają obowiązek odbywania szkoleń z cyberbezpieczeństwa, dopasowanych do profilu ryzyka konkretnej organizacji, a nie generycznego webinaru. Po trzecie, w przypadku poważnych naruszeń organ nadzorczy może sięgnąć po sankcje wymierzone bezpośrednio w osoby fizyczne - włącznie z czasowym zakazem pełnienia funkcji kierowniczych, obejmującym w niektórych przypadkach wszystkie spółki w grupie kapitałowej.

Kary finansowe dla samej organizacji są dotkliwe niezależnie od tego: do 10 milionów euro lub 2% globalnego rocznego obrotu dla podmiotów kluczowych, do 7 milionów euro lub 1,4% dla podmiotów ważnych - w obu przypadkach liczy się kwota wyższa. Do tego dochodzi obowiązek zgłaszania incydentów w rygorystycznym reżimie czasowym: wczesne ostrzeżenie w ciągu 24 godzin od wykrycia, pełniejsze zgłoszenie w ciągu 72 godzin, raport końcowy w ciągu miesiąca. Zgłoszenie spóźnione lub niepełne samo w sobie stanowi naruszenie, niezależnie od tego, jak dobrze organizacja poradziła sobie z samym incydentem.

Studium przypadku

Firma zajmująca się gospodarką odpadami i recyklingiem, obsługująca kilkanaście gmin w regionie i zatrudniająca 76 osób, przez pierwsze miesiące po wejściu w życie nowelizacji KSC była przekonana, że regulacja jej nie dotyczy - kojarzyła cyberbezpieczeństwo z bankowością i energetyką, nie z sortownią odpadów. Sygnałem alarmowym stało się zapytanie od jednego z kluczowych kontrahentów, spółki komunalnej, o status zgodności z NIS2 jako warunek przedłużenia kontraktu.

Analiza klasyfikacyjna wykazała, że firma - jako podmiot świadczący usługi w sektorze gospodarki odpadami, wprost wymienionym w załączniku do dyrektywy, i przekraczający próg wielkości - rzeczywiście podlega regulacji jako podmiot ważny. Zarząd, złożony z dwóch osób prowadzących firmę od założenia, nie miał wcześniej żadnego sformalizowanego procesu zatwierdzania polityk bezpieczeństwa - decyzje IT podejmował samodzielnie jeden pracownik odpowiedzialny za systemy księgowe i flotowe.

Wdrożenie rozpoczęto od analizy ryzyka i mapowania systemów krytycznych - okazało się, że system dyspozytorski zarządzający trasami odbioru odpadów, formalnie traktowany jako „zwykłe” narzędzie logistyczne, w praktyce był jednym z najbardziej krytycznych elementów całej działalności operacyjnej, bez jakiegokolwiek planu awaryjnego na wypadek awarii czy ataku. Zarząd formalnie zatwierdził nową politykę bezpieczeństwa, ustanowił comiesięczny przegląd ryzyka z udziałem obu członków zarządu i przeszedł dedykowane szkolenie dopasowane do specyfiki branży odpadowej, zamiast ogólnego webinaru o phishingu.

Cały proces klasyfikacji, wdrożenia podstawowych środków i przygotowania dokumentacji zajął nieco ponad cztery miesiące - dłużej, niż firma początkowo zakładała, ale wystarczająco szybko, by przedłużyć kluczowy kontrakt bez zastrzeżeń. Nieplanowanym efektem ubocznym było też coś, czego zarząd się nie spodziewał: pierwszy udokumentowany przegląd ryzyka ujawnił, że dostęp administracyjny do systemu dyspozytorskiego miało wciąż troje byłych pracowników, których konta nigdy formalnie nie dezaktywowano.

W mniejszych, dwuosobowych zarządach zgodność z regulacją często traktowana jest jako coś, co „załatwi się samo”, bo przecież wszyscy się znają i ufają sobie nawzajem. To dokładnie odwrotność tego, czego wymaga NIS2 - regulacja wymusza formalizację procesów nawet tam, gdzie relacje w zespole są bliskie, właśnie dlatego, że nieformalne zaufanie nie zostawia śladu, który można pokazać podczas kontroli.

Edyta Müller-Ciaś, współzałożycielka betternow.group | Chief Change & Culture Officer | dyrektorka ds. rozwoju organizacji | ekspertka ds. zarządzania zmianą i psychologii biznesu

Wnioski praktyczne

• Sprawdź klasyfikację, zanim założysz, że regulacja Cię nie dotyczy - osiemnaście sektorów NIS2 obejmuje branże rzadko kojarzone z cyberbezpieczeństwem, a mechanizm łańcucha dostaw może objąć nawet mniejszą firmę będącą dostawcą podmiotu regulowanego.
• Wymagania techniczne są dziś jednolite dla podmiotów kluczowych i ważnych - różni się głównie wysokość kar i intensywność nadzoru, nie sam zakres obowiązków do wdrożenia.
• Zatwierdzenie polityki bezpieczeństwa przez zarząd musi być realnym procesem, nie jednorazową uchwałą - regularny, udokumentowany przegląd ryzyka jest tym, co odróżnia zgodność papierową od rzeczywistej.
• Szkolenia zarządu z cyberbezpieczeństwa są odrębnym, prawnym obowiązkiem - nie substytutem szkoleń dla zespołu technicznego, i powinny być dopasowane do specyfiki konkretnej branży.
• Terminy zgłaszania incydentów (24h/72h/miesiąc) obowiązują niezależnie od tego, jak dobrze poradzono sobie z samym incydentem - spóźnione zgłoszenie to osobne naruszenie, nawet przy nienagannej reakcji technicznej.

Nie jesteś pewien, czy Twoja organizacja podlega nowelizacji ustawy o KSC, albo wiesz, że podlega, ale nie wiesz, od czego zacząć? betternow.group przeprowadza analizę klasyfikacyjną, buduje politykę bezpieczeństwa zgodną z wymogami NIS2 i przygotowuje zarząd do realnego, udokumentowanego nadzoru. Skontaktuj się z nami.