Obecnie trwają intensywne prace nad wdrożeniem do polskiego porządku prawnego Dyrektywy NIS2[1]. Dyrektywa NIS2 to nowe unijne przepisy, które znacząco podnoszą wymagania w zakresie cyberbezpieczeństwa dla firm w kluczowych i ważnych sektorach. W związku z tym warto już teraz zainteresować się Dyrektywą NIS2, aby na czas przygotować swoją firmę na poważne zmiany prawne.
Czym jest Dyrektywa NIS2?
NIS2 to unijna dyrektywa w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa w Unii (Network and Information Systems Directive, potocznie nazywana Dyrektywą NIS2). Powinna zostać wdrożona w Polsce do 17 października 2024 roku, jednak wciąż trwają prace polskiego ustawodawcy nad projektem nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa (UKSC). Jej wejście w życie planowane jest w pierwszej połowie 2025 r.
NIS2 a poprzednia dyrektywa
Dyrektywa NIS2 ma zastąpić i jednocześnie rozszerzyć zakres poprzedniej dyrektywy. Polska wdrożyła Dyrektywę NIS1, przyjmując ustawę o krajowym systemie cyberbezpieczeństwa, która weszła w życie 28 sierpnia 2018 roku. Była to pierwsza unijna regulacja dotycząca cyberbezpieczeństwa, a jej celem było zwiększenie ochrony systemów informatycznych kluczowych dla gospodarki i społeczeństwa. Dyrektywa NIS2 zastępuje NIS1, rozszerza zakres podmiotów objętych regulacjami, wprowadza surowe wymogi w zakresie zarządzania ryzykiem, raportowania incydentów i odpowiedzialności za brak zgodności.
W jakim celu została przyjęta Dyrektywa NIS2?
Dyrektywa NIS2 ma na celu:
- Podniesienie poziomu cyberbezpieczeństwa w UE – zapewnienie wysokiego wspólnego poziomu bezpieczeństwa sieci i systemów informatycznych w państwach członkowskich.
- Wzmocnienie zarządzania ryzykiem i odporności na incydenty – zobowiązanie podmiotów do wdrażania skutecznych środków zarządzania ryzykiem i zgłaszania incydentów cyberbezpieczeństwa.
- Rozszerzenie zakresu podmiotów objętych regulacjami – uwzględnienie większej liczby sektorów i firm kluczowych dla funkcjonowania gospodarki i społeczeństwa.
- Poprawę współpracy między państwami członkowskimi – usprawnienie wymiany informacji oraz koordynacji działań w zakresie cyberbezpieczeństwa na poziomie unijnym.
- Zaostrzenie nadzoru i odpowiedzialności – wprowadzenie surowszych sankcji za naruszenia oraz większej odpowiedzialności dla firm za naruszenia.
Wnioski i rekomendacje
Wdrożenie NIS2 w Polsce zbliża się wielkimi krokami, trwają już prace legislacyjne nad projektem ustawy o zmianie UKSC. NIS2 ma na celu zastąpić dyrektywę NIS1 i dostosować regulacje do rosnących zagrożeń w cyberprzestrzeni poprzez m.in. rozszerzenie katalogu podmiotów objętych obowiązkami i zwiększenie odporności cybernetycznej w UE. Wiąże się to z surowymi karami i odpowiedzialnością firm za niezapewnienie zgodności z przepisami.
Warto działać już teraz, żeby uniknąć narażenia swojej firmy na sankcje. W Lawspective proponujemy kompleksowe podejście do wdrożenia Dyrektywy NIS2. Jeśli chcesz dostosować swoją firmę do wymogów NIS2, skontaktuj się z nami.
Wypełnij ankietę i sprawdź, czy NIS2 Cię dotyczy.
Autor: Klaudia Szymańska, aplikant radcowski, Junior Associate w Lawspective.
E-mail: klaudia.szymanska@lawspective.pl
Autor: Marta Adranowska, adwokat, Senior Associate w Lawspective.
E-mail: marta.adranowska@lawspective.pl
[1] Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r.