Dyrektywa NIS2[1] znacząco rozszerza zakres podmiotów objętych regulacjami dotyczącymi cyberbezpieczeństwa. Wprowadzono podział na podmioty kluczowe i ważne oraz dodano dodatkowe sektory objęte nowymi obowiązkami. Warto już teraz sprawdzić, czy Twoja firma podlega tym wymogom.
Więcej podmiotów objętych obowiązkami
Jedną z najważniejszych zmian wprowadzonych przez NIS2 jest rozszerzenie katalogu podmiotów zobowiązanych do przestrzegania przepisów w zakresie cyberbezpieczeństwa. Wcześniejsza Dyrektywa NIS1 obejmowała dwie kategorie: operatorów usług kluczowych (OUK) oraz dostawców usług cyfrowych (DUC).
Co się zmienia?
W ramach NIS1 nie istniały jednolite kryteria określające przynależność podmiotów do operatorów usług kluczowych lub dostawców usług cyfrowych. Państwa członkowskie samodzielnie identyfikowały te podmioty w poszczególnych sektorach. Ponadto sektor publiczny nie był wprost objęty regulacjami pierwszej Dyrektywy. NIS2 wprowadza następujące zmiany:
- wprost obejmuje administrację publiczną i eliminuje konieczność indywidualnej identyfikacji operatorów usług kluczowych,
- wprowadza dwie kategorie podmiotów – podmioty kluczowe i ważne,
- obejmie więcej sektorów (np. administrację publiczną, gospodarkę odpadami, przemysł elektroniczny),
- uwzględnia inne kryteria kwalifikacji podmiotów objętych Dyrektywą dotyczące wielkości przedsiębiorstwa.
Zakres podmiotowy w UKSC
W Polsce UKSC[2], wdrażająca Dyrektywę NIS1, rozszerzyła katalog podmiotów o jednostki sektora publicznego i podmioty świadczące usługi z zakresu cyberbezpieczeństwa. Podobne rozszerzenie zakresu stosowania NIS2 jest obecnie przedmiotem prac legislacyjnych.
Ostatni projekt nowelizacji UKSC, opublikowany 12.02.2025 r., przewiduje dodatkowe sektory ważne, oprócz tych wskazanych w NIS2. Są to m.in. inwestycje w energetykę jądrową oraz niektóre podmioty publiczne, takie jak:
- samorządowe jednostki budżetowe,
- samorządowe zakłady budżetowe,
- samorządowe instytucje kultury,
- spółki prawa handlowego wykonujące zadania o charakterze użyteczności publicznej.
Wnioski i rekomendacje
Dyrektywa NIS2 wprowadza podział na podmioty kluczowe i ważne oraz obejmuje większą liczbę sektorów niż dotychczas, w tym administrację publiczną. Opublikowany 12 lutego 2025 r. projekt UKSC przewiduje dalsze rozszerzenie zakresu podmiotowego, co oznacza, że więcej firm będzie musiało dostosować się do nowych przepisów.
Szczegółowe kryteria kwalifikacji do grupy podmiotów kluczowych i ważnych oraz wymogi dotyczące wielkości przedsiębiorstw przedstawimy w kolejnych publikacjach. Jeśli potrzebujesz wsparcia w ustaleniu, czy Twoja firma podlega Dyrektywie NIS2 lub masz jakiekolwiek wątpliwości, skontaktuj się z nami.
Wypełnij ankietę i sprawdź, czy NIS2 Cię dotyczy: LINK
Autor: Klaudia Szymańska, aplikant radcowski, Junior Associate w Lawspective.
E-mail: klaudia.szymanska@lawspective.pl
Autor: Marta Adranowska, adwokat, Senior Associate w Lawspective.
E-mail: marta.adranowska@lawspective.pl
[1] Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r.
[2] Ustawa z dnia 5 lipca 2018 r. o krajowym systemie bezpieczeństwa.