Formalnie dyrektywa (UE) 2022/2555 zastępuje pierwotną dyrektywę NIS i rozszerza grono sektorów oraz organizacji oczekujących zarządzania ryzykiem cybernetycznym, raportowania znaczących incydentów, zabezpieczania łańcuchów dostaw i ustanawiania odpowiedzialności kierownictwa.
NIS2 jest dyrektywą, więc organizacje wypełniają prawo krajowe, które ją transpozytuje w każdym istotnym państwie członkowskim — a nie jednolity, samowykonujący się zbiór przepisów UE. Termin przyjęcia i publikacji środków przez państwa członkowskie upłynął 17 października 2024. Zakres, nadzór, rejestracja, organy, procedury i kary muszą zatem być sprawdzane względem aktualnej implementacji krajowej, zwłaszcza dla organizacji działających w kilku krajach.
Najważniejsze punkty
Kto może być objętyŚrednie i duże podmioty w sektorach wymienionych w dyrektywie stanowią główną populację, podzieloną na podmioty kluczowe i ważne. Niektórzy dostawcy mogą być objęci niezależnie od wielkości, a organy krajowe mogą wskazać dodatkowe podmioty. Znaczenie mają sektor, usługa, siedziba, wielkość i przepisy krajowe.
Środki zarządzania ryzykiemArtykuł 21 wymaga odpowiednich i proporcjonalnych środków technicznych, operacyjnych i organizacyjnych. Wymienione obszary obejmują obsługę incydentów; ciągłość działania i zarządzanie kryzysowe; bezpieczeństwo łańcucha dostaw; bezpieczne pozyskiwanie, rozwój i utrzymanie; obsługę i ujawnianie podatności; ocenę skuteczności; higienę cybernetyczną i szkolenia; kryptografię; kontrolę dostępu i zarządzanie zasobami; oraz, gdzie właściwe, MFA lub uwierzytelnianie ciągłe i bezpieczne komunikacje.
Odpowiedzialność zarząduOrgany zarządzania muszą zatwierdzać środki zarządzania ryzykiem cyberbezpieczeństwa, nadzorować wdrażanie i mogą być pociągnięte do odpowiedzialności na mocy prawa krajowego. Członkowie tych organów muszą odbywać szkolenia, a organizacje powinny regularnie oferować istotne szkolenia pracownikom.
Raportowanie incydentówDla znaczącego incydentu art. 23 ustanawia proces etapowy: wczesne ostrzeżenie bez zbędnej zwłoki i w ciągu 24 godzin od uświadomienia; zgłoszenie incydentu bez zbędnej zwłoki i w ciągu 72 godzin od uświadomienia — lub w ciągu 24 godzin dla dostawcy usług zaufania, gdy znaczący incydent wpływa na świadczenie tych usług; raporty pośrednie na żądanie; oraz raport końcowy nie później niż miesiąc po zgłoszeniu incydentu. Raport z postępu może zastąpić raport końcowy, gdy incydent trwa.
Łańcuch dostawNIS2 czyni bezpieczeństwo bezpośrednich dostawców i usługodawców jawną częścią zarządzania ryzykiem. Nie oznacza to, że każdy dostawca musi spełniać identyczne kontrole; organizacje potrzebują podejścia opartego na ryzyku, uwzględniającego podatności, zależność oraz jakość i odporność produktów i usług.
Nadzór i karyPodmioty kluczowe i ważne podlegają różnym podejściom nadzorczym, ale oba mogą spotkać się z egzekwowaniem. Dyrektywa ustala maksymalne ramy kar administracyjnych, które prawa krajowe muszą implementować, obok możliwych wiążących instrukcji i innych środków.
Istotne ograniczenieNIS2 ustanawia ramę UE, ale hasło słownikowe nie może rozstrzygnąć, czy konkretny podmiot prawny jest objęty, ani spełnić wymagań implementacji krajowej. Klasyfikacja i obowiązki zależą od podmiotu, usługi, jurysdykcji i mającego zastosowanie prawa transpozycyjnego.