NIS2

NIS2 to dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z 14 grudnia 2022 roku w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii ^[1]. Zastąpiła dyrektywę 2016/1148, czyli pierwszą dyrektywę NIS, która straciła moc 18 października 2024 roku ^[1]. NIS2 nakłada na podmioty kluczowe i ważne obowiązek zarządzania ryzykiem, zgłaszania poważnych incydentów oraz nadzoru kierownictwa nad cyberbezpieczeństwem ^[1]. Jako dyrektywa nie działa wprost: państwa członkowskie przenoszą ją do prawa krajowego, w Polsce przez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa ^[2].

Kogo dotyczy

Dyrektywa obejmuje podmioty publiczne i prywatne z sektorów wymienionych w załącznikach I i II, które są co najmniej średnimi przedsiębiorstwami i działają w Unii ^[1]. Niektóre podmioty są objęte niezależnie od wielkości, m.in. kwalifikowani dostawcy usług zaufania, rejestry nazw domen najwyższego poziomu i dostawcy usług DNS ^[1].

Załącznik I, zatytułowany „Sektory kluczowe”, wymienia między innymi infrastrukturę cyfrową i zarządzanie usługami ICT ^[1]. Załącznik II, „Sektory ważne”, obejmuje m.in. dostawców usług cyfrowych: internetowych platform handlowych, wyszukiwarek i platform sieci społecznościowych ^[1]. Dyrektywa dzieli podmioty na dwie kategorie.

Państwa członkowskie miały do 17 kwietnia 2025 roku ustanowić wykaz podmiotów kluczowych i ważnych oraz przeglądać go nie rzadziej niż co dwa lata ^[1]. Podmiot ważny nie jest podmiotem drugiej kategorii w sensie obowiązków: art. 21 i 23 dotyczą obu grup, a różni je maksymalna wysokość kar ^[1].

Kary te dotyczą naruszeń art. 21 i 23, czyli obowiązków zarządzania ryzykiem i zgłaszania incydentów ^[1]. Dyrektywa określa minimalny pułap kary maksymalnej, a konkretne kwoty ustala prawo krajowe.

Obowiązki

Zarządzanie ryzykiem. Art. 21 wymaga odpowiednich i proporcjonalnych środków technicznych, operacyjnych i organizacyjnych, które zapewniają poziom bezpieczeństwa sieci i systemów informatycznych odpowiedni do ryzyka ^[1]. Minimalna lista obejmuje m.in.:

• politykę analizy ryzyka i bezpieczeństwa systemów oraz obsługę incydentów ^[1];
• ciągłość działania, w tym zarządzanie kopiami zapasowymi (backup) ^[1];
• bezpieczeństwo łańcucha dostaw, także w relacjach z bezpośrednimi dostawcami ^[1];
• postępowanie w przypadku podatności i ich ujawnianie ^[1];
• podstawowe praktyki cyberhigieny i szkolenia ^[1];
• stosowanie kryptografii i, w stosownych przypadkach, szyfrowania ^[1];
• kontrolę dostępu, zarządzanie aktywami i w stosownych przypadkach uwierzytelnianie wieloskładnikowe (MFA) ^[1].

Każdy z tych punktów to w praktyce zestaw konkretnych zabezpieczeń.

Odpowiedzialność kierownictwa. Organy zarządzające mają zatwierdzać środki zarządzania ryzykiem, nadzorować ich wdrażanie i mogą ponosić odpowiedzialność za naruszenia ^[1]. Ich członkowie mają obowiązek odbywać regularne szkolenia z oceny ryzyka w cyberbezpieczeństwie ^[1].

Zgłaszanie incydentów. Incydent to według dyrektywy zdarzenie naruszające dostępność, autentyczność, integralność lub poufność przechowywanych, przekazywanych lub przetwarzanych danych albo usług oferowanych przez sieci i systemy informatyczne ^[1]. Poważny incydent, czyli taki, który powoduje lub może powodować dotkliwe zakłócenia usług albo znaczne szkody dla innych, zgłasza się właściwemu CSIRT lub organowi ^[1]. Terminy obowiązku zgłaszania pokazuje schemat poniżej.

RYS. 1Zgłaszanie poważnego incydentu według art. 23

Na wniosek CSIRT podmiot składa też sprawozdania okresowe o stanie sprawy ^[1]. Dyrektywa zaznacza, że samo zgłoszenie nie zwiększa odpowiedzialności zgłaszającego ^[1].

W WordPressie

NIS2 nie wymienia WordPressa ani stron internetowych jako osobnej kategorii. Strona WordPress podlega jej pośrednio: jako system informatyczny podmiotu objętego dyrektywą albo jako usługa dostawcy, który sam jest objęty.

Agencje i firmy utrzymaniowe. Dyrektywa definiuje dostawcę usług zarządzanych jako podmiot świadczący usługi instalacji, eksploatacji, konserwacji lub zarządzania aplikacjami i systemami ICT, u klienta lub zdalnie ^[1]. Tacy dostawcy należą do sektora zarządzania usługami ICT z załącznika I ^[1]. Czy konkretna firma podlega przepisom, zależy jednak od jej wielkości i od krajowej ustawy ^[1].

Hosting. W sektorze infrastruktury cyfrowej załącznik I wymienia m.in. dostawców usług chmurowych, ośrodków przetwarzania danych, sieci dostarczania treści (CDN) i usług DNS ^[1].

Wtyczki i motywy. Dla podmiotu objętego NIS2 dostawcy wtyczek, motywów i hostingu należą do łańcucha dostaw. Art. 21 wymaga uwzględnienia podatności charakterystycznych dla każdego bezpośredniego dostawcy oraz jakości jego produktów i praktyk bezpieczeństwa ^[1]. Temu służy zarządzanie ryzykiem dostawców (TPRM), a zagrożenie, przed którym chroni, opisuje hasło atak na łańcuch dostaw (supply chain attack).

Wdrożenie w Polsce

Państwa członkowskie miały przyjąć i opublikować przepisy wdrażające do 17 października 2024 roku i stosować je od 18 października 2024 roku ^[1]. W Polsce wdrożyła ją ustawa z 23 stycznia 2026 roku o zmianie ustawy o krajowym systemie cyberbezpieczeństwa, ogłoszona w Dzienniku Ustaw 2 marca 2026 roku ^[3]. Według serwisu niebezpiecznik.pl prezydent podpisał ją 19 lutego 2026 roku i jednocześnie skierował do Trybunału Konstytucyjnego w trybie kontroli następczej ^[4].

Nowelizacja weszła w życie 3 kwietnia 2026 roku ^[2]. Rząd podaje następujące terminy dla podmiotów kluczowych i ważnych ^[2]:

• do 3 października 2026 roku wniosek o wpis do wykazu podmiotów ^[2];
• do 3 kwietnia 2027 roku wdrożenie systemu zarządzania bezpieczeństwem informacji (SZBI) ^[2];
• pierwszy audyt w ciągu 24 miesięcy, kolejne co najmniej raz na trzy lata ^[2].

Nowelizacja rozszerza katalog sektorów m.in. o zarządzanie usługami ICT, komunikację elektroniczną, przestrzeń kosmiczną, usługi pocztowe i produkcję ^[2].

Relacja z innymi przepisami

NIS2 dotyczy bezpieczeństwa sieci i usług, a RODO ochrony danych osobowych. Ten sam incydent, np. włamanie do sklepu z danymi klientów, może więc wymagać dwóch zgłoszeń: do CSIRT według NIS2 i do organu ochrony danych według RODO. Pokrewnym aktem unijnym dla sektora finansowego jest DORA.