Dyrektywa NIS2 w Polsce – kogo dotyczy i jakie obowiązki nakłada na firmy?
Dyrektywa NIS2 rozszerza wymagania dotyczące cyberbezpieczeństwa na wiele sektorów gospodarki. W Polsce nowe przepisy mogą obejmować między innymi producentów elektroniki, urządzeń elektrycznych, maszyn, wyrobów medycznych oraz sprzętu transportowego.
Co NIS2 oznacza dla przedsiębiorstw? Które firmy podlegają regulacji i jakie znaczenie mają nowe wymagania przy wyborze urządzeń oraz infrastruktury sieciowej?
Czym jest dyrektywa NIS2?
Dyrektywa NIS2 to unijny akt prawny ustanawiający wspólne ramy cyberbezpieczeństwa dla państw członkowskich Unii Europejskiej. Jej oficjalne oznaczenie to Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z 14 grudnia 2022 roku.
NIS2 zastąpiła wcześniejszą dyrektywę NIS i rozszerzyła zakres regulacji na kolejne sektory oraz grupy przedsiębiorstw. Jej celem jest zwiększenie odporności organizacji na cyberataki, awarie i inne zdarzenia, które mogą zakłócić działanie ważnych usług lub procesów. (Dyrektywa (UE) 2022/2555 – EUR-Lex)
Przyjęcie nowych przepisów wynika między innymi z:
- postępującej cyfryzacji przemysłu i usług,
- rosnącej zależności firm od systemów informatycznych,
- łączenia infrastruktury IT z automatyką przemysłową,
- wzrostu znaczenia usług chmurowych i komunikacji sieciowej,
- zależności pomiędzy przedsiębiorstwami a ich dostawcami.
W firmach produkcyjnych systemy informatyczne są często połączone z routerami, komputerami przemysłowymi, urządzeniami pomiarowymi i systemami sterowania. Incydent może więc prowadzić nie tylko do utraty danych, ale również do zatrzymania produkcji, przerwania komunikacji lub ograniczenia dostępności usług.
NIS2 nie jest normą techniczną ani certyfikatem dla urządzeń. Nie można zatem automatycznie uznać routera, komputera przemysłowego czy switcha za „certyfikowany zgodnie z NIS2”. Przepisy odnoszą się przede wszystkim do sposobu zarządzania cyberbezpieczeństwem przez organizację.
Kogo dotyczy NIS2 w Polsce?
Dyrektywa NIS2 została wdrożona w Polsce przez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa. Nowe przepisy weszły w życie 3 kwietnia 2026 roku i wprowadziły podział organizacji objętych ustawą na:
- podmioty kluczowe,
- podmioty ważne.
(oficjalna informacja Ministerstwa Cyfryzacji o wejściu nowelizacji w życie)
Aby sprawdzić, czy firma podlega ustawie, należy przeanalizować:
- rzeczywisty zakres prowadzonej działalności,
- sektor lub podsektor wskazany w ustawie,
- wielkość przedsiębiorstwa,
- szczególne zasady określone w art. 5 ustawy o KSC.
Kod PKD może pomóc w przeprowadzeniu analizy, ale decydujący jest faktyczny charakter działalności, a nie wyłącznie wpis w rejestrze. Przy określaniu wielkości przedsiębiorstwa należy uwzględniać również podmioty partnerskie i powiązane. (oficjalne wytyczne Ministerstwa Cyfryzacji dotyczące samoidentyfikacji)
Przepisy obejmują przede wszystkim średnie i duże organizacje prowadzące działalność w sektorach wymienionych w ustawie. W niektórych przypadkach regulacja ma zastosowanie niezależnie od wielkości firmy.
Do obszarów szczególnie istotnych dla klientów działających w branży elektronicznej i przemysłowej należą między innymi:
- energetyka,
- transport,
- ochrona zdrowia,
- infrastruktura cyfrowa,
- komunikacja elektroniczna,
- produkcja elektroniki i urządzeń elektrycznych,
- produkcja maszyn,
- produkcja pojazdów i sprzętu transportowego.
Pełny katalog działalności znajduje się w załącznikach nr 1 i 2 do ustawy o krajowym systemie cyberbezpieczeństwa. (oficjalna informacja Ministerstwa Cyfryzacji o podmiotach objętych przepisami)
Czy NIS2 dotyczy producentów elektroniki?
Tak, producenci elektroniki mogą podlegać przepisom NIS2. W sektorach ważnych wskazano między innymi produkcję:
- komputerów, wyrobów elektronicznych i optycznych,
- urządzeń elektrycznych,
- maszyn i urządzeń,
- pojazdów samochodowych,
- pozostałego sprzętu transportowego,
- wyrobów medycznych i produktów do diagnostyki in vitro.
NIS2 może więc obejmować producentów urządzeń automatyki przemysłowej, aparatury pomiarowej, elektroniki samochodowej, systemów wbudowanych, urządzeń komunikacyjnych czy wybranych wyrobów medycznych.
Sama obecność firmy w branży elektronicznej nie przesądza jednak o objęciu ustawą. Znaczenie ma dokładny zakres działalności, rozmiar przedsiębiorstwa oraz ewentualne wyjątki przewidziane w przepisach.
Czy NIS2 dotyczy dostawców?
Dostawca nie staje się automatycznie podmiotem kluczowym lub ważnym tylko dlatego, że obsługuje firmę objętą ustawą.
Może jednak zostać pośrednio objęty wymaganiami klienta. Organizacje podlegające przepisom muszą uwzględniać ryzyko związane z dostawcami produktów, oprogramowania i usług. W praktyce mogą więc oczekiwać informacji dotyczących:
- okresu wsparcia produktu,
- dostępności aktualizacji,
- zasad obsługi podatności,
- dokumentacji bezpieczeństwa,
- zakończenia cyklu życia urządzenia,
- sposobu informowania o problemach technicznych.
Takie wymagania mogą pojawić się w zapytaniach ofertowych, umowach i specyfikacjach zakupowych.
Jakie obowiązki nakłada NIS2 na firmy?
Firmy objęte ustawą muszą wdrożyć środki techniczne, operacyjne i organizacyjne odpowiednie do skali ryzyka. Nie chodzi o zakup jednego programu lub urządzenia, ale o stworzenie spójnego systemu zarządzania cyberbezpieczeństwem. (oficjalne informacje Ministerstwa Cyfryzacji o nowelizacji ustawy o KSC)
Zarządzanie ryzykiem
Organizacja powinna określić, które systemy, informacje i procesy mają największe znaczenie dla jej działalności. Następnie musi rozpoznać potencjalne zagrożenia i dobrać odpowiednie zabezpieczenia.
Działania mogą obejmować między innymi:
- zarządzanie dostępem i uprawnieniami,
- aktualizowanie oprogramowania,
- zarządzanie podatnościami,
- ochronę komunikacji,
- monitorowanie systemów,
- bezpieczeństwo dostawców,
- szkolenie pracowników.
Analiza ryzyka nie powinna być działaniem jednorazowym. Należy ją aktualizować po istotnych zmianach w infrastrukturze, wdrożeniu nowych systemów, zmianie dostawcy lub wystąpieniu incydentu.
Reagowanie na incydenty
Firma musi posiadać procedury umożliwiające wykrycie, ocenę i obsługę incydentu cyberbezpieczeństwa.
W przypadku incydentu poważnego podmiot kluczowy lub ważny przekazuje:
- wczesne ostrzeżenie w ciągu 24 godzin od wykrycia zdarzenia,
- zgłoszenie zawierające dodatkowe informacje w ciągu 72 godzin,
- sprawozdanie końcowe po przeprowadzeniu obsługi incydentu.
(oficjalne pytania i odpowiedzi dotyczące wdrożenia NIS2 w Polsce)
Organizacja powinna wcześniej wskazać osoby odpowiedzialne za zgłoszenie oraz przygotować sposób komunikacji wewnętrznej i współpracy z właściwym zespołem CSIRT.
Ciągłość działania
Podmioty objęte regulacją muszą przygotować się na sytuację, w której cyberatak lub awaria zakłóci działalność.
W praktyce oznacza to konieczność opracowania i testowania:
- kopii zapasowych,
- procedur odtwarzania systemów,
- planów ciągłości działania,
- zasad komunikacji kryzysowej,
- zastępczych sposobów realizacji najważniejszych procesów.
Celem jest ograniczenie skutków zdarzenia i możliwie szybkie przywrócenie działania usług.
Odpowiedzialność kierownictwa i dokumentacja
Cyberbezpieczeństwo nie jest wyłącznie zadaniem działu IT. Kierownictwo podmiotu kluczowego lub ważnego odpowiada za nadzór nad wykonywaniem obowiązków i zapewnienie odpowiednich zasobów. Kierownik oraz osoba, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa, podlegają również corocznym szkoleniom. (oficjalna informacja Centrum e-Zdrowia o wymaganiach cyberbezpieczeństwa)
Firma powinna zachowywać dokumentację potwierdzającą wykonane działania, na przykład:
- wyniki analiz ryzyka,
- procedury,
- raporty z testów,
- rejestry incydentów,
- potwierdzenia szkoleń,
- dokumentację zmian i aktualizacji.
Najważniejsze terminy
Podmioty, które spełniały kryteria w dniu wejścia przepisów w życie, mają obowiązek:
- dokonać wpisu do Wykazu KSC do 3 października 2026 roku,
- podłączyć się do systemu S46 do 3 kwietnia 2027 roku,
- wdrożyć główne obowiązki do 3 kwietnia 2027 roku.
Nowe podmioty kluczowe, które wcześniej nie były operatorami usług kluczowych, powinny przeprowadzić pierwszy obowiązkowy audyt do 3 kwietnia 2028 roku. Kolejne audyty przeprowadza się co najmniej raz na trzy lata. (oficjalna informacja Ministerstwa Cyfryzacji o obowiązkach podmiotów kluczowych i ważnych)
Jak NIS2 wpływa na wybór urządzeń i infrastruktury sieciowej?
NIS2 nie wskazuje jednego obowiązkowego zestawu parametrów urządzenia. Wybierany sprzęt powinien jednak umożliwiać firmie zastosowanie środków wynikających z analizy ryzyka.
Dotyczy to między innymi:
- routerów przemysłowych,
- bram komunikacyjnych,
- switchy,
- komputerów przemysłowych,
- serwerów,
- urządzeń IoT,
- systemów automatyki.
Przed wyborem urządzenia warto sprawdzić:
- jak długo producent planuje wspierać dany model,
- czy dostępne są aktualizacje firmware,
- jak producent informuje o podatnościach,
- czy można zarządzać użytkownikami i poziomami uprawnień,
- czy urządzenie pozwala wyłączyć nieużywane porty i usługi,
- czy obsługuje bezpieczne uwierzytelnianie i szyfrowanie,
- czy rejestruje zdarzenia i umożliwia przesyłanie logów,
- czy producent udostępnia dokumentację bezpiecznej konfiguracji,
- kiedy produkt osiągnie koniec cyklu życia.
Brak dalszego wsparcia może oznaczać, że znane podatności nie zostaną usunięte. Dlatego informacje o aktualizacjach i cyklu życia produktu powinny być analizowane już na etapie zakupów.
Ważna jest również możliwość podziału infrastruktury na odrębne segmenty. Oddzielenie systemów biurowych, produkcyjnych i dostępnych z internetu może ograniczyć skutki przejęcia jednego z urządzeń.
Wytyczne techniczne ENISA dotyczą bezpośrednio określonych podmiotów z sektorów infrastruktury cyfrowej, zarządzania usługami ICT i usług cyfrowych. Mogą jednak stanowić pomocniczy punkt odniesienia przy ocenie aktualizacji, konfiguracji, logowania i innych zabezpieczeń. (wytyczne techniczne ENISA dotyczące wdrożenia NIS2)
Odpowiednio dobrane urządzenie nie gwarantuje zgodności firmy z NIS2. Może natomiast ułatwić wdrożenie zabezpieczeń, monitorowanie infrastruktury i zarządzanie systemem przez cały okres jego eksploatacji.
Jak przygotować firmę do NIS2?
Przygotowanie organizacji można podzielić na pięć podstawowych kroków.
1. Sprawdź, czy firma podlega ustawie
Należy przeanalizować rzeczywistą działalność, wielkość przedsiębiorstwa, powiązania z innymi podmiotami oraz kryteria określone w ustawie.
2. Wyznacz osoby odpowiedzialne
W działania powinni zostać zaangażowani przedstawiciele kierownictwa, IT, produkcji, zakupów, działu prawnego i innych obszarów związanych z wykorzystywanymi systemami.
3. Określ zakres
Firma powinna ustalić, które usługi, procesy, lokalizacje i systemy mają znaczenie dla działalności objętej regulacją. Analiza może dotyczyć zarówno infrastruktury IT, jak i systemów przemysłowych OT.
4. Przeprowadź analizę luk
Należy porównać obecne rozwiązania z wymaganiami ustawy i wskazać:
- braki krytyczne,
- zadania o wysokim priorytecie,
- wymagane zmiany techniczne,
- brakujące procedury i dokumenty.
Na tej podstawie można przygotować plan zawierający zadania, terminy i osoby odpowiedzialne.
5. Testuj i aktualizuj rozwiązania
Procedury należy regularnie sprawdzać w praktyce. Dotyczy to między innymi odtwarzania danych, komunikacji podczas incydentu i współpracy pomiędzy działami.
Przygotowanie do NIS2 jest procesem ciągłym. Przyjęte rozwiązania należy przeglądać po zmianach organizacyjnych, wdrożeniu nowych technologii, zmianie dostawcy lub wystąpieniu incydentu.
Dobór urządzeń do zastosowań przemysłowych
Przy wyborze routera, komputera przemysłowego, switcha lub modułu komunikacyjnego warto porównać nie tylko podstawowe parametry techniczne, ale również dokumentację, warunki wsparcia i funkcje związane z zarządzaniem urządzeniem.
Elhurt wspiera klientów w doborze i integracji gotowych produktów renomowanych producentów, w tym urządzeń komunikacyjnych oraz komputerów przemysłowych. Doradztwo obejmuje dopasowanie rozwiązania do parametrów aplikacji, dostępnych interfejsów, środowiska pracy i wymagań projektowych.
Artykuł ma charakter informacyjny i nie zastępuje indywidualnej analizy prawnej sytuacji konkretnej organizacji.
