Do 3 października firmy muszą zgłosić się do wykazu NIS2

Zbliżający się 3 października to dla setek polskich przedsiębiorstw ostateczna data na dopełnienie formalności związanych z nowymi przepisami o cyberbezpieczeństwie. Wdrożenie unijnej dyrektywy NIS2 nakłada na firmy obowiązek samodzielnej weryfikacji swojego statusu oraz dokonania wpisu do centralnego rejestru. Zaniechanie tego kroku nie uchroni organizacji przed kontrolą, a może skutkować dotkliwymi karami finansowymi i osobistą odpowiedzialnością członków zarządu.

Przepisy odchodzą od dotychczasowego modelu, w którym to administracja państwowa wskazywała operatorów usług kluczowych w drodze decyzji administracyjnej. Teraz odpowiedzialność za ocenę skali działalności i profilu ryzyka spoczywa bezpośrednio na kadrze zarządzającej.

Kogo dotyczy obowiązek zgłoszenia

Nowe regulacje znacząco poszerzają krąg podmiotów podlegających wymogom cyberbezpieczeństwa. Dotychczasowa ustawa o krajowym systemie cyberbezpieczeństwa obejmowała głównie największe spółki infrastrukturalne. NIS2 schodzi znacznie niżej, włączając do systemu średnie i duże przedsiębiorstwa działające w sektorach uznanych za newralgiczne dla funkcjonowania gospodarki i społeczeństwa.

Kluczowym kryterium formalnym jest wielkość przedsiębiorstwa. Obowiązek obejmuje podmioty, które:

• zatrudniają co najmniej 50 pracowników lub
• osiągają roczny obrót bądź sumę bilansową na poziomie co najmniej 10 milionów euro.

W niektórych przypadkach wielkość firmy nie ma znaczenia. Dotyczy to między innymi dostawców publicznych sieci łączności elektronicznej, dostawców usług zaufania, rejestrów nazw domen czy podmiotów administracji publicznej, które muszą podporządkować się rygorom bez względu na liczbę etatów czy przychody.

Podmioty kluczowe i ważne

Dyrektywa dzieli organizacje na dwie główne kategorie, od których zależy intensywność nadzoru państwowego oraz wysokość potencjalnych sankcji:

• Sektory kluczowe: energetyka (prąd, ropa, gaz, wodór), transport (lotniczy, kolejowy, wodny, drogowy), bankowość i infrastruktura rynków finansowych, sektor zdrowia, woda pitna i ścieki, infrastruktura cyfrowa (centra danych, chmura, sieci CDN), zarządzanie usługami ICT, przestrzeń kosmiczna oraz administracja publiczna.
• Sektory ważne: usługi pocztowe i kurierskie, gospodarka odpadami, produkcja i dystrybucja chemikaliów, produkcja i przetwórstwo żywności, produkcja wyrobów medycznych, elektroniki, maszyn i pojazdów, a także usługi cyfrowe (internetowe platformy handlowe, wyszukiwarki, sieci społecznościowe) oraz badania naukowe.

Przedsiębiorstwa, które spełniają kryteria wielkościowe i operują w wyżej wymienionych branżach, muszą zweryfikować swoje powiązania kapitałowe. Obliczając progi zatrudnienia i obrotu, należy uwzględnić relacje partnerskie i powiązane w ramach grup kapitałowych, co sprawia, że nawet mniejsze spółki zależne mogą zostać objęte wymogami.

Jak przebiega nis2 rejestracja w praktyce

Procedura wpisu do ewidencji odbywa się drogą elektroniczną. Zgłoszenie wymaga od organizacji zebrania szczegółowych danych technicznych, organizacyjnych oraz formalno-prawnych. Z punktu widzenia sprawnego przejścia procedury, nis2 rejestracja powinna zostać zaplanowana z wyprzedzeniem, ponieważ wymaga zaangażowania kilku działów: prawnego, bezpieczeństwa IT oraz organów zarządczych.

Formularz zgłoszeniowy składany do właściwego organu nadzorczego wymaga podania szeregu precyzyjnych informacji:

• pełnej nazwy podmiotu, numeru NIP, KRS oraz adresu siedziby,
• wskazania sektora, podsektora oraz rodzaju działalności kwalifikującej firmę do objęcia regulacją,
• wyznaczenia statusu podmiotu (kluczowy lub ważny) wraz z uzasadnieniem spełnienia kryteriów,
• danych kontaktowych osób odpowiedzialnych za cyberbezpieczeństwo oraz członków zarządu,
• aktualnych zakresów adresów IP, nazw domen internetowych oraz publicznie dostępnych usług sieciowych wykorzystywanych do świadczenia działalności,
• wskazania państw członkowskich UE, na których terytorium podmiot świadczy usługi.

Prawidłowa nis2 rejestracja kończy się nadaniem unikalnego identyfikatora i wpisem do bazy prowadzonej na poziomie krajowym. Rejestr ten służy m.in. zespołom reagowania na incydenty bezpieczeństwa komputerowego (CSIRT) do sprawnej koordynacji działań w przypadku wystąpienia zagrożeń o zasięgu transgranicznym.

Kary finansowe i osobista odpowiedzialność zarządu

Ustawodawca przewidział bardzo surowe konsekwencje za niedopełnienie obowiązku zgłoszenia w wyznaczonym terminie lub podanie danych niezgodnych ze stanem faktycznym. Kary nie mają charakteru symbolicznego i zostały bezpośrednio powiązane z globalnymi przychodami przedsiębiorstwa.

Dla podmiotów kluczowych maksymalne kary finansowe wynoszą co najmniej 10 milionów euro lub 2% łącznego światowego obrotu w poprzednim roku obrotowym (zastosowanie ma kwota wyższa). W przypadku podmiotów ważnych pułap ten ustalono na poziomie 7 milionów euro lub 1,4% światowego obrotu.

Nowością w europejskim prawie cyberbezpieczeństwa jest bezpośrednia odpowiedzialność kadry kierowniczej. Zgodnie z założeniami regulacji:

• członkowie organów zarządzających mają obowiązek zatwierdzać środki zarządzania ryzykiem w cyberbezpieczeństwie i nadzorować ich wdrażanie,
• zarządy muszą odbywać regularne szkolenia z zakresu rozpoznawania zagrożeń i oceny ryzyka,
• w przypadku rażących zaniedbań organy nadzorcze mogą tymczasowo zawiesić uprawnienia osób zarządzających do pełnienia funkcji kierowniczych w danej organizacji.

Dalsze kroki po dokonaniu zgłoszenia

Samo zgłoszenie do wykazu do 3 października to dopiero początek drogi do pełnej zgodności. Status podmiotu w systemie cyberbezpieczeństwa wiąże się z koniecznością ciągłego utrzymywania standardów technicznych i organizacyjnych.

Każda zarejestrowana firma musi wdrożyć analizę ryzyka, polityki bezpieczeństwa systemów teleinformatycznych, procedury obsługi incydentów oraz plany ciągłości działania (Business Continuity Planning). Szczególny nacisk położono na weryfikację łańcucha dostaw - przedsiębiorstwa muszą audytować swoich podwykonawców IT pod kątem stosowanych przez nich zabezpieczeń.

Kolejnym restrykcyjnym elementem jest obowiązek raportowania incydentów. W przypadku wykrycia poważnego zdarzenia zagrażającego bezpieczeństwu systemów, podmiot ma 24 godziny na przekazanie wczesnego ostrzeżenia do właściwego CSIRT, a pełne zgłoszenie incydentu musi nastąpić w ciągu 72 godzin. Wymusza to posiadanie działających w trybie ciągłym narzędzi do monitorowania sieci i detekcji anomalii.