NIS2 — audyt zgodności i wdrożenie dyrektywy w firmach, szpitalach i JST

NIS2 to dyrektywa, która zmienia krajobraz cyberbezpieczeństwa w Polsce i całej Unii Europejskiej. Po latach, w których o cyberbezpieczeństwie myślano przede wszystkim w kontekście dużych operatorów infrastruktury krytycznej, dyrektywa Network and Information Security 2 znacząco rozszerzyła krąg podmiotów objętych obowiązkami i zaostrzyła sankcje za ich niespełnienie. Ten przewodnik wyjaśnia, czym jest dyrektywa NIS2, jakie obowiązki nakłada na firmy, szpitale i jednostki samorządu terytorialnego oraz jak przygotować się do audytu zgodności z NIS2.

Czym jest dyrektywa NIS2 i kogo obejmuje

Dyrektywa NIS2 (Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555) zastąpiła pierwszą dyrektywę NIS z 2016 roku. Jej celem jest podniesienie poziomu cyberbezpieczeństwa w państwach członkowskich UE poprzez ujednolicenie wymagań, rozszerzenie listy podmiotów objętych regulacją oraz wzmocnienie mechanizmów nadzoru i egzekwowania przepisów. Termin transpozycji do prawa krajowego upłynął 17 października 2024 roku — w Polsce przepisy implementuje znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa.

NIS2 wprowadza dwie główne kategorie podmiotów objętych obowiązkami: podmioty kluczowe (essential entities) oraz podmioty ważne (important entities). Różnica między nimi sprowadza się do skali działalności, sektora oraz konsekwencji ewentualnych incydentów. Podmioty kluczowe działają w sektorach o najwyższej krytyczności (energetyka, transport, bankowość, ochrona zdrowia, woda pitna, infrastruktura cyfrowa, administracja publiczna), są zwykle większe i podlegają nadzorowi proaktywnemu (organ nadzorczy może w każdej chwili przeprowadzić kontrolę). Podmioty ważne działają w sektorach o wysokiej krytyczności (usługi pocztowe, gospodarowanie odpadami, produkcja chemikaliów, produkcja żywności, produkcja wybranych wyrobów, dostawcy usług cyfrowych, badania naukowe) i podlegają nadzorowi reaktywnemu (kontrola zwykle po incydencie lub sygnale).

W praktyce dyrektywa NIS2 obejmuje:

• Sektor energetyczny — operatorzy sieci elektroenergetycznych, gazowych, ciepłowniczych, dystrybutorzy paliw;
• Transport — przewoźnicy lotniczy, kolejowi, drogowi, morscy oraz operatorzy infrastruktury;
• Sektor finansowy — banki, infrastruktura rynku finansowego;
• Ochrona zdrowia — szpitale, podmioty lecznicze, laboratoria, producenci wyrobów medycznych, dystrybutorzy leków;
• Woda pitna i ścieki — przedsiębiorstwa wodociągowo-kanalizacyjne;
• Infrastruktura cyfrowa — operatorzy DNS, rejestratorzy domen, dostawcy chmury, centra danych, sieci dostarczania treści;
• Administracja publiczna — w tym jednostki samorządu terytorialnego (z wyjątkami w zależności od wielkości);
• Sektor kosmiczny, przestrzeń kosmiczna, usługi pocztowe i kurierskie, gospodarowanie odpadami, produkcja chemikaliów, produkcja i dystrybucja żywności, wytwarzanie określonych wyrobów (np. urządzeń medycznych, komputerów, pojazdów), dostawcy usług cyfrowych, badania naukowe.

Zasada wielkości jest istotna: co do reguły dyrektywa obejmuje średnie i duże przedsiębiorstwa (powyżej 50 pracowników lub powyżej 10 mln euro obrotu), choć od tej zasady jest wiele wyjątków. Niektóre podmioty są objęte niezależnie od wielkości — np. dostawcy publicznych usług łączności elektronicznej, kwalifikowane podmioty zaufania, rejestratorzy domen TLD, podmioty będące jedynymi dostawcami usługi w państwie członkowskim.

NIS2 dla samorządów i szpitali — obowiązki podmiotów kluczowych i ważnych

W kontekście polskich realiów dwa segmenty zasługują na szczególną uwagę: szpitale i jednostki samorządu terytorialnego.

NIS2 dla samorządów. Nowelizacja ustawy o KSC obejmuje wybrane jednostki administracji publicznej. Co istotne, JST nie były objęte pierwszą dyrektywą NIS — NIS2 jest dla nich pierwszym tak rozbudowanym pakietem wymagań w zakresie cyberbezpieczeństwa wynikającym z prawa unijnego. Dla wielu samorządów, które dotychczas funkcjonowały w reżimie KRI i RODO, NIS2 oznacza znaczące rozszerzenie obowiązków: formalne procesy zarządzania ryzykiem cyber, obowiązek zgłaszania incydentów do CSIRT-u sektorowego, wymagania w zakresie bezpieczeństwa łańcucha dostaw, regularne testy podatności, plany ciągłości działania, edukacja personelu kierowniczego, odpowiedzialność członków organów wykonawczych.

W praktyce dla urzędu gminy oznacza to potrzebę zinwentaryzowania aktywów informacyjnych, przeprowadzenia analizy ryzyka, opracowania (lub aktualizacji) polityki bezpieczeństwa informacji, wdrożenia mechanizmów wykrywania i reagowania na incydenty, ustanowienia procedur zgłaszania, przeszkolenia kierownictwa i pracowników. Dobra wiadomość jest taka, że większość tych elementów jest już wymagana przez KRI — NIS2 dodaje raczej warstwę formalną, podnosi poprzeczkę i wprowadza realne sankcje, niż tworzy zupełnie nowe obowiązki.

Szpitale i sektor ochrony zdrowia. Placówki medyczne są w NIS2 traktowane jako podmioty kluczowe, czyli z najwyższym poziomem nadzoru. To uzasadnione — atak ransomware na szpital może mieć tragiczne konsekwencje dla pacjentów, nie tylko finansowe. Wymagania dla szpitali pokrywają się z ogólnym katalogiem NIS2, ale ich realizacja jest znacznie trudniejsza ze względu na specyfikę środowiska medycznego: urządzenia medyczne na nieaktualizowanych systemach operacyjnych, środowiska wysokiej dostępności, w których nie da się zrobić “okna serwisowego”, krytyczność danych pacjentów, rozproszona infrastruktura między oddziałami i poradniami.

Dla szpitala zgodność z NIS2 oznacza w praktyce: wdrożenie systemu zarządzania bezpieczeństwem informacji, segmentację sieci (oddzielenie urządzeń medycznych od reszty infrastruktury), wzmocnienie zabezpieczeń systemów dziedzinowych (HIS, RIS, PACS, LIS), wdrożenie monitoringu i wykrywania zagrożeń (SIEM, EDR), opracowanie planu reagowania na incydenty z scenariuszami ransomware, regularne testy kopii zapasowych, edukację personelu medycznego (najczęstszy wektor ataku to phishing). Bardzo ważnym elementem są też wymagania dotyczące łańcucha dostaw — szpital musi weryfikować bezpieczeństwo swoich dostawców systemów informatycznych i sprzętu medycznego.

Najważniejsze obowiązki wszystkich podmiotów objętych NIS2:

• Zarządzanie ryzykiem — formalna analiza ryzyka, plan postępowania, regularne aktualizacje;
• Zarządzanie incydentami — procedura wykrywania, reagowania, dokumentowania, komunikowania;
• Obsługa kryzysowa i ciągłość działania — plany BCP/DRP, kopie zapasowe, plany przywrócenia;
• Bezpieczeństwo łańcucha dostaw — ocena bezpieczeństwa dostawców, klauzule kontraktowe;
• Bezpieczeństwo nabywania, rozwoju i utrzymania systemów — bezpieczne wytwarzanie oprogramowania, zarządzanie podatnościami, zarządzanie konfiguracją;
• Polityki i procedury oceny skuteczności środków — audyty wewnętrzne, KPI, testy;
• Podstawowe praktyki cyberhigieny i szkolenia — programy edukacyjne, świadomość;
• Polityki dotyczące używania kryptografii — szyfrowanie danych w spoczynku i w transporcie;
• Bezpieczeństwo zasobów ludzkich, kontrola dostępu, zarządzanie aktywami;
• Stosowanie MFA, bezpiecznej komunikacji głosowej, video i tekstowej oraz bezpiecznych systemów łączności w sytuacjach kryzysowych;
• Zgłaszanie incydentów do właściwego CSIRT-u w określonych terminach (early warning w 24h, notyfikacja w 72h, raport końcowy w 1 miesiąc).

Sankcje za nieprzestrzeganie NIS2 są znaczne. Maksymalne kary administracyjne to dla podmiotów kluczowych do 10 mln euro lub 2% rocznego światowego obrotu (zależnie od tego, która kwota jest wyższa), a dla podmiotów ważnych do 7 mln euro lub 1,4% rocznego obrotu. Dodatkowo dyrektywa wprowadza odpowiedzialność osobistą członków organów zarządzających — w określonych przypadkach mogą zostać czasowo pozbawieni prawa do pełnienia funkcji kierowniczych. To przepisy, które realnie zmieniają percepcję cyberbezpieczeństwa na poziomie zarządu.

Audyt zgodności z NIS2 — jak się przygotować

Audyt NIS2 może mieć kilka wymiarów: audyt wewnętrzny w ramach SZBI organizacji, audyt zewnętrzny prowadzony na zlecenie kierownictwa (przed kontrolą, w ramach due diligence), kontrola organu nadzorczego (proaktywna dla podmiotów kluczowych, reaktywna dla ważnych). Niezależnie od formy, zakres audytu zgodności z NIS2 jest podobny — sprawdzeniu podlega, czy organizacja faktycznie spełnia wymagania dyrektywy.

Audyt zgodności z NIS2 sprawdza kilkanaście obszarów:

1. Identyfikacja podmiotu i zakres objęcia regulacją. Czy organizacja jest podmiotem kluczowym czy ważnym? Czy została zarejestrowana w wykazie prowadzonym przez właściwy organ? Czy określono zakres działalności objętej regulacją?

2. Zarządzanie ryzykiem. Czy istnieje udokumentowana metodyka zarządzania ryzykiem? Czy została wykonana analiza ryzyka? Czy obejmuje wszystkie wymagane elementy (zagrożenia, podatności, prawdopodobieństwo, skutek)? Czy istnieje plan postępowania z ryzykiem? Czy ryzyka są okresowo aktualizowane?

3. Środki techniczne i organizacyjne. Pełny przegląd minimalnego katalogu środków wymienionych w art. 21 dyrektywy: kontrola dostępu, kryptografia, zarządzanie podatnościami, ciągłość działania, bezpieczeństwo łańcucha dostaw, MFA, edukacja, bezpieczne wytwarzanie systemów.

4. Zarządzanie incydentami. Czy istnieje formalny proces wykrywania, klasyfikowania, reagowania i raportowania incydentów? Czy prowadzony jest rejestr incydentów? Czy wystąpiły incydenty wymagające zgłoszenia, a jeśli tak — czy zostały zgłoszone w terminie? Czy odbywają się ćwiczenia reagowania na incydenty?

5. Bezpieczeństwo łańcucha dostaw. Czy zidentyfikowano dostawców kluczowych dla bezpieczeństwa? Czy umowy zawierają klauzule bezpieczeństwa? Czy bezpieczeństwo dostawców jest oceniane (kwestionariusze, audyty, certyfikaty)?

6. Edukacja i świadomość. Czy istnieje program szkoleń? Czy obejmuje wszystkich pracowników? Czy są specjalistyczne szkolenia dla zarządu i osób na stanowiskach kierowniczych? Czy odbywają się testy świadomości (phishing)?

7. Zarządzanie ciągłością działania. Czy istnieje plan ciągłości działania? Czy jest testowany? Czy zidentyfikowano scenariusze kryzysowe (w tym ransomware, atak DDoS, wyciek danych)?

8. Współpraca z organami i CSIRT. Czy organizacja jest zarejestrowana w odpowiednich rejestrach? Czy istnieją procedury komunikacji z CSIRT-em? Czy są przewidziane kanały zgłoszeń?

9. Zaangażowanie kierownictwa. Czy członkowie zarządu/organu wykonawczego przeszli szkolenia z NIS2? Czy regularnie analizują kwestie cyberbezpieczeństwa? Czy podejmują udokumentowane decyzje w tym zakresie?

Praktyczne wskazówki dla podmiotów przygotowujących się do audytu zgodności z NIS2:

• Zacznij od identyfikacji — czy jesteś podmiotem kluczowym, ważnym, czy może wcale nie podlegasz regulacji? Błąd na tym etapie kosztuje najwięcej.
• Wykorzystaj to, co masz — większość organizacji ma już jakąś dokumentację SZBI, polityki, procedury. NIS2 nie wymaga zaczynania od zera.
• Postaw na ryzyko — to fundament całego systemu NIS2. Bez dobrej analizy ryzyka pozostałe elementy będą niespójne.
• Łańcuch dostaw to często najsłabsze ogniwo — duża część incydentów wynika z problemów u dostawców. Audytorzy NIS2 zwracają na ten obszar szczególną uwagę.
• Edukacja zarządu jest obowiązkowa — i to jest nowość. Szkolenia w piwnicy z administratorem to za mało.
• Dokumentuj wszystko — w razie kontroli liczą się dowody, nie deklaracje.

Wdrożenie NIS2 dla wielu organizacji jest największym projektem w obszarze bezpieczeństwa od czasów RODO. Robione we własnym zakresie potrafi się ciągnąć latami. Robione z partnerem, który zna zarówno wymagania prawne, jak i realia polskich firm, szpitali i samorządów — kończy się znacznie szybciej i daje system, który faktycznie chroni organizację, a nie tylko spełnia formalne wymagania. Jeśli stoisz przed audytem zgodności z NIS2 lub planujesz wdrożenie wymagań dyrektywy w swojej organizacji, skontaktuj się z nami — pomożemy.