NIS2 dla instytucji

NIS2 to unijna dyrektywa podnosząca wymagania cyberbezpieczeństwa dla podmiotów kluczowych i ważnych, w tym części administracji publicznej, usług krytycznych oraz organizacji prowadzących działalność istotną dla państwa i społeczeństwa.

Co oznacza dla instytucji?

Instytucja musi rozumieć swoje systemy, ryzyka, dostawców, procedury reagowania i dowody nadzoru. NIS2 nie jest tylko zadaniem IT, ale elementem zarządzania bezpieczeństwem całej organizacji.

Odpowiedzialność kierownictwa

Najwyższe kierownictwo powinno zatwierdzać środki zarządzania ryzykiem, nadzorować ich wdrożenie i dbać o szkolenia. W praktyce dotyczy to osób zarządzających instytucją, np. rektora, dyrektora lub zarządu.

Ryzyko kar

Dyrektywa przewiduje wysokie administracyjne kary dla podmiotów kluczowych i ważnych, a także środki nadzorcze. Dla podmiotów kluczowych próg może sięgać 10 mln EUR albo 2% rocznego światowego obrotu; szczegóły zależą od krajowych przepisów.

Uczelnie, instytuty i jednostki publiczne

Dla uczelni, instytutów badawczych, jednostek publicznych i organizacji obsługujących ważne procesy NIS2 oznacza konieczność uporządkowania governance, polityk, ryzyka dostawców, ciągłości działania, zgłaszania incydentów i dokumentowania decyzji. Brak wdrożenia może oznaczać ryzyko kontroli, zaleceń, kar finansowych oraz odpowiedzialności organizacyjnej kierownictwa.

W praktyce problem rzadko kończy się na serwerowni. W instytucjach publicznych i naukowych trzeba uwzględnić systemy dziekanatowe, pocztę, e-learning, repozytoria danych, laboratoria, systemy finansowo-księgowe, integracje z dostawcami oraz usługi chmurowe.

Największą wartość daje uporządkowanie odpowiedzialności: kto akceptuje ryzyko, kto zgłasza incydent, kto utrzymuje kopie, kto zatwierdza dostawcę i jakie dowody zostają po wykonaniu tych działań.

Mapa systemów i danych

Trzeba wiedzieć, które systemy są krytyczne, jakie dane przetwarzają, kto jest właścicielem procesu i jaki przestój jest akceptowalny.

Decyzje kierownictwa

Rektor, dyrektor lub zarząd powinien mieć czytelny obraz ryzyk, priorytetów, wyjątków i kosztów, a decyzje powinny być udokumentowane.

Dostawcy i umowy

NIS2 wzmacnia znaczenie łańcucha dostaw, dlatego warto sprawdzić umowy, SLA, dostęp zdalny, zgłoszenia incydentów i wymagania bezpieczeństwa wobec partnerów.

Najważniejsze fakty z dyrektywy

Poniższe punkty pomagają przełożyć dyrektywę na konkretne działania: decyzje kierownictwa, procedury, szkolenia, rejestry, testy i dowody wdrożenia.

Zakres: 18 sektorów

Komisja Europejska wskazuje, że NIS2 obejmuje 18 krytycznych sektorów w UE, w tym m.in. zdrowie, transport, energię, infrastrukturę cyfrową, administrację publiczną oraz przestrzeń kosmiczną.

Terminy i prawo krajowe

Państwa członkowskie miały czas na transpozycję NIS2 do 17 października 2024 r.; od 18 października 2024 r. NIS1 została zastąpiona przez NIS2. Dla instytucji kluczowe są przepisy krajowe wdrażające dyrektywę.

Art. 20: governance

Kierownictwo podmiotów kluczowych i ważnych zatwierdza środki zarządzania ryzykiem cyberbezpieczeństwa, nadzoruje ich wdrożenie i powinno przechodzić szkolenia.

Art. 21: środki bezpieczeństwa

NIS2 wymaga proporcjonalnych środków technicznych, operacyjnych i organizacyjnych: od analizy ryzyka, przez ciągłość działania, po bezpieczeństwo łańcucha dostaw i kontrolę dostępu.

Art. 23: zgłaszanie incydentów

Znaczące incydenty wymagają uporządkowanego raportowania, w tym wczesnego ostrzeżenia i kolejnych zgłoszeń do właściwych organów w określonych terminach.

Art. 34: sankcje

Dyrektywa przewiduje minimalne progi maksymalnych kar: dla podmiotów kluczowych do co najmniej 10 mln EUR albo 2% światowego obrotu, a dla ważnych do co najmniej 7 mln EUR albo 1,4% obrotu.

Nadzór i współpraca

NIS2 wzmacnia nadzór, egzekwowanie, współpracę organów, rolę CSIRT oraz koordynację w przypadku dużych incydentów i kryzysów cyberbezpieczeństwa.

Dowody wdrożenia

W praktyce liczą się nie tylko polityki, ale też dowody: rejestry ryzyk, decyzje kierownictwa, ćwiczenia, testy kopii, zgłoszenia, szkolenia i kontrola dostawców.

Co zwykle trzeba uporządkować

Art. 21 dyrektywy opisuje minimalne obszary zarządzania ryzykiem. Dla instytucji oznacza to przejście od deklaracji do mierzalnych procedur, właścicieli procesów i dowodów.

polityki analizy ryzyka i bezpieczeństwa systemów informacyjnych
obsługa incydentów i ścieżka eskalacji
ciągłość działania, kopie zapasowe, disaster recovery i zarządzanie kryzysowe
bezpieczeństwo łańcucha dostaw i dostawców usług
bezpieczeństwo zakupu, rozwoju i utrzymania systemów
ocena skuteczności wdrożonych środków bezpieczeństwa
higiena cyberbezpieczeństwa i regularne szkolenia
polityki kryptografii i szyfrowania
bezpieczeństwo HR, kontrola dostępu i zarządzanie aktywami
MFA, bezpieczna komunikacja i zabezpieczone systemy łączności

Jak pomagamy w dostosowaniu

Analiza luki: stan obecny, wymagania NIS2 i priorytety wdrożenia.
Mapa ryzyk, systemów krytycznych, dostawców i procesów biznesowych.
Polityki, procedury, rejestry dowodowe i plan reagowania na incydenty.
Szkolenia dla kierownictwa, IT, administracji i użytkowników.
Plan wdrożenia z harmonogramem, odpowiedzialnościami i mierzalnymi kamieniami milowymi.

Ta strona ma charakter informacyjny i nie stanowi porady prawnej. Kwalifikacja instytucji, zakres obowiązków oraz sankcje zależą od właściwych przepisów krajowych i decyzji organów nadzoru.

Nie przesądzamy, czy konkretna organizacja jest podmiotem kluczowym albo ważnym. Przed wdrożeniem trzeba potwierdzić sektor, wielkość podmiotu, przepisy krajowe, organ właściwy oraz realny zakres systemów i usług objętych obowiązkami.