Krótka odpowiedź: kogo dotyczy NIS2
Dyrektywa NIS2 i wdrażająca ją nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC) co do zasady obejmują firmy, które spełniają jednocześnie dwa warunki: prowadzą działalność w jednym z sektorów wymienionych w przepisach i nie są mikro ani małym przedsiębiorstwem. O tym, czy firma jest średnia lub duża, decydują progi zatrudnienia i progi finansowe (obrót, suma bilansowa) z unijnej definicji MŚP. Od tej reguły są wyjątki w obie strony, dlatego sama liczba etatów niczego jeszcze nie przesądza, a dokładne progi i sposób ich liczenia potwierdź z prawnikiem na podstawie aktualnego tekstu ustawy.
Objęte podmioty dzielą się na dwie grupy: kluczowe i ważne. Obowiązki techniczne mają podobne (zarządzanie ryzykiem, obsługa i zgłaszanie incydentów, bezpieczeństwo dostawców), różni je przede wszystkim sposób nadzoru i skala możliwych sankcji. Szczegóły nadzoru nad każdą z grup określa ustawa, więc przy kwalifikacji warto od razu zapytać prawnika, co z niej wynika dla Twojej firmy.
Krok 1: ustal, w jakim sektorze naprawdę działasz
Przepisy posługują się listą sektorów podzieloną na dwa załączniki. Nie wystarczy spojrzeć na kod PKD z CEIDG lub KRS. Liczy się faktyczna działalność, także ta poboczna, jeśli ma istotną skalę.
| Grupa sektorów | Przykłady | Kto powinien sprawdzić to szczególnie uważnie |
|---|---|---|
| Sektory o wysokiej krytyczności | energetyka, transport, bankowość, ochrona zdrowia, woda i ścieki, infrastruktura cyfrowa, zarządzanie usługami ICT dla firm, administracja publiczna | firmy świadczące usługi zarządzanego IT dla innych przedsiębiorstw, prywatne przychodnie i laboratoria |
| Inne sektory krytyczne | usługi pocztowe i kurierskie, gospodarka odpadami, chemikalia, żywność, wybrane gałęzie produkcji, dostawcy usług cyfrowych, badania naukowe | hurtownie spożywcze, producenci urządzeń elektrycznych i maszyn, operatorzy platform handlowych |
W produkcji przepisy nie obejmują całego przemysłu, tylko wybrane branże, między innymi związane z elektroniką, urządzeniami elektrycznymi, maszynami i pojazdami. Może się więc zdarzyć, że duży producent z jednej branży pozostanie poza ustawą, a mniejszy zakład z innej znajdzie się w jej zakresie. Polska ustawa może doprecyzować zakres poszczególnych sektorów, dlatego ostateczne porównanie rób zawsze z aktualnym tekstem przepisów i najlepiej z prawnikiem.
Krok 2: policz wielkość firmy tak, jak liczy ją ustawodawca
Tu pojawia się najwięcej błędów. Unijna definicja MŚP każe co do zasady uwzględniać także przedsiębiorstwa partnerskie i powiązane. Spółka zależna zatrudniająca 30 osób, która należy do dużej grupy kapitałowej, może więc dla celów NIS2 nie być traktowana jak mała firma. Podobne pytania pojawiają się, gdy inwestor ma w spółce pakiet kontrolny. Jak dokładnie policzyć dane w Twojej strukturze, ustala prawnik lub doradca, bo reguły liczenia mają sporo niuansów.
Druga pułapka to przepisy, które obejmują niektóre podmioty bez względu na wielkość. Dotyczy to wybranych kategorii, między innymi części dostawców infrastruktury cyfrowej i usług telekomunikacyjnych oraz administracji publicznej. Przepisy przewidują też możliwość objęcia mniejszego podmiotu, jeśli jego rola dla danej usługi jest szczególnie istotna. Jeśli działasz w takiej branży, nie zakładaj z góry, że mała skala Cię zwalnia.
Krok 3: sprawdź, czy przepisy nie dotkną Cię pośrednio
Nawet jeśli po dwóch pierwszych krokach wychodzi, że nie podlegasz ustawie, możesz odczuć jej skutki. Firmy objęte NIS2 muszą dbać o bezpieczeństwo łańcucha dostaw, więc zaczynają wymagać od swoich dostawców konkretnych zabezpieczeń i deklaracji. Jeśli sprzedajesz usługi lub komponenty szpitalowi, przedsiębiorstwu wodociągowemu albo firmie transportowej, licz się z ankietą bezpieczeństwa i nowymi zapisami w umowie.
Co oznacza „podlegam” w praktyce
Samo ustalenie, że firma jest podmiotem kluczowym lub ważnym, uruchamia listę zadań. W dużym skrócie:
- Zgłoszenie firmy do wykazu podmiotów prowadzonego przez właściwy organ, w trybie i terminie określonym w ustawie.
- System zarządzania bezpieczeństwem informacji: analiza ryzyka, polityki, przypisane role i regularny przegląd.
- Obsługa incydentów, w tym zgłaszanie poważnych zdarzeń do właściwego zespołu CSIRT. Zgłoszenie odbywa się etapami i w krótkich terminach liczonych w godzinach, więc procedurę trzeba mieć gotową wcześniej. Dokładne terminy sprawdź w aktualnych przepisach.
- Konkretne środki techniczne: uwierzytelnianie wieloskładnikowe, szyfrowanie, kopie zapasowe, zarządzanie podatnościami, kontrola dostępu.
- Odpowiedzialność kierownictwa. Zarząd zatwierdza środki bezpieczeństwa, nadzoruje ich wdrożenie i powinien przechodzić szkolenia.
- Bezpieczeństwo dostawców, czyli ocena i wymagania wobec firm, od których zależy Twoja działalność.
Za niewykonanie obowiązków przepisy przewidują dotkliwe kary finansowe. Ich wysokość i tryb nakładania określa polska ustawa, a ocenę ryzyka w Twoim przypadku przedstawi prawnik.
Jeśli po dwóch pierwszych krokach nadal nie masz pewności, nie zgaduj. Zbierz dane o działalności, zatrudnieniu i finansach całej grupy i daj je do oceny prawnikowi. Kwalifikacja podmiotu to decyzja prawna, a część techniczna zaczyna się dopiero po niej.
Najczęstsze błędy przy samoocenie
- Patrzenie wyłącznie na PKD. Kod wpisany przy rejestracji spółki dziesięć lat temu często nie odpowiada temu, czym firma zajmuje się dziś.
- Liczenie tylko własnych etatów. Bez uwzględnienia grupy kapitałowej wynik bywa mylący.
- Założenie, że skoro jesteśmy mali, to temat nas nie dotyczy. Duzi klienci i tak przyjdą z wymaganiami.
- Czekanie na pismo z urzędu. Obowiązek rejestracji i wdrożenia środków spoczywa na firmie, a nie na organie.
- Zakup jednego narzędzia jako „wdrożenia NIS2”. Nowy firewall nie zastąpi analizy ryzyka ani procedury zgłaszania incydentów.
Najwięcej wątpliwości mają zwykle firmy z pogranicza sektorów. Przykład: dystrybutor artykułów spożywczych zatrudniający 70 osób zakłada, że jako firma handlowa nie ma nic wspólnego z NIS2. Tymczasem sektor żywności w przepisach może obejmować także część działalności hurtowej, więc taka firma powinna sprawdzić swoją sytuację z prawnikiem, zamiast przyjmować, że temat jej nie dotyczy.
Co przygotować przed rozmową z prawnikiem
Konsultacja trwa krócej i kosztuje mniej, jeśli przyniesiesz komplet informacji. Przygotuj:
- opis wszystkich rodzajów działalności wraz z udziałem w przychodach, a nie tylko główny kod PKD,
- dane o zatrudnieniu, obrocie i sumie bilansowej za ostatnie lata, także dla spółek powiązanych i partnerskich,
- listę kluczowych klientów z sektorów wymienionych w przepisach,
- informację, czy świadczysz usługi IT, hostingowe lub telekomunikacyjne dla innych firm, nawet jako działalność poboczną.
Z takim zestawem prawnik zwykle w jednym spotkaniu wskaże, czy firma podlega przepisom, czy jest na granicy, czy może spokojnie zająć się wymaganiami swoich klientów.
Od czego zacząć, gdy odpowiedź brzmi „tak” albo „może”
Po stronie technicznej, niezależnie od ostatecznej kwalifikacji prawnej, pierwszym krokiem jest rzetelny obraz stanu obecnego: jakie systemy działają w firmie, kto ma do nich dostęp, jak wyglądają kopie zapasowe, logowanie i aktualizacje. Na tej podstawie powstaje analiza luk, czyli lista różnic między tym, co jest, a tym, czego wymagają przepisy. Pomagamy ją przygotować w ramach usług doradztwa i audytu IT, a potem uzupełnić brakujące dokumenty w ramach polityk bezpieczeństwa i dokumentacji.
Dobrze przeprowadzona analiza zwykle pokazuje, że część wymagań firma już spełnia, tylko nie ma tego na piśmie. Reszta to plan na kilka miesięcy: wdrożenie MFA, uporządkowanie uprawnień, procedura incydentów, testy odtwarzania kopii. Całość prowadzimy zdalnie, w porozumieniu z Twoim prawnikiem lub IOD, który odpowiada za kwalifikację prawną. Jeśli chcesz zobaczyć, jakie obszary obejmujemy, zajrzyj na stronę cyberbezpieczeństwa.
Redakcja Apply
Cyberbezpieczeństwo