Dyrektywa NIS 2

Dla pracownika NIS 2 oznacza przede wszystkim wyraźniejsze zasady wewnętrzne, we Francji od wejścia w życie ustawy wdrażającej. Artykuł 21 wymaga, by każdy objęty podmiot przyjął minimalny wykaz środków, w tym podstawowe praktyki cyberhigieny, szkolenia z cyberbezpieczeństwa, polityki kontroli dostępu oraz, stosownie do potrzeb, uwierzytelnianie wieloskładnikowe¹. Artykuł 20 wymaga też od państw, by zachęcały podmioty do regularnego szkolenia personelu, tak aby każdy umiał rozpoznawać zagrożenia i oceniać praktyki bezpieczeństwa¹.

Najbardziej od Pana/Pani zależy zgłaszanie incydentów. Dyrektywa wymaga, by podmiot wysłał wczesne ostrzeżenie do CSIRT lub właściwego organu w ciągu 24 godzin od uzyskania wiedzy o incydencie poważnym, następnie powiadomienie o incydencie w ciągu 72 godzin i sprawozdanie końcowe w ciągu miesiąca po nim¹. Terminy te tracą sens, jeśli informacja utknie po drodze. Podejrzany e-mail otwarty w poniedziałek i zgłoszony w czwartek to trzy dni, w których atakujący mógł działać, a nikt go nie szukał.

W rozumieniu dyrektywy incydent jest „poważny”, jeśli powoduje lub może powodować poważne zakłócenie usług bądź straty finansowe dla podmiotu albo znaczne szkody dla innych osób¹. Ocena należy do zespołu bezpieczeństwa; Pana/Pani rola to zgłosić. Jeśli incydent dotyczy danych osobowych, RODO dodaje własny obowiązek: zgłoszenie do CNIL najpóźniej 72 godziny po naruszeniu, które stwarza ryzyko dla osób⁴. Artykuł o RODO opisuje tę procedurę szczegółowo.

W programie Brain to działanie odpowiada odruchowi „Zgłaszać każdy incydent bezpieczeństwa zespołowi ds. cyberbezpieczeństwa”. Proszę zgłaszać także własne błędy, na przykład nieszczęśliwe kliknięcie: bez Pana/Pani zgłoszenia zespół bezpieczeństwa może nigdy nie dowiedzieć się, że atak się rozpoczął. Artykuł o kulturze karania wyjaśnia, dlaczego obawa przed karą skłania do ukrywania incydentów.

NIS 2 przenosi cyberbezpieczeństwo na poziom organów zarządzających. Dyrektywa wymaga, by zatwierdzały środki zarządzania ryzykiem i nadzorowały ich wdrożenie, by mogły ponosić odpowiedzialność, jeśli podmiot naruszy te obowiązki, oraz by ich członkowie przechodzili szkolenia¹. We Francji obowiązki te będą miały zastosowanie od wejścia w życie ustawy wdrażającej.

Państwa muszą przewidzieć kary pieniężne w maksymalnej wysokości co najmniej 10 milionów euro lub 2% całkowitego rocznego obrotu światowego, przy czym stosuje się kwotę wyższą, gdy podmiot kluczowy narusza obowiązki w zakresie bezpieczeństwa lub zgłaszania. W przypadku podmiotu ważnego górna granica wynosi co najmniej 7 milionów euro lub 1,4%¹. W podmiocie kluczowym, który nie usuwa uchybień mimo nakazów organu, dyrektywa pozwala też temu organowi zażądać, by osobie pełniącej funkcje kierownicze, na poziomie dyrektora generalnego lub przedstawiciela prawnego, czasowo zakazano pełnienia tych funkcji w podmiocie¹.

Bezpieczeństwo łańcucha dostaw należy do środków wymaganych przez dyrektywę, w tym relacje z bezpośrednimi dostawcami i usługodawcami¹: poświęcony mu jest artykuł o ocenie ryzyka dostawcy. Aby pomóc organizacjom, ANSSI opublikowała roboczą wersję swojego Référentiel Cyber France (ReCyF), która wylicza środki zalecane do osiągnięcia celów bezpieczeństwa NIS 2². Ćwiczenie kryzysowe przy stole pozwala sprawdzić jeszcze przed prawdziwym incydentem, że ostrzeżenie może wyjść w mniej niż 24 godziny.

Dyrektywa została opublikowana w Dzienniku Urzędowym Unii Europejskiej 27 grudnia 2022 r. Państwa miały ją wdrożyć najpóźniej do 17 października 2024 r. i stosować od 18 października 2024 r., czyli od dnia, w którym uchylono dyrektywę NIS z 2016 r.¹. Miały też sporządzić wykaz swoich podmiotów kluczowych i ważnych najpóźniej do 17 kwietnia 2025 r.¹.

Artykuł 21 ustala minimalny wykaz środków, oparty na podejściu „uwzględniającym wszystkie zagrożenia”¹:

• analiza ryzyka i polityki bezpieczeństwa systemów informacyjnych;
• obsługa incydentów;
• ciągłość działania, kopie zapasowe i zarządzanie kryzysowe;
• bezpieczeństwo łańcucha dostaw;
• bezpieczeństwo przy nabywaniu, rozwijaniu i utrzymaniu sieci i systemów informacyjnych, w tym postępowanie z podatnościami i ich ujawnianie;
• ocena skuteczności środków;
• podstawowa cyberhigiena i szkolenia z cyberbezpieczeństwa;
• kryptografia oraz, w stosownych przypadkach, szyfrowanie;
• bezpieczeństwo zasobów ludzkich, kontrola dostępu i zarządzanie aktywami;
• uwierzytelnianie wieloskładnikowe i bezpieczna komunikacja, stosownie do potrzeb.

Artykuł 23 ustala harmonogram zgłaszania incydentu poważnego¹:

Terminy liczone od chwili, w której podmiot uzyskał wiedzę o incydencie poważnym
24 godziny     wczesne ostrzeżenie do CSIRT lub właściwego organu
72 godziny     powiadomienie o incydencie, z wstępną oceną wagi i skutków
na żądanie     sprawozdanie okresowe
1 miesiąc      sprawozdanie końcowe, liczone od powiadomienia o incydencie

Komisja Europejska wysłała wezwania do usunięcia uchybień 28 listopada 2024 r., a następnie uzasadnione opinie 7 maja 2025 r. 8 lipca 2026 r. skierowała sprawę do Trybunału Sprawiedliwości Unii Europejskiej przeciwko Irlandii, Hiszpanii, Francji i Holandii, wnosząc o ryczałt oraz dzienne kary pieniężne do czasu pełnego wdrożenia⁵.

We Francji wdrożenie odbywa się przez projekt ustawy o odporności infrastruktury krytycznej i wzmocnieniu cyberbezpieczeństwa. W wersji złożonej jego tytuł II, poświęcony cyberbezpieczeństwu, odsyła do dyrektywy (UE) 2022/2555 i określa podmioty kluczowe i ważne, na przykład z progiem co najmniej 50 pracowników dla podmiotu ważnego⁶. Rząd złożył go w Senacie 15 października 2024 r. w trybie przyspieszonym, a Senat przyjął go 12 marca 2025 r. Komisja specjalna Zgromadzenia Narodowego złożyła swój tekst 10 września 2025 r.⁷. Konferencja Przewodniczących Zgromadzenia wpisała projekt na posiedzenia 7 i 9 października 2026 r.⁸, a następnie 6 października 2026 r. go z nich wycofała, nie wyznaczając nowej daty⁹. Według stanu na dzień sprawdzenia akta legislacyjne nie wspominają o żadnym rozpatrzeniu na posiedzeniu plenarnym Zgromadzenia⁷.

Tymczasem ANSSI zachęca przyszłe podmioty kluczowe i ważne, by już teraz podniosły poziom bezpieczeństwa, i zaznacza, że jej wytyczne ReCyF mogą zostać dostosowane w toku debat parlamentarnych².