NIS2 a ustawa o cyberbezpieczeństwie: czy moja firma podlega tym przepisom?
Od 15 sierpnia 2026 roku w Holandii obowiązuje Ustawa o cyberbezpieczeństwie. Być może Państwo już słyszeli termin NIS2 od klienta, dostawcy lub doradcy. W tym artykule znajdą Państwo krótkie wyjaśnienie, czym jest ta ustawa, kogo dotyczy i co oznacza dla małej firmy, która sama nie podlega jej przepisom.
Ten artykuł zawiera ogólne wyjaśnienie i nie stanowi porady prawnej. Aktualne przepisy znajdą Państwo na stronie NCSC oraz w tekście ustawy.
Czym jest ta ustawa?
NIS2 to europejska dyrektywa z 2022 roku (Dyrektywa (UE) 2022/2555), która ma na celu zwiększenie odporności cyfrowej organizacji w kluczowych sektorach. Każdy kraj wdraża dyrektywę we własnej ustawie. W Holandii jest to Ustawa o cyberbezpieczeństwie (Cbw). Ustawa obowiązuje od 15 sierpnia 2026 roku, bez okresu przejściowego, i zastępuje dotychczasową Ustawę o bezpieczeństwie sieci i systemów informatycznych (Wbni). Według NCSC dotyczy ona ponad 8000 organizacji. Punktem kontaktowym jest NCSC.
Czy moja firma podlega tej ustawie?
Zależy to od dwóch kwestii: sektora oraz wielkości firmy.
1. Czy działają Państwo w sektorze wymienionym w ustawie?
| Załącznik 1 | Załącznik 2 |
|---|---|
| Energetyka, transport, bankowość, infrastruktura rynków finansowych, ochrona zdrowia, woda pitna, ścieki, infrastruktura cyfrowa, zarządzanie usługami ICT, administracja publiczna, przestrzeń kosmiczna | Usługi pocztowe i kurierskie, gospodarka odpadami, substancje chemiczne, środki spożywcze, produkcja przemysłowa, dostawcy usług cyfrowych, badania naukowe |
Dla niektórych sektorów obowiązują dodatkowe warunki. Nie każda firma, która ma jakikolwiek związek z żywnością, automatycznie podlega zatem tej ustawie.
2. Czy Państwa firma jest wystarczająco duża? Mówiąc w skrócie, ustawa dotyczy średnich i dużych organizacji. Liczą się Państwo, jeśli:
- zatrudniają Państwo 50 lub więcej pracowników (FTE), lub
- zatrudniają Państwo mniej niż 50 pracowników, ale roczny obrót oraz suma bilansowa przekraczają 10 milionów euro.
Liczą się również przedsiębiorstwa partnerskie i powiązane. Firma zatrudniająca 20 pracowników, która należy do grupy liczącej 200 osób, może więc mimo wszystko podlegać ustawie.
Wyjątki, niezależnie od wielkości. Kilka rodzajów organizacji zawsze podlega ustawie, niezależnie od ich wielkości. Są to na przykład dostawcy usług DNS, rejestry domen najwyższego poziomu, dostawcy publicznych sieci i usług łączności elektronicznej, dostawcy usług zaufania oraz organizacje rządowe. Jeśli zostali Państwo wyznaczeni na podstawie Ustawy o odporności podmiotów krytycznych, podlegają Państwo również Ustawie o cyberbezpieczeństwie.
Sprawdzenie za pomocą samooceny
Krajowa Inspekcja Infrastruktury Cyfrowej (RDI) udostępnia bezpłatną samoocenę NIS2. Odpowiadają Państwo na pytania dotyczące sektora, wielkości firmy i świadczonych usług i otrzymują Państwo wynik. Wynik ten pokazuje również, czy są Państwo podmiotem kluczowym czy podmiotem ważnym. Różnica dotyczy przede wszystkim nadzoru: w przypadku podmiotów kluczowych organ nadzoru może przeprowadzać kontrole z własnej inicjatywy, natomiast w przypadku podmiotów ważnych odbywa się to głównie po fakcie. Jeśli Państwa firma należy do grupy lub działają Państwo w kilku krajach, pomocny może być przewodnik dotyczący złożonych modeli biznesowych opracowany przez NCSC.
Co należy zrobić, jeśli ustawa Państwa dotyczy?
- Rejestracja. Zgłaszają Państwo swoją organizację za pośrednictwem MijnNCSC.
- Obowiązek staranności. Przeprowadzają Państwo analizę ryzyka i podejmują odpowiednie i proporcjonalne środki. NCSC wymienia co najmniej dziesięć obszarów, między innymi obsługę incydentów, kopie zapasowe i odzyskiwanie danych, bezpieczeństwo łańcucha dostaw, szkolenia, aktualizacje, zarządzanie dostępem, uwierzytelnianie wieloskładnikowe lub klucze dostępu, szyfrowanie oraz testowanie skuteczności podjętych środków. Zarząd zatwierdza środki i sprawuje nad nimi nadzór.
- Obowiązek zgłaszania. Istotny incydent zgłaszają Państwo za pośrednictwem MijnNCSC: w ciągu 24 godzin wstępne ostrzeżenie, w ciągu 72 godzin zgłoszenie z pierwszą oceną wagi i skutków incydentu, a w ciągu miesiąca raport końcowy.
To zgłoszenie jest niezależne od obowiązku zgłaszania naruszeń danych wynikającego z RODO. Ten obowiązek dotyczy każdego, kto przetwarza dane osobowe, również osób prowadzących jednoosobową działalność gospodarczą, i zgłasza się go do Urzędu Ochrony Danych Osobowych (Autoriteit Persoonsgegevens). Atak, w wyniku którego skradzione zostały również dane klientów, może więc wymagać zgłoszenia w obu miejscach.
Nie podlegają Państwo ustawie? Łańcuch dostaw może mimo to mieć wpływ na Państwa firmę
Większość małych firm nie podlega tej ustawie. W takim przypadku nie mają Państwo obowiązku rejestracji, obowiązku zgłaszania do NCSC ani nie podlegają Państwo nadzorowi. Jednak organizacje, które podlegają ustawie, muszą uwzględniać ryzyka związane ze swoimi bezpośrednimi dostawcami i usługodawcami. Według NCSC ustawa nie nakłada obowiązków bezpośrednio na dostawców, ale klienci mogą stawiać wymagania dotyczące ich bezpieczeństwa cyfrowego. Takie wymagania są następnie ujmowane w umowie lub kwestionariuszu.
Czy dostarczają Państwo usługi większej organizacji, na przykład jako twórca stron internetowych, administrator IT lub biuro rachunkowe? W takim przypadku mogą Państwo otrzymać pytania typu: czy stosują Państwo uwierzytelnianie dwuetapowe, kto ma dostęp do naszych danych, gdzie przechowywane są kopie zapasowe i jak szybko zgłaszają Państwo incydent?
- Wymagania powinny być proporcjonalne do ryzyka związanego z daną usługą. Dostawca mający dostęp do systemów otrzyma surowsze wymagania niż na przykład piekarz dostarczający lunch.
- Chodzi o bezpośrednich dostawców. Dostawcy Państwa dostawców nie są objęci tym wymogiem.
- Ustawa nie wymaga posiadania certyfikatu. Może on pomóc w rozmowie, ale nie stanowi gwarancji.
- Proszę zacząć odpowiednio wcześnie: proszę ustalić, jakie środki już Państwo wdrożyli, i zapisać ustalenia poczynione z klientem.