NIS2 i Cyberbeveiligingswet: czy moja firma jest nimi objęta?

Od 15 sierpnia 2026 w Holandii obowiązuje ustawa o cyberbezpieczeństwie. Być może słyszeli już Państwo termin NIS2 od klienta, dostawcy lub doradcy. W tym artykule wyjaśniamy w skrócie, czym jest ta ustawa, kogo obejmuje i co oznacza dla małej firmy, która sama jej nie podlega.

Ten artykuł zawiera ogólne wyjaśnienia i nie stanowi porady prawnej. Aktualne przepisy znajdą Państwo na stronie NCSC oraz w tekście ustawy.

Czym jest NIS2?

NIS2 to europejska dyrektywa z 2022 roku (Dyrektywa (UE) 2022/2555), której celem jest zwiększenie odporności cyfrowej organizacji w kluczowych sektorach. Każdy kraj wdraża dyrektywę we własnej ustawie. W Holandii jest to ustawa o cyberbezpieczeństwie (Cbw). Ustawa obowiązuje od 15 sierpnia 2026, bez okresu przejściowego, i zastępuje dawną ustawę o bezpieczeństwie sieci i systemów informatycznych (Wbni). Według NCSC obejmuje ona ponad 8.000 organizacji. Punktem kontaktowym jest NCSC.

Czy moja firma podlega ustawie?

Zależy to od dwóch kwestii: sektora i wielkości firmy.

1. Czy działają Państwo w sektorze wymienionym w ustawie?

W niektórych sektorach obowiązują dodatkowe warunki. Nie każda firma, która ma coś wspólnego z żywnością, automatycznie podlega więc ustawie.

2. Czy firma jest wystarczająco duża? W skrócie: ustawa obejmuje średnie i duże organizacje. Firma się kwalifikuje, jeśli:

• zatrudnia 50 lub więcej pracowników (w przeliczeniu na pełne etaty), lub
• zatrudnia mniej niż 50 pracowników, ale zarówno jej roczny obrót, jak i suma bilansowa przekraczają 10 milionów euro.

Uwzględnia się także przedsiębiorstwa partnerskie i powiązane. Firma zatrudniająca 20 pracowników, należąca do grupy liczącej 200 pracowników, może więc mimo to podlegać ustawie.

Wyjątki, niezależnie od wielkości. Niektóre rodzaje organizacji zawsze podlegają ustawie, bez względu na to, jak są małe. Są to na przykład dostawcy usług DNS, rejestry domen najwyższego poziomu, dostawcy publicznych sieci i usług łączności elektronicznej, dostawcy usług zaufania oraz organizacje administracji publicznej. Jeśli Państwa organizacja została wyznaczona na podstawie ustawy o odporności podmiotów krytycznych, podlega również ustawie o cyberbezpieczeństwie.

Samodzielna weryfikacja za pomocą samooceny

Państwowa Inspekcja Infrastruktury Cyfrowej (RDI) udostępnia bezpłatną samoocenę NIS2. Odpowiadają Państwo na pytania dotyczące sektora, wielkości i świadczonych usług, a następnie otrzymują wynik. Wynika z niego również, czy są Państwo podmiotem kluczowym, czy ważnym. Różnica dotyczy przede wszystkim nadzoru: w przypadku podmiotów kluczowych organ nadzorczy może przeprowadzać kontrole także z własnej inicjatywy, w przypadku podmiotów ważnych głównie po fakcie. Czy Państwa firma należy do grupy lub działa w kilku krajach? W takim przypadku pomocny będzie poradnik NCSC dotyczący złożonych modeli biznesowych.

Co należy zrobić, jeśli firma podlega ustawie?

• Rejestracja. Organizację należy zarejestrować za pośrednictwem MijnNCSC.
• Obowiązek należytej staranności. Należy przeprowadzić analizę ryzyka i wdrożyć odpowiednie i proporcjonalne środki. NCSC wymienia co najmniej dziesięć obszarów, w tym obsługę incydentów, kopie zapasowe i odtwarzanie, bezpieczeństwo łańcucha dostaw, szkolenia, aktualizacje, zarządzanie dostępem, uwierzytelnianie wieloskładnikowe lub passkeys, szyfrowanie oraz testowanie skuteczności wdrożonych środków. Zarząd zatwierdza te środki i nadzoruje ich realizację.
• Obowiązek zgłaszania. Poważny incydent należy zgłosić za pośrednictwem MijnNCSC: w ciągu 24 godzin wczesne ostrzeżenie, w ciągu 72 godzin zgłoszenie ze wstępną oceną powagi i skutków, a w ciągu miesiąca raport końcowy.

To zgłoszenie jest niezależne od obowiązku zgłaszania naruszeń ochrony danych wynikającego z RODO. Ten obowiązek dotyczy każdego, kto przetwarza dane osobowe, również osoby samozatrudnionej, a zgłoszenie składa się do holenderskiego organu ochrony danych osobowych. Kiedy zdarzenie jest naruszeniem ochrony danych i czy trzeba je zgłosić, wyjaśniamy w artykule Czy to jest naruszenie ochrony danych i czy muszę je zgłosić? Atak, w wyniku którego skradziono również dane klientów, może więc wymagać zgłoszenia do obu instytucji.

Firma nie podlega ustawie? Łańcuch dostaw może ją mimo to objąć

Większość małych firm nie podlega ustawie. Nie mają one wtedy obowiązku rejestracji, obowiązku zgłaszania do NCSC ani nie podlegają nadzorowi. Organizacje objęte ustawą muszą jednak uwzględniać również ryzyka związane z ich bezpośrednimi dostawcami i usługodawcami. Według NCSC ustawa nie nakłada obowiązków bezpośrednio na dostawców, ale klienci mogą stawiać wymagania dotyczące ich bezpieczeństwa cyfrowego. Wymagania te trafiają wtedy do umowy lub kwestionariusza.

Czy świadczą Państwo usługi dla większej organizacji, na przykład jako twórca stron internetowych, administrator IT lub biuro rachunkowe? W takim przypadku mogą Państwo otrzymać pytania takie jak: czy korzystają Państwo z weryfikacji dwuetapowej, kto ma dostęp do naszych danych, gdzie przechowywane są kopie zapasowe i jak szybko zgłaszają Państwo incydent?

• Wymagania powinny być odpowiednie do ryzyka związanego z Państwa usługą. Dostawca z dostępem do systemów otrzyma surowsze wymagania niż piekarz dostarczający lunch.
• Chodzi o dostawców bezpośrednich. Dostawcy Państwa dostawców nie są objęci tymi wymaganiami.
• Ustawa nie wymaga certyfikatu. Może on pomóc w rozmowie, ale nie stanowi gwarancji.
• Warto zacząć wcześnie: prosimy zinwentaryzować środki, które już Państwo stosują, i spisać ustalenia z klientem.

Więcej informacji

• NCSC: Ustawa o cyberbezpieczeństwie (NIS2)
• NCSC: Czy moja organizacja podlega ustawie o cyberbezpieczeństwie?
• NCSC: Obowiązek należytej staranności
• NCSC: Obowiązek zgłaszania
• NCSC: Ustawa o cyberbezpieczeństwie a dostawcy
• RDI: Samoocena NIS2
• Tekst ustawy o cyberbezpieczeństwie

Chcą Państwo dowiedzieć się więcej? Zapraszamy na bezpłatny kurs Bezpiecznie online dla przedsiębiorców, lekcja 9.1 NIS2 i ustawa o cyberbezpieczeństwie.