NIS2 i ustawa o krajowym systemie cyberbezpieczeństwa
Moduł 9: Przepisy i organizacja · Czas czytania: 11 minut
Cel lekcji: Po tej lekcji można wyjaśnić, co reguluje ustawa wdrażająca NIS2 (nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa), kogo dotyczy i co oznacza przez łańcuch dostaw dla małych firm.
Kluczowe pojęcia: NIS2, nowelizacja ustawy o KSC, podmiot kluczowy i ważny, sektor, wielkość, obowiązek należytej staranności, obowiązek zgłoszenia (24 godziny, 72 godziny, 1 miesiąc), obowiązek rejestracji, łańcuch dostaw, samoocena organu właściwego
Od dyrektywy europejskiej do krajowej ustawy
NIS2 to europejska dyrektywa z 2022 roku (dyrektywa (UE) 2022/2555), która ma zwiększyć odporność cyfrową ważnych organizacji w całej UE. Dyrektywa nie obowiązuje bezpośrednio: każdy kraj wdraża ją we własnej ustawie. W Niderlandach jest to Cyberbeveiligingswet (Cbw), niderlandzka ustawa wdrażająca NIS2. Obowiązuje ona od 15 sierpnia 2026 roku, równocześnie z niderlandzką ustawą o odporności podmiotów krytycznych oraz rozporządzeniem wykonawczym, w którym przepisy zostały doprecyzowane. Dotychczasowa niderlandzka ustawa o bezpieczeństwie sieci i systemów informatycznych (Wbni) została uchylona. Nie przewidziano okresu przejściowego: kto podlega nowym przepisom, musi je spełniać już teraz.
Według niderlandzkiego NCSC przepisom podlega ponad 8000 organizacji w Niderlandach. To niewielka część wszystkich firm działających w tym kraju. Dla większości małych firm kluczowe pytanie brzmi więc nie "co muszę zrobić w związku z ustawą?", lecz "czego będą ode mnie oczekiwać klienci, którzy sami podlegają tym przepisom?". Do tego tematu wrócimy za chwilę.
W Polsce organem właściwym do spraw cyberbezpieczeństwa i punktem kontaktowym jest CERT Polska (NASK), https://cert.pl/.
Czy dotyczy to Państwa organizacji? Sektor i wielkość
To, czy organizacja podlega nowym przepisom, zależy od dwóch kwestii.
1. Czy działalność jest prowadzona w sektorze wymienionym w przepisach? Przepisy obejmują dwa załączniki.
| Załącznik 1 (11 sektorów) | Załącznik 2 (7 sektorów) |
|---|---|
| energia, transport, bankowość, woda pitna, infrastruktura cyfrowa, zarządzanie usługami ICT, przestrzeń kosmiczna, infrastruktura rynków finansowych, ochrona zdrowia, ścieki, administracja publiczna | dostawcy usług cyfrowych, usługi pocztowe i kurierskie, gospodarka odpadami, produkcja żywności, substancje chemiczne, badania naukowe, produkcja przemysłowa |
Dla niektórych sektorów obowiązują dodatkowe warunki określane przez właściwego ministra. Nie każda organizacja działająca na przykład w branży spożywczej automatycznie podlega więc przepisom.
2. Czy organizacja jest wystarczająco duża? Organizacja podlega przepisom, jeśli:
- zatrudnia 50 lub więcej pracowników (w przeliczeniu na pełne etaty), lub
- zatrudnia mniej niż 50 pracowników, ale jej roczny obrót oraz suma bilansowa przekraczają równowartość 10 milionów euro.
Przedsiębiorstwa partnerskie i powiązane są wliczane do tych progów. Firma zatrudniająca 20 pracowników, należąca do grupy liczącej 200 osób, może więc mimo wszystko podlegać przepisom.
Wyjątki: niezależnie od wielkości. Kilka rodzajów organizacji podlega przepisom zawsze, niezależnie od ich wielkości: dostawcy usług DNS, rejestry nazw domen najwyższego poziomu, dostawcy publicznych sieci i usług łączności elektronicznej, dostawcy usług zaufania oraz podmioty administracji publicznej. Rejestracji muszą dokonać również dostawcy usług rejestracji nazw domen.
Podmiot kluczowy czy ważny
Organizacje objęte przepisami to podmioty kluczowe lub podmioty ważne. W dużym uproszczeniu: duże organizacje z sektorów z załącznika 1 oraz kilka rodzajów podmiotów wyznaczonych niezależnie od wielkości są podmiotami kluczowymi; pozostałe to podmioty ważne. Różnica dotyczy przede wszystkim nadzoru: wobec podmiotów kluczowych organ nadzorczy może przeprowadzać kontrole z własnej inicjatywy, na przykład inspekcje i audyty; wobec podmiotów ważnych interweniuje głównie po fakcie, gdy pojawią się przesłanki, że coś jest nie tak. Same obowiązki są w dużej mierze takie same. To, czy dana organizacja jest podmiotem kluczowym czy ważnym, ustala się za pomocą samooceny, o której mowa niżej.
Samodzielna weryfikacja
Niderlandzki organ nadzoru nad infrastrukturą cyfrową (RDI) udostępnia bezpłatną samoocenę NIS2 pod adresem https://regelhulpenvoorbedrijven.nl/NIS-2-NL/. Odpowiada się na serię pytań dotyczących sektora, wielkości i świadczonych usług, a na koniec otrzymuje wynik. Dla organizacji działających na rynku niderlandzkim: w razie wątpliwości, na przykład gdy firma należy do grupy kapitałowej lub działa w kilku krajach, niderlandzkie NCSC udostępnia wskazówki dla złożonych modeli biznesowych. Osoby prowadzące działalność w Polsce powinny w takich sprawach kierować się wytycznymi polskiego organu właściwego oraz tekstem polskiej ustawy wdrażającej NIS2.
Czego wymaga ustawa
Jeśli organizacja podlega przepisom, obowiązują trzy rodzaje obowiązków.
Obowiązek rejestracji
Organizację zgłasza się do rejestru/wykazu podmiotów prowadzonego przez właściwy organ (w Niderlandach poprzez system MijnNCSC). Dzięki temu władze wiedzą, kto podlega przepisom, i mogą się skontaktować w razie zagrożenia.
Obowiązek należytej staranności
Należy sporządzić analizę ryzyka i na jej podstawie wdrożyć odpowiednie i proporcjonalne środki bezpieczeństwa sieci i systemów informatycznych. Niderlandzkie NCSC wymienia co najmniej dziesięć obszarów, z którymi zetknięto się już w tym kursie:
- analiza ryzyka (lekcja 1.1 i 9.3);
- obsługa incydentów z planem postępowania przy incydencie (lekcja 8.1);
- przygotowanie na awarię: kopie zapasowe, plany odtworzeniowe, zarządzanie kryzysowe (moduł 6);
- bezpieczeństwo łańcucha dostaw, w tym ryzyka związane z dostawcami (lekcja 7.2);
- higiena cyberbezpieczeństwa i szkolenia (lekcja 9.2);
- bezpieczne nabywanie, rozwijanie i utrzymywanie systemów, w tym aktualizacje (lekcja 5.1);
- polityka kadrowa, zarządzanie dostępem oraz zarządzanie sprzętem i oprogramowaniem (lekcja 7.1);
- passkeye lub uwierzytelnianie wieloskładnikowe oraz bezpieczna komunikacja (moduł 2);
- polityka w zakresie kryptografii (szyfrowania);
- ocena skuteczności środków, na przykład poprzez okresowe testowanie (lekcja 6.3 i 9.3).
Odpowiedzialność ponosi zarząd: zatwierdza on środki i nadzoruje ich wdrażanie. Zgodnie z dyrektywą europejską członkowie zarządu muszą także odbyć szkolenie dotyczące ryzyk cybernetycznych. Cyberbezpieczeństwo przestaje więc być zadaniem, które można po prostu zlecić informatykowi.
Obowiązek zgłoszenia
Istotny incydent zgłasza się do organu właściwego (w Niderlandach do NCSC poprzez system MijnNCSC). Jest to incydent, który poważnie zakłóca świadczenie usług, powoduje szkodę finansową lub może wywołać poważną szkodę u innych podmiotów; dokładne progi różnią się w zależności od sektora. Terminy liczy się od momentu powzięcia wiadomości o incydencie:
| Termin | Co się przekazuje |
|---|---|
| W ciągu 24 godzin | Wczesne ostrzeżenie: czy incydent ma prawdopodobnie charakter złośliwy, czy występują skutki transgraniczne, kto jest osobą kontaktową |
| W ciągu 72 godzin | Zgłoszenie incydentu: aktualizacja z wstępną oceną powagi i wpływu |
| W ciągu 1 miesiąca od zgłoszenia | Raport końcowy: co się wydarzyło, jaka była przyczyna i jakie środki podjęto (jeśli incydent trwa dłużej: raport okresowy) |
W Niderlandach jedno zgłoszenie w systemie MijnNCSC trafia zarówno do zespołu CSIRT (który pomaga w obsłudze incydentu), jak i do organu nadzorczego. Ponadto zgodnie z dyrektywą należy w razie potrzeby informować odbiorców usług o istotnych incydentach, które mogą ich dotyczyć.
Zgłoszenie na podstawie ustawy wdrażającej NIS2 a zgłoszenie na podstawie RODO: dwie różne sprawy
Przypomina to obowiązek zgłaszania naruszeń ochrony danych na podstawie RODO (lekcja 8.2), a termin "72 godziny" pojawia się w obu przypadkach. Mimo to są to dwa odrębne obowiązki.
| Ustawa wdrażająca NIS2 (KSC) | RODO (naruszenie ochrony danych) | |
|---|---|---|
| Dla kogo | Organizacje objęte ustawą | Każdy, kto przetwarza dane osobowe, również osoba prowadząca jednoosobową działalność gospodarczą |
| Czego dotyczy | Istotne incydenty związane ze świadczeniem usług | Naruszenia bezpieczeństwa danych osobowych |
| Do kogo | Organ właściwy do spraw cyberbezpieczeństwa | Organ nadzorczy ds. ochrony danych osobowych (w Polsce: Prezes UODO) |
| Terminy | 24 godziny, 72 godziny, 1 miesiąc | Bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin |
Atak ransomware u podmiotu objętego przepisami o cyberbezpieczeństwie, w wyniku którego skradziono także dane klientów, należy więc zgłosić w obu trybach. A mała firma, która nie podlega przepisom o cyberbezpieczeństwie, nadal ma obowiązek zgłoszenia na podstawie RODO, jeśli dojdzie do wycieku danych osobowych.
Jeśli przepisy Państwa nie obejmują: łańcuch dostaw
Dla większości czytelników tego kursu odpowiedź na pierwsze pytanie brzmi: nie, moja firma nie podlega tym przepisom. Piekarnia zatrudniająca dwanaście osób, biuro rachunkowe z pięcioma pracownikami, jednoosobowa firma tworząca strony internetowe. W takim przypadku nie ciążą na Państwu żadne ustawowe obowiązki wynikające z tych przepisów: brak obowiązku rejestracji, brak obowiązku zgłaszania do organu właściwego, brak nadzoru.
Jednak przepisy mogą dotrzeć do Państwa firmy za pośrednictwem klientów. Organizacje objęte przepisami muszą zabezpieczać swój łańcuch dostaw: muszą uwzględniać podatności swoich bezpośrednich dostawców i usługodawców. Niderlandzkie NCSC wyjaśnia, że przepisy same w sobie nie nakładają obowiązków na dostawców, ale organizacje objęte regulacją mogą stawiać wymagania dotyczące bezpieczeństwa cyfrowego swoim dostawcom. Takie wymagania trafiają wówczas do umowy lub do kwestionariusza.
Przykład. Mała firma informatyczna zatrudniająca sześciu pracowników zarządza laptopami i siecią średniej wielkości firmy transportowej zatrudniającej 140 osób. Firma transportowa podlega przepisom (transport, wystarczająca wielkość). Sama firma informatyczna nie: "zarządzanie usługami ICT" wprawdzie widnieje w załączniku 1, ale firma jest zbyt mała. Mimo to otrzymuje kwestionariusz: czy stosują Państwo uwierzytelnianie dwuskładnikowe w narzędziach do zarządzania, kto ma dostęp do naszych systemów, jak szybko zgłaszają Państwo nam incydent, gdzie przechowywane są kopie zapasowe?
Co na ten temat mówi niderlandzkie NCSC i co to oznacza dla Państwa:
- Wymagania muszą być proporcjonalne. Klient powinien oceniać ryzyko, jakie Państwa usługa dla niego stwarza. Dostawca z dostępem do systemów otrzyma bardziej rygorystyczne wymagania niż piekarz dostarczający lunch.
- Chodzi o dostawców bezpośrednich. Dostawcy Państwa dostawców nie są objęci tymi przepisami.
- Certyfikat nie jest obowiązkowy. Przepisy nie narzucają żadnego znaku jakości. Certyfikat może ułatwić rozmowę, ale nie stanowi gwarancji ani wymogu ustawowego.
- Warto rozpocząć rozmowę wcześnie. Proszę zinwentaryzować środki, które już stosują Państwo w obszarach styku z klientem, i spisać ustalenia.
Proszę więc nie przesadzać. Przepisy te nie czynią z małej firmy podmiotu "podlegającego NIS2", a doradca, który twierdzi inaczej, aby sprzedać drogą certyfikację, przedstawia tylko część prawdy. Nie należy jednak tego lekceważyć: podmioty dostarczające usługi większym organizacjom coraz częściej muszą wykazać, że podstawy bezpieczeństwa są uporządkowane. Podstawowe środki omówione w tym kursie to dokładnie to, o co zwykle pyta taki kwestionariusz.
Ta lekcja zawiera informacje ogólne i nie stanowi porady prawnej. Aktualne przepisy niderlandzkie można sprawdzić na stronie https://cert.pl/ oraz w tekście ustawy pod adresem https://wetten.overheid.nl/BWBR0052872/2026-08-15/0. W przypadku działalności prowadzonej w Polsce właściwe są przepisy krajowego systemu cyberbezpieczeństwa wdrażające NIS2.
Podsumowanie
- Niderlandzka ustawa (Cbw) jest krajowym wdrożeniem NIS2 i obowiązuje od 15 sierpnia 2026 roku, bez okresu przejściowego; nowelizacja polskiej ustawy o KSC wdrażająca NIS2 obowiązuje od 3 kwietnia 2026 r.
- Przepisy dotyczą podmiotów z sektora z załącznika 1 lub 2 zatrudniających 50 lub więcej pracowników w przeliczeniu na pełne etaty, lub takich, których roczny obrót i suma bilansowa przekraczają równowartość 10 milionów euro; niektóre rodzaje podmiotów (jak dostawcy usług DNS czy administracja publiczna) niezależnie od wielkości.
- Obowiązki: rejestracja w rejestrze/wykazie prowadzonym przez organ właściwy, obowiązek należytej staranności obejmujący analizę ryzyka i odpowiednie środki pod odpowiedzialnością zarządu, a także zgłaszanie istotnych incydentów w ciągu 24 godzin, 72 godzin i 1 miesiąca.
- Zgłoszenie do organu właściwego do spraw cyberbezpieczeństwa jest niezależne od zgłoszenia naruszenia ochrony danych osobowych do organu nadzorczego (RODO); czasem konieczne są oba.
- Mała firma zwykle sama nie podlega tym przepisom, ale może otrzymać odpowiednie wymagania bezpieczeństwa za pośrednictwem klientów, którzy im podlegają.
Quiz
Zadanie
Zadanie A9.1: Czy to podlega ustawie o krajowym systemie cyberbezpieczeństwa (KSC)? Otrzymują Państwo sześć krótkich opisów organizacji (sektor, liczba pracowników, obrót, suma bilansowa, ewentualnie grupa kapitałowa lub duży klient). Proszę określić dla każdej organizacji: podlega przepisom, nie podlega, ale prawdopodobnie otrzyma wymagania za pośrednictwem klienta, lub nie podlega wcale. Program sprawdza odpowiedzi i pokazuje dla każdej organizacji kroki drzewa decyzyjnego.
Więcej informacji
O niderlandzkiej ustawie wdrażającej NIS2 nie ma jeszcze artykułu w bazie wiedzy WebOké; proszę korzystać z oficjalnych źródeł.
- Niderlandzkie NCSC, ustawa wdrażająca NIS2: https://www.ncsc.nl/cyberbeveiligingswet-nis2
- Niderlandzkie NCSC, czy moja organizacja podlega ustawie wdrażającej NIS2?: https://www.ncsc.nl/cyberbeveiligingswet-nis2/valt-mijn-organisatie-onder-de-cyberbeveiligingswet-nis2
- Niderlandzkie NCSC, obowiązek należytej staranności: https://www.ncsc.nl/cyberbeveiligingswet-nis2/zorgplicht
- Niderlandzkie NCSC, obowiązek zgłoszenia: https://www.ncsc.nl/cyberbeveiligingswet-nis2/meldplicht
- Niderlandzkie NCSC, ustawa wdrażająca NIS2 a dostawcy: https://www.ncsc.nl/cyberbeveiligingswet-nis2/de-cyberbeveiligingswet-en-toeleveranciers
- Niderlandzki RDI, samoocena NIS2: https://regelhulpenvoorbedrijven.nl/NIS-2-NL/
- Dyrektywa NIS2: https://eur-lex.europa.eu/eli/dir/2022/2555/oj