NIS2 i nowelizacja ustawy o KSC: cyberbezpieczeństwo odpowiedzialnością zarządu

Dyrektywa NIS2 wprowadza rewolucję w ochronie systemów informacyjnych. Dyrektywa NIS2 zmienia zasady wprowadzone dyrektywną NIS przed laty. Cyfrowe bezpieczeństwo staje się elementem compliance, zarządzania ryzykiem oraz bezpośrednią odpowiedzialnością członków zarządu. Dla wielu przedsiębiorców wdrożenie nowych wymogów będzie zbliżone do wcześniejszego wdrażania RODO, podobnie też w tym przypadku formalna dokumentacja będzie konieczna, ale niewystarczająca bez realnego nadzoru i stosowania procedur.

Zakres regulacji i samoidentyfikacja

Pierwszą istotną zmianą, którą wprowadza dyrektywa NIS 2, jest rozszerzenie kręgu podmiotów objętych obowiązkami. Obok sektorów tradycyjnie uznawanych za krytyczne, takich jak energetyka, transport, bankowość, ochrona zdrowia czy infrastruktura cyfrowa, regulacja obejmuje również dodatkowe tj. m.in. gospodarkę odpadami, produkcję i dystrybucję żywności, chemikalia, usługi pocztowe, wybrane obszary produkcji przemysłowej oraz dostawców usług cyfrowych.

Zmienił się również model określenia kręgu podmiotów objętych regulacją – zamiast dotychczasowego modelu oczekiwania na decyzję administracyjną wprowadzono mechanizm samoidentyfikacji – przedsiębiorca musi sam zidentyfikować czy jest objęty zakresem obowiązywania nowych przepisów.

Dyrektywa NIS2 dotyczy w przeważającej mierze średnich i dużych przedsiębiorstw, działających w sektorach wskazanych w przepisach, jednak przewidziano od tego wyjątki. Obowiązki mogą objąć także mniejsze podmioty, jeżeli wykonują zadania szczególnie istotne, np. świadczą usługi DNS, usługi zaufania, usługi zarządzane w zakresie cyberbezpieczeństwa albo realizują określone zadania publiczne.

Odpowiedzialność zarządu

Dyrektywa NIS2 ustanawia członków zarządów jako osoby odpowiedzialne za wprowadzenie regulacji zapewniających cyberbezpieczeństwo. Zarząd nie musi samodzielnie konfigurować firewalli ani prowadzić analizy logów, ale powinien zatwierdzać środki zarządzania ryzykiem, nadzorować ich wykonanie, zapewniać adekwatne zasoby i rozliczać osoby odpowiedzialne za bezpieczeństwo. Delegowanie zadań do działu IT, inspektora bezpieczeństwa albo dostawcy zewnętrznego nie usuwa odpowiedzialności za wybór modelu organizacyjnego i brak nadzoru.

Nie można tracić z pola widzenia, iż w razie kontroli istotne będzie nie tylko posiadanie przyjętych polityk i procedur, lecz także możliwość wykazania, że zarząd działał z należytą starannością. Znaczenie dowodowe będą miały raporty z analizy ryzyka, protokoły posiedzeń, decyzje budżetowe, rejestry incydentów, harmonogramy działań naprawczych i potwierdzenia szkoleń. Dokumentacja będzie więc w tym obszarze pierwszym krokiem realizacji obowiązku prawnego, jednak nie ostatnim. Ryzyko sankcyjne obejmuje przy tym nie tylko karę za sam incydent, lecz także konsekwencje braku procedur, nieterminowego zgłoszenia, niewłaściwej kwalifikacji podmiotu lub braku rejestracji.

Ryzyko, incydenty i podejście all-hazards

Nowe przepisy nakazują stosowanie środków adekwatnych do ryzyka, nie wskazując jednego wymaganego produktu ani dostawcy. Punktem wyjścia powinna być inwentaryzacja aktywów, identyfikacja zagrożeń, ocena prawdopodobieństwa i skutków oraz plan postępowania z ryzykiem. Szczególne znaczenie ma określenie ram akceptowanego przez podmiot ryzyka, tj. tego, jaką przerwę w działaniu, utratę danych lub stratę finansową podmiot gotowy jest zaakceptować.

Dyrektywa NIS2 patrzy jednak szerzej na problematykę bezpieczeństwa informacji. Podejście all-hazards wymaga uwzględnienia przy ocenie ryzyka, ale również w procedurach działania nie tylko cyberataków, lecz także awarii technicznych, błędów ludzkich, pożarów, przerw w dostawie energii, niedostępności kluczowego personelu oraz problemów w łańcuchu dostaw.

Skuteczne zabezpieczenie przed ryzykiem wymaga przygotowania polityki bezpieczeństwa informacji, procedur reagowania na incydenty, planów ciągłości działania i odtwarzania po awarii oraz zasad wykonywania i testowania kopii zapasowych.

Warto dodać, iż zgodnie z nową regulacją każdy poważny incydent powinien zostać szybko wykryty, sklasyfikowany, udokumentowany i zgłoszony w odpowiednich terminach, w tym według modelu 24 godziny, 72 godziny oraz raport końcowy po pogłębionej analizie.

Łańcuch dostaw jako obszar odpowiedzialności prawnej

NIS2 istotnie wzmacnia znaczenie kontroli dostawców. Przedsiębiorca objęty regulacją nie może ograniczyć się do własnej infrastruktury, jeżeli kluczowe procesy zależą od dostawcy chmury, oprogramowania, hostingu, utrzymania systemów albo podwykonawcy przetwarzającego dane. Umowy powinny regulować minimalne środki bezpieczeństwa, obowiązki informacyjne, zgłaszanie incydentów, audyt, poziomy SLA, dostęp do danych i procedurę zakończenia współpracy. Dyrektywa NIS2 sięga dalej niż regulacje w tym zakresie dotychczas i powoduje, że ryzyko operacyjne dostawcy może stać się ryzykiem regulacyjnym zamawiającego, tym samym czyniąc cały łańcuch dostaw bezpieczniejszym.

Podsumowanie

Prawidłowe wdrożenie NIS2 powinno przebiegać etapowo. Konieczna jest kwalifikacja podmiotu, audyt początkowy, analiza ryzyka, decyzje zarządcze, dokumentacja, środki techniczne i organizacyjne, szkolenia oraz testowanie. W razie kontroli, najważniejsze jest wykazanie, że przedsiębiorstwo zna swoje obowiązki, świadomie zarządza ryzykiem i potrafi odtworzyć przebieg decyzji. Dyrektywa NIS2 czyni cyberbezpieczeństwo istotnym elementem prowadzenia przedsiębiorstwa.

Autorki:

radczyni prawna Katarzyna Hiller

aplikantka radcowska Dorota Brzęk