Wdrażamy NIS-2 pragmatycznie
Dyrektywa NIS-2 rozszerza dotychczasowe przepisy Unii Europejskiej dotyczące cyberbezpieczeństwa i ma na celu zwiększenie odporności objętych nią przedsiębiorstw na cyberzagrożenia. Jej zakres jest znacznie szerszy, a wymogi – dużo surowsze niż w dotychczasowych regulacjach. Ma to lepiej ograniczać ryzyka w cyberprzestrzeni i chronić infrastrukturę krytyczną.
Bez zobowiązań · 30 minut · Bezpłatnie
Czy moja firma podlega NIS2?
Marvin Süß
Konsultant, mip Consult GmbH
Dyrektywa dzieli objęte nią podmioty na dwie główne grupy:
Podmioty kluczowe
Do podmiotów kluczowych należą przedsiębiorstwa z sektorów takich jak energetyka, transport, bankowość, ochrona zdrowia i infrastruktura cyfrowa, które przekraczają określony próg wielkości.
Podmioty ważne
Do podmiotów ważnych należą przedsiębiorstwa z siedmiu kolejnych sektorów, takich jak żywność, produkcja i badania naukowe, które przekraczają określony próg wielkości. Ponadto za podmioty ważne mogą zostać uznane przedsiębiorstwa działające w sektorach podmiotów kluczowych, które nie osiągają przewidzianego dla nich progu wielkości.
Wymogi NIS-2 dla firm
Raportowanie
Pozorna prostota obowiązków sprawozdawczych NIS2 bywa myląca. Zgłaszanie poważnych incydentów w ciągu od 24 do 72 godzin, to duże wyzwanie. Wymaga ono skutecznych procesów wewnętrznych oraz jasnych zasad nadzoru (governance), aby zapewnić niezawodną i spójną realizację. Niespełnienie tych wymogów może skutkować poważnymi sankcjami dla Państwa firmy.
Jeśli Państwa organizacja nie jest obecnie w stanie zgłaszać incydentów w terminach wymaganych przez NIS-2, zbudowanie tej zdolności będzie jednym z największych wyzwań na drodze do zgodności z NIS-2. Kluczowe kompetencje to:
Niezależnie od obecnego stopnia dojrzałości Państwa programu cyberbezpieczeństwa spełnienie tych wymogów będzie wymagającym zadaniem. Symulacje procesu zgłaszania incydentów mogą pomóc w wykryciu istniejących luk w Państwa organizacji.
Zarządzanie ryzykiem
NIS-2 wymaga od objętych nią organizacji przeprowadzenia „oceny ryzyka” oraz zdolności do oceny „skuteczności środków zarządzania ryzykiem”. Choć pojęcia te wydają się proste, ich konsekwencje są złożone.
Wdrożenie kompleksowych i możliwych do wykazania ram zarządzania ryzykiem to duże wyzwanie. Firmy muszą ustanowić zasady, powołać osoby odpowiedzialne za zarządzanie ryzykiem, zdefiniować jednolitą terminologię oraz zapewnić spójność w analizie i raportowaniu.
Sprawdzone podejście, zalecane na przykład przez ISO, jest niezbędne. Jednakże równie ważne jest zaangażowanie całej organizacji. Podczas menedżerowie ryzyka oraz zespoły ds. ryzyka są specjalistami od pomiaru i sterowania ryzykiem, same ryzyka często potrafią jednak rozpoznać tylko poszczególne działy merytoryczne. Dlatego zarządzanie ryzykiem musi ściśle współpracować ze wszystkimi działami, aby objąć pełne spektrum ryzyk, na przykład w następujących obszarach:
Aby to się powiodło, zespół ds. ryzyka lub menedżer ryzyka musi przeszkolić wszystkich właściwych pracowników i w ten sposób zapewnić jednolite stosowanie pojęć, metod oceny i taksonomii.
Bezpieczeństwo łańcucha dostaw
Bezpieczeństwo łańcucha dostaw było w ostatnich latach jednym z kluczowych tematów bezpieczeństwa informacji – i to nie bez powodu. Wiele niedawnych incydentów bezpieczeństwa zostało spowodowanych lub spotęgowanych przez ataki na łańcuch dostaw.
Dyrektywa NIS-1 nie zawierała bezpośredniego odniesienia do bezpieczeństwa łańcucha dostaw, a poza podstawowymi środkami ten obszar często nie jest wystarczająco uwzględniany.
Jeśli Państwa firma dotąd nie monitorowała bezpieczeństwa swojego łańcucha dostaw, wdrożenie tej części wymogów NIS2 będzie czasochłonne i wymagające.
Zrozumieć NIS-2
Aby poradzić sobie z nowoczesnymi zagrożeniami cybernetycznymi, NIS-2 wprowadza kilka istotnych zmian, w tym:
Jaśniejsze zasady zarządzania i nadzoru
Określono role regulacyjne organów krajowych, a organizacje zostały zobowiązane do wdrażania ustrukturyzowanych strategii cyberbezpieczeństwa.
Rozszerzone obowiązki w zakresie bezpieczeństwa i zarządzania ryzykiem
Firmy muszą wdrażać bardziej rygorystyczne zasady cyberbezpieczeństwa i opierać się na uznanych standardach, takich jak ISO 27001 czy NIST CSF.
Rygorystyczne obowiązki zgłaszania incydentów
Organizacje muszą zgłaszać poważne incydenty cyberbezpieczeństwa w ciągu 24–72 godzin, aby zapewnić szybką reakcję i ograniczenie skutków.
Surowsze egzekwowanie przepisów i sankcje
W przypadku nieprzestrzegania przepisów grożą dotkliwe kary w wysokości do 10 milionów euro lub 2 % całkowitego rocznego światowego obrotu.
Systematyczne ujawnianie luk w zabezpieczeniach
Firmy są zobowiązane do proaktywnego wykrywania i zgłaszania podatności w zakresie cyberbezpieczeństwa.
Transgraniczna wymiana informacji
Wspierana jest współpraca między państwami członkowskimi UE w celu zwiększenia świadomości zagrożeń cyberbezpieczeństwa.
Od sprawdzenia, czy przepisy Państwa dotyczą
aż po wykazanie zgodności z NIS-2.
Bez zobowiązań · 30 minut · Bezpłatnie
Najczęściej zadawane pytania
Od kiedy NIS2 obowiązuje w Niemczech?
Od 6 grudnia 2025 r. Tego dnia weszła w życie niemiecka ustawa wdrażająca NIS-2 i wzmacniająca cyberbezpieczeństwo, która nadała nowe brzmienie ustawie BSIG.
Czy moja firma podlega NIS2?
BSIG rozróżnia dwie grupy. Za podmioty szczególnie ważne uznaje się firmy zatrudniające co najmniej 250 pracowników albo osiągające ponad 50 mln € obrotu i ponad 43 mln € sumy bilansowej. Za podmioty ważne uznaje się firmy zatrudniające co najmniej 50 pracowników albo osiągające ponad 10 mln € obrotu i sumy bilansowej. Operatorzy obiektów infrastruktury krytycznej automatycznie należą do pierwszej grupy. Decyduje jednak nie tylko wielkość, ale także sektor – miarodajne są załączniki 1 i 2 do BSIG. Wiele narzędzi online daje jedynie ogólne wyniki; my dokonujemy rzetelnej oceny prawnej z udziałem adwokatów.
Czy musimy zarejestrować się w BSI (niemieckim Federalnym Urzędzie ds. Bezpieczeństwa Informacji)?
Tak. Objęte podmioty muszą same zarejestrować się w BSI – urząd nie informuje ich o tym, że podlegają ustawie. Termin upłynął 6 marca 2026 r., czyli trzy miesiące po wejściu ustawy w życie. Kto go nie dotrzymał, musi nadrobić rejestrację. Przebiega ona dwuetapowo: najpierw „Mein Unternehmenskonto“, potem portal zgłoszeń BSI.
Jakie terminy mają zastosowanie w przypadku wystąpienia incydentu bezpieczeństwa?
Trzy etapy zgłoszenia: wczesne ostrzeżenie w ciągu 24 godzin, szczegółowe zgłoszenie w ciągu 72 godzin i raport końcowy w ciągu miesiąca. Terminy te biegną niezależnie od 72-godzinnego terminu zgłoszenia naruszenia ochrony danych osobowych z art. 33 RODO – jeden incydent może uruchomić oba.
Co się stanie, jeśli nie wdrożymy NIS-2?
Niemiecka ustawa BSIG przewiduje stopniowane kary pieniężne: dla podmiotów szczególnie ważnych do 10 mln € lub 2 % całkowitego światowego rocznego obrotu, dla podmiotów ważnych do 7 mln € lub 1,4 %. Do tego dochodzi osobista odpowiedzialność członków kierownictwa wobec własnej spółki.
Czy NIS2 dotyczy również nas jako dostawcy?
Nawet organizacje, które nie są bezpośrednio objęte NIS-2, mogą odczuć jej skutki, jeśli są dostawcami lub partnerami podmiotów regulowanych. Przedsiębiorstwa te najprawdopodobniej będą musiały wykazać, jakie środki cyberbezpieczeństwa stosują, aby utrzymać relacje biznesowe z organizacjami objętymi NIS-2.
Dodatkowe usługi
