Jakie organizacje muszą dostosować się do NIS2?
Dyrektywa wprowadza jasne kryteria określające, które podmioty podlegają regulacjom, opierając się na dwóch głównych aspektach:
Sektor działalności – NIS2 obejmuje 18 sektorów, które uznano za istotne dla funkcjonowania gospodarki i bezpieczeństwa publicznego.
Wielkość organizacji – regulacje obejmują wszystkie duże i średnie firmy, a także mniejsze podmioty, jeśli ich działalność ma strategiczne znaczenie.
Organizacje objęte dyrektywą NIS2
Podmioty kluczowe (Essential Entities)
To organizacje, które odgrywają strategiczną rolę w gospodarce i funkcjonowaniu państwa. Ich działalność ma bezpośredni wpływ na bezpieczeństwo publiczne, stabilność finansową oraz infrastrukturę krytyczną.
- Branże objęte regulacjami dla podmiotów kluczowych:
- Energetyka – elektrownie, operatorzy sieci przesyłowych, dostawcy gazu i paliw.
- Transport – linie lotnicze, kolejowe, porty morskie i lotniska.
- Bankowość i usługi finansowe – banki, giełdy, instytucje finansowe.
- Ochrona zdrowia – szpitale, laboratoria, firmy farmaceutyczne produkujące leki ratujące życie.
- Dostawy i dystrybucja wody – zakłady uzdatniania i dostawcy wody.
- Infrastruktura cyfrowa – operatorzy chmur obliczeniowych, dostawcy internetu, firmy zajmujące się przetwarzaniem danych.
- Administracja publiczna – wszystkie szczeble administracji rządowej i samorządowej.
Co oznacza status „podmiotu kluczowego”?
Organizacje w tej kategorii są objęte najwyższym poziomem nadzoru.
Muszą wdrożyć rygorystyczne środki cyberbezpieczeństwa, w tym zarządzanie ryzykiem i monitorowanie incydentów.
Podlegają regularnym audytom, a ich działalność może być kontrolowana przez krajowe organy ds. cyberbezpieczeństwa.
Podmioty ważne (Important Entities)
To organizacje, których działalność nie jest krytyczna dla funkcjonowania państwa, ale ma istotne znaczenie dla gospodarki i stabilności sektora prywatnego.
- Branże objęte regulacjami dla podmiotów ważnych:
- Przemysł farmaceutyczny i chemiczny – firmy produkujące leki i substancje chemiczne wykorzystywane w przemyśle.
- Produkcja i dystrybucja żywności – przetwórstwo spożywcze, producenci żywności i napojów.
- Usługi pocztowe i kurierskie – duże firmy logistyczne i transportowe.
- Gospodarka odpadami – zakłady przetwarzania i recyklingu odpadów.
- Dostawcy usług ICT – firmy zajmujące się rozwojem oprogramowania, hostingiem i cyberbezpieczeństwem.
- Przestrzeń kosmiczna – organizacje zajmujące się satelitami i telekomunikacją kosmiczną.
Co oznacza status „podmiotu ważnego”?
- Organizacje w tej kategorii muszą wdrożyć podstawowe środki cyberbezpieczeństwa, ale ich nadzór jest mniej rygorystyczny niż w przypadku podmiotów kluczowych.
- Kontrole i audyty są przeprowadzane głównie w przypadku zgłoszenia naruszenia.
Czy małe firmy podlegają NIS2?
Małe firmy zazwyczaj nie są objęte regulacjami, ale istnieją wyjątki. Nawet jeśli przedsiębiorstwo nie spełnia kryteriów wielkości (zatrudnienie poniżej 50 pracowników i roczny obrót poniżej 10 mln euro), może być zobowiązane do przestrzegania przepisów, jeśli:
- Świadczy usługi krytyczne dla infrastruktury publicznej – np. jako dostawca oprogramowania dla szpitali lub operatorów energetycznych.
- Jest kluczowym elementem łańcucha dostaw – jeśli dostarcza technologie lub usługi dla podmiotów kluczowych lub ważnych, może podlegać wymaganiom NIS2.
- Jest dostawcą usług IT dla organizacji objętych regulacją – nawet mała firma zajmująca się hostingiem lub cyberbezpieczeństwem może podlegać dyrektywie, jeśli obsługuje duże przedsiębiorstwa z sektorów kluczowych.
To oznacza, że niektóre małe firmy również muszą wdrożyć polityki cyberbezpieczeństwa i spełnić wymogi raportowania incydentów.
Firmy spoza UE, ale świadczące usługi w Europie
Dyrektywa NIS2 nie ogranicza się tylko do firm z Unii Europejskiej. Jeśli organizacja spoza UE świadczy usługi na terytorium Unii i działa w jednym z objętych sektorów, musi przestrzegać tych samych wymagań co europejskie podmioty.
Przykłady firm spoza UE objętych NIS2:
- Amerykańscy dostawcy chmur obliczeniowych działający na rynku europejskim.
- Azjatyckie firmy technologiczne świadczące usługi IT dla banków lub instytucji publicznych w UE.
- Międzynarodowe firmy transportowe i logistyczne obsługujące porty i lotniska w Europie.
Oznacza to, że NIS2 ma zasięg globalny i wpłynie nie tylko na przedsiębiorstwa z Unii, ale także na międzynarodowe korporacje działające na europejskim rynku.
Podsumowanie – czy NIS2 dotyczy Twojej organizacji?
- Twoja organizacja podlega NIS2, jeśli działa w jednym z 18 sektorów objętych regulacją.
- Jeśli jesteś dużą lub średnią firmą (powyżej 50 pracowników lub 10 mln euro obrotu), musisz dostosować się do przepisów.
- Małe firmy również mogą być objęte regulacjami, jeśli pełnią istotną rolę w łańcuchu dostaw lub świadczą usługi dla podmiotów kluczowych.
- Firmy spoza UE, ale świadczące usługi w Europie, także muszą spełniać wymogi NIS2.