NIS2 w praktyce: co musi zrobic firma IT do 17 pazdziernika 2024 [Checklist 94 pytania]

TL;DR

Dyrektywa NIS2 (2022/2555) obowiazuje w Polsce od 17 stycznia 2025 poprzez znowelizowana Ustawe o Krajowym Systemie Cyberbezpieczenstwa (KSC). Dotyczy 18 sektorow: energetyka, transport, zdrowie, finanse, uslugi cyfrowe, publiczna administracja i inne. Firma >50 osob albo >10 mln EUR obrotu w sektorze regulowanym jest essential albo important entity. Kary: essential do 10 mln EUR albo 2% obrotu, important do 7 mln EUR albo 1.4% obrotu. Terminy: 24h wstepny raport incydentu, 72h peny raport, 1 miesiac raport koncowy.

Czy jestem NIS2 entity? Szybki test

Etap 1 - Sektor: Sprawdz czy Twoja firma dziala w 1 z 18 sektorow:

• Energetyka (electryczna, gaz, ogrzewanie, ropa naftowa, wodor)
• Transport (lotniczy, kolejowy, wodny, drogowy)
• Bankowosc + finanse (banki, gieldy, kryptowaluty)
• Infrastruktura rynku finansowego
• Zdrowie (szpitale, laboratoria, produkcja farmakow, urzadzenia medyczne)
• Woda pitna + scieki
• Infrastruktura cyfrowa (DNS, TLD, chmura, data center, CDN)
• ICT service management (managed services, MSP, MSSP)
• Publiczna administracja (centralna + wojewodzka)
• Przestrzen kosmiczna
• Uslugi pocztowe i kurierskie
• Odpady
• Produkcja i dystrybucja chemikaliow
• Produkcja i dystrybucja zywnosci
• Produkcja przyrzadow medycznych, komputerow, elektroniki, urzadzen elektrycznych, silnikow, pojazdow, transportu
• Uslugi cyfrowe (marketplace, search engines, social networks)
• Badania (uniwersytety, instytuty)

Etap 2 - Rozmiar:

• Essential entity = duza firma (>250 osob ALBO >50 mln EUR obrotu ALBO >43 mln EUR bilans) w sektorze essential
• Important entity = srednia firma (50-249 osob ALBO 10-50 mln EUR obrotu) w sektorze essential + wszystkie firmy w sektorze important

94 pytania self-assessment - 10 obszarow

Podzial checklisty na 10 obszarow kluczowych wg wymogow NIS2:

Suma: 94 pytania. Pass threshold to 75/94 = 80%. Ponizej - potrzebna interwencja i plan naprawczy.

Terminy zgloszen incydentu do CSIRT

Ustawa KSC (art. 20) po nowelizacji z NIS2 wymaga:

• 24 godziny od wykrycia incydentu istotnego - wczesny raport do wlasciwego CSIRT (CSIRT NASK dla wiekszosci sektorow, CSIRT MON dla wojskowych, CSIRT GOV dla panstwowych)
• 72 godziny - pelen raport z opisem incydentu, powaznosci, wplywu, dzialan zaradczych
• 1 miesiac - raport koncowy z rootcause analysis, wnioskami, planem zapobiegawczym

Incydent istotny = "znaczaco wplywa na zdolnosc dostarczenia uslugi" lub "moze wplynac na interes publiczny/bezpieczenstwo publiczne". W praktyce: ransomware, DDoS ktorej trwa >2h, wyciek danych >1000 osob, DoS crypto.

7 obowiazkow zarzadu (Art. 21 dyrektywy)

Zarzad osobiscie odpowiada (kara do 2% obrotu firmy + kara dla czlonka zarzadu) za:

• Zatwierdzenie polityki zarzadzania ryzykiem cyber
• Nadzor nad wdrozeniem srodkow ochrony
• Szkolenia zarzadu z cyber (minimum 1 rocznie, udokumentowane)
• Zapewnienie zasobow finansowych na cyber
• Zatwierdzenie planu incident response
• Sprawdzanie audytow i raportow z pentestow
• Reagowanie na naruszenia i wprowadzanie zmian

Brak podpisu prezesa pod polityka = automatyczna kara 500 tys. zl (nawet bez incydentu).

Supply chain security - kluczowy obszar

NIS2 wymaga audytu dostawcow IT. Musisz miec:

• Lista dostawcow (SaaS, MSP, chmura, oprogramowanie) - kompletna
• Ocena ryzyka per dostawca (kryteria: dostep do danych, krytycznosc uslugi, geograficzna lokalizacja serwerow, certyfikaty)
• Klauzule cyber w umowach - dostawca zobowiazany do zglaszania incydentow w 24h, prawa do audytu przez klienta, klauzula "in scope of NIS2"
• Plan zastapienia krytycznych dostawcow (co jesli AWS padnie na 48h?)

Dostawcy sami nie sa NIS2 entity, ale ich klienci wymagaja od nich compliance = transitive obligation.

Kary za brak compliance

Kary sa kumulatywne. Firma moze dostac 3-4 kary za jeden incydent (brak zglosenia + brak polityki + brak srodkow + brak szkolen zarzadu).

Jak zaczac - 5 krokow

• Self-assessment 94 pytania - shieldu.pl daje bezplatny quiz z auto-pre-fill kontroli w NIS2 framework (30 min)
• Gap analysis - lista brakow (typowo 20-40 kontroli u sredniej firmy)
• Roadmapa 6-12 miesiecy - kolejnosc wdrazania (najpierw krytyczne, potem wysokie, potem srednie)
• Dokumentacja - policy templates ISO 27001-based, 24 gotowe polityki w shieldu.pl
• Regularne audyty - min. 1 raz na rok (Art. 32 KSC), tygodniowe testowanie backupu, kwartalny pentest

FAQ

Czy NIS2 dotyczy mojej firmy 30-osobowej?

Zaleznie od sektora. W sektorze essential (energia, zdrowie, banki, infrastruktura cyfrowa) - tak, nawet mala firma jesli krytyczna dla lancucha (np. dostawca SaaS uzywany przez szpitale). W sektorach important (uslugi cyfrowe, produkcja) - dopiero od 50 osob lub 10 mln EUR.

Czy MSP (Managed Service Provider) jest NIS2 entity?

Tak, MSP jest essential entity w sektorze "ICT service management" (Aneks I dyrektywy NIS2). Nawet 15-osobowa firma outsourcingowa IT musi wdrozyc pelny NIS2 compliance.

Kto to CSIRT i jak sie z nim komunikowac?

CSIRT (Computer Security Incident Response Team) - w Polsce CSIRT NASK (glowny, dla firm cywilnych), CSIRT MON (dla obronnosci), CSIRT GOV (dla panstwowych). Rejestracja przez portal s46.gov.pl, zglosenia przez formularz (24h), pelny raport przez S46.

Ile kosztuje wdrozenie NIS2 dla firmy 100-osobowej?

Wewnetrzne szacowania:

• Konsultacje (specjalista cyber, 6 miesiecy): 30-60 tys. zl

• Narzedzia (compliance hub, IAM, SIEM, backup): 200-500 zl/user/rok

• Szkolenia zespolu: 5-15 tys. zl

• Audyt zewnetrzny (1 rok): 20-40 tys. zl

• RAZEM w 12 mc: 80-150 tys. zl

Bez wdrozenia - kara od 500 tys. zl w gore. ROI compliance = 300-500% w rok.

Jak sie roznia NIS2 i ISO 27001?

NIS2 = prawo obowiazkowe dla wybranych sektorow, egzekwowane przez organy panstwowe. ISO 27001 = norma dobrowolna (chyba ze klienci wymagaja), auditowana przez firmy certyfikacyjne. 80-85% wymogow NIS2 pokrywa sie z ISO 27001 Annex A - kto ma certyfikat, ma pol drogi.

Czy trzeba zatrudnic CISO?

Formalnie nie, ale ustawa wymaga desygnowanej osoby odpowiedzialnej za cyber (moze byc czlonek zarzadu, IT lead albo external CISO-as-a-service). Ta osoba osobiscie odpowiada karnie za naruszenia, wiec praktycznie firmy 100+ zatrudniaja CISO lub kupuja usluge outsourcingowa (5-15 tys. zl/mc).

Jakie sa kary za pierwszy rok "grace period"?

Nie ma grace period. Ustawa KSC znowelizowana wchodzi w zycie 17.01.2025 z pelnymi karami. UODO i CSIRT NASK w praktyce moga byc lagodniejsze w pierwszych 3-6 miesiacach (edukacja > penalizacja), ale to nie prawo - tylko praktyka.

Podsumowanie

NIS2 dotyczy duzo szerszego zakresu firm niz poprzednia NIS1. 18 sektorow, kary do 10 mln EUR, terminy 24/72h/1mc. Startuj od self-assessment 94 pytania, potem gap analysis, roadmapa 6-12 miesiecy, dokumentacja i regularne audyty. Wdrozenie za 80-150 tys. zl - kara za brak od 500 tys. zl.

Umow demo NIS2 30 minut | Otworz self-assessment NIS2 | Zobacz Compliance Hub