NIS 2 dotyczy podmiotów z sektorów wymienionych w załącznikach do ustawy o KSC, które zatrudniają co najmniej 50 osób lub osiągają obrót powyżej 10 mln EUR. Dzielą się one na podmioty kluczowe i ważne, a od nowelizacji obowiązuje samoidentyfikacja. Żaden organ nie przyśle decyzji informującej o podleganiu pod dyrektywę NIS 2 i nowelizację KSC. W ochronie zdrowia progi są odrębne: podmiot leczniczy niebędący przedsiębiorcą jest podmiotem ważnym przy 50–249 zatrudnionych i kluczowym od 250 osób.
Zmiana wprowadzona nowelizacją dotyczy nie tylko zakresu obowiązków, ale samego sposobu ich powstawania. Wcześniej status operatora usługi kluczowej nadawał organ w drodze decyzji administracyjnej, więc podmiot mógł czekać na pismo. Nowelizacja ten tryb znosi: ustalenie własnego statusu i zgłoszenie go do wykazu należy teraz do samego podmiotu, a termin biegnie od spełnienia kryteriów, nie od otrzymania jakiejkolwiek korespondencji.
Dla kadry zarządzającej oznacza to ryzyko, którego nie widać, dopóki nic się nie dzieje. Brak wpisu do wykazu jest naruszeniem niezależnym od poziomu zabezpieczeń, więc kara może dotknąć nawet organizację przygotowaną wzorowo na nowe obowiązki wynikające z wdrożenia dyrektywy NIS 2, jeśli ta nie dokona ustalenia własnego statusu. W drugą stronę działa błąd przeciwny: zbyt szeroka samoocena prowadzi do wydatków na środki, których ustawa od danego podmiotu nie wymaga.
W dalszej części opisujemy podział na podmioty kluczowe i ważne, przechodzimy przez wszystkie sektory objęte ustawą – z osobnym omówieniem ochrony zdrowia – wyjaśniamy, kiedy przepisy dotykają organizacji pośrednio przez łańcuch dostaw, i podajemy listę kontrolną do samodzielnego sprawdzenia, kogo dotyczy NIS 2 w konkretnym przypadku.
Spis treści
Analizując podmioty objęte przepisami, w pierwszej kolejności należy zweryfikować kryterium skali. Dyrektywa Parlamentu Europejskiego co do zasady celuje w podmioty średnie i duże. Nowe obowiązki dotyczą przedsiębiorstw zatrudniających powyżej 50 pracowników lub osiągających roczny obrót (bądź sumę bilansową) przekraczającą 10 mln EUR. Jest to podstawowy filtr, który teoretycznie wyłącza z regulacji sektor mikro i małych przedsiębiorstw.
Jednakże wielkość podmiotu nie jest jedynym kryterium decydującym. Ustawodawca przewidział szereg wyjątków, w których nawet mikroprzedsiębiorstwo podlega pod pełen zakres dyrektywy, jeśli świadczona przez nie usługa ma charakter krytyczny. Niezależnie od obrotów i zatrudnienia, ustawie podlegają podmioty:
W ochronie zdrowia ustawodawca nie zostawił tej kwestii ocenie i nie każe placówkom sięgać do wyjątków opisanych powyżej. Dla podmiotu leczniczego, który nie jest przedsiębiorcą – a tak działa większość placówek publicznych – przepisy podają progi wprost: zatrudnienie od 50 do 249 osób oznacza podmiot ważny, zatrudnienie co najmniej 250 osób oznacza podmiot kluczowy.
Dyrektor szpitala powiatowego nie musi więc rozstrzygać, czy zakłócenie pracy jego placówki wpłynęłoby na zdrowie publiczne. Wystarczy, że policzy zatrudnionych. To rzadki przypadek, w którym przepis daje odpowiedź bez interpretacji – i warto z tego skorzystać, zamiast prowadzić analizę, której ustawa tu nie wymaga.
Podmioty lecznicze prowadzone jako działalność gospodarcza rozliczają się natomiast według zasad ogólnych, czyli progów dla średnich i dużych przedsiębiorstw. Forma prawna placówki decyduje zatem o tym, którą ścieżkę kwalifikacji należy zastosować, i jest to pierwsza rzecz do ustalenia, nie ostatnia.
Praktyczna konsekwencja dotyczy nie zakresu obowiązków, bo katalog środków dla obu kategorii jest zbliżony, lecz trybu nadzoru i wysokości kar. Dla podmiotu kluczowego organ może przeprowadzić kontrolę w dowolnym momencie, także gdy nie wystąpił żaden incydent. Dla podmiotu ważnego działa zwykle po zgłoszeniu. Ustalenie kategorii na początku ma więc wpływ na to, jak placówka zaplanuje budżet i harmonogram prac. Od kategorii zależy też zakres prac, które placówka musi wykonać w pierwszym roku – rozpisaliśmy go w materiale o tym, jak przebiega wdrożenie NIS 2 w szpitalu.
Znowelizowana ustawa o Krajowym Systemie Cyberbezpieczeństwa, przyjęta przez Sejm w styczniu 2026 roku, wprowadza fundamentalny podział na dwie kategorie podmiotów, które zastępują dotychczasową definicję Operatora Usługi Kluczowej.
Klasyfikacja ta nie jest uznaniowa, lecz wynika wprost z przynależności do określonego sektora gospodarki oraz skali działalności. Rozróżnienie to jest fundamentem nowego systemu nadzoru, determinującym nie tyle „co” firma musi zrobić (gdyż wymogi bezpieczeństwa są zbliżone), ale „jak” będzie kontrolowana i karana.
Do tej grupy zaliczane są organizacje funkcjonujące w obszarach definiowanych jako sektory krytyczne dla funkcjonowania państwa i społeczeństwa. Są to podmioty o wysokim stopniu ryzyka, których zakłócenie miałoby natychmiastowe i katastrofalne skutki. Do grupy tej należą m.in.:
Przynależność do sektora nie przesądza jednak kategorii. W ochronie zdrowia o tym, czy placówka jest podmiotem kluczowym, czy ważnym, rozstrzyga liczba zatrudnionych – do tej kwestii wracamy w dalszej części tekstu.
Cechą wyróżniającą podmioty kluczowe jest objęcie ich nadzorem prewencyjnym. Oznacza to, że organ nadzorczy ma prawo przeprowadzić audyt bezpieczeństwa w dowolnym momencie, nawet jeśli w organizacji nie wystąpił żaden incydent. Ustawodawca wychodzi z założenia, że w tych sektorach prewencja jest jednym z metod dbania o bezpieczeństwo.
Wytyczne dotyczące wdrożenia NIS 2 poza wspomnianymi już kluczowymi sektorami obejmuje również sektory ważne dla gospodarki, których paraliż, choć dotkliwy ekonomicznie, nie zagraża bezpośrednio bezpieczeństwu narodowemu w takim stopniu jak sektory krytyczne. Do tej grupy zaliczamy m.in.:
W przypadku podmiotów ważnych stosuje się model nadzoru ex-post (reaktywny). Organ nadzorczy podejmuje działania kontrolne zazwyczaj dopiero w momencie, gdy otrzyma zgłoszenie o incydencie lub posiada uzasadnione podejrzenie, że podmiot nie przestrzega przepisów ustawy.
Rozróżnienie na podmioty kluczowe i ważne wynika bezpośrednio z oceny krytyczności usług świadczonych przez daną organizację dla stabilności gospodarki i bezpieczeństwa publicznego. Intencją ustawodawcy przy implementacji dyrektywy NIS 2 było stworzenie mechanizmu, w którym rygor nadzorczy jest wprost proporcjonalny do potencjalnych skutków incydentu. Choć obie kategorie podmiotów zobligowane są do wdrażania adekwatnych środków zarządzania ryzykiem, to w przypadku podmiotów kluczowych – ze względu na systemowy charakter zagrożeń – przyjęto model zaostrzonej odpowiedzialności.
Różnica ta jest najbardziej widoczna w wymiarze sankcyjnym. Mechanizm karania został skonstruowany w sposób gradacyjny, aby zapewnić najwyższy poziom prewencji tam, gdzie ryzyko paraliżu usług jest największe. Taka dywersyfikacja ma na celu zmotywowanie sektorów najbardziej newralgicznych do priorytetowego traktowania inwestycji w cyberbezpieczeństwo.
Przepisy obejmują w energetyce cały łańcuch wartości, nie tylko wytwórców i operatorów systemów przesyłowych: energię elektryczną, ciepłownictwo, ropę naftową, gaz, wodór, a także operatorów punktów ładowania pojazdów elektrycznych. Ta ostatnia kategoria jest nowa i zaskakuje najczęściej, bo dotyczy podmiotów, które nie uważają się za przedsiębiorstwa energetyczne.
Powód tak szerokiego zakresu jest techniczny, nie polityczny. Rozproszone instalacje są sterowane zdalnie, często z jednej dyspozytorni albo przez zewnętrznego dostawcę utrzymania, a to oznacza, że pojedyncze, niewielkie obiekty można zakłócić jednocześnie. Komunikat Pełnomocnika Rządu do spraw Cyberbezpieczeństwa z 19 stycznia 2026 roku opisuje ten mechanizm wprost:
Mimo że pojedynczo są to źródła o stosunkowo małych mocach, skoordynowane zakłócenie ich pracy może mieć poważne konsekwencje dla stabilności systemu elektroenergetycznego.
– Komunikat Pełnomocnika Rządu do spraw Cyberbezpieczeństwa dotyczący cyberbezpieczeństwa OZE, Ministerstwo Cyfryzacji, 19.01.2026
Warto zwrócić uwagę na to, czego dotyczą zalecenia dołączone do komunikatu. Zdalny dostęp wyłącznie przez tunel VPN albo z uwierzytelnianiem wieloskładnikowym. Urządzenia automatyki przemysłowej niedostępne bezpośrednio z internetu. Zmiana haseł domyślnych i rezygnacja z kont współdzielonych. Wyznaczenie osoby odpowiedzialnej za cyberbezpieczeństwo instalacji. Inwentaryzacja sprzętu i oprogramowania. Zgłaszanie nietypowych zachowań do właściwego zespołu CSIRT.
To ta sama lista, którą ustawa stawia przed szpitalem. Zmienia się przedmiot ochrony. Zamiast dokumentacji medycznej jest automatyka przemysłowa, ale środki są te same: kontrola dostępu zdalnego, konta imienne, inwentaryzacja zasobów, przypisana odpowiedzialność, procedura zgłaszania. To dobra ilustracja logiki całej regulacji: przepisy nie opisują technologii poszczególnych branż, lecz sposób zarządzania ryzykiem, który jest wspólny.
Dla podmiotów energetycznych oznacza to jedno rozszerzenie, którego w ochronie zdrowia nie ma w takiej skali. Zabezpieczenia muszą obejmować w równym stopniu klasyczne systemy informatyczne i automatykę przemysłową, czyli dwa środowiska o różnych cyklach życia i różnych możliwościach aktualizacji.
Sektor transportu obejmuje w ustawie nie tylko przewoźników (lotniczych, kolejowych, wodnych i drogowych), ale przede wszystkim podmioty zarządzające infrastrukturą.
Specjalne środki bezpieczeństwa dotyczą w szczególności portów lotniczych i morskich, zarządców infrastruktury kolejowej oraz podmiotów odpowiedzialnych za sieć dróg i autostrad. Utrzymanie drożności łańcuchów dostaw jest tu priorytetem, gdyż paraliż logistyczny oznacza natychmiastowe straty dla całej gospodarki i zalicza te podmioty do grupy kluczowych sektorów gospodarki.
Nowym, krytycznym obszarem regulacji są Inteligentne Systemy Transportowe (ITS). Współczesna logistyka nie opiera się już na infrastrukturze fizycznej, ale na zaawansowanych systemach IT sterujących ruchem i nawigacją. Cyfryzacja kolei czy automatyzacja kontroli ruchu lotniczego zwiększa podatność na cyberataki. Zabezpieczenie warstwy cyfrowej jest niezbędne, aby zapobiec scenariuszom, w których ingerencja hakerska prowadzi do katastrof w ruchu lądowym lub powietrznym.
Sektor bankowy oraz infrastruktura rynków finansowych, obejmująca między innymi kontrahentów centralnych i systemy obrotu, zajmują w przepisach pozycję odrębną. Choć ustawa o KSC zalicza te podmioty do kategorii kluczowych, w praktyce zastosowanie ma tu zasada lex specialis (prawa szczególnego). Oznacza to, że nadrzędnym aktem prawnym regulującym obowiązki w zakresie cyberbezpieczeństwa dla instytucji finansowych jest unijne rozporządzenie DORA (Digital Operational Resilience Act).
W praktyce podmioty te podlegają pod dyrektywę NIS 2 w zakresie ogólnej klasyfikacji i nadzoru krajowego, jednak konkretne wymogi operacyjne takie jak zarządzanie ryzykiem ICT, testowanie odporności czy raportowanie incydentów realizowane są na podstawie przepisów DORA. Celem tego dualizmu prawnego jest uniknięcie dublowania obowiązków, przy jednoczesnym zapewnieniu maksymalnej ochrony stabilności systemu finansowego państwa przed rosnącymi cyberzagrożeniami.
Infrastruktura cyfrowa to sektor o znaczeniu strategicznym, stanowiący techniczny fundament dla funkcjonowania wszystkich pozostałych branż od bankowości i medycyny po energetykę i administrację publiczną. Awaria w tym obszarze paraliżuje nie jedną firmę, ale całe ekosystemy gospodarcze. Dlatego ustawodawca zaliczył do grupy podmiotów kluczowych szeroki katalog dostawców B2B. Obowiązkiem ustawowym objęci zostali:
Fundamentalną nowością dotyczącą cyberbezpieczeństwa dla tego obszaru gospodarki jest objęcie regulacją kategorii „Dostawcy usług zarządzanych z zakresu bezpieczeństwa”. Są to wyspecjalizowane firmy zewnętrzne, którym inne podmioty (np. szpitale czy fabryki) zlecają zarządzanie usługami cyberbezpieczeństwa (np. monitoring SOC, obsługa incydentów).
Ustawodawca uznał, że dostawcy usług cyfrowych w tym modelu, posiadając uprzywilejowany dostęp do infrastruktury wielu klientów jednocześnie, mogą stać się wektorem groźnego ataku łańcuchowego. Dlatego muszą spełniać normy równie rygorystyczne jak podmioty, których infrastrukturę obsługują. Podmioty objęte dyrektywą, które decydują się na outsourcing w zakresie cyberbezpieczeństwa, mogą oczekiwać od dostawcy spełnienia tych samych wymogów, które obowiązują je same.
Kompletując listę obszarów sektorów objętych dyrektywą NIS 2 nie można pominąć administracji publicznej. Włączenie w ramy systemu cyberbezpieczeństwa szeroko rozumianej sfery budżetowej jest pewnym novum, które wynika z poziomu zagrożenia spowodowanego potencjalnym atakiem. Zakres obowiązków związanych z zapewnieniem wysokiego poziomu cyberbezpieczeństwa jest na równi wysoki, jak w przypadku innych podmiotów objętych dyrektywą.
Nowe środki bezpieczeństwa dotyczą nie tylko szczebla centralnego (ministerstwa, agencje rządowe), ale również jednostki samorządu terytorialnego na szczeblu regionalnym. Ustawodawca uznał, że w dobie cyfryzacji usług (e-Urząd, mObywatel), urząd gminy czy starostwo powiatowe przetwarza dane równie wrażliwe, co bank. Urząd miasta, starostwo powiatowe i urząd marszałkowski mogą zatem zostać zakwalifikowane jako podmioty kluczowe albo ważne, zależnie od zakresu realizowanych zadań.
Celem tych zmian jest ochrona krytycznych rejestrów państwowych (np. PESEL, EGiB) oraz zapewnienie ciągłości obsługi obywatela. Jest to jednak obszar o podwyższonym ryzyku wdrożeniowym. Podmioty publiczne często operują na infrastrukturze typu legacy – przestarzałych systemach informatycznych, które nie zawsze są wspierane przez producentów. Skuteczne wdrożenie nowoczesnych systemów cyberbezpieczeństwa w takim środowisku wymaga nie tylko nakładów finansowych, ale przede wszystkim fundamentalnej zmiany w podejściu do modernizacji IT w sektorze publicznym.
Modernizacja technologiczna jest w tym sektorze potrzebna w takim samym stopniu jak szkolenia, procedury i budowanie świadomości w zakresie cyberhigieny.
Włączenie sektora przestrzeni kosmicznej do dyrektywy NIS 2 jest dowodem na to, jak bardzo współczesna gospodarka uzależniła się od technologii satelitarnych. Ustawodawca zaliczył ten obszar do sektorów kluczowych, koncentrując się przede wszystkim na operatorach infrastruktury naziemnej. Regulacja dotyczy podmiotów, które zarządzają stacjami kontroli, centrami przetwarzania danych oraz systemami niezbędnymi do świadczenia usług kosmicznych (eksploatacja satelitów).
Ochrona ta jest niezbędna, ponieważ zakłócenie działania tej infrastruktury wpłynęłoby na systemy nawigacji (GPS, Galileo) oraz łączność satelitarną. W dobie transportu intermodalnego, precyzyjnego rolnictwa czy synchronizacji czasu w systemach bankowych, sygnał z kosmosu jest zasobem krytycznym. Jego utrata lub sfałszowanie (spoofing) mogłoby doprowadzić do paraliżu wielu innych usług kluczowych, dlatego sektor ten musi spełniać rygorystyczne normy bezpieczeństwa.
Katalog podmiotów podlegających ustawie zamykają tzw. sektory ważne. Choć awaria w tym obszarze rzadziej stwarza bezpośrednie zagrożenie życia, to podmioty objęte dyrektywą w tej grupie są kluczowe dla stabilności ekonomicznej i społecznej państwa. Zakres regulacji jest tu bardzo szeroki i obejmuje:
Dla wielu firm produkcyjnych i logistycznych zaskoczeniem może być fakt, że jako sektory ważne podlegają tym samym wymogom zarządzania ryzykiem, co banki, choć pod lżejszym rygorem kar. Wytyczne dotyczące wdrożenia NIS 2 dla powyższych obszarów mają być kolejnym elementem budowania odporności cybernetycznej państw członkowskich Unii Europejskiej.
Sektor zdrowia został potraktowany przez ustawodawcę unijnego i krajowego w sposób absolutnie priorytetowy. Doświadczenia pandemii COVID-19 oraz rosnąca fala ataków ransomware na szpitale (zarówno w Polsce, jak i w Europie Zachodniej) wymusiły drastyczne rozszerzenie definicji podmiotów objętych regulacją. W reżimie NIS 1 status Operatora Usługi Kluczowej posiadały jedynie największe, wyselekcjonowane jednostki. Dyrektywa parlamentu europejskiego kończy z tym elitaryzmem. Zakres cyberbezpieczeństwa zgodny z NIS 2 dotyczy w praktyce każdego szpitala znajdującego się w Polsce. Objęcie przepisami nie oznacza jednak jednakowego reżimu dla wszystkich placówek. Dwa szpitale różniące się liczbą zatrudnionych trafią do różnych kategorii, a to przesądza o dwóch rzeczach: czy organ nadzoru może przeprowadzić kontrolę w dowolnym momencie, czy dopiero po zgłoszeniu incydentu, oraz jaka jest górna granica kary – 10 mln EUR albo 2% obrotu dla podmiotu kluczowego i 7 mln EUR albo 1,4% dla ważnego.
Nowelizacja ustawy o KSC obejmuje w ochronie zdrowia znacznie szerszy krąg niż same szpitale, przy czym przypisanie do kategorii kluczowej lub ważnej następuje odrębnie dla każdego rodzaju podmiotu. Katalog ten został znacząco rozbudowany o ogniwa łańcucha dostaw leków i technologii. W świetle aktualnych przepisów dyrektywa NIS 2 odnosi się do:
Ustalenie kategorii jest dopiero pierwszym krokiem i nie mówi nic o tym, ile pracy czeka placówkę dalej. Jak wygląda wdrożenie NIS 2 w szpitalu – od analizy ryzyka i dokumentacji, przez zabezpieczenia techniczne, po pierwszy audyt – opisaliśmy osobno, wraz z terminami wynikającymi z ustawy.
Włączenie tak szerokiej grupy podmiotów ma dwa strategiczne cele. Po pierwsze, podmioty ochrony zdrowia muszą gwarantować ciągłość działania usług medycznych. Cyberzagrożenia nie mogą doprowadzić do sytuacji, w której SOR przestaje przyjmować pacjentów z udarem, bo system triażu został zaszyfrowany. Kluczowe obowiązki szpitala w ramach NIS 2 obejmują nie tylko wdrożenie wysokospecjalistycznych zabezpieczeń systemów informatycznych chroniących oprogramowanie medyczne, ale także zapewnienie ciągłości działania w sytuacji, gdy bezpieczeństwo systemów zostanie naruszone, a szpital odcięty od infrastruktury IT.
Po drugie, priorytetem staje się ochrona danych medycznych. W dobie cyfryzacji (EDM, e-Recepta, telemedycyna), integralność i poufność historii choroby pacjenta jest fundamentem zaufania do systemu opieki zdrowotnej. Ustawodawca uznaje, że bezpieczeństwo cyfrowe jest w tym sektorze nierozerwalnie związane z bezpieczeństwem fizycznym pacjenta. Nowa dyrektywa NIS 2 wskazuje na konieczność ochrony wrażliwych danych. Należy przez to rozumieć dane osobowe pacjentów, które zostały powierzone jednostkom medycznym w trakcie korzystania z usług medycznych.
To jeden z najbardziej newralgicznych aspektów nowej regulacji, często pomijany w powierzchownych analizach. Nawet jeśli organizacja jest mała, nie widnieje w załącznikach do ustawy i teoretycznie nie jest firmą objętą dyrektywą, przepisy mogą dotyczyć takie przedsiębiorstwo w sposób pośredni. Jest to pułapka, w którą wpadnie wiele firm z sektora IT oraz usług B2B.
Świadczenie usług na rzecz podmiotów kluczowych i podmiotów ważnych wiąże się z osiągnięciem wspólnego poziomu cyberbezpieczeństwa z świadczeniobiorcami (szpitale, jednostki samorządu terytorialnego). Dyrektywa NIS 2 sprawia, że podmioty objęte przepisami muszą weryfikować, czy łańcuch dostaw IT jest odpowiednio zabezpieczony przed cyberzagrożeniami na całym odcinku.
Skutkiem praktycznym nie jest tu kara, lecz utrata kontraktu. Podmiot kluczowy ma obowiązek zapewnić bezpieczeństwo własnego łańcucha dostaw, więc kontrahent, który nie potrafi odpowiedzieć na pytania o zabezpieczenia, zostaje wykluczony z postępowania, nie z powodu sankcji, lecz dlatego, że jego udział podnosi ryzyko po stronie zamawiającego.
Droga do utrzymania się w łańcuchu dostaw składa się z czterech kroków:
Moment podjęcia tych działań ma znaczenie większe niż ich zakres. W trakcie postępowania wymagania trzeba już spełniać, a przy przedłużeniu umowy można je jeszcze uzgodnić. Stąd najkorzystniejsza kolejność to rozmowa z klientem przed ogłoszeniem przetargu, nie po. Warto też sprawdzić, czy pytanie piąte wyczerpuje sprawę. Część dostawców podlega przepisom bezpośrednio, a nie tylko przez umowy, dotyczy to operatorów centrów danych, dostawców usług chmurowych oraz firm świadczących usługi zarządzane w zakresie cyberbezpieczeństwa. Dla nich odpowiedź na pytanie pierwsze również będzie twierdząca, co zmienia zakres obowiązków z umownego na ustawowy.
Implementacja dyrektywy to definitywny koniec ery fasadowego bezpieczeństwa. Nowe przepisy precyzują konkretne wymagania, które wymuszają przejście od teoretycznych polityk do twardych zabezpieczeń technicznych. Fundamentem zgodności jest adekwatne zarządzanie ryzykiem – proces ten nie może opierać się na intuicji, lecz na cyklicznej, udokumentowanej analizie aktywów i podatności.
W warstwie infrastrukturalnej ustawa wprost wskazuje na konieczność stosowania kryptografii (szyfrowania danych spoczynkowych i w transmisji) oraz uwierzytelniania wieloskładnikowego (MFA). To ostatnie staje się obligatoryjnym standardem w dostępie do systemów krytycznych, skutecznie neutralizując ataki oparte na przejęciu tożsamości.
Kluczowym wyzwaniem operacyjnym są nowe standardy reakcji na zagrożenia. Procedura raportowania została drastycznie zaostrzona. Każda instytucja objęta dyrektywą ma zaledwie 24 godziny na wysłanie wczesnego ostrzeżenia do właściwego CSIRT (NASK, GOV lub MON) oraz 72 godziny na pełne zgłoszenie incydentu. Aby dotrzymać tych terminów, organizacja musi posiadać sprawne zarządzanie incydentami, wsparte monitoringiem sieci w modelu 24/7.
Równolegle ustawa nakłada rygorystyczny obowiązek zapewnienia ciągłości działania, co w praktyce wymusza posiadanie testowanych kopii zapasowych (najlepiej w modelu offline), gwarantujących odtworzenie danych nawet po skutecznym ataku ransomware.
Trzecim filarem jest rewolucja w podejściu do roli organów zarządzających. Członkowie zarządów i dyrektorzy nie mogą już zasłaniać się brakiem wiedzy technicznej czy delegowaniem zadań na dział IT. Ustawa o Krajowym Systemie Cyberbezpieczeństwa nakłada na kadrę managerską ustawowy obowiązek odbycia szkoleń oraz aktywnego, osobistego nadzoru nad wdrażaniem środków bezpieczeństwa. Zarządzanie cyberbezpieczeństwem staje się tym samym integralną częścią ładu korporacyjnego, a nie tylko zagadnieniem technicznym.
Zanim organizacja zacznie planować budżet i harmonogram związany z wdrożeniem NIS 2, musi wiedzieć, czy i w jakiej kategorii podlega przepisom o cyberbezpieczeństwie. Poniższe siedem pytań pozwala ustalić to samodzielnie na poziomie wstępnej diagnozy sytuacji przed przystąpieniem do jakichkolwiek działań i wiążących decyzji.
Warto od razu powiedzieć, czego ta lista nie daje. W kilku miejscach odpowiedź zależy od interpretacji przepisu, a nie od stanu faktycznego i właśnie tam organizacje najczęściej mylą się we własnej ocenie. Dlatego wynik takiego przeglądu warto zweryfikować z kimś, kto potrafi ocenić, czy dana placówka podlega pod przepisy i w jakim zakresie.
Koszt pomyłki jest przy tym asymetryczny w obie strony. Zbyt wąska ocena grozi karą za brak zgłoszenia nawet wtedy, gdy infrastruktura jest zabezpieczona wzorowo. Zbyt szeroka oznacza wydatki na środki, których ustawa od danego podmiotu wcale nie wymaga.
Wstępna diagnoza
Czy organizacja działa w sektorze wymienionym w załącznikach do ustawy o KSC?
Czy zatrudnia co najmniej 50 osób albo osiąga obrót powyżej 10 mln EUR?
Czy jest jedynym dostawcą danej usługi w kraju lub regionie?
Czy przerwa w jej działalności zagroziłaby zdrowiu, bezpieczeństwu albo porządkowi publicznemu?
Czy świadczy usługi dla podmiotu kluczowego lub ważnego?
Czy w strukturze występują przedsiębiorstwa powiązane lub partnerskie?
Czy organizacja jest już wpisana do wykazu podmiotów kluczowych i ważnych?
Każde pytanie omawiamy szczegółowo poniżej, razem ze wskazaniem, gdzie organizacje najczęściej się mylą.
Czytaj dalej ↓Załącznik pierwszy obejmuje sektory kluczowe, drugi ważne. Przynależność nie zawsze jest oczywista: szpital trafia do sektora ochrony zdrowia, natomiast producent wyrobów medycznych do produkcji przemysłowej, czyli do innego załącznika i innej kategorii nadzoru, mimo że obsługuje dokładnie ten sam rynek. Podobnie firma informatyczna utrzymująca systemy szpitalne może trafić do infrastruktury cyfrowej jako dostawca usług zarządzanych, a nie do sektora zdrowia.
To próg podstawowy, ale w ochronie zdrowia obowiązują kryteria odrębne: podmiot leczniczy niebędący przedsiębiorcą jest podmiotem ważnym przy zatrudnieniu od 50 do 249 osób i kluczowym od 250 osób. Konsekwencje są wymierne, gdyż szpital zatrudniający 240 osób i szpital zatrudniający 260 trafiają do różnych kategorii, a to przesądza o trybie kontroli i o górnej granicy kary.
Tu pojawia się pierwsze miejsce wymagające interpretacji. Znaczna część kadry medycznej pracuje na kontraktach, nie na umowach o pracę, i sposób liczenia takich osób do progu nie jest dla każdej placówki jednoznaczny. To pytanie warto rozstrzygnąć z kimś, kto robił to wcześniej, bo od niego może zależeć ostateczne sklasyfikowanie organizacji.
Odpowiedź twierdząca włącza podmiot do przepisów niezależnie od jego wielkości. Dotyczy to na przykład jedynej w okolicy pracowni diagnostyki obrazowej wykonującej badania na rzecz kilku szpitali albo jedynego w regionie zakładu utylizacji odpadów medycznych. Niewielkie zatrudnienie nie chroni przed objęciem przepisami, jeśli nie ma kogo postawić w zastępstwie.
W ochronie zdrowia to kryterium ma znaczenie rozstrzygające i bywa spełnione przez podmioty, które same siebie za krytyczne nie uważają. Przykładem takiej placówki może być laboratorium wykonujące badania na zlecenie stacji sanitarno-epidemiologicznej albo dostawca tlenu medycznego dla kilku placówek. W tej sytuacji pytanie nie dotyczy wielkości organizacji, lecz tego, co przestanie działać, gdy przedsiębiorstwo, instytucja nie będzie mogło funkcjonować w normalny sposób.
Wtedy nie podlega ustawie samodzielnie, ale podlega wymogom przenoszonym umownie przez klienta. Krąg jest szerszy, niż się wydaje, gdyż firma serwisująca aparaturę, dostawca utrzymujący system szpitalny, zewnętrzna obsługa kadrowo-płacowa, a także firma sprzątająca albo ochroniarska, jeśli jej pracownicy mają fizyczny dostęp do serwerowni również muszą się liczyć z sytuacją, w której wdrożenie dyrektywy NIS 2 do polskiego porządku prawnego nałoży na nich także nowe zobowiązania i wymagania.
Wielkość liczy się wówczas łącznie, co przesuwa powyżej progu organizacje, które samodzielnie mieściłyby się poniżej. Dotyczy to na przykład grupy przychodni należących do jednego właściciela albo spółki utworzonej przez samorząd. Ustawa przewiduje tu jednak wyjątek: jeśli system informacyjny podmiotu jest niezależny od systemów podmiotów powiązanych i usługa nie jest świadczona wspólnie, sumowanie nie następuje. Opisana sytuacja dobitnie pokazuje, że kluczowe tutaj się właściwe zinterpretowanie przepisów oraz stanu faktycznego analizowanej organizacji.
Jeśli nie, a odpowiedzi powyżej wskazują na podleganie przepisom, termin na zgłoszenie już biegnie. Ustawa daje sześć miesięcy od spełnienia kryteriów, a nie od otrzymania jakiegokolwiek pisma. Brak wpisu jest naruszeniem niezależnym od poziomu zabezpieczeń, więc dotyczy także organizacji technicznie dobrze przygotowanych.
Co wynika z odpowiedzi: Układy są w praktyce trzy. Odpowiedź twierdząca na pytanie pierwsze w połączeniu z drugim, trzecim albo czwartym wskazuje na bezpośrednie podleganie pod wymogi NIS 2. Wtedy priorytetem jest ustalenie kategorii i dokonanie zgłoszenia, bo termin biegnie niezależnie od stanu przygotowań.
Odpowiedź twierdząca wyłącznie na pytanie piąte wskazuje na podleganie pośrednie, bez obowiązku zgłoszenia, ale z wymogami, które pojawią się w umowach, zwykle szybciej niż w przepisach. Każdy inny układ oznacza przypadek niejednoznaczny, a nie przypadek wykluczony.
Trzeci wynik jest najczęstszy i najbardziej kosztowny, jeśli potraktować go jako brak obowiązku. Tu właśnie kwalifikacja przeprowadzona z partnerem oszczędza najwięcej, nie dlatego, że przepis jest skomplikowany, lecz dlatego, że ocena wymaga zestawienia struktury organizacji, zakresu usług i treści umów z kontrahentami.
Regulacje dotyczące cyberbezpieczeństwa wchodzą na poziom rygoru, który znamy dotychczas z RODO, a w wielu aspektach go przewyższają. Ustawodawca uznał, że model dobrowolności zawiódł, dlatego system sankcji został skonstruowany wielowarstwowo. Oprócz wspomnianych wcześniej dotkliwych kar finansowych, nowelizacja wprowadza mechanizmy uderzające bezpośrednio w decydentów.
Najbardziej dyscyplinującym narzędziem są nowe ryzyka nałożone na osoby fizyczne zarządzające organizacją. Nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa przewiduje precedensowe uprawnienia dla organów nadzorczych, włącznie z możliwością tymczasowego zawieszenia kierownika jednostki (np. prezesa spółki, dyrektora szpitala) w pełnieniu obowiązków, jeśli podmiot uporczywie uchyla się od usuwania nieprawidłowości. Oznacza to fundamentalną zmianę: za zaniedbania w obszarze IT zarząd odpowiada już nie tylko budżetem firmy, ale własną karierą zawodową i możliwością pełnienia funkcji kierowniczych.
Ostatnim, często niedocenianym wymiarem kary, jest utrata reputacji. Dyrektywa wprowadza mechanizm podawania do wiadomości publicznej informacji o naruszeniach (tzw. naming and shaming). Organ nadzorczy może opublikować komunikat wskazujący, że dana firma nie spełnia wymogów bezpieczeństwa lub dopuściła do incydentu przez swoje zaniedbania. W sektorach opartych na zaufaniu, takich jak medycyna, bankowość czy energetyka, taka oficjalna „anty-reklama” może przynieść straty wizerunkowe i biznesowe przewyższające wartość samej kary administracyjnej.
NIS 2 to dyrektywa Unii Europejskiej dotycząca cyberbezpieczeństwa podmiotów działających w sektorach istotnych dla funkcjonowania państwa. W Polsce obowiązuje nie bezpośrednio, lecz przez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa, która przenosi jej wymogi do prawa krajowego. Dla podmiotu objętego przepisami oznacza to obowiązek wdrożenia systemu zarządzania bezpieczeństwem informacji, zgłaszania incydentów w ustalonych terminach oraz nadzoru kierownictwa nad całością.
Podstawowym progiem jest 50 zatrudnionych albo obrót przekraczający 10 mln EUR. Nie jest to jednak jedyne kryterium: niezależnie od wielkości przepisy obejmują podmioty będące jedynym dostawcą danej usługi w kraju lub regionie oraz takie, których zakłócenie wpłynęłoby na zdrowie publiczne albo bezpieczeństwo państwa. Dla podmiotów leczniczych niebędących przedsiębiorcami ustawa podaje progi odrębne – od 50 do 249 osób oznacza podmiot ważny, od 250 osób podmiot kluczowy.
Sprawdzenie przebiega w dwóch krokach i warto ich nie mieszać. Pierwszy to kwalifikacja: czy podmiot w ogóle podlega przepisom – rozstrzyga o tym sektor, wielkość oraz pozycja w łańcuchu dostaw. Drugi to ocena zgodności: czy wdrożone środki odpowiadają temu, czego wymaga ustawa. Dopiero po pierwszym kroku ma sens drugi, ponieważ zakres obowiązków zależy od tego, czy podmiot jest kluczowy, czy ważny. Listę kontrolną do pierwszego kroku zamieszczamy wyżej w tym tekście.
Nie. Przepisy nie wymieniają centrum operacji bezpieczeństwa ani żadnego konkretnego rozwiązania. Wymagają natomiast objęcia systemu informacyjnego monitorowaniem w trybie ciągłym. Tryb ciągły to 8760 godzin w roku, a jeden etat pokrywa realnie około 1700–1800 godzin, więc samodzielna obsługa oznacza minimum pięć stanowisk. Dlatego w praktyce placówki wybierają albo własny zespół w systemie zmianowym, albo usługę zewnętrzną – ustawa pozostawia tu swobodę, pod warunkiem że monitorowanie faktycznie trwa bez przerwy.
Katalog jest szerszy niż same szpitale. Obejmuje podmioty lecznicze udzielające świadczeń szpitalnych, laboratoria referencyjne Unii Europejskiej, podmioty prowadzące badania i rozwój produktów leczniczych, wytwórców produktów farmaceutycznych oraz producentów wyrobów medycznych krytycznych dla ratowania życia. O przypisaniu konkretnej placówki do kategorii kluczowej lub ważnej rozstrzyga liczba zatrudnionych.
Tak, i to najczęstsze źródło problemów. Poprzedni stan prawny przewidywał decyzję administracyjną, obecny opiera się na samoidentyfikacji – podmiot sam ustala swój status i sam dokonuje zgłoszenia w terminie sześciu miesięcy od spełnienia kryteriów. Brak zgłoszenia jest naruszeniem niezależnym od poziomu zabezpieczeń, więc kara może zostać nałożona nawet na podmiot, który technicznie jest przygotowany wzorowo.
Kolejnym krokiem jest ocena gotowości, a pierwszą formą takiej oceny w Coongi jest audyt zero. Jego celem nie jest wskazanie, co kupić, lecz ustalenie, jak daleko stan faktyczny placówki jest od tego, czego wymaga ustawa, bo dopiero ta odległość mówi, co ma sens jako pierwszy wydatek.
Audyt zero obejmuje pięć obszarów i w każdym porównuje praktykę z wymogiem:
Warto powiedzieć, czym audyt zero nie jest. Nie jest testem penetracyjnym, bo nie szuka podatności technicznych. Nie jest też certyfikacją, bo przepisy żadnego certyfikatu nie przewidują. Jest zestawieniem dwóch list: tego, co placówka ma, i tego, czego ustawa wymaga od podmiotu w jej kategorii.
Dlaczego ta kolejność ma znaczenie finansowe. Placówka, która zaczyna od zakupów, podejmuje decyzje bez wiedzy o tym, gdzie luka jest największa. Zdarza się, że budżet pierwszego roku pochłania narzędzie techniczne, podczas gdy najpoważniejszym brakiem była nieistniejąca procedura zgłaszania incydentów, czyli obszar, który nie wymaga wydatków, tylko ustalenia i zapisania.
Druga przesłanka jest terminowa. Zgłoszenie do wykazu podmiotów kluczowych i ważnych należy złożyć w ciągu sześciu miesięcy od spełnienia kryteriów, a wdrożenie środków oraz pierwszy audyt mają własne terminy liczone od tego momentu. Audyt zero pozwala ułożyć te daty w harmonogram, zanim zaczną obowiązywać jako zaległość.
Wynikiem audytu zero nie jest ocena w skali punktowej, lecz lista rozbieżności uporządkowana według pilności, z rozdzieleniem działań wymagających budżetu od tych, które wymagają wyłącznie decyzji organizacyjnej. Ta druga grupa bywa liczniejsza, niż zakłada dyrekcja, i to od niej zwykle warto zacząć. Nie dlatego, że jest tańsza, lecz dlatego, że nie czeka na postępowanie zakupowe.
Audyt zero prowadzimy jako usługę opartą na analizie prawnej i technicznej, ustalając jednocześnie status podmiotu i stan przygotowania do wymogów ustawy. Pracujemy z podmiotami z każdego sektora objętego przepisami, a najgłębsze doświadczenie mamy w ochronie zdrowia – tam, gdzie o przypisaniu do kategorii rozstrzygają progi odrębne od pozostałych branż. Zakres i przebieg audytu opisaliśmy na stronie poświęconej dyrektywie NIS 2 dla szpitali.