NIS2 i nowa ustawa o KSC: co zmieniają dla zespołów pracujących poza biurem

Dyrektywa (UE) 2022/2555, znana jako NIS2, zastąpiła pierwszą dyrektywę NIS i ustanawia wspólny poziom cyberbezpieczeństwa w całej UE. Termin transpozycji minął 17 października 2024 r. Polska wdrożyła ją z opóźnieniem, ustawą z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252), która weszła w życie 3 kwietnia 2026 r.

Podmioty spełniające przesłanki już w dniu wejścia nowelizacji w życie mają 12 miesięcy na wdrożenie obowiązków z rozdziału 3 ustawy, czyli do 3 kwietnia 2027 r., a podmioty kluczowe 24 miesiące na pierwszy audyt. Wnioski o wpis do wykazu podmiotów kluczowych i ważnych składa się według harmonogramu ogłoszonego przez ministra cyfryzacji. Kto spełni przesłanki później, ma na to 6 miesięcy (art. 7c).

Dyrektywa dotyczy podmiotów kluczowych i ważnych w sektorach wymienionych w jej załącznikach I i II: energetyka, transport, bankowość, ochrona zdrowia, woda pitna i ścieki, infrastruktura cyfrowa, administracja publiczna, przestrzeń kosmiczna, usługi pocztowe, gospodarka odpadami, chemikalia, żywność, produkcja, dostawcy usług cyfrowych i badania naukowe. Co do zasady objęte są średnie i większe organizacje z tych sektorów; niektóre, na przykład określone organy administracji publicznej lub jedyni dostawcy usługi krytycznej, są objęte niezależnie od wielkości.

Wiążą Państwa przepisy ustawy o KSC i aktów wykonawczych, a tekst dyrektywy służy raczej do ich wykładni. Podmiot co do zasady sam ocenia, czy spełnia kryteria, i sam składa wniosek o wpis, bez czekania na zawiadomienie z urzędu. Organizacje działające także w innych państwach UE muszą sprawdzić również tamtejsze przepisy.

NIS2 chroni usługi, które świadczy podmiot, a wraz z nimi sieci i systemy informatyczne, od których te usługi zależą. Ekipy naprawcze wodociągów, pogotowie energetyczne operatora sieci dystrybucyjnej, zespoły ratownictwa medycznego czy wojewódzkie centrum zarządzania kryzysowego polegają na systemach, które znajdują się poza centrum danych:

• telefony i tablety, na które trafiają zlecenia, mapy i plany;
• komunikatory używane do koordynacji działań, w tym komercyjne aplikacje czatowe, które ludzie zaczęli używać na własną rękę;
• dane o lokalizacji, zdjęcia i zapisy zdarzeń tworzone w terenie;
• usługi chmurowe i dostawcy, którzy hostują te aplikacje i dane;
• rozwiązania awaryjne na wypadek, gdy nie działa sieć komórkowa albo system centralny.

Art. 21 wymaga „odpowiednich i proporcjonalnych” środków technicznych, operacyjnych i organizacyjnych opartych na podejściu uwzględniającym wszystkie zagrożenia. Jako minimum wymienia dziesięć obszarów. Czytane z myślą o zespołach w terenie wyglądają tak:

• Analiza ryzyka i polityki bezpieczeństwa: proszę uwzględnić w ocenie ryzyka urządzenia mobilne, aplikacje terenowe i przechowywane w nich dane.
• Obsługa incydentów: zgubiony telefon, przejęte konto na komunikatorze czy wyciek śladu lokalizacji to incydent; ekipy muszą wiedzieć, jak go zgłosić.
• Ciągłość działania, kopie zapasowe i zarządzanie kryzysowe: zaplanować, jak ekipy pracują dalej, gdy padnie sieć lub system centralny, co w praktyce oznacza mapy offline i dane na urządzeniu.
• Bezpieczeństwo łańcucha dostaw: ocena dostawców aplikacji terenowych i usług, na których się opierają.
• Bezpieczeństwo w pozyskiwaniu, rozwoju i utrzymaniu, w tym obsługa i ujawnianie podatności.
• Ocena skuteczności stosowanych środków.
• Cyberhigiena i szkolenia: blokada ekranu, aktualizacje, świadomość phishingu także wśród ekip w terenie, nie tylko pracowników biurowych.
• Polityki kryptografii i szyfrowania, które powinny obejmować wiadomości, zdjęcia i pliki wysyłane z terenu.
• Bezpieczeństwo zasobów ludzkich, kontrola dostępu i zarządzanie aktywami: wiedzieć, jakie urządzenia istnieją, kto je ma, i szybko odbierać dostęp, gdy ktoś odchodzi.
• Uwierzytelnianie wieloskładnikowe oraz zabezpieczona komunikacja głosowa, wideo i tekstowa, a w razie potrzeby także zabezpieczone systemy łączności alarmowej wewnątrz podmiotu.

Art. 20 zobowiązuje organy zarządzające do zatwierdzania środków cyberbezpieczeństwa, nadzorowania ich wdrażania i odbywania szkoleń. Mogą one ponosić odpowiedzialność za naruszenia. Działaniami w terenie kierują często osoby, które nigdy nie widziały polityki bezpieczeństwa; NIS2 oczekuje, że kierownictwo, które ją zatwierdza, wie, jak stosuje się ją w praktyce.

Podmiotowi kluczowemu ustawa o KSC grozi karą do 10 mln euro lub 2% przychodów z poprzedniego roku obrotowego (stosuje się kwotę wyższą), nie niższą jednak niż 20 000 zł. Dla podmiotu ważnego górna granica wynosi 7 mln euro lub 1,4% przychodów, dolna 15 000 zł. Karę może dostać również kierownik podmiotu (art. 73a). Po raz pierwszy kary można nałożyć dwa lata po wejściu nowelizacji w życie, a więc nie wcześniej niż w kwietniu 2028 r.

Sinkaos utrzymuje koordynację w terenie w jednym systemie, z którego można się rozliczyć: klucze i unieważnianie dla każdego urządzenia, MFA i klucze dostępu, wiadomości i pliki szyfrowane end-to-end, praca offline, gdy zawiedzie sieć, dziennik audytu odporny na manipulacje oraz wybór hostingu w UE, własnych serwerów lub odłączonego węzła. Pomaga spełniać obowiązki wynikające z NIS2; sam w sobie nie zapewnia zgodności. Szczegóły na stronie o bezpieczeństwie i w części wdrożenie.