Autorstwa Toma Meevisa, prawnika w Law & More
Cyberbezpieczeństwo nie jest już kwestią czysto techniczną. To również kwestia prawna i zarządcza, która dotyczy praktycznie każdej organizacji, niezależnie od jej wielkości.
Wraz z europejską dyrektywą NIS2 i holenderską ustawą o cyberbezpieczeństwie, odpowiedzialność za odporność cyfrową zostaje przeniesiona na zarząd. Holenderska ustawa o cyberbezpieczeństwie wchodzi w życie 15 sierpnia 2026 r. Właściciele firm, dyrektorzy i specjaliści ds. zgodności muszą zatem jak najszybciej ustalić:
- czy ich organizacja podlega nowym zasadom;
- jakie obowiązki z nich wynikają;
- jakie środki są wymagane;
- i w jaki sposób organizacja może sprostać tym obowiązkom.
W artykule tym przedstawiono główne elementy NIS2 i holenderskiej ustawy o cyberbezpieczeństwie: zakres, obowiązek zachowania należytej staranności, obowiązek powiadamiania, odpowiedzialność zarządu, egzekwowanie oraz kroki, jakie organizacje mogą podjąć już teraz.
Czym jest NIS2?
NIS2 to formalna nazwa dyrektywy (UE) 2022/2555. Jest ona następcą pierwszej europejskiej dyrektywy dotyczącej bezpieczeństwa sieci i informacji, powszechnie określanej jako NIS1.
Państwa członkowskie były zobowiązane do transpozycji dyrektywy NIS2 do prawa krajowego do 17 października 2024 r. Od 18 października 2024 r. dyrektywa NIS2 formalnie zastąpiła wcześniejszą dyrektywę.
Celem jest podniesienie i lepsze ujednolicenie poziomu cyberodporności w Unii Europejskiej. Ma to dwa główne cele. Po pierwsze, szerszy zakres: znacznie więcej organizacji podlega przepisom niż w ramach NIS1. Po drugie, zaostrzony nadzór i surowsze egzekwowanie, z szerszym zestawem narzędzi i jaśniejszym podziałem obowiązków dyrektorów.
Podczas gdy NIS1 rozróżnia operatorów usług kluczowych i dostawców usług cyfrowych, NIS2 zajmuje się podmiotami kluczowymi i podmiotami o dużym znaczeniu. To rozróżnienie nie ma charakteru wyłącznie terminologicznego: określa ono między innymi intensywność nadzoru i wysokość potencjalnych kar.
Które organizacje podlegają NIS2?
NIS2 dotyczy organizacji działających w osiemnastu wyznaczonych sektorach, podzielonych na sektory o wysokiej krytyczności i inne sektory krytyczne.
Do sektorów o szczególnym znaczeniu należą: energetyka, transport, bankowość, infrastruktura rynku finansowego, opieka zdrowotna, woda pitna i ścieki, infrastruktura cyfrowa, zarządzanie usługami ICT dla użytkowników biznesowych, administracja publiczna i przemysł kosmiczny.
Pozostałe kluczowe sektory obejmują usługi pocztowe i kurierskie, gospodarkę odpadami, chemikalia, żywność, produkcję, dostawców usług cyfrowych i instytucje badawcze.
Próg wielkości
W tych sektorach główną zasadą jest, że organizacja kwalifikuje się do kategorii NIS2, jeśli kwalifikuje się jako średnie lub duże przedsiębiorstwo. Kryteria obejmują co najmniej 50 pracowników lub roczny obrót lub sumę bilansową przekraczającą 10 milionów euro.
Istnieją wyjątki od tej głównej zasady. Niektóre organizacje, niezależnie od wielkości, podlegają przepisom, ponieważ ich usługi są uznawane za szczególnie krytyczne:
- dostawcy publicznych sieci i usług łączności elektronicznej;
- dostawcy usług zaufania;
- dostawcy usług rejestracji nazw domen;
- rejestry nazw domen najwyższego poziomu;
- organy sektora publicznego.
Od 15 sierpnia 2026 r. nowe obowiązki dotyczą ponad 8,000 organizacji w Holandii. To znaczny wzrost w porównaniu z liczbą objętą obecną ustawą o bezpieczeństwie sieci i systemów informatycznych.
Organizacje, które wcześniej nie postrzegały siebie jako części sektora krytycznego, mogą zatem zostać objęte tym zakazem, w tym średniej wielkości producenci, producenci żywności, instytucje badawcze i dostawcy usług cyfrowych. Co ważne, same organizacje są odpowiedzialne za ocenę, czy mieszczą się w tym zakresie. Nie otrzymają żadnego listu od przełożonego z taką informacją.
Obowiązek zachowania należytej staranności: jakie środki są wymagane?
Podstawą NIS2 i holenderskiej ustawy o cyberbezpieczeństwie jest obowiązek zachowania ostrożności. Podmioty kluczowe i ważne muszą podjąć odpowiednie i proporcjonalne środki techniczne, operacyjne i organizacyjne w celu zarządzania ryzykiem dla swoich sieci i systemów informatycznych.
Zasady określają tematy, które polityka musi w każdym przypadku uwzględniać:
- analiza ryzyka i polityka bezpieczeństwa informacji;
- obsługa incydentów;
- ciągłość działania, zarządzanie kopiami zapasowymi i odzyskiwanie danych po awarii;
- bezpieczeństwo łańcucha dostaw;
- cyberhigiena i szkolenia personelu;
- polityka postępowania w przypadku luk w zabezpieczeniach;
- uwierzytelnianie wieloskładnikowe;
- zabezpieczona komunikacja;
- kryptografia;
- okresowa ocena skuteczności podjętych działań.
Środki muszą być proporcjonalne do wielkości organizacji i ryzyka, na jakie jest ona faktycznie narażona. Mniejszy, ważny podmiot nie musi zatem podejmować takich samych środków jak duży, kluczowy podmiot w sektorze wysokiego ryzyka.
Nie oznacza to, że obowiązek zachowania należytej staranności jest opcjonalny. Organizacje muszą być w stanie uzasadnić, jakie ryzyka zidentyfikowały, jakie środki podjęły i dlaczego są one właściwe. Nadzorowi podlegają nie tylko same środki, ale także sposób ich ważenia, rejestrowania i okresowej oceny.
Obowiązek powiadomienia po incydencie
Oprócz obowiązku zachowania należytej staranności, NIS2 nakłada obowiązek stopniowego powiadamiania o poważnych incydentach. W przypadku gdy incydent ma lub może mieć istotny wpływ na ciągłość usług, obowiązują następujące terminy, ogólnie rzecz biorąc:
- w ciągu 24 godzin należy wysłać wczesne ostrzeżenie do krajowego zespołu reagowania na incydenty bezpieczeństwa komputerowego lub właściwego organu;
- w ciągu 72 godzin formalne powiadomienie zawierające wstępną ocenę powagi i wpływu;
- najpóźniej w ciągu jednego miesiąca sprawozdanie końcowe opisujące incydent, jego prawdopodobną przyczynę, podjęte środki i wszelkie skutki transgraniczne.
Te terminy wymuszają konieczność wcześniejszego ustalenia jasnych procedur. Organizacja musi wiedzieć, kiedy incydent podlega zgłoszeniu, kto jest upoważniony do zgłoszenia, jakie informacje muszą być dostępne, kto odpowiada za koordynację oraz w jaki sposób powiadamiany jest zarząd i przełożony.
Organizacja, która próbuje wdrożyć procedurę powiadamiania tylko w przypadku incydentu, naraża się na znaczne ryzyko, że nie będzie w stanie przesłać raportu na czas lub w całości.
Odpowiedzialność zarządu
Ważnym elementem NIS2 jest wyraźne przypisanie odpowiedzialności za zarządzanie ryzykiem cybernetycznym zarządowi. Zarząd musi zatwierdzać środki bezpieczeństwa, nadzorować ich wdrażanie, być w stanie oceniać cyberzagrożenia w organizacji i sam przejść odpowiednie szkolenia.
Cyberbezpieczeństwo nie może być zatem dłużej traktowane jako odpowiedzialność wyłącznie działu IT. Jest to kwestia zarządzania, która musi stanowić element regularnego procesu decyzyjnego i zarządzania ryzykiem.
Dyrektywa wyraźnie reguluje również kwestię odpowiedzialności osobistej kadry kierowniczej wyższego szczebla w przypadku nieprzestrzegania jej postanowień przez organizację. Należy odpowiednio dokumentować zaangażowanie zarządu, na przykład poprzez dokumentowanie odbytych szkoleń, decyzji zarządu, zatwierdzonej polityki, ocen ryzyka, raportowania i nadzoru nad wdrażaniem.
Wdrożenie holenderskie
Wdrożenie NIS2 w Holandii uległo znacznemu opóźnieniu. Termin transpozycji, wyznaczony na 17 października 2024 r., nie został dotrzymany.
8 lipca 2026 r. Komisja Europejska podjęła decyzję o wniesieniu sprawy przeciwko Holandii, Irlandii, Hiszpanii i Francji, do Trybunału Sprawiedliwości Unii Europejskiej za brak powiadomienia o środkach transpozycji. Holandia znalazła się zatem w gronie czterech państw Unii Europejskiej pozostających w tyle.
Moment jest uderzający. Dzień wcześniej, 7 lipca 2026 r., Senat zatwierdził ustawę o cyberbezpieczeństwie i ustawę o odporności podmiotów krytycznych. Czy fakt przyjęcia ustawy przed skierowaniem wniosku wpłynie na wynik postępowania, pozostaje kwestią otwartą; o tym zdecyduje Sąd.
Obie ustawy wchodzą w życie 15 sierpnia 2026 r. Ustawa o cyberbezpieczeństwie implementuje dyrektywę NIS2; ustawa o odporności podmiotów krytycznych implementuje europejską dyrektywę CER, mającą na celu zapewnienie odporności infrastruktury krytycznej. Organizacje objęte tą drugą dyrektywą zostaną formalnie uznane za podmioty krytyczne od 15 sierpnia 2026 r.
Z chwilą wejścia w życie obecnej Ustawy o bezpieczeństwie sieci i systemów informatycznych (Wbni) traci ważność. Dla organizacji już nią objętych oznacza to cięższe obowiązki, a dla organizacji, które po raz pierwszy zostaną objęte jej zakresem, zupełnie nowe przepisy.
Rejestracja w NCSC
Ważnym nowym obowiązkiem jest rejestracja w Krajowym Centrum Cyberbezpieczeństwa. Podmioty kluczowe i ważne muszą zostać wpisane do krajowego rejestru podmiotów. Rejestracja ta jest obowiązkowa od 15 sierpnia 2026 r. i odbywa się za pośrednictwem portalu MijnNCSC, z wykorzystaniem eHerkenning w przypadku organizacji zwykłych oraz SSOnRijk w przypadku podmiotów sektora publicznego. Zmiany w zarejestrowanych danych należy zgłosić w ciągu czternastu dni.
Rejestracja to nie tylko formalność administracyjna. Po rejestracji organizacje mogą korzystać z usług swojego zespołu CSIRT, który zapewnia produkty i usługi zwiększające odporność oraz wsparcie w przypadku incydentu. Należy przygotować rejestrację z odpowiednim wyprzedzeniem, aby wdrożenie nie rozpoczęło się dopiero po wejściu w życie.
Nadzór i egzekwowanie
Ustawa o cyberbezpieczeństwie przewiduje zróżnicowany system nadzoru. Podmioty kluczowe podlegają nadzorowi proaktywnemu: nadzorca może kontrolować je stale i z własnej inicjatywy, bez konkretnego incydentu lub sygnału. Podmioty istotne podlegają nadzorowi reaktywnemu, w którym nadzorca działa zasadniczo w odpowiedzi na incydent, skargę lub inny konkretny sygnał.
Nadzór jest podzielony między kilka organów. Od 15 sierpnia 2026 r. Holenderski Urząd ds. Infrastruktury Cyfrowej nadzoruje organizacje w dziewięciu sektorach; inni nadzorcy są wyznaczani dla pozostałych sektorów. Ustal, który organ nadzoru jest właściwy dla Twojej organizacji.
Zestaw narzędzi egzekwowania prawa jest szeroki i obejmuje:
- skanowanie bezpieczeństwa lub audyt bezpieczeństwa;
- instrukcja wiążąca;
- nakaz administracyjny lub nakaz podlegający karze pieniężnej;
- publikacja naruszenia;
- grzywna administracyjna;
- dla podmiotów kluczowych: zawieszenie certyfikatu, zezwolenia lub członka zarządu.
W przypadku podmiotów kluczowych maksymalna grzywna wynosi co najmniej 10 mln EUR lub 2% całkowitego rocznego obrotu światowego, w zależności od tego, która kwota jest wyższa. W przypadku podmiotów istotnych grzywna wynosi co najmniej 7 mln EUR lub 1.4% całkowitego rocznego obrotu światowego, w zależności od tego, która kwota jest wyższa. Ostateczna wysokość grzywny zależy od okoliczności sprawy, w tym charakteru, wagi i czasu trwania naruszenia, stopnia winy oraz podjętych środków.
Co Twoja organizacja może zrobić teraz?
- Przeprowadź samoocenę. Sprawdź, czy organizacja działa w wyznaczonym sektorze i spełnia wymagania dotyczące wielkości.
- Określ właściwą kategorię. Ustal, czy organizacja kwalifikuje się jako podmiot niezbędny, czy ważny, i który przełożony jest kompetentny.
- Przygotuj rejestrację. Zbierz dane potrzebne do rejestracji w NCSC za pośrednictwem MijnNCSC.
- Przetestuj środki należytej staranności. Oceń istniejące środki w zakresie analizy ryzyka, reagowania na incydenty, ciągłości działania, bezpieczeństwa łańcucha dostaw, cyberhigieny, luk w zabezpieczeniach, uwierzytelniania wieloskładnikowego i kryptografii.
- Skonfiguruj proces powiadamiania. Rejestruj, kto ocenia, czy incydent podlega zgłoszeniu, kto powiadamia oraz w jaki sposób dotrzymywane są terminy 24 godzin, 72 godzin i jednego miesiąca.
- Zaangażuj zarząd w sposób udokumentowany. Udokumentuj, jakie decyzje podjął zarząd, jakie szkolenia zostały przeprowadzone i w jaki sposób sprawowany jest nadzór nad wdrażaniem.
- Uwzględnij łańcuch dostaw. Duża część luk w zabezpieczeniach powstaje nie w samej organizacji, ale u dostawców i usługodawców. Przejrzyj swoje umowy dotyczące ustaleń dotyczących bezpieczeństwa, obowiązków powiadamiania i uprawnień audytowych.
Na zakończenie
Ustawa o cyberbezpieczeństwie i ustawa o odporności podmiotów krytycznych znacząco zaostrzają obowiązki w zakresie cyberbezpieczeństwa. Szerszy zakres, konkretne środki należytej staranności, krótkie terminy powiadomień, osobista odpowiedzialność dyrektorów i bogaty zestaw narzędzi do egzekwowania przepisów sprawiają, że organizacje nie mogą zignorować tego tematu. Wraz z wejściem w życie 15 sierpnia 2026 r., czas na przygotowania jest krótki.
Law & More pomaga przedsiębiorstwom, dyrektorom i inspektorom zgodności w określaniu ich pozycji w świetle NIS2 oraz holenderskiej ustawy o cyberbezpieczeństwie, wdrażaniu i testowaniu środków należytej staranności, przygotowywaniu rejestracji w NCSC oraz prawnym wdrażaniu polityki cyberbezpieczeństwa.
Czy chcesz, aby Twoja organizacja oceniła swoją pozycję w świetle nowych przepisów? Skontaktuj się z nami, aby porozmawiać o tym bez zobowiązań.
PYTANIA I ODPOWIEDZI
Poniżej odpowiadamy na najczęściej zadawane pytania na ten temat.
Kiedy wchodzi w życie holenderska ustawa o cyberbezpieczeństwie?
15 sierpnia 2026 r. Senat uchwalił ustawę o cyberbezpieczeństwie i ustawę o odporności podmiotów krytycznych 7 lipca 2026 r. Z dniem wejścia w życie obecnie obowiązująca ustawa o bezpieczeństwie sieci i systemów informatycznych (Wbni) traci moc.
Czy moja organizacja podlega przepisom NIS2?
Zależy to od sektora i wielkości firmy. NIS2 obejmuje osiemnaście wyznaczonych sektorów, a w ich obrębie, co do zasady, organizacje zatrudniające co najmniej 50 pracowników lub których roczny obrót lub bilans przekracza 10 milionów euro. Niektóre podmioty są objęte programem niezależnie od wielkości.
Czy zostanę powiadomiony, jeśli moja organizacja znajdzie się w zakresie?
Nie. Organizacje same odpowiadają za ocenę, czy podlegają przepisom ustawy o cyberbezpieczeństwie. Oczekiwanie grozi nałożeniem obowiązków przed dokonaniem oceny.
Jaka jest różnica między podmiotem istotnym a podmiotem ważnym?
Określa intensywność nadzoru i wysokość potencjalnych kar. Podmioty kluczowe podlegają nadzorowi proaktywnemu, w ramach którego nadzorca może dokonać kontroli z własnej inicjatywy. Podmioty ważne podlegają nadzorowi reaktywnemu, w przypadku incydentu, skargi lub innego sygnału.
Na czym polega obowiązek zachowania ostrożności?
Podejmowanie odpowiednich i proporcjonalnych środków technicznych, operacyjnych i organizacyjnych w celu zarządzania ryzykiem dla sieci i systemów informatycznych, obejmujących takie kwestie, jak analiza ryzyka, obsługa incydentów, ciągłość działania, bezpieczeństwo łańcucha dostaw, cyberhigiena, luki w zabezpieczeniach, uwierzytelnianie wieloskładnikowe i kryptografia. Należy uzasadnić, dlaczego wybrane środki są właściwe.
Jakie terminy powiadamiania obowiązują po wystąpieniu incydentu?
Wczesne ostrzeżenie w ciągu 24 godzin, formalne powiadomienie w ciągu 72 godzin ze wstępną oceną powagi i wpływu oraz raport końcowy najpóźniej w ciągu miesiąca. Należy z wyprzedzeniem ustalić procedurę powiadamiania.
Czy moja organizacja musi się zarejestrować?
Tak. Rejestracja w krajowym rejestrze podmiotów jest obowiązkowa od 15 sierpnia 2026 r. i odbywa się za pośrednictwem MijnNCSC, eHerkenning lub, w przypadku podmiotów sektora publicznego, SSOnRijk. Zmiany należy zgłosić w ciągu czternastu dni. Po rejestracji można połączyć się z usługami swojego CSIRT.
Jaka odpowiedzialność spoczywa na zarządzie?
Zarząd musi zatwierdzić środki bezpieczeństwa, nadzorować ich wdrażanie, być w stanie oceniać cyberzagrożenia i sam przejść szkolenie. Dyrektywa reguluje osobistą odpowiedzialność kadry kierowniczej wyższego szczebla za nieprzestrzeganie przepisów, dlatego należy dokumentować decyzje, szkolenia i nadzór w sposób udokumentowany.
Jak wysokie są kary?
Dla podmiotów kluczowych co najmniej 10 mln EUR lub 2% światowego rocznego obrotu; dla podmiotów istotnych co najmniej 7 mln EUR lub 1.4%, w każdym przypadku w zależności od tego, która kwota jest wyższa. Ostateczny poziom kary zależy od takich czynników, jak charakter, waga i czas trwania naruszenia oraz stopień winy.
Kto nadzoruje zgodność?
To zależy od sektora. Od 15 sierpnia 2026 r. Holenderski Urząd ds. Infrastruktury Cyfrowej nadzoruje organizacje w dziewięciu sektorach; inni nadzorcy są wyznaczani dla pozostałych sektorów. Ustal, który nadzorca jest właściwy dla Twojej organizacji.
Dlaczego sprawa Holandii została skierowana do Trybunału Sprawiedliwości?
Z powodu opóźnionej transpozycji NIS2. 8 lipca 2026 r. Komisja Europejska podjęła decyzję o wniesieniu do Trybunału Sprawiedliwości skargi przeciwko Holandii, Irlandii, Hiszpanii i Francji, za brak powiadomienia o środkach transpozycji. Fakt, że ustawa o cyberbezpieczeństwie została przyjęta dzień wcześniej, nie kończy samo w sobie tego postępowania.
Czy dotyczy to również moich dostawców?
Bezpieczeństwo łańcucha dostaw to jeden z obszarów objętych obowiązkiem zachowania należytej staranności. Duża część luk w zabezpieczeniach pojawia się u dostawców i usługodawców. Przejrzyj swoje umowy pod kątem ustaleń dotyczących bezpieczeństwa, obowiązków powiadamiania i uprawnień audytowych.
