Nowe przepisy o cyberbezpieczeństwie obejmą także podwykonawców. Sprawdź, czy dotyczą Twojej firmy

Unijna dyrektywa NIS2 z 2022 roku została w Polsce wdrożona nowelizacją ustawy o Krajowym Systemie Cyberbezpieczeństwa. Eksperci kancelarii Baker McKenzie zwracają uwagę, że część firm wciąż nie jest świadoma nowych obowiązków, a kary za ich niedopełnienie są wysokie.

Dlaczego to nie jest sprawa wyłącznie dużych spółek

Pierwsze skojarzenie z NIS2 to energetyka i infrastruktura krytyczna. Rzeczywiście, to tam przepisy uderzają najmocniej. Ale znowelizowana ustawa obejmuje podmioty ze wszystkich sektorów uznanych za kluczowe lub ważne, a lista jest szeroka: poza energetyką znalazły się między innymi transport lotniczy i kolejowy, infrastruktura cyfrowa, ochrona zdrowia oraz gospodarka odpadami.

Najważniejsze zdanie dla właściciela małej firmy brzmi jednak inaczej: przepisami objęci są również poddostawcy przedsiębiorstw z tych branż. Jeśli świadczysz usługi IT dla szpitala, serwisujesz urządzenia w zakładzie energetycznym albo dostarczasz oprogramowanie firmie transportowej, temat może dotyczyć Ciebie, nawet jeśli zatrudniasz kilka osób.

Cztery obowiązki, które trzeba znać

Ustawa nakłada na objęte podmioty konkretne wymagania. Warto je znać, zanim pojawią się w umowie od kontrahenta.

• Rejestracja w rządowej bazie podmiotów objętych systemem.
• Wdrożenie zarządzania cyberbezpieczeństwem, czyli procedur, a nie samego oprogramowania.
• Zgłaszanie incydentów w ciągu 24 godzin od ich wykrycia.
• Zakaz współpracy z podmiotami wpisanymi na listę dostawców wysokiego ryzyka.

Termin 24 godzin jest tu kluczowy i najczęściej lekceważony. To nie jest czas na analizę i ustalanie winnych. To czas na zgłoszenie faktu. Firma, która nie ma ustalonej ścieżki i osoby odpowiedzialnej, tego terminu po prostu nie dotrzyma.

Dlaczego przepisy powstały

Jak przypominają eksperci Baker McKenzie, prawidłowo stosowane przepisy mają zapobiegać zdarzeniom takim jak wykryta w grudniu ubiegłego roku wroga aktywność w systemach spółek z sektora odnawialnych źródeł energii oraz jednej elektrociepłowni.

Agnieszka Skorupińska z warszawskiego biura Baker McKenzie zwraca uwagę, że NIS2 nie jest odosobnionym aktem. Niemal równocześnie pojawiają się przepisy kolejnych regulacji, w tym NC CS, CER, CRA oraz EU Data Act. Dostosowanie do nich określa jako spore wyzwanie, a kary za niezgodność jako bardzo wysokie.

Co zrobić w małej firmie

Nie każda firma musi wdrażać pełny system. Warto natomiast przejść przez trzy kroki, żeby wiedzieć, gdzie się stoi.

• Sprawdź listę swoich kontrahentów pod kątem branż uznanych za kluczowe lub ważne. Jeśli któryś z nich tam jest, spodziewaj się pytań o Twoje procedury.
• Ustal jedną osobę odpowiedzialną za zgłoszenie incydentu i zapisz ścieżkę postępowania. Kartka z procedurą działa lepiej niż drogi program bez właściciela procesu.
• Przejrzyj umowy z klientami z tych sektorów. Wymagania bezpieczeństwa coraz częściej wchodzą do kontraktów wcześniej, niż wynika to z samych przepisów.

Praktyczna strona rzeczy

Doświadczenie z wdrażania RODO pokazuje pewien wzorzec: duże podmioty przenoszą wymagania na mniejszych partnerów przez zapisy umowne, często szybciej i ostrzej, niż robi to ustawodawca. Przy NIS2 mechanizm będzie ten sam. Firma, która ma uporządkowane podstawy, dostanie kontrakt. Ta, która na pytanie o procedury odpowie milczeniem, wypadnie z przetargu, zanim ktokolwiek sprawdzi jej zgodność z ustawą.

Warto potraktować to jako argument sprzedażowy, a nie wyłącznie koszt. W wielu branżach uporządkowane bezpieczeństwo stanie się w najbliższych latach warunkiem wejścia do gry.

Źródło: PAP MediaRoom. Zdjęcie: Baker McKenzie.