Unijna dyrektywa NIS2 kojarzy się z wielkimi spółkami energetycznymi i infrastrukturą krytyczną. Problem w tym, że obejmuje również ich podwykonawców, a spora część takich firm w Polsce w ogóle nie wie, że przepisy jej dotyczą.
Na to ryzyko zwracają uwagę eksperci kancelarii Baker McKenzie. W Polsce dyrektywa z 2022 roku została wdrożona dopiero w tym roku, przez zmianę ustawy o Krajowym Systemie Cyberbezpieczeństwa.
Cztery obowiązki, które trzeba znać
Firmy objęte ustawą muszą zarejestrować się w rządowej bazie. To pierwszy i najbardziej formalny obowiązek, a jednocześnie ten, o którym najłatwiej zapomnieć.
Drugi to wdrożenie zarządzania cyberbezpieczeństwem, czyli procedur, a nie samego oprogramowania. Zakup antywirusa nie wyczerpuje wymogu.
Trzeci obowiązek jest najbardziej dotkliwy operacyjnie: zgłaszanie incydentów w ciągu 24 godzin od ich wykrycia. Doba to bardzo mało, jeżeli w firmie nie ma ustalonej ścieżki, kto zgłasza, komu i na jakim formularzu.
Czwarty to zakaz współpracy z podmiotami, które trafią na listę dostawców wysokiego ryzyka. W praktyce oznacza to konieczność śledzenia tej listy i weryfikowania własnych dostawców technologii.
Dlaczego to dotyczy również małych firm
Kluczowe jest słowo „podwykonawca”. Firma serwisująca instalacje, dostarczająca oprogramowanie, obsługująca sieć albo wykonująca prace utrzymaniowe dla podmiotu objętego ustawą wchodzi w łańcuch dostaw, który przepisy obejmują.
W praktyce wymagania spływają w dół umowami. Duży zamawiający, który sam musi spełnić wymogi, przenosi je na kontrahentów, bo inaczej nie wykaże zgodności u siebie.
Dla małej firmy technicznej oznacza to prosty wniosek: nawet jeżeli ustawa nie obejmuje jej wprost, wymogi i tak dotrą w formie zapisów w kontrakcie. Lepiej być na to przygotowanym przed przetargiem niż po jego rozstrzygnięciu.
Powód, dla którego przepisy zaostrzono
Jak wskazują eksperci, prawidłowo stosowane przepisy mają zapobiegać zdarzeniom takim jak wykryta w grudniu ubiegłego roku wroga aktywność w systemach spółek odnawialnych źródeł energii oraz jednej elektrowni.
To istotny kontekst, bo pokazuje, że regulacja nie powstała jako biurokratyczny wymysł, tylko jako reakcja na realne incydenty w sektorze.
Od czego zacząć
Pierwszy krok to ustalenie, czy firma jest objęta ustawą bezpośrednio, czy pośrednio przez umowy z klientami. To rozstrzygnięcie prawne, ale wstępną odpowiedź daje przegląd listy klientów pod kątem sektorów wskazanych w przepisach.
Drugi to spisanie procedury zgłaszania incydentu, z nazwiskami i numerami telefonów. Dwadzieścia cztery godziny to termin, którego nie da się dotrzymać improwizując.
Trzeci to przegląd umów z dostawcami technologii, żeby wiedzieć, czyj sprzęt i oprogramowanie działa w firmie i skąd pochodzi.
Czym grozi zaniedbanie
Przepisy przewidują wysokie kary finansowe, a odpowiedzialność obejmuje również kierownictwo podmiotu. To zmiana wobec wcześniejszego stanu prawnego, w którym cyberbezpieczeństwo traktowano jako zagadnienie wyłącznie techniczne, a nie zarządcze.
Dodaj komentarz