NIS2 w małej firmie: czy naprawdę cię obejmuje?

Krótka odpowiedź: NIS2 sięga po ciebie, jeśli działasz w jednym z wymienionych sektorów i jesteś co najmniej średnią firmą, czyli w praktyce masz 50 lub więcej pracowników. Jest też druga furtka i to ona zaskakuje małe zespoły: kilka kategorii jest objętych bez względu na wielkość, łącznie z dwuosobowym dostawcą internetu. No i rzecz, którą prawie wszyscy na początku rozumieją źle: sama dyrektywa cię nie wiąże. Wiąże cię wersja z twojego kraju, a te ustawy różnią się terminami, rejestrami i organami nadzoru.

Właśnie dlatego ogólne porady o NIS2 rozsypują się dokładnie w momencie, w którym zaczęłyby być przydatne. Oto test zakresu, w naszej kolejności.

Dyrektywa to nie jest prawo, które musisz stosować

NIS2 to dyrektywa (UE) 2022/2555. Dyrektywa mówi państwom członkowskim, co mają uchwalić. Nie stosujesz jej bezpośrednio. Każdy kraj UE pisze własną transpozycję i to ta ustawa jest egzekwowana wobec ciebie. W Polsce chodzi o ustawę o krajowym systemie cyberbezpieczeństwa, czyli KSC. Termin transpozycji z samej dyrektywy już minął, a kraje poruszają się od tamtej pory w bardzo różnym tempie.

Dla małej firmy oznacza to trzy praktyczne rzeczy:

• Środki bezpieczeństwa są niemal identyczne wszędzie, bo wszystkie pochodzą z artykułu 21 dyrektywy.
• Wszystko proceduralne jest krajowe: do jakiego rejestru się zgłaszasz, kto jest twoim organem nadzoru, która instytucja przyjmuje zgłoszenie incydentu, jakie są górne granice kar.
• Kilka krajów rozszerzyło listę sektorów ponad minimum dyrektywy, więc "przeczytaliśmy załączniki unijne i jesteśmy poza" to nie jest pełna odpowiedź.

Zacznij od ustawy własnego kraju. Jeśli nie możesz jej znaleźć, to samo w sobie mówi coś użytecznego o tym, jak daleko zaszło twoje państwo członkowskie.

Dwuczęściowy test zakresu

Część pierwsza: twój sektor

NIS2 rozdziela objęte organizacje na dwa załączniki. Załącznik I to sektory kluczowe: energetyka, transport, bankowość, infrastruktura rynków finansowych, zdrowie, woda pitna, ścieki, infrastruktura cyfrowa, zarządzanie usługami ICT (business to business), administracja publiczna i przestrzeń kosmiczna. Załącznik II to pozostałe sektory krytyczne: usługi pocztowe i kurierskie, gospodarowanie odpadami, chemia, żywność, produkcja określonych wyrobów, dostawcy cyfrowi i badania naukowe.

Dwie pozycje z tej listy łapią znacznie więcej firm software'owych, niż spodziewają się ich założyciele. Infrastruktura cyfrowa obejmuje dostawców usług chmurowych, dostawców usług centrów danych, sieci dostarczania treści, dostawców usług DNS i rejestry nazw domen najwyższego poziomu. Zarządzanie usługami ICT obejmuje managed service providers i managed security service providers. Jeśli utrzymujesz infrastrukturę dla innych firm, przeczytaj te definicje na serio, zamiast zakładać, że chodzi wyłącznie o hiperskalerów.

Część druga: twoja wielkość

Jeśli jesteś w wymienionym sektorze, o objęciu decyduje wielkość. NIS2 pożycza unijną definicję średniego przedsiębiorstwa, więc robocza lektura brzmi: 50 lub więcej pracowników, albo roczny obrót i suma bilansowa jednocześnie powyżej 10 milionów euro. Poniżej tego zwykle jesteś poza zakresem.

Zwykle. Co prowadzi nas do części, która najbardziej dotyczy czytelników tego bloga.

Wyjątki, które wciągają maleńkie firmy

Wielkość to nie cały test. Niektóre organizacje są objęte bez względu na to, jak są małe, a dyrektywa wymienia je wprost:

• dostawcy publicznych sieci łączności elektronicznej lub publicznie dostępnych usług łączności elektronicznej
• dostawcy usług zaufania
• rejestry nazw domen najwyższego poziomu i dostawcy usług DNS

Jednoosobowy dostawca internetu jest objęty. Dwuosobowy dostawca usług zaufania też. Tu nie ma dolnego progu.

Poza tą wymienioną listą państwo członkowskie może objąć cię indywidualnie: jeśli jesteś jedynym w danym kraju dostawcą usługi niezbędnej dla krytycznej działalności społecznej lub gospodarczej, jeśli zakłócenie twojej usługi mogłoby istotnie wpłynąć na bezpieczeństwo publiczne lub zdrowie, albo jeśli zostaniesz uznany za krytycznego ze względu na szczególne znaczenie na poziomie krajowym lub regionalnym. Podmioty administracji publicznej każdy kraj reguluje osobno.

Uczciwa wersja zasady wielkości brzmi więc tak. Poniżej progu prawdopodobnie jesteś poza, chyba że mieścisz się w jednej z wymienionych kategorii bez progu albo twoje prawo krajowe sięga dalej niż minimum dyrektywy.

Kluczowy czy ważny: co się właściwie zmienia?

Objęte organizacje dzieli się na podmioty kluczowe i ważne, głównie według sektora i wielkości. Warto być precyzyjnym co do tego, co ten podział robi.

Twoich obowiązków bezpieczeństwa prawie nie zmienia. Obie klasy pracują na tych samych środkach z artykułu 21.

Zmienia nadzór. Podmioty kluczowe podlegają nadzorowi wyprzedzającemu, czyli organ może cię skontrolować i zaudytować, zanim cokolwiek się wydarzy. Podmioty ważne podlegają nadzorowi następczemu: uwaga przychodzi po incydencie albo po wiarygodnym sygnale, że nie spełniasz wymagań. Maksymalne kary też różnią się między klasami, a ich górne granice ustala prawo krajowe.

Jeśli wylądujesz w kategorii ważnej, a nie kluczowej, pracy jest tyle samo. Różnica polega na tym, kto puka i kiedy.

Co zrobić w tym tygodniu, jeśli sądzisz, że jesteś objęty

1. Znajdź swoją ustawę krajową, nie dyrektywę. Terminy, obowiązki rejestracyjne i organ przyjmujący zgłoszenia są właśnie tam.
2. Najpierw sprawdź obowiązek rejestracji. Kilka kategorii dostawców cyfrowych musi zarejestrować się w organie krajowym, a rejestracja to obowiązek odrębny od środków bezpieczeństwa. Zwykle ma też najtwardszy termin.
3. Przeczytaj artykuł 21 raz, porządnie. Dziesięć obszarów środków: analiza ryzyka i polityki bezpieczeństwa systemów informatycznych, obsługa incydentów, ciągłość działania i zarządzanie kryzysowe, bezpieczeństwo łańcucha dostaw, bezpieczeństwo w nabywaniu i rozwoju i utrzymaniu wraz z obsługą podatności, procedury oceny skuteczności środków, cyberhigiena i szkolenia, kryptografia, bezpieczeństwo kadr wraz z kontrolą dostępu i zarządzaniem aktywami oraz uwierzytelnianie wieloskładnikowe i zabezpieczona łączność tam, gdzie to właściwe.
4. Zwróć uwagę na obowiązek zarządu. Artykuł 20 nakłada na organy zarządzające obowiązek zatwierdzenia środków zarządzania ryzykiem i nadzorowania ich wdrożenia oraz wymaga od nich szkoleń. To konkretna osoba, nie dział.
5. Zinwentaryzuj to, co już masz. Jeśli przerabiałeś załącznik A ISO 27001, spora część artykułu 21 już siedzi w twoim ISMS pod innymi nazwami.

Ten ostatni punkt zasługuje na osobny wpis i ma go w tej serii.

Gdzie jesteśmy z NIS2, szczerze

Budujemy narzędzia compliance dla małych zespołów, więc najbardziej użyteczne, co możemy powiedzieć, to dokładnie co wspieramy, a nie hasło marketingowe.

Nasze wsparcie dla NIS2 jest w early access i włączamy je na koncie po rozmowie. Zaczęliśmy od polskiej transpozycji, bo tam są nasi pierwsi design partnerzy, i zbudowaliśmy ją po polsku. Katalog środków jest ogólny wobec ustawy, więc pasuje do każdego podmiotu pracującego na artykule 21. Klasyfikator zakresu już nie: koduje dziś polskie zasady dla przedsiębiorców komunikacji elektronicznej, czyli odpowiada dobrze polskiemu ISP i nie odpowiada polskiemu producentowi.

Wolimy powiedzieć to wprost, niż żebyś odkrył to po rejestracji. Jeśli potrzebujesz zamodelowanego innego kraju, powiedz którego, a dostaniesz konkretną odpowiedź o terminie zamiast "może".

Nasza własna droga wiodła najpierw przez ISO. Certyfikowaliśmy AuditBadger na AuditBadgerze, SOC 2® Type II, bez zewnętrznych konsultantów, a ISMS pod spodem jest powodem, dla którego rozmowa o artykule 21 jest krótka. Jeśli jesteś wcześniej niż tam, lekka wersja governance, risk i compliance to lepsza pierwsza lektura niż jakakolwiek dyrektywa. A jeśli wciąż wybierasz, który framework wziąć najpierw, SOC 2 czy ISO 27001 to rozwidlenie, na które małe zespoły trafiają dużo wcześniej, niż NIS2 stanie się ich problemem.

Więcej o dziesięciu środkach, terminach zgłoszeń i tym, co przenosi się z ISO, na naszej stronie o NIS2 i KSC.