1. Wprowadzenie
W dzisiejszych czasach, gdy technologia coraz bardziej się rozwija, cyberzagrożenia stają się coraz bardziej powszechne. Dlatego coraz więcej państw i organizacji podejmuje działania, aby chronić swoje zasoby cyfrowe. Jednym z takich działań jest wprowadzenie dyrektywy NIS 2.
2. Co to jest dyrektywa NIS2 ?
Dyrektywa NIS 2 (ang. Network and Information Security Directive 2) to dokument prawny Unii Europejskiej, który zastępuje dyrektywę NIS (ang. Network and Information Security Directive) [1]. Dyrektywa NIS 2 ma na celu poprawę zarządzania ryzykiem związanym z bezpieczeństwem cybernetycznym, a także wprowadzenie obowiązków raportowania w sektorach takich jak energetyka, transport, ochrona zdrowia i infrastruktura cyfrowa.
3. Dlaczego powstała dyrektywa?
Dyrektywa NIS 2 powstała w celu wzmocnienia ochrony infrastruktury krytycznej UE przed zagrożeniami cybernetycznymi [2]. Infrastruktura krytyczna to zasoby, których niszczenie lub zakłócenie funkcjonowania mogłoby spowodować poważne skutki dla bezpieczeństwa publicznego, zdrowia lub środowiska.
4. Kto będzie podlegać dyrektywie?
Dyrektywa NIS 2 będzie obowiązywać wszystkie państwa członkowskie Unii Europejskiej, a także przedsiębiorstwa działające w sektorach takich jak energetyka, transport, ochrona zdrowia i infrastruktura cyfrowa. W szczególności dyrektywa NIS 2 będzie dotyczyć podmiotów, które są uważane za „dostawców usług cyfrowych” lub „operatorów infrastruktury krytycznej” [3].
5. Główne zmiany w dyrektywie NIS2
Dyrektywa NIS 2 wprowadza wiele zmian w porównaniu w porównaniu z Dyrektywą NIS2. Oto główne z nich [[1]]:
- Rozszerzenie zakresu podmiotowego dyrektywy – w porównaniu do poprzedniej wersji dyrektywy NIS, NIS 2 ma szerszy zakres podmiotowy i obejmuje m.in. administrację publiczną, sektor żywności, ścieki, przemysł, zarządzanie odpadami, przestrzeń kosmiczną oraz szerzej traktuje niektóre sektory, w tym infrastrukturę cyfrową.
- Wprowadzenie zobowiązań dotyczących raportowania – podmioty zobowiązane do przestrzegania dyrektywy NIS 2 będą musiały raportować incydenty związane z cyberbezpieczeństwem.
- Większe wymagania w zakresie zarządzania ryzykiem – NIS 2 wprowadza zwiększone wymagania w zakresie zarządzania ryzykiem związanym z cyberbezpieczeństwem. Wymagania te obejmują m.in. opracowanie strategii zarządzania ryzykiem, wyznaczenie osoby odpowiedzialnej za zarządzanie ryzykiem oraz przeprowadzanie regularnych audytów bezpieczeństwa.
- Wymóg wyznaczenia koordynatora bezpieczeństwa – podmioty objęte dyrektywą NIS 2 będą musiały wyznaczyć koordynatora bezpieczeństwa, który będzie odpowiedzialny za koordynowanie działań związanych z cyberbezpieczeństwem w danej organizacji.
- Współpraca międzynarodowa – dyrektywa NIS 2 wymaga większej współpracy międzynarodowej w zakresie cyberbezpieczeństwa.
6. Certyfikacja
Stosowanie europejskich programów certyfikacji cyberbezpieczeństwa
Aby wykazać zgodność z niektórymi wymogami określonymi w Dyrektywie , państwa członkowskie mogą wymagać od podmiotów niezbędnych i istotnych certyfikacji niektórych produktów, usług i procesów ICT w oparciu o określone europejskie programy certyfikacji cyberbezpieczeństwa przyjęte na podstawie art. 49 rozporządzenia (UE) 2019/881. Produkty, usługi i procesy podlegające certyfikacji mogą być opracowywane przez podmiot niezbędny lub istotny lub mogą być zamawiane u osób trzecich.
7. Jak ISO 27001 może pomóc we wdrożeniu wymagań NIS2
Chociaż Dyrektywy NIS2 nie odwołuje się bezpośrednio do standardów ISO, jednakże warunkiem spełnienia jej wymagań będzie konieczne stosowanie różnych norm i standardów z zakresu bezpieczeństwa informacji.
Jednym z takich standardów, które mogą spełniać wymagania dyrektywy NIS2, jest międzynarodowa norma ISO 27001 dotyczące systemu zarządzania bezpieczeństwem informacji. Norma ta zawiera zapisy dotyczące identyfikacji i analizy ryzyka oraz zarządzania bezpieczeństwem informacji, które są wymagane przez dyrektywę NIS2. Przygotowanie do wdrożenia dyrektywy NIS2 z wykorzystaniem normy ISO 27001 pozwoli na ujednolicenie podejścia do zarządzania bezpieczeństwem informacji i tym samym uproszczenie procesu wdrożenia w organizacjach, w których będzie wymagana..
8.Podsumowanie
Podsumowując, dyrektywa NIS 2 wprowadza szereg zmian mających na celu poprawę stanu cyberbezpieczeństwa w Unii Europejskiej, a także zwiększenie współpracy międzynarodowej w tym zakresie. Ostateczny termin wdrożenia Dyrektywy NIS 2 w państwach członkowskich UE powinien być ustanowiony do 30 listopada 2023 roku.
