Wraz z wejściem w życie nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa (KSC), wdrażającej unijną dyrektywę NIS2 dotyczącą bezpieczeństwa sieci i systemów informacyjnych, organizacje muszą zmierzyć się z nowymi obowiązkami w zakresie zarządzania ryzykiem, reagowania na incydenty, nadzoru nad dostawcami oraz odpowiedzialności kadry zarządzającej za obszar cyberbezpieczeństwa. Zmiany te dodatkowo zwiększają znaczenie współpracy między zespołami odpowiedzialnymi za cyberbezpieczeństwo, ochronę danych, kwestie prawne i zarządzanie ryzykiem.
Czy organizacje są jednak przygotowane, aby w sytuacji kryzysowej zespoły te działały wspólnie, a nie równolegle?
Kluczowym elementem takiego podejścia jest współpraca osoby odpowiedzialnej za cyberbezpieczeństwo, często pełniącej funkcję Chief Information Security Officer (CISO), z inspektorem ochrony danych (IOD). Choć NIS2 koncentruje się na cyberbezpieczeństwie i odporności organizacji, a ogólne rozporządzenie o ochronie danych (RODO) na ochronie danych osobowych, w praktyce oba obszary spotykają się w wielu procesach. Dotyczy to między innymi zarządzania incydentami, oceny ryzyka, nadzoru nad dostawcami, bezpieczeństwa systemów, dokumentowania zgodności oraz komunikacji z organami i innymi interesariuszami.
NIS2 w Polsce: nowe obowiązki i odpowiedzialność zarządu
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa obowiązuje od 3 kwietnia 2026 roku. Pierwszym krokiem powinno być ustalenie, czy dana organizacja kwalifikuje się jako podmiot kluczowy lub ważny w rozumieniu polskich przepisów KSC. W praktyce wymaga to analizy prowadzonej działalności, sektora, kryteriów wielkościowych oraz szczególnych warunków wynikających z ustawy.
Na podmioty objęte regulacją nałożono szereg obowiązków wdrażanych zgodnie z terminami przejściowymi określonymi w ustawie, w tym: dokonanie wpisu do Wykazu KSC, wdrożenie systemu zarządzania bezpieczeństwem informacji (SZBI), zarządzanie incydentami i zgłaszanie ich do właściwych zespołów reagowania na incydenty bezpieczeństwa komputerowego (CSIRT), wyznaczenie osób odpowiedzialnych za utrzymywanie kontaktów w ramach krajowego systemu cyberbezpieczeństwa oraz zapewnienie wymaganej komunikacji z właściwymi organami. Dla wybranych podmiotów kluczowych przewidziano również obowiązek przeprowadzania audytów cyberbezpieczeństwa.
O skali zmian najlepiej świadczą liczby. Zgodnie z globalną publikacją Forvis Mazars dyrektywa NIS2 może objąć ponad 160 tys. organizacji w całej Unii Europejskiej. Według szacunków Ministerstwa Cyfryzacji w Polsce znowelizowane przepisy KSC mogą dotyczyć około 38 tys. podmiotów, w tym około 27 tys. podmiotów publicznych, między innymi wybranych organów administracji rządowej i samorządowej, instytucji publicznych, instytutów badawczych oraz państwowych instytucji kultury.
Tak szeroki zakres regulacji oznacza, że zapewnienie cyberbezpieczeństwa wymaga zaangażowania wielu obszarów organizacji oraz jasnego podziału ról i odpowiedzialności. Bezpieczeństwo informacji, ochrona danych, kwestie prawne i zarządzanie ryzykiem coraz częściej muszą być koordynowane w sposób spójny i systemowy. NIS2 wzmacnia jednocześnie odpowiedzialność kadry zarządzającej, sprawiając, że nadzór nad cyberbezpieczeństwem staje się nie tylko zadaniem zespołów operacyjnych, ale również obowiązkiem wymagającym aktywnego zaangażowania zarządu.
Jeden incydent, dwie perspektywy: współpraca CISO i IOD w praktyce
Role CISO i IOD przez lata traktowano jako odrębne. CISO, czyli osoba odpowiedzialna za cyberbezpieczeństwo organizacji, chroni systemy, zarządza dostępami, monitoruje zagrożenia i podatności oraz koordynuje reakcję na incydenty. IOD nadzoruje ochronę danych osobowych, wspiera zgodność z RODO, prowadzi dokumentację, ocenia skutki dla ochrony danych oraz analizuje naruszenia ochrony danych osobowych.
Dziś granica między tymi obszarami coraz częściej się zaciera. Atak ransomware, wyciek danych, nieprawidłowo skonfigurowany dostęp dostawcy czy awaria systemu przetwarzającego dane osobowe uruchamiają zarówno działania techniczne, jak i procesy regulacyjne. Dlatego współpraca CISO i IOD nie powinna rozpoczynać się dopiero w momencie wystąpienia incydentu. Powinna obejmować etap projektowania procesów, oceny ryzyka, weryfikacji dostawców i opracowywania procedur.
Takie sytuacje miały już miejsce w praktyce. Dobrym przykładem jest szeroko opisywany incydent związany z MOVEit Transfer, oprogramowaniem służącym do przesyłania plików. Incydent ten pokazał, że podatność w rozwiązaniu wykorzystywanym przez dostawcę może doprowadzić do ujawnienia danych osobowych przetwarzanych przez wiele organizacji. W takim scenariuszu CISO ustala skalę incydentu, koordynuje działania naprawcze i dba o utrzymanie ciągłości działania. IOD ocenia natomiast wpływ zdarzenia na dane osobowe oraz weryfikuje, czy powstały obowiązki zgłoszeniowe wynikające z RODO. Brak skutecznej koordynacji może prowadzić do niespójnej komunikacji i opóźnień w raportowaniu właśnie wtedy, gdy organizacja potrzebuje szybkich i jednoznacznych decyzji.
Dobrze zaprojektowany model współpracy pozwala szybciej ocenić skutki incydentu, sprawniej zidentyfikować obowiązki zgłoszeniowe, zachować spójność komunikacji i ograniczyć ryzyko nieskoordynowanych decyzji. W praktyce może to oznaczać powołanie wspólnego forum do spraw cyberbezpieczeństwa i ochrony danych, stosowanie wspólnych wskaźników ryzyka oraz regularne testowanie scenariuszy kryzysowych, takich jak atak ransomware, wyciek danych lub niedostępność kluczowego systemu.
Bezpieczeństwo współpracy z dostawcami w świetle NIS2 i RODO
Zarządzanie dostawcami i podwykonawcami jest jednym z obszarów, w których wymagania NIS2 i RODO spotykają się najwyraźniej. Partnerów biznesowych należy oceniać nie tylko pod względem kosztów i jakości usług, lecz także przez pryzmat poziomu bezpieczeństwa, lokalizacji danych, wykorzystywania podwykonawców, posiadanych certyfikatów, zapisów umownych, zakresu dostępu do systemów oraz zdolności reagowania na incydenty.
Ryzyko związane z dostawcami i całym łańcuchem dostaw należy do najtrudniejszych praktycznych aspektów wdrażania NIS2. Jego znaczenie rośnie szczególnie wtedy, gdy podmioty zewnętrzne mają dostęp do kluczowych systemów organizacji lub przetwarzają w jej imieniu dane osobowe. W takich przypadkach incydent po stronie dostawcy może jednocześnie zakłócić ciągłość działania, naruszyć bezpieczeństwo danych i uruchomić obowiązki wynikające zarówno z NIS2, jak i RODO.
ISO 27001 a NIS2: dobry fundament, ale czy wystarczający?
Organizacje, które stosują system zarządzania bezpieczeństwem informacji, szczególnie oparty na ISO/IEC 27001, mogą podejść do przygotowań do NIS2 w bardziej uporządkowany sposób. Taki system stanowi dobrą podstawę do uporządkowania procesów i polityk, przypisania ról i odpowiedzialności, systematycznej oceny ryzyka, nadzoru nad mechanizmami kontrolnymi oraz przeglądów zarządczych. Samo wdrożenie ISO/IEC 27001 nie oznacza jednak automatycznej zgodności z wymaganiami KSC i NIS2. Organizacje muszą nadal przeprowadzić analizę luk i zweryfikować stopień zgodności z konkretnymi obowiązkami ustawowymi, między innymi w zakresie zgłaszania incydentów, wpisu do Wykazu KSC, zarządzania dostawcami oraz terminów wdrożenia wymaganych rozwiązań.
Jak przygotować się do NIS2
Przygotowania do NIS2 nie powinny ograniczać się do tworzenia dokumentacji ani formalnego przypisywania odpowiedzialności. Największe korzyści przynosi podejście, które łączy zgodność z wymaganiami regulacyjnymi z rzeczywistym wzmocnieniem cyberbezpieczeństwa, skuteczniejszym zarządzaniem ryzykiem i ochroną danych oraz zwiększeniem odporności operacyjnej.
Pierwszym krokiem powinno być ustalenie, czy NIS2 ma zastosowanie do organizacji oraz przeprowadzenie uporządkowanej oceny jej gotowości. Analiza powinna uwzględniać między innymi zarządzanie cyberbezpieczeństwem i ryzykiem, ochronę danych, reagowanie na incydenty oraz nadzór nad dostawcami. Pozwala ona określić poziom dojrzałości organizacji, zidentyfikować najważniejsze luki oraz przygotować plan wdrożenia uwzględniający zarówno wymagania regulacyjne, jak i cele biznesowe.
Biorąc pod uwagę harmonogram wdrażania nowych obowiązków, organizacje objęte regulacją nie powinny odkładać przygotowań na później. To dobry moment na rozpoczęcie lub przyspieszenie analizy oraz działań wdrożeniowych, które pozwolą odpowiednio przygotować się do spełnienia wymagań KSC i NIS2.
