Audyt zgodności z NIS2

Dyrektywa NIS2 (Network and Information Security) to nowy akt prawny Unii Europejskiej, nakładający na firmy sektorów krytycznych, takie jak energia, transport, bankowość i ochrona zdrowia nowe obowiązki, w celu ustanowienia wspólnego, zintegrowanego poziomu cyberbezpieczeństwa.

Państwa członkowskie do 17 października 2024 roku (a więc do dnia wejścia w życie nowego aktu prawnego UE) muszą wdrożyć odpowiednie działania - niezastosowanie się do wymogów grozi wysokimi karami finansowymi oraz osobistą odpowiedzialnością członków zarządu. Podmioty kluczowe, których obowiązuje nowe prawo mogą zostać ukarane grzywnami sięgającymi nawet 10 milionów euro lub 2% całkowitych rocznych przychodów, w zależności od tego, która wartość jest wyższa. Zignorowanie wymogów dyrektywy NIS2 może prowadzić więc do poważnych konsekwencji zarówno finansowych i operacyjnych, dlatego kluczowe jest odpowiednie przygotowanie.

Kogo dotyczy nowa dyrektywa NIS2?

Dyrektywa NIS2 dotyczy firm z sektorów krytycznych oraz ważnych, które mają kluczowe znaczenie dla funkcjonowania społeczeństwa i gospodarki:

Sektory Krytyczne:

• Energia - produkcja, transport i dystrybucja energii elektrycznej, gazu i ropy naftowej
• Transport - usługi transportowe w obszarze lotnictwa, kolejnictwa, drogowego i morskiego
• Bankowość - instytucje finansowe, w tym banki oraz inne podmioty działające w sektorze usług finansowych
• Ochrona zdrowia - szpitale, kliniki oraz inne placówki medyczne i ich systemy IT
• Infrastruktura cyfrowa - dostawcy usług internetowych i infrastruktura telekomunikacyjna
• Sektor publiczny - administracja publiczna i instytucje rządowe

Sektory Ważne:

• Gospodarka wodna - dostarczanie i zarządzanie wodą pitną oraz jej oczyszczanie, kluczowe dla zdrowia i życia społeczności.
• Sektor żywności - produkcja, przetwarzanie i dystrybucja żywności, które zapewniają bezpieczeństwo żywnościowe.
• Sektor chemiczny - produkcja i przetwarzanie substancji chemicznych, które mogą mieć wpływ na zdrowie publiczne i środowisko.
• Branża mediowa - usługi telewizyjne, radiowe oraz platformy internetowe, które informują i edukują społeczeństwo.
• Sektor Transportu - usługi transportowe, które nie są klasyfikowane jako krytyczne, ale odgrywają istotną rolę w logistyce i mobilności, w tym usługi pocztowe i kurierskie, które zapewniają dostarczanie przesyłek i informacji na szeroką skalę

Dyrektywa NIS2 - kryteria kwalifikujące

Dyrektywa NIS2 wprowadza kryteria oparte na wielkości przedsiębiorstwa, które określają, czy firma podlega jej przepisom. Główne wskaźniki to zatrudnienie i przychody firmy:

1. Kryterium zatrudnienia:

• Dyrektywa NIS2 dotyczy średnich i dużych przedsiębiorstw. Aby zostać zaklasyfikowaną jako średnia firma, organizacja musi zatrudniać co najmniej 50 pracowników na pełny etat
• W przypadku dużych firm, liczba pracowników musi wynosić co najmniej 250

2. Kryterium przychodów:

• Oprócz liczby pracowników, dyrektywa odnosi się również do rocznych obrotów firmy. Aby podlegać pod NIS2, przedsiębiorstwo musi osiągać roczne przychody wynoszące co najmniej 10 milionów euro
• Dla dużych firm, ten próg wynosi 50 milionów euro rocznych przychodów lub 43 miliony euro w sumie bilansowej
  
  

Wyzwania związane z wdrożeniem Dyrektywy NIS2 i obszary ryzyka

Implementacja dyrektywy NIS2 stanowi istotne wyzwanie dla firm, które muszą dostosować swoje systemy zarządzania cyberbezpieczeństwem do nowych, surowszych wymogów, w celu zachowania odpowiedniego bezpieczeństwa i ciągłości działania. Złożoność i różnorodność obowiązków nałożonych na przedsiębiorstwa mogą prowadzić do wyzwań w ich realizacji, co wymaga nie tylko odpowiednich zasobów (w tym sieci i systemów informatycznych), ale i zaawansowanej wiedzy z zakresu cyberbezpieczeństwa. Wśród kluczowych wyzwań w zakresie zarządzania ryzykiem, które niesie za sobą Dyrektywa NIS2 znajdują się:

• Wdrożenie odpowiednich środków: Konieczność zdefiniowania i wprowadzenia proporcjonalnych środków technicznych, operacyjnych i organizacyjnych, zgodnych z charakterystyką firmy
• Obsługa i zgłaszanie incydentów bezpieczeństwa sieci i systemów informatycznych: Zapewnienie procedur dotyczących reakcji na incydenty oraz obowiązek zgłaszania poważnych incydentów bezpieczeństwa w odpowiednim czasie i do właściwych instytucji
• Polityka analizy ryzyka: Ustanowienie polityki dotyczącej analizy ryzyka oraz zarządzania bezpieczeństwem systemów informatycznych
• Ciągłość działania: Opracowanie planów dotyczących zarządzania kopiami zapasowymi oraz przywracania normalnego działania po incydentach
• Bezpieczeństwo łańcucha dostaw: Ustalenie polityk bezpieczeństwa związanych z relacjami z dostawcami i usługodawcami
• Testowanie i ocena zabezpieczeń: Wprowadzenie regularnych audytów i testów zabezpieczeń w celu identyfikacji luk
• Kryptografia i szyfrowanie: Wdrożenie polityki dotyczącej stosowania kryptografii oraz, w odpowiednich przypadkach, szyfrowania
• Bezpieczeństwo zasobów ludzkich: Ustalenie polityk dotyczących kontroli dostępu oraz zarządzania aktywami
• Szkolenia dla osób zarządzających: Regularne szkolenia dla osób odpowiedzialnych za zarządzanie ryzykiem w cyberbezpieczeństwie
  
  

Audyt zgodności z NIS-2 - wsparcie Crowe

Crowe oferuje kompleksowe wsparcie w przygotowaniu firm do wdrożenia dyrektywy NIS.

Audyt i analiza obecnego stanu

• Oceniamy aktualny poziom bezpieczeństwa IT oraz zgodności z obowiązującymi wymaganiami
• Identyfikujemy istniejące luki i obszary do poprawy w systemach zarządzania
• Przygotowujemy raport z wynikami audytu, który wskazuje na kluczowe obszary ryzyka oraz rekomendacje do działań naprawczych.

Zobacz także: