Rządowe prace nad cyberbezpieczeństwem

Według raportu „Barometr Cyberbezpieczeństwa 2025” KPMG, w 2024 roku 83 proc. firm w Polsce odnotowało przynajmniej jeden incydent związany z cyberbezpieczeństwem. To o 16 pp. więcej niż w poprzednim badaniu. Ponad 50 proc. przedstawicieli badanych firm uważa, że  technologia AI spowoduje wzrost zagrożeń w cyberprzestrzeni.

Czym jest dyrektywa NIS?

Dyrektywa NIS to jedna z kluczowych regulacji Unii Europejskiej, która ma na celu podniesienie poziomu cyberbezpieczeństwa na wielu płaszczyznach. Będzie ona wpływała na funkcjonowanie konkretnych przedsiębiorstw, zwłaszcza w sektorach infrastruktury krytycznej. Jest również dyrektywą, która wprowadza konieczność wdrożenia systemowych rozwiązań na poziomie krajów członkowskich oraz wprowadza pewne mechanizmy koordynacji i współpracy pomiędzy krajami Unii Europejskiej. Jest Według wielu ekspertów jedną z kluczowych regulacji wpływających na podniesienie poziomu cyberbezpieczeństwa w Unii Europejskiej.

Unijna dyrektywa weszła w życie w 2023 roku. Jesienią 2024 roku minął termin na wprowadzenie jej założeń do prawa krajowego w państwach członkowskich. W Polsce wciąż trwają prace nad ustawą o krajowym systemie cyberbezpieczeństwa, która ma stanowić implementację dyrektywy. Ze względu na istotę przepisów i ich zakres projekt na etapie prac rządowych był już wiele razy modyfikowany. Resort cyfryzacji, podczas Europejskiego Kongresu Gospodarczego, zapowiedział, że rządowy etap prac nad nowym projektem ma się zakończyć jeszcze w II kwartale br. Nowe przepisy obejmą około 38 tys. podmiotów w Polsce. 

Może Cię zainteresuje: Ewakuacja ludności w czasie wojny

Jakie zmiany w NIS2?

W NIS2 nastąpiła zmiana dotychczasowego podziału na operatorów usług kluczowych, dostawców usług cyfrowych oraz podmioty publiczne. Pojawił się podział na podmioty ważne oraz podmioty kluczowe. Jako podmioty kluczowe wskazane zostały organizacje o krytycznym znaczeniu dla funkcjonowania gospodarki i społeczeństwa, czyli podmioty z najważniejszych sektorów gospodarki, takich jak między innymi sektor energetyczny, finansowy, ochrona zdrowia i infrastruktura cyfrowa. Do podmiotów ważnych zaliczono między innymi dostawców usług telekomunikacyjnych, sektor pocztowy i kurierski oraz podmioty przetwarzające odpady. Podmioty objęte dyrektywą mają wdrożyć odpowiednie środki mające zmniejszyć ryzyko dla bezpieczeństwa sieci i systemów informatycznych, uwzględniające wszelkie możliwe zagrożenia.

Do wymagań należą ryzyka w łańcuchu dostaw. Infrastruktura krytyczna w różnych sektorach, przykładowo szpital czy elektrownia lub sektor telekomunikacyjny, w ramach realizowania swoich działań korzysta z wielu partnerów biznesowych, dostawców, ale i on sam dostarcza rozwiązania dla swoich klientów. W ramach tego skomplikowanego łańcucha zależności mogą się pojawić pewne ryzyka wynikające ze współdziałania i współzależności, właśnie na poziomie cyfrowym, którymi trzeba zarządzić systemowo. Dyrektywa NIS w sposób bardzo konkretny i po raz pierwszy zwraca uwagę i wymaga, że cyberbezpieczeństwo łańcucha dostaw powinno się stać jednym z elementów, które poszczególne organizacje muszą wziąć pod uwagę i wdrożyć.

Cyberataki nie są uważane za zagrożenie

Z raportu KPMG wynika, że badane firmy nie uważają ataków na łańcuch dostaw za pośrednictwem partnerów biznesowych za duże zagrożenie. Uznaje je za takie tylko 5 proc. przedsiębiorstw - to pięciokrotny wzrost w porównaniu z poprzednim rokiem. Z kolei odsetek 20 proc. firm, które oceniły, że takie ryzyko nie istnieje, to spadek aż o 18 pp. w porównaniu z wcześniejszą edycją badania. Być może nowe regulacje (jak NIS2) kładące nacisk na ochronę przed tymi zagrożeniami podniosły poziom świadomości polskich przedsiębiorstw w tym zakresie.

Może Cię zainteresuje: Nie zabraknie pieniędzy na budowę schronów

Przepisami dyrektywy NIS2 objęte zostały duże i średnie firmy. Jako podmioty kluczowe kwalifikują się takie, które zatrudniają co najmniej 250 pracowników, a ich roczny obrót przekracza 50 mln euro. Do podmiotów ważnych zalicza się średnie przedsiębiorstwa, czyli podmioty zatrudniające co najmniej 50 pracowników, o rocznym obrocie powyżej 10 mln euro. Podmioty objęte regulacjami mają szereg obowiązków, takich, jak między innymi przeprowadzanie regularnych ocen ryzyka, wdrażanie zaawansowanych środków ochronnych oraz zgłaszanie do CERT incydentów bezpieczeństwa. Do stosowania nowej dyrektywy będą zobowiązane także mikroprzedsiębiorstwa i małe przedsiębiorstwa, które spełnią kryteria wskazujące na ich kluczową rolę dla społeczeństwa, gospodarki, określonych sektorów lub typów usług. Będą to na przykład kwalifikowani dostawcy usług zaufania, dostawcy usług DNS czy rejestry nazw domen najwyższego poziomu.

Dyrektywa z pewnością jest odpowiedzią na zwiększone zagrożenie Europy w aspekcie cyberbezpieczeństwa. Agencja Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA) w raporcie opublikowanym w październiku 2024 roku wskazała, że w 2023 roku zanotowała ponad 11 tys. incydentów, z czego 322 były wymierzone w co najmniej dwa państwa unijne. Stwierdzono również prawie 20 tys. luk bezpieczeństwa, z czego ponad 9 proc. dotyczyło kategorii kluczowej, a prawie 22 proc. – ważnej.

Źródło: Newseria Biznes