Dyrektywa NIS 2: jak się przygotować i dlaczego warto mieć sejf na nośniki danych?

Dyrektywa ta jest odpowiedzią na rosnące zagrożenie cyberatakami na poziomie międzynarodowym i ma na celu ustanowienie ram prawnych sprzyjających podniesieniu poziomu cyberbezpieczeństwa. Wprowadzenie Dyrektywy NIS 2 jest częścią strategii UE w zakresie cyberbezpieczeństwa, która ma na celu zapewnienie wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii Europejskiej.

● Dyrektywa NIS 2 wprowadza nowe wymogi dotyczące cyberbezpieczeństwa w UE, mające na celu ochronę infrastruktury krytycznej i zwiększenie przejrzystości działań podmiotów. Zapewnienie zgodności z nowymi przepisami unijnymi jest kluczowe, aby uniknąć potencjalnych kar.

● Podmioty objęte dyrektywą dzielą się na kluczowe i ważne, z różnymi wymaganiami dotyczącymi zarządzania ryzykiem oraz zgłaszania incydentów bezpieczeństwa.

● Zarządzanie ryzykiem w ramach NIS2 wymaga regularnych audytów, stosowania zaawansowanych środków ochrony oraz przeprowadzania szkoleń dla pracowników w zakresie cyberbezpieczeństwa.

Dyrektywa NIS 2 jest nową regulacją prawną w sprawie bezpieczeństwa sieci i informacji, która została przyjęta przez Unię Europejską w 2022 r. celem zwiększenia poziomu cyberbezpieczeństwa w państwach członkowskich. Dyrektywa NIS 2 to nowelizacja pierwszego europejskiego prawa dotyczącego cyberbezpieczeństwa. Głównymi celami Dyrektywy NIS 2 są zwiększenie cyberbezpieczeństwa w UE oraz wprowadzenie środków ochrony infrastruktury krytycznej. Potrzeba wprowadzenia tych przepisów wynika z rosnącego wyrafinowania zagrożeń cyberbezpieczeństwa, które wymagają bardziej zaawansowanych i skutecznych środków ochrony.

Dyrektywa NIS 2 wprowadza szereg nowych wymogów i środków, które mają na celu zwiększenie zdolności reagowania na incydenty bezpieczeństwa komputerowego. W ramach dyrektywy państwa członkowskie są zobowiązane do ustanowienia krajowych strategii cyberbezpieczeństwa oraz do współpracy na poziomie unijnym w celu skutecznego przeciwdziałania zagrożeniom cybernetycznym. Dzięki tym działaniom dyrektywa ma na celu stworzenie bezpieczniejszego i odporniejszego na zagrożenia cyfrowe środowiska w całej Unii Europejskiej.

W porównaniu do wcześniejszej dyrektywy NIS z 2016 roku, dyrektywa NIS 2 wprowadza szereg aktualizacji i dostosowań, które mają na celu lepsze dostosowanie do zmieniających się warunków i zagrożeń. Nowe regulacje obejmują wzmocnienie cyberbezpieczeństwa, wprowadzenie nowych środków zarządzania ryzykiem oraz większą przejrzystość działań podmiotów objętych dyrektywą. Dyrektywa NIS 2 weszła w życie 16. stycznia 2023 roku, a państwa członkowskie miały czas do 18. października 2024 roku na dostosowanie przepisów krajowych. W Polsce Dyrektywa NIS 2 ma zostać implementowana do prawa krajowego w 2025 roku.

Wprowadzone dyrektywą NIS 2 zmiany mają na celu nie tylko zwiększenie bezpieczeństwa sieci i systemów informatycznych, ale również wzmocnienie możliwości reagowania na incydenty oraz zarządzania ryzykiem w zakresie cyberbezpieczeństwa. Skuteczne egzekwowanie przepisów dyrektywy ma przyczynić się do stworzenia odporniejszej na cyber-zagrożenia infrastruktury w całej Unii Europejskiej.

Dyrektywa NIS2 ma na celu wzmocnienie poziomu cyberbezpieczeństwa w krajach UE poprzez wprowadzenie nowych obowiązków dla 18 sektorów gospodarki. Obejmuje ona zarówno podmioty z sektora prywatnego, jak i publicznego, w zależności od ich wielkości i znaczenia dla bezpieczeństwa. Ochrona infrastruktury cyfrowej jest kluczowym elementem dla bezpieczeństwa i funkcjonowania gospodarki, co podkreśla konieczność przeprowadzania audytów bezpieczeństwa oraz wdrażania planów ciągłości działania.

Sektory o wysokim stopniu krytyczności, takie jak: energetyka, transport, opieka zdrowotna oraz finanse, są szczególnie objęte regulacjami dyrektywy, które mają na celu ochronę tych kluczowych obszarów infrastruktury.

Podmioty objęte dyrektywą NIS2 dzielą się na podmioty kluczowe i ważne. Podmioty kluczowe to głównie duże firmy, jednak w pewnych przypadkach mogą nimi być także mniejsze przedsiębiorstwa, co ma kluczowe znaczenie. Z kolei podmioty ważne to przedsiębiorstwa, które, mimo że mogą być mikro- lub małymi firmami, muszą spełniać wszystkie wymagania zawarte w Dyrektywie NIS2.

Podmioty kluczowe w ramach NIS2 to głównie duże firmy, które mają znaczący wpływ na infrastrukturę krytyczną. Mogą to być:

• – operatorzy usług bankowych,
• – operatorzy usług kluczowych,
  
• – administracja publiczna,
  
• – dostawcy usług cyfrowych,
  
• – energetyka,
  
• – opieka zdrowotna.

Ministerstwo Cyfryzacji ma możliwość decyzji o objęciu małych i mikroprzedsiębiorstw obowiązkami wynikającymi z dyrektywy NIS2.

W razie incydentów takie podmioty mają obowiązek stosowania uwierzytelniania wieloskładnikowego oraz zgłaszania incydentów bezpieczeństwa komputerowego.

Wszystkie te działania mają na celu zapewnienie wysokiego wspólnego poziomu cyberbezpieczeństwa oraz bezpieczeństwa sieci i systemów informatycznych oraz ochronę przed poważnymi incydentami, które mogłyby zaszkodzić gospodarce i społeczeństwu. Podmioty kluczowe muszą regularnie przeprowadzać audyt bezpieczeństwa w obszarach bezpieczeństwa sieci i środków ochrony, aby monitorować i oceniać skuteczność wdrożonych środków ochrony, w tym bezpieczeństwa sieci oraz zabezpieczonych połączeń głosowych.

Podmioty ważne (np. usługi cyfrowe, produkcja sprzętu IT, gospodarka odpadami) to przedsiębiorstwa, które, mimo że mogą być mikro- lub małymi firmami i podlegają lżejszym mechanizmom nadzoru, ale wciąż muszą spełniać wszystkie wymagania zawarte w Dyrektywie NIS2. Różnią się one od podmiotów kluczowych głównie zakresem i natężeniem wpływu na infrastrukturę krytyczną oraz poziomem wymogów w zakresie cyberbezpieczeństwa.

Podmioty ważne muszą stosować się do wymagań NIS2 niezależnie od swojej wielkości, co obejmuje m.in. zarządzanie ryzykiem i zgłaszanie incydentów bezpieczeństwa. Przedsiębiorstwa te muszą również regularnie aktualizować swoje strategie bezpieczeństwa, aby dostosować się do zmieniających się zagrożeń i zapewnić zgodność z przepisami prowadzenia działalności. W kontekście wdrażania dyrektywy NIS 2 szczególne znaczenie ma bezpieczeństwo łańcucha dostaw, które wymaga od firm spełniania odpowiednich wymogów, aby utrzymać współpracę z podmiotami objętymi dyrektywą.

Podmioty objęte Dyrektywą NIS2, w tym podmioty kluczowe i ważne, są zobowiązane do wdrożenia szeregu środków i procedur związanych z zarządzaniem ryzykiem cyberbezpieczeństwa. Do najważniejszych obowiązków należą: 

● wdrożenie systemu zarządzania ryzykiem cyberbezpieczeństwa, 
● ustanowienie procedur postępowania w przypadku incydentów bezpieczeństwa komputerowego,
● ustanowienie systemu monitorowania i reagowania na incydenty bezpieczeństwa komputerowego,
● ustanowienie procedur postępowania w przypadku naruszenia danych osobowych. 

Podmioty te są również zobowiązane do zapewnienia regularnych szkoleń dla osób lub organów zarządzających w firmie oraz do zgłaszania incydentów cyberbezpieczeństwa.

Wdrożenie systemu zarządzania ryzykiem cyberbezpieczeństwa obejmuje identyfikację, ocenę i zarządzanie ryzykami związanymi z bezpieczeństwem sieci i systemów informatycznych. Podmioty kluczowe i ważne muszą również opracować i wdrożyć plany ciągłości działania oraz plany przywracania po awarii, aby zapewnić minimalizację wpływu incydentów na ich działalność. Regularne szkolenia dla pracowników są istotne, aby zapewnić, że wszyscy są świadomi zagrożeń i wiedzą, jak na nie reagować.

Celem dyrektywy NIS2 jest stworzenie odporniejszych systemów informatycznych w UE, co jest kluczowe w obliczu rosnących zagrożeń cybernetycznych. Najważniejszą rolę w tym procesie odgrywa infrastruktura cyfrowa, która stanowi podstawę nowoczesnego społeczeństwa opartego na zarządzaniu informacjami. Zmienione regulacje w Dyrektywie NIS2 zwiększają odpowiedzialność podmiotów, wymagając od nich większej przejrzystości oraz zastosowania zaawansowanych środków ochrony.

Podmioty kluczowe i ważne powinny stosować polityki kontroli dostępu oraz zarządzania aktywami, aby zabezpieczyć swoje zasoby informacyjne. Zastosowanie normy ISO/IEC 27001 w zakresie zarządzania bezpieczeństwem informacji pozwala na ujednolicenie procedur ochrony danych. W ramach ISO/IEC 27001 audyty bezpieczeństwa są kluczowe dla oceny skuteczności wdrożonych środków ochrony danych.

Zarządzanie bezpieczeństwem informacji według ISO 27001 wymaga ciągłej oceny ryzyk związanych z fizycznym przechowywaniem danych i podejmowania odpowiednich działań w celu ich neutralizacji. Osoby odpowiedzialne za zarządzanie ryzykiem w cyberbezpieczeństwie w firmach muszą odbywać regularne szkolenia w zakresie aktualnych praktyk i procedur.

Dyrektywa NIS2 wymaga od organizacji przeprowadzenia własnej oceny ryzyka oraz doboru i wdrożenia odpowiednich środków w celu zarządzania ryzykiem. Środki zarządzania ryzykiem powinny opierać się na identyfikacji różnych zagrożeń, takich jak kradzież, ataki DDoS i awarie techniczne. Kluczową rolę odgrywa polityka ‘czystego biurka’ i ‘czystego ekranu’, która ma na celu ograniczenie dostępu do wrażliwych informacji.

Fizyczne bezpieczeństwo kopii zapasowych obejmuje kontrolę dostępu do serwerowni, bezpieczeństwo kopii zapasowych trzymanych poza serwerownią czy siedzibą firmy i zabezpieczenie sprzętu przed kradzieżą. Kontrolowanie dostępu do pomieszczeń i kontrolowanie sejfów na nośniki danych, w których przechowywane są kopie zapasowe, jest niezbędne do minimalizacji ryzyka kradzieży, uszkodzenia lub utraty tych danych np. w wyniku pożaru. Regularne audyty bezpieczeństwa są kluczowe dla oceny efektywności środków ochrony fizycznego przechowywania danych.

Norma ISO/IEC 27001 zawiera szczegółowe kontrole dotyczące bezpieczeństwa fizycznego i środowiskowego, które powinny być wdrażane dla zapewnienia ochrony kopii zapasowych. Uznane normy międzynarodowe, takie jak ISO/IEC 27001, dostarczają szczegółowych wytycznych i dobrych praktyk dotyczących bezpieczeństwa fizycznego i kopii zapasowych.

Podmioty objęte zakresem Dyrektywy powinny przeprowadzić lub zaktualizować analizy ryzyka dotyczące fizycznego zabezpieczenia kopii zapasowych. W środowisku pracy opartym na rozproszonych rozwiązaniach chmurowych warto rozważyć politykę tworzenia i przechowywania backupów danych, aby umożliwić ich odzyskanie w przypadku kradzieży, zniszczenia lub zaszyfrowania w wyniku ataku hakerskiego. W takich sytuacjach fizyczna kontrola nad kopiami zapasowymi zapisanymi na taśmach LTO może stanowić kluczowy element strategii zarządzania bezpieczeństwem danych oraz zdolności ich odtworzenia.

Przeczytaj także:  Zabezpieczenie serwerowni – jak to zrobić?

Obowiązki wynikające z NIS 2 obejmują zarządzanie ryzykiem oraz obowiązek zgłaszania istotnych incydentów w ciągu 24 godzin. Organizacje muszą mieć procedurę szybkiego zgłaszania zdarzeń do odpowiednich organów, z terminem zgłoszenia wynoszącym maksymalnie 24 godziny od wykrycia incydentu oraz zdolność reagowania na te incydenty.

Zgłoszenie incydentu powinno zawierać szczegóły dotyczące jego wpływu na działalność i możliwe transgraniczne konsekwencje, zwłaszcza w przypadku incydentów wpływających na co najmniej dwa państwa członkowskie oraz poważnych incydentów. Wszystkie firmy muszą opracować plan zarządzania incydentami, który określi procedury wykrywania, zgłaszania i reagowania na incydenty.

Organy nadzorcze odpowiedzialne za cyberbezpieczeństwo posiadają szerokie uprawnienia w zakresie kontroli i egzekwowania przepisów Dyrektywy NIS 2. Mają prawo do przeprowadzania audytów u operatorów usług kluczowych oraz dostawców usług cyfrowych w celu oceny przestrzegania przez nich przepisów Dyrektywy NIS 2.

W przypadku stwierdzenia naruszenia przepisów organy mogą nałożyć kary administracyjne na podmioty, które się nie dostosowały. Organy mają również prawo żądać informacji oraz dokumentacji dotyczącej bezpieczeństwa cybernetycznego od podmiotów, które podlegają ich nadzorowi. Wydawanie nakazów dotyczących zgodności z wymaganiami Dyrektywy NIS 2 jest również w ich kompetencji.

Organizacje mogą ponieść kary finansowe za niedostosowanie się do wymogów zawartych w dyrektywie NIS 2. Kary te są znaczące i mogą sięgać do 10 mln euro lub 2% całkowitego rocznego obrotu (dotyczy podmiotów kluczowych). Ponadto, kierownictwo firmy (zarząd lub właściciele) może ponosić osobistą odpowiedzialność za ewentualne zaniedbania.

Dodatkowo na podmioty, które nie spełniają wymagań, mogą być nałożone inne sankcje administracyjne, takie jak nakazy naprawcze lub nakazy zaprzestania działalności do czasu usunięcia naruszeń. Takie środki mają na celu zapewnienie, że wszyscy operatorzy świadczący usługi kluczowe i dostawcy usług cyfrowych stosują się do przepisów Dyrektywy NIS 2.

Dyrektywa NIS2 nakłada na państwa członkowskie obowiązek tworzenia krajowych organów odpowiedzialnych za cyberbezpieczeństwo, oraz współpracy na szczeblu Unii Europejskiej. Centralnym elementem współpracy jest utworzenie w każdym państwie członkowskim Zespołu Reagowania na Incydenty Bezpieczeństwa Komputerowego (CSIRT). CSIRT będzie odpowiedzialny za obsługę incydentów bezpieczeństwa komputerowego, oraz za współpracę z innymi państwami członkowskimi w celu zapewnienia wysokiego poziomu cyberbezpieczeństwa w Unii Europejskiej.

Współpraca międzynarodowa jest kluczowa w zapewnieniu skutecznej ochrony przed cyberzagrożeniami, oraz w przypadku incydentów, które mogą mieć wpływ na bezpieczeństwo publiczne. Dzięki współpracy między państwami członkowskimi, możliwe jest szybkie i skuteczne reagowanie na zagrożenia, a także wymiana informacji i najlepszych praktyk w zakresie cyberbezpieczeństwa. Dyrektywa NIS2 ma na celu stworzenie zintegrowanego systemu ochrony, który będzie w stanie skutecznie przeciwdziałać zagrożeniom cybernetycznym na poziomie międzynarodowym.

Polska pracuje nad nowelizacją ustawy dotyczącej krajowego systemu cyberbezpieczeństwa w kontekście Dyrektywy NIS2. Obowiązki nałożone na firmy w wyniku dyrektywą NIS2 wejdą w życie zgodnie z ustawą dostosowującą przepisy krajowe. Termin wdrożenia dyrektywy do prawa krajowego w Polsce upływa 18 października 2024 roku.

Dyrektywa NIS2 nakłada obowiązek na państwa członkowskie ue w państwach członkowskich unii europejskiej w zakresie ustanowienia odpowiednich ram prawnych dotyczących dziedzinie cyberbezpieczeństwa. Ustawa o krajowym systemie cyberbezpieczeństwa w Polsce wymaga dostosowania przepisów do postanowień dyrektywy, co jest kluczowe dla uniknięcia sankcji.

Podmioty powinny monitorować postęp prac nad finalizacją polskiej ustawy o krajowym systemie cyberbezpieczeństwa w obszarze cyberbezpieczeństwa.

Firmy powinny dostosować swoje procedury do wymogów Dyrektywy NIS2, co wiąże się z przeprowadzeniem audytu bezpieczeństwa IT oraz identyfikacją kluczowych systemów. W ramach przygotowań przedsiębiorstwa muszą przeprowadzić analizę ryzyka, aby zidentyfikować potencjalne zagrożenia i słabe punkty w zabezpieczeniach.

Dostosowanie procedur stosowania kryptografii do wymogów NIS2 obejmuje:

1. Przeprowadzenie audytu bezpieczeństwa IT
2. Identyfikację krytycznych systemów
3. Analizę ryzyka w celu określenia potencjalnych zagrożeń i luk w zabezpieczeniach

Wymogi NIS2 dotyczą m.in. polityki analizy ryzyka, zarządzania incydentami oraz zapewnienia ciągłości działania, w tym procesów przywracania po awarii. Zaleca się wdrożenie środków ochrony takich jak systemy IDS/IPS, SIEM oraz segmentacja sieci, aby zwiększyć poziom bezpieczeństwa. Istotne jest również, aby pracownicy uczestniczyli w szkoleniach dotyczących bezpieczeństwa, co pozwoli im lepiej rozumieć zagrożenia i sposoby ich minimalizacji.

Sejf na nośniki danych jako element procesu zarządzania ryzykiem jest istotnym środkiem zabezpieczającym przed kradzieżą i zniszczeniem w przypadku pożaru. Sejfy te mogą również pomóc w zabezpieczaniu backupów off-site, co jest kluczowe dla zapewnienia ciągłości działania firmy.

Zabezpieczanie kopii zapasowych w sejfach na nośniki danych magnetycznych (taśmy LTO) wpisuje się w politykę fizycznego władztwa nad danymi, zgodnie z maksymą, że chmura nie istnieje. To tylko komputer należący do kogoś innego. Wybór konkretnych środków zabezpieczenia fizycznego backupów musi wynikać z przeprowadzonej analizy ryzyka przez dany podmiot.

W praktyce oznacza to, że organizacje muszą dokładnie ocenić potencjalne zagrożenia, takie jak pożar, zalanie, kradzież czy uszkodzenia mechaniczne czy rozmagnetyzowanie, które mogą wpłynąć na integralność i dostępność danych backupowych. Sejfy na nośniki danych powinny spełniać odpowiednie normy bezpieczeństwa, być odporne na ogień - S 60 DIS lub S 120 DIS wg PN-EN 1047-1, wodę lub pianę gaśniczą. Oprócz kradzieży czy uszkodzenia to właśnie niebezpieczeństwo pożaru stanowi największe zagrożenie dla integralności backupów - taśmy LTO są bardzo wrażliwe na wzrost temperatury i mają niską temperaturę samozapłonu. Dlatego sejfy na nośniki danych magnetycznych są duże, ciężkie, mają bardzo grube ściany i stosunkowo niewiele przestrzeni w środku. Są one poddawane morderczym testom trwającym ponad 24 h w temperaturze przekraczającej 1024 stopnie Celsjusza.

Dodatkowo, ważnym elementem jest odpowiednie zarządzanie dostępem do sejfu, które powinno być ograniczone do wyznaczonych osób, a wszelkie operacje związane z kopiami zapasowymi powinny być rejestrowane i monitorowane. Sejf na nośniki danych powinien być wyposażony w specjalne półki do przechowywania taśm LTO, systemy zabezpieczeń antywłamaniowych, w tym bezpieczny zamek elektroniczny z kontrolą otwarć i w razie potrzeby być podłączony do instalacji alarmowej. Wdrożenie takich praktyk minimalizuje ryzyko nieautoryzowanego dostępu oraz utraty danych.

W kontekście dyrektywy NIS 2 fizyczne zabezpieczenie kopii zapasowych jest jednym z wielu wymogów dotyczących zarządzania ryzykiem infrastruktury cyfrowej, które podmioty objęte regulacjami muszą spełnić na terytorium całej Unii Europejskiej. Włączenie elementów ochrony pasywnej – tj. m. in. sejfów na nośniki danych do kompleksowej strategii bezpieczeństwa pozwala na lepszą ochronę przed różnorodnymi zagrożeniami i uniknięcie poważnych incydentów związanych z bezpieczeństwem cybernetycznym, a także ułatwia spełnienie wymagań dotyczących ciągłości działania i odzyskiwania danych po awarii.

Podsumowując: sejfy na nośniki danych to nie tylko element fizycznej ochrony, ale także ważny składnik procesu zarządzania ryzykiem, który powinien być integralnie powiązany z politykami i procedurami bezpieczeństwa IT w organizacji zgodnie z Dyrektywą NIS 2.

Dyrektywa NIS 2 wprowadza istotne zmiany w dziedzinie cyberbezpieczeństwa, mające na celu zwiększenie ochrony infrastruktury krytycznej w UE. Jest to dyrektywa zmieniająca rozporządzenie, która aktualizuje wcześniejsze przepisy dotyczące cyberbezpieczeństwa. Wymogi dotyczące zarządzania ryzykiem, zgłaszania incydentów oraz fizycznego zabezpieczania kopii zapasowych są kluczowe dla zapewnienia bezpieczeństwa sieci i systemów informatycznych.

Przedsiębiorstwa muszą być świadome nowych przepisów i odpowiednio się do nich przygotować. Regularne audyty, analiza ryzyka oraz stosowanie uznanych norm międzynarodowych, takich jak ISO/IEC 27001, są niezbędne dla skutecznego zarządzania bezpieczeństwem informacji. Implementacja dyrektywy NIS2 w Polsce i innych państwach członkowskich UE jest krokiem w stronę bardziej bezpiecznego i odpornego na zagrożenia cyfrowe środowiska biznesowego.

Zgodność z Dyrektywą NIS 2 w zakresie fizycznego bezpieczeństwa kopii zapasowych (w tym przechowywanych w sejfach danych zgromadzonych na nośnikach magnetycznych) nie sprowadza się do implementacji jednego, konkretnego rozwiązania technicznego. Kluczem jest wdrożenie i utrzymanie udokumentowanego procesu zarządzania ryzykiem, który obejmuje identyfikację zagrożeń fizycznych i środowiskowych, ocenę ich prawdopodobieństwa i wpływu, a następnie wybór, wdrożenie i regularną ocenę skuteczności adekwatnych środków zaradczych.

Dyrektywa NIS2 bardzo wysoko podnosi poprzeczkę w zakresie cyberbezpieczeństwa, integrując w jego ramy również aspekty fizyczne, takie jak ochrona kopii zapasowych. Choć nie narzuca konkretnych technologii, wymaga od organizacji dojrzałego i udokumentowanego podejścia do zarządzania ryzykiem.

Dyrektywa NIS 2 jest nowelizacją europejskiego prawa dotyczącego cyberbezpieczeństwa, która ma na celu wzmocnienie ochrony infrastruktury krytycznej w Unii Europejskiej. Jej wprowadzenie ma na celu podniesienie standardów bezpieczeństwa wśród państw członkowskich.

Dyrektywa NIS 2 obejmuje podmioty kluczowe, czyli duże firmy, oraz podmioty ważne, czyli mniejsze przedsiębiorstwa, które mają istotne znaczenie dla infrastruktury krytycznej. Podmioty mogą być kwalifikowane jako 'podmiot ważny' lub 'podmiot kluczowy' na podstawie ich roli w społeczeństwie oraz sektorze usług, co wiąże się z różnymi obowiązkami prawnymi w zakresie cyberbezpieczeństwa oraz wymogami rejestracyjnymi.

Wymogi dotyczące zarządzania ryzykiem w cyberbezpieczeństwie według NIS 2 obejmują przeprowadzenie analizy ryzyka, wdrożenie odpowiednich środków ochrony oraz regularne audyty bezpieczeństwa, zgodnie z normą ISO/IEC 27001. Dyrektywa NIS2 ustanawia ogólne standardy w zakresie cyberbezpieczeństwa, aby zapewnić rzecz wysokiego wspólnego poziomu ochrony. Przestrzeganie tych zasad jest kluczowe dla minimalizacji zagrożeń w obszarze cyberbezpieczeństwa.

Niedostosowanie się do przepisów NIS 2 może skutkować karami finansowymi oraz innymi sankcjami administracyjnymi, w tym nakazami naprawczymi lub wstrzymaniem działalności do czasu usunięcia naruszeń.

Polska implementuje dyrektywę NIS 2 poprzez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa, która ma być zakończona do 18. października 2024 roku. Jest to kluczowy krok wzmocnienia krajowego systemu ochrony przed cyberzagrożeniami.