Dyrektywa NIS2 to rozbudowana kontynuacja dyrektywy NIS. Jej celem jest dostosowanie przepisów w zakresie cyberbezpieczeństwa w państwach członkowskich UE oraz poprawa współpracy między organami odpowiedzialnymi za jego obszar. Powstanie NIS2 wyniknęło ze znaczących rozbieżności w państwach członkowskich dotyczących wymogów dyrektywy NIS oraz objętych nimi podmiotów. Zwrócono uwagę, że nie wszystkie podmioty, które mają strategiczne znaczenie dla systemów cyberbezpieczeństwa zostały zobligowane do wdrożenia założeń NIS.

W związku z powyższym, dyrektywa NIS 2 rozszerza krąg podmiotów objętych wymogami w ramach krajowego systemu cyberbezpieczeństwa oraz ich zakres obowiązków. NIS 2 wprowadza również nowy podział na podmioty kluczowe oraz podmioty ważne, rozszerza także wykaz kluczowych sektorów i rodzajów działalności.

Nowe obowiązki będą obejmować:

• Regularne audyty i oceny ryzyka cyberbezpieczeństwa;
• Regularne testy i szkolenia w zakresie cyberbezpieczeństwa;
• Implementację odpowiednich środków służących zarządzaniu ryzykiem cyberbezpieczeństwa;
• Prowadzenie dokumentacji ewidencjonującej stosowane środki cyberbezpieczeństwa;
• Zgłaszanie incydentów cyberbezpieczeństwa do odpowiednich organów oraz informacji o zidentyfikowanych zagrożeniach, które mogły doprowadzić do wystąpienia incydentu;
• Współpracę z innymi podmiotami objętymi nową dyrektywą, a także z organami nadzorczymi w celu wymiany informacji związanych z cyberbezpieczeństwem.

Podmiotami kluczowymi i ważnymi będą z założenia duże i średnie firmy, lecz w wyjątkowych przypadkach dyrektywa może dotyczyć również małych i mikro przedsiębiorców. Prawie cały katalog, z wyjątkiem dostawców usług cyfrowych, podmiotów ważnych jest nowy i obejmuje: produkcję i dystrybucję chemikaliów; produkcję, przetwarzanie i dystrybucję żywności; usługi pocztowe i kurierskie; gospodarowanie odpadami; produkcję wyrobów medycznych, optycznych, komputerowych, elektronicznych, pojazdów samochodowych.

Dyrektywa przyjmuje podejście oparte na ryzyku. Podmioty zobligowane do stosowania się do wymogów muszą ocenić ryzyko w organizacji oraz podjąć adekwatne środki, które będą proporcjonalne do ryzyka wystąpienia incydentu cyberbezpieczeństwa.

Za nieprzestrzeganie określonych wymogów będą grozić surowe konsekwencje. Dla podmiotów kluczowych maksymalna kara ma wynieść co najmniej 10 milionów euro lub 2% łącznego rocznego obrotu w poprzednim roku obrotowym przedsiębiorstwa – stosowana będzie kwota wyższa. Dla podmiotów ważnych kary będą niższe, lecz wciąż surowe. Warto więc być świadomym szerokiego zakresu środków nadzoru, którymi będą m.in. kontrole, audyty, skany bezpieczeństwa czy wnioski o przedstawienie dowodów realizacji polityki cyberbezpieczeństwa. Podmioty będą musiały nie tylko spełniać wymagania, ale również być w stanie wykazać, że postępują zgodnie z nimi.