Dyrektywa NIS2. Cyberbezpieczeństwo w zgodzie z prawem

Rozdział I – Wstęp

Dyrektywa NIS (Network and Information Security Directive) została wprowadzona przez Komisję Europejską w 2016 roku równolegle z Rozporządzeniem o Ochronie Danych Osobowych (General Data Protection Regulation). Wdrożenie przepisów RODO odbiło się szerokim echem na całym świecie, w przeciwieństwie do Dyrektywy NIS, która była ledwie zauważalna. Stało się tak z trzech głównych powodów:

• Dyrektywa to nie rozporządzenie: dyrektywa w przeciwieństwie do rozporządzenia jest tylko wytyczną do wdrożenia. Państwo członkowskie ma obowiązek stworzyć lokalne przepisy prawne na podstawie dyrektywy, przez co mają możliwość interpretacji oraz wprowadzania zmian w ostatecznej wersji przepisów. Natomiast rozporządzenie obowiązuje wprost i nie pozostawia państwom członkowskim możliwości kształtowania jego treści, a jedynie dopuszcza regulacje uzupełniające w zakresie wykraczającym poza zasięg rozporządzenia.
• Brak konkretnych wymogów bezpieczeństwa: Oryginalna Dyrektywa nie zawierała konkretnych wytycznych jakie muszą spełnić podmioty jej podległe. Artykuł 14 pkt. 1 Dyrektywy NIS “Państwa członkowskie zapewniają, aby operatorzy usług kluczowych podejmowali odpowiednie i proporcjonalne środki techniczne i organizacyjne w celu zarządzania ryzykami, na jakie narażone są wykorzystywane przez nich sieci i systemy informatyczne. Uwzględniając najnowszy stan wiedzy, środki te muszą zapewniać poziom bezpieczeństwa sieci i systemów informatycznych odpowiedni do istniejącego ryzyka.”¹
• Niska świadomość na temat cyberbezpieczeństwa: Pierwsza usługa chmurowa Amazon Web Services powstała w roku 2006, jednak dopiero w roku 2015 usługi chmurowe zaczęły być wykorzystywane masowo, wtedy też zaczęła się obecnie trwająca transformacja cyfrowa. Do tego czasu większość systemów IT oraz przetwarzanych danych były w lokalnych centrach danych, a praca zdalna była uznawana za ewenement. To wszystko miało bezpośredni wpływ na bardzo niską świadomość firm o cyberbezpieczeństwie i zarazem nie było traktowane jako priorytet nawet dla operatorów kluczowych usług.