W ramach dyrektywy NIS2 „ważny” nie oznacza lżejszej kategorii bezpieczeństwa

Ćwiczenie dotyczące zakresu NIS2 może zakończyć się chwilą ulgi. Zespół analizuje dany sektor według załączników I i II, sprawdza liczbę pracowników oraz obrót w odniesieniu do progów wielkościowych i dochodzi do wniosku, że jest to podmiot „ważny”, a nie „kluczowy”. Ta informacja trafia na wyższe szczeble jako dobra wiadomość: jesteśmy w lżejszej kategorii, więc program bezpieczeństwa można odpowiednio dostosować. Lista kontroli zostaje okrojona, proces reagowania na incydenty odłożony na później, a zarząd dowiaduje się, że NIS2 jest mniej restrykcyjna.

Takie rozumienie słowa „ważny” jest błędem. Kategorie podmiotów kluczowych i ważnych nie stanowią cięższej i lżejszej wersji tych samych obowiązków dotyczących bezpieczeństwa. Są to dwa reżimy nadzoru i egzekwowania prawa, które dotyczą tych samych obowiązków. Kategoria, do której należy dany podmiot, wpływa na sposób jego kontroli, dodatkowe narzędzia egzekwowania prawa, którymi dysponuje organ nadzorczy, oraz minimalny próg maksymalnych kar na poziomie krajowym. Nie wpływa natomiast na środki bezpieczeństwa, które należy wdrożyć.

Obowiązki, które nie zmieniają się wraz z kategorią

Substancjalne obowiązki wynikające z NIS2 zostały sformułowane dla obu kategorii jednocześnie. Artykuł 21 ust. 1 dyrektywy (UE) 2022/2555 (przyjętej 14 grudnia 2022 r.) zobowiązuje państwa członkowskie do zapewnienia, że podmioty kluczowe i ważne podejmują odpowiednie i proporcjonalne środki techniczne, operacyjne i organizacyjne w celu zarządzania ryzykiem związanym z bezpieczeństwem sieci i systemów informacyjnych, których te podmioty używają w ramach swojej działalności lub świadczenia usług, oraz zapobiegania lub minimalizowania wpływu incydentów na odbiorców ich usług i na inne usługi. Minimalna lista środków określona w artykule 21 ust. 2, obejmująca analizę ryzyka i reagowanie na incydenty, bezpieczeństwo łańcucha dostaw, kontrolę dostępu oraz stosowanie kryptografii, jest jedną listą. Nie istnieje krótszy załącznik środków dla podmiotów ważnych ani dłuższy dla podmiotów kluczowych.

Obowiązek raportowania został sformułowany w ten sam sposób. Artykuł 23 zobowiązuje zarówno podmioty kluczowe, jak i ważne do zgłaszania istotnych incydentów do CSIRT lub właściwego organu: wczesne ostrzeżenie w ciągu 24 godzin od stwierdzenia incydentu oraz zgłoszenie incydentu w ciągu 72 godzin. W przypadku dostawców usług zaufania drugi termin wynosi 24 godziny, jeśli istotny incydent wpływa na świadczenie ich usług zaufania. Końcowe sprawozdanie należy przekazać w ciągu miesiąca od zgłoszenia incydentu; jeśli incydent nadal trwa, należy przedstawić sprawozdanie postępów, a następnie końcowe sprawozdanie w ciągu miesiąca od zakończenia incydentu. Terminy nie są wydłużone dla kategorii podmiotów ważnych. Podmiot ważny, który traktuje gotowość do raportowania incydentów jako opcjonalną, błędnie interpretuje ten sam artykuł, do którego zobowiązany jest podmiot kluczowy.

Pierwsza poprawka jest zatem faktograficzna. Jeśli ćwiczenie dotyczące zakresu kończy się wnioskiem „ważny, więc mniej kontroli”, wówczas stworzono rozróżnienie, którego dyrektywa nie przewiduje. Artykuł 21 jest źródłem obowiązku, a artykuł 21 nie zna Twojej kategorii.

Etykietka nie jest nawet przybliżeniem zakresu obowiązków

Pod tą pierwszą pomyłką kryje się druga, cichsza: założenie, że określenie „ważny” jest równoznaczne z „mniejszy”, więc lżejszy program jest proporcjonalny. Klasyfikacja nie działa w ten sposób. Zgodnie z artykułem 3 podmioty kluczowe to przede wszystkim podmioty należące do typów wymienionych w załączniku I (sektory o wysokim znaczeniu krytycznym, takie jak energetyka, transport, bankowość, ochrona zdrowia i infrastruktura cyfrowa), które przekraczają progi dla średnich przedsiębiorstw określone w zaleceniu Komisji 2003/361/WE z 6 maja 2003 r., wraz z określonymi typami podmiotów kluczowych niezależnie od wielkości. Wiarygodni dostawcy usług zaufania, rejestratorzy nazw TLD oraz dostawcy usług DNS są kluczowi niezależnie od liczby pracowników. Podmioty ważne to z kolei, w punkcie wyjścia, pozostała kategoria określona w artykule 3 ust. 2: podmioty należące do typów wymienionych w załączniku I lub II, które nie kwalifikują się jako kluczowe. W połączeniu z artykułem 2 oznacza to, że ta pozostała kategoria nie obejmuje wszystkich podmiotów z załącznika I lub II, które nie są kluczowe. Ogólna reguła obejmuje średnie i duże podmioty; mniejsze podmioty są objęte zakresem jedynie poprzez określone ścieżki niezależne od wielkości. Państwa członkowskie mogą również identyfikować podmioty jako ważne na podstawie artykułu 2 ust. 2 lit. b)–e), a duży podmiot z załącznika II może zostać uznany za kluczowy na podstawie artykułu 3 ust. 1 lit. e) lub stać się kluczowy poprzez identyfikację jako podmiot krytyczny zgodnie z artykułem 3 ust. 1 lit. f).

Analizując to zagadnienie, etykietka odrywa się od wielkości. Duży międzynarodowy koncern działający w określonym sektorze załącznika II, na przykład w przemyśle spożywczym, chemicznym lub będący dostawcą cyfrowym, takim jak platforma handlowa, może być podmiotem „ważnym”, nawet jeśli zatrudnia dziesiątki tysięcy pracowników, ponieważ sama wielkość nie podnosi sektora załącznika II do kategorii kluczowej. Tymczasem mały dostawca usług DNS jest kluczowy niezależnie od wielkości. Odpowiednie środki dla tego dużego podmiotu ważnego nie są skromne, ponieważ proporcjonalność określona w artykule 21 ust. 1 odnosi się do ekspozycji na ryzyko danego podmiotu, jego wielkości, prawdopodobieństwa i ciężkości incydentów oraz stanu techniki, a nie do kategorii. Nie można określić zakresu obowiązków na podstawie słowa „ważny”. Podmiot, który to robi, prawdopodobnie niedoszacuje wymagań. To ostatnie zdanie jest oceną praktyczną, a nie statystyką.

Co tak naprawdę zmienia kategoria

Kategoria wpływa na trzy aspekty, które warto wymienić, ponieważ są one istotne.

Po pierwsze, określa ona podejście nadzorcze. Artykuł 32, dotyczący podmiotów kluczowych, daje organom właściwym zestaw narzędzi proaktywnych: regularne i ukierunkowane audyty bezpieczeństwa, kontrole na miejscu, nadzór zdalny, w tym losowe kontrole, oraz skanowanie bezpieczeństwa. Podmiot kluczowy może zostać poddany audytowi, ponieważ nadszedł na to czas, bez konieczności wystąpienia incydentu. Ukierunkowane audyty mogą być finansowane przez podmiot i mogą prowadzić do działań egzekwujących; nie są to bezpłatne ćwiczenia. Artykuł 33, dotyczący podmiotów ważnych, został sformułowany w oparciu o bodziec reaktywny. Jego środki nadzorcze i egzekwujące stosuje się „w przypadku, gdy organy właściwe otrzymają dowody, wskazówki lub informacje świadczące o tym, że podmiot ważny rzekomo nie przestrzega przepisów”. Artykuł 33 jest jasny: jest to nadzór ex post. Informacje wynikające z incydentu lub jego zgłoszenia zgodnie z artykułem 23 mogą stanowić taki bodziec, jeśli wskazują na możliwe nieprzestrzeganie przepisów. Mogą to być również skarga, doniesienie medialne lub informacje pochodzące od innego organu. Sam incydent nie jest dowodem nieprzestrzegania przepisów.

Po drugie, kategoria określa dodatkowe narzędzia egzekwowania prawa dla podmiotów kluczowych. Artykuł 32 ust. 5 pozwala organowi, w ostateczności, zawiesić certyfikację lub zezwolenie dotyczące odpowiednich części usługi lub zażądać czasowego zakazu wykonywania funkcji przez osobę fizyczną pełniącą funkcje kierownicze na szczeblu dyrektora generalnego lub przedstawiciela prawnego. Narzędzia te zostały określone dla podmiotów kluczowych, a nie ważnych.

Po trzecie, kategoria określa minimalny próg maksymalnych kar administracyjnych na poziomie krajowym za naruszenia artykułów 21 lub 23. Artykuł 34 ust. 4 wymaga, aby podmioty kluczowe podlegały karom administracyjnym w maksymalnej wysokości co najmniej 10 000 000 EUR lub co najmniej 2% całkowitego rocznego światowego obrotu, w zależności od tego, która kwota jest wyższa. Artykuł 34 ust. 5 określa niższy próg dla podmiotów ważnych, wynoszący co najmniej 7 000 000 EUR lub co najmniej 1,4% całkowitego rocznego światowego obrotu. Kwoty te stanowią minimalny poziom, który każde państwo członkowskie musi ustalić jako maksymalną karę za te naruszenia. Nie są to limity obowiązujące w całej UE ani formuła dla każdej indywidualnej kary.

Te trzy różnice zmieniają sposób funkcjonowania podmiotu w relacjach z organem regulacyjnym. Żadna z nich nie oznacza zmniejszenia wymagań dotyczących bezpieczeństwa, które należy wdrożyć.

Nadzór reaktywny to powód do większej, a nie mniejszej rygorystyczności

Oto błąd, który może popełnić zespół określający zakres. Lżejszy nadzór w kategorii ważnych jest łatwy do interpretacji jako mniejsze obciążenie. Operacyjnie może się to jednak obrócić przeciwko podmiotowi. Podmiot kluczowy częściej spotyka się z organem podczas zaplanowanego audytu zgodnie z artykułem 32, gdy systemy działają normalnie. Spotkanie to może nadal prowadzić do ustaleń i kosztów. Daje jednak szansę na zamknięcie luk przed wystąpieniem incydentu. Podmiot ważny podlega działaniom nadzorczym zgodnie z artykułem 33 dopiero wówczas, gdy istnieją przesłanki wskazujące na nieprzestrzeganie przepisów. Nadal może mieć inne interakcje z organem regulacyjnym, w tym zgłoszenia incydentów zgodnie z artykułem 23. Motyw 122 tej samej dyrektywy wskazuje, że podmioty ważne nie powinny być zobowiązane do systematycznego dokumentowania zgodności ze środkami zarządzania ryzykiem cybernetycznym. Nie jest to jednak pozwolenie na brak dowodów. Jest to powód, zgodnie z praktyczną radą, a nie obowiązkiem prawnym, aby zachować decyzje dotyczące ryzyka, proces reagowania na incydenty oraz dzienniki, które byłyby faktycznie potrzebne, jeśli pierwszą rozmową z organem będzie dochodzenie, a nie audit.

Kategoria, która podlega lżejszemu nadzorowi, to kategoria, która musi nad sobą czuwać. Lżejszy nadzór nie oznacza mniejszego ryzyka. Oznacza ryzyko odroczone do gorszego momentu.

Uczciwy sprzeciw

Najsilniejszym kontrargumentem jest słowo „proporcjonalny” w artykule 21 ust. 1. Mały podmiot ważny może i powinien wdrożyć lżejszy zestaw środków niż duży podmiot kluczowy z sektora energetyki, a dyrektywa właśnie tak to przewiduje. To prawda. Należy jednak zauważyć, co naprawdę działa: wielkość i ekspozycja na ryzyko, a nie etykietka kategorii. Proporcjonalność zmniejszyłaby również program małego podmiotu kluczowego i zwiększyła program dużego producenta z załącznika II, mimo że jest on ważny. (Duży bank nie jest tutaj odpowiednim przykładem: rozporządzenie (UE) 2022/2554 (DORA) jest lex specialis dla objętych nim podmiotów finansowych i wyłącza stosowanie artykułów 21 i 23 NIS2 oraz związanych z nimi przepisów dotyczących nadzoru i egzekwowania prawa, zgodnie z artykułem 4 i motywem 28 dyrektywy NIS2.) Kategoria i ocena proporcjonalności to różne osie. Interpretowanie kategorii jako skrótu dla oceny proporcjonalności prowadzi do sytuacji, w której duży podmiot ważny wdraża środki odpowiednie dla małego podmiotu.

Zasada, którą warto zachować

Traktuj klasyfikację na podmioty kluczowe i ważne jako linię podziału dotyczącą nadzoru, egzekwowania prawa i kar, a nie zakresu bezpieczeństwa. Wyznaczaj swoje obowiązki na podstawie artykułu 21 i własnej oceny ryzyka, dostosowuj środki do wielkości w oparciu o proporcjonalność względem tego ryzyka i pozwól, aby kategoria wskazała Ci, w jaki sposób będziesz kontrolowany, jakie dodatkowe narzędzia egzekwowania prawa istnieją oraz jaki jest minimalny próg maksymalnych kar na poziomie krajowym. W przypadku kategorii ważnych traktuj reaktywny nadzór zgodnie z artykułem 33 jako sygnał, aby zachować dowody, które byłyby potrzebne podczas dochodzenia, a nie jako pozwolenie na odroczenie pracy.

Na całym świecie istotne jest jedno zastrzeżenie dotyczące jurysdykcji. NIS2 jest dyrektywą, więc obowiązujące obowiązki są wiążące poprzez prawo każdego państwa członkowskiego transponujące jej postanowienia. Termin transpozycji, 17 października 2024 r. (dyrektywa (UE) 2022/2555, artykuł 41), nie został jednolicie dotrzymany. Komisja Europejska wszczęła postępowania dotyczące naruszenia przeciwko 23 państwom członkowskim 28 listopada 2024 r. oraz 8 lipca 2026 r. skierowała Irlandię, Hiszpanię, Francję i Holandię do Trybunału Sprawiedliwości za niepoinformowanie o pełnej transpozycji (komunikat prasowy IP/26/1499). Podstawowa architektura klasyfikacji oraz kryteria wielkościowe pochodzą z dyrektywy oraz z zalecenia 2003/361/WE. Prawo krajowe wprowadza obowiązki w życie i może zawierać dodatkowe wymagania; nie tworzy jednak niezależnie progów UE. Podmiot działający w państwie, które wciąż kończy transpozycję, powinien odczytywać architekturę z dyrektywy i potwierdzać szczegóły w oparciu o obowiązujące prawo krajowe.

Oddzielenie obowiązków, które dotyczą Ciebie niezależnie od kategorii, od nadzoru i egzekwowania prawa, które się z nią zmieniają, oraz powiązanie obu z artykułami i krajowym aktem transponującym to rodzaj wielopoziomowego odniesienia, do którego wsparcia zbudowany jest ISMS Copilot. Kategoria jest istotna dla Twojej ekspozycji na kary i relacji z organem regulacyjnym. To zła zmienna, aby kształtowała zakres Twojego programu bezpieczeństwa.

To analiza zgodności praktyczna, a nie porada prawna. Potwierdź klasyfikację i obowiązki swojego podmiotu w oparciu o transponujące prawo Twojego państwa członkowskiego oraz, w razie potrzeby, z właściwym organem lub radcą prawnym.