Czy moja firma podlega pod NIS2?

Każdy podmiot gospodarczy powinien samodzielnie zweryfikować, czy podlega obowiązkom wynikającym z unijnej dyrektywy NIS2 oraz przepisów ustawy o krajowym systemie cyberbezpieczeństwa (KSC) wdrażających tę dyrektywę. Organy administracji publicznej co do zasady nie dokonują indywidualnego informowania wszystkich przedsiębiorców o objęciu ich nowymi obowiązkami, dlatego odpowiedzialność za przeprowadzenie analizy spoczywa przede wszystkim na samym podmiocie. 

W praktyce pierwszym krokiem powinno być ustalenie, czy przedsiębiorstwo spełnia przesłanki uznania za podmiot kluczowy lub ważny. Dopiero rzetelna analiza statusu pozwala prawidłowo określić zakres obowiązków regulacyjnych, zaplanować proces wdrożenia wymaganych środków organizacyjnych i technicznych oraz ograniczyć ryzyko odpowiedzialności administracyjnej. 

Spis treści:

1. Trzy filary oceny: Wielkość, sektor i funkcja krytyczna
2. Pułapki samooceny: Grupy kapitałowe i podmioty powiązane
3. Narzędzia i metody ostatecznej weryfikacji statusu
4. Następstwa objęcia dyrektywą: Obowiązki i sankcje

Trzy filary oceny: Wielkość, sektor i funkcja krytyczna

Ustalenie, czy przedsiębiorstwo podlega obowiązkom wynikającym z dyrektywy NIS2 oraz ustawy o krajowym systemie cyberbezpieczeństwa, wymaga przeprowadzenia kompleksowej analizy prawnej. Znaczenie mają przede wszystkim trzy elementy: wielkość przedsiębiorstwa, sektor prowadzonej działalności oraz charakter świadczonych usług.

Wielkość przedsiębiorstwa jako pierwsze sito weryfikacyjne

Co do zasady przepisy NIS2 obejmują średnie i duże przedsiębiorstwa  prowadzące działalność w sektorach wskazanych w załącznikach I i II do dyrektywy. Przy ustalaniu wielkości przedsiębiorstwa stosuje się definicje wynikające z zalecenia Komisji 2003/361/WE.

Dyrektywa NIS2 może mieć zastosowanie również do podmiotów niespełniających kryterium wielkości przedsiębiorstwa, jeżeli świadczą one usługi o szczególnym znaczeniu dla funkcjonowania państwa lub gospodarki. Dotyczy to w szczególności przedsiębiorców telekomunikacyjnych oraz dostawców usług zaufania. Regulacją mogą zostać objęte również m.in.  podmioty będące jedynym dostawcą usługi o kluczowym znaczeniu oraz podmioty, których działalność ma istotny wpływ na bezpieczeństwo publiczne lub zdrowie publiczne.

Mapowanie sektorów kluczowych i ważnych

Ostateczny wynik samoidentyfikacji uzależniony jest od skrzyżowania wielkości z konkretnym sektorem gospodarki. Sektory kluczowe obejmują obszary takie jak energetyka, transport, bankowość, rynki finansowe, ochrona zdrowia, systemy wodno-kanalizacyjne, administracja publiczna oraz infrastruktura cyfrowa (włączając w to operatorów DNS).

Z kolei do sektorów ważnych zalicza się zarządzanie odpadami, dostarczanie usług cyfrowych (np. wyszukiwarki i platformy handlowe), usługi pocztowe i kurierskie, produkcję chemikaliów i żywności, produkcję urządzeń oraz badania naukowe. Należy mieć świadomość, że krzyżowanie tych parametrów jest decydujące. Średnia firma operująca w sektorze kluczowym może zostać sklasyfikowana jako podmiot ważny, podczas gdy duża organizacja w tej samej branży otrzyma status podmiotu kluczowego.

Analiza funkcji krytycznej w łańcuchu wartości

O objęciu przedsiębiorstwa przepisami dyrektywy NIS2 nie decydują wyłącznie kryteria dotyczące wielkości czy sektora działalności. Istotne znaczenie ma również krytyczny charakter świadczonych usług oraz ich wpływ na funkcjonowanie państwa i gospodarki. W praktyce należy ocenić, czy zakłócenie działalności przedsiębiorstwa mogłoby wywołać istotne konsekwencje dla bezpieczeństwa publicznego, zdrowia publicznego, porządku publicznego lub ciągłości świadczenia usług o kluczowym znaczeniu. W takich przypadkach obowiązki wynikające z NIS2 mogą znaleźć zastosowanie również wobec podmiotów, które nie spełniają standardowych kryteriów wielkości przedsiębiorstwa.

Pułapki samoidentyfikacji: Grupy kapitałowe i podmioty powiązane

Jednym z najczęściej popełnianych błędów jest analizowanie wyłącznie danych pojedynczej spółki.

Przy ustalaniu statusu przedsiębiorstwa należy stosować zasady wynikające z zalecenia Komisji 2003/361/WE dotyczące przedsiębiorstw partnerskich i powiązanych. W wielu przypadkach oznacza to konieczność uwzględnienia danych całej grupy kapitałowej przy ustalaniu liczby pracowników oraz danych finansowych.

W praktyce wymaga to każdorazowej analizy struktury właścicielskiej i organizacyjnej przedsiębiorstwa.

Metody ostatecznej weryfikacji statusu

Zamiana teoretycznej wiedzy na konkretne działania proceduralne wymaga odpowiednich kroków. 

Przedsiębiorca powinien przeprowadzić analizę obejmującą:

1. określenie rodzaju prowadzonej działalności, 
2. ustalenie wielkości przedsiębiorstwa według zasad wynikających z zalecenia Komisji 2003/361/WE, 
3. analizę powiązań kapitałowych, 
4. ocenę, czy działalność mieści się w sektorach uznanych za sektory kluczowe i sektory ważne.

Następstwa objęcia dyrektywą: Obowiązki i sankcje

Pozytywny wynik kwalifikacji wiąże się z koniecznością natychmiastowego wdrożenia kompleksowych środków bezpieczeństwa. Podstawowe obszary operacyjne, które wymagają dostosowania, to wdrożenie zaawansowanego zarządzania ryzykiem, ustanowienie polityki reagowania na incydenty, zabezpieczenie łańcucha dostaw, prowadzenie regularnych szkoleń oraz raportowanie incydentów.

Sankcje za niedopełnienie obowiązków stanowią silny czynnik mobilizujący. Podmioty kluczowe narażone są na kary finansowe sięgające do 10 mln EUR lub 2% rocznych przychodów. Dla podmiotów ważnych przewidziano kary do 7 milionów euro lub 1,4% rocznych przychodów. 

Każda firma powinna upewnić się, czy podlega pod dyrektywę NIS2. Trzymanie ręki na pulsie i sprawdzanie najnowszych rozporządzeń to obowiązek każdego przedsiębiorcy.