NIS2 w spółce tech: czy obowiązki dotyczą także Was?

Dyrektywa NIS2 znacząco rozszerza krąg podmiotów objętych obowiązkami cyberbezpieczeństwa. Pytanie nie brzmi już „czy ktoś podlega", tylko „czy my podlegamy" — i wiele spółek SaaS odpowiada błędnie.

NIS2 zastąpiła pierwotną dyrektywę NIS i rozszerzyła zakres podmiotów oraz sektorów. W praktyce oznacza to, że obowiązki, które wcześniej dotyczyły głównie dużych operatorów infrastruktury krytycznej, mogą teraz objąć średniej wielkości spółkę technologiczną świadczącą usługi cyfrowe.

Czy w ogóle podlegacie?

To pierwsze i najważniejsze pytanie. Zakres zależy od sektora, w którym działacie, oraz od wielkości spółki. Część podmiotów jest objęta jako „kluczowe", część jako „ważne" — z różnym poziomem obowiązków i nadzoru.

Co trzeba zrobić, jeśli podlegacie

• Zmapować, czy i w jakiej kategorii spółka jest objęta dyrektywą
• Wdrożyć adekwatne środki zarządzania ryzykiem cyberbezpieczeństwa
• Ustanowić proces zgłaszania incydentów w wymaganych terminach
• Zapewnić odpowiedzialność na poziomie zarządu
• Przeszkolić zespół i udokumentować zgodność

Kluczowe słowo to „adekwatne". NIS2 nie wymaga od średniej spółki aparatu właściwego bankowi. Wymaga środków proporcjonalnych do ryzyka — i właśnie ta proporcjonalność jest miejscem, w którym najłatwiej przesadzić w którąkolwiek stronę.