Lody, gumy i szkoły pod unijną dyrektywą NIS2. Kontrowersje wokół przepisów

Unijna dyrektywa o cyberbezpieczeństwie została uchwalona w 2022 roku. Jej głównym założeniem jest podniesienie odporności najważniejszych sektorów gospodarki na cyberataki. Przepisy te obejmują m.in. energetykę, wodociągi, transport, ochronę zdrowia oraz usługi cyfrowe. Prawo unijne nakłada na przedsiębiorstwa obowiązki w zakresie zarządzania ryzykiem, zgłaszania incydentów i organizacji bezpieczeństwa IT. Komisja Europejska podkreśla, że mikro- i małe przedsiębiorstwa są zasadniczo wyłączone z nowych obowiązków.

Wobec mniej krytycznych organizacji przewidziano łagodniejsze wymogi. Anonimowy urzędnik Komisji Europejskiej, cytowany przez portal Politico, zapewnił, że istnieją mechanizmy pozwalające na zwolnienie małych przedsiębiorstw z nowych regulacji.

Kontrowersyjna kwalifikacja nietypowych branż

Sposób definiowania podmiotów objętych regulacją prowadzi do zaskakujących interpretacji i budzi mnóstwo wątpliwości. Prawnicy wskazali, że w niektórych krajach i branżach obowiązki mogą dotyczyć także dużych firm produkujących lody, świąteczne oświetlenie czy zajmujących się dystrybucją gum do żucia. Dyrektywa NIS2 obejmuje między innymi produkcję, przetwarzanie i dystrybucję żywności, ponieważ skuteczny cyberatak na łańcuch dostaw mógłby zagrozić bezpieczeństwu zaopatrzenia ludności.

Czeska europosłanka Markéta Gregorová zwracała uwagę, że duzi producenci lodów mogą spełniać kryteria objęcia dyrektywą, mimo że ich działalność trudno uznać za kluczową w sytuacji kryzysowej. Prawnicy cytowani przez Politico wskazują również na hurtownie gum do żucia. W zależności od krajowego wdrożenia przepisów, firmy wytwarzające lampki choinkowe mogą zostać zaliczone do podmiotów ważnych z punktu widzenia cyberbezpieczeństwa.

W Holandii sektor ten ma być uznawany za ważny, ale nie kluczowy, co oznacza lżejsze obowiązki. Niejasności dotyczą także szkół posiadających instalacje fotowoltaiczne. Duże placówki mogą formalnie zostać uznane za producentów energii elektrycznej i wejść w zakres przepisów, co oznaczałoby dodatkowe koszty i wymogi. W Niemczech właściciele dużej liczby mieszkań, którzy udostępniają najemcom łącze kablowe lub internetowe w ramach opłat eksploatacyjnych, mogą zostać uznani za dostawców usług telekomunikacyjnych.

Przedstawiciele państw i branż starają się łagodzić obawy najmniejszych podmiotów. W Niemczech organizacja branżowa uspokajała małe piekarnie rzemieślnicze, że nie podlegają nowym regulacjom.

Przebieg wdrażania przepisów w Polsce i w Europie

Państwa Unii Europejskiej miały wdrożyć dyrektywę NIS2 do prawa krajowego do końca 2024 roku, jednak proces ten się opóźnia. Własnych ustaw nie przyjęły jeszcze między innymi Francja i Hiszpania, a w Niemczech rejestracja firm przebiega powoli. W Polsce przepisy zostały wdrożone przez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa. Nowe regulacje formalnie obowiązują od 3 kwietnia 2026 roku i są wdrażane etapami.

Obowiązek wpisu dotyczy firm działających w 18 sektorach uznanych za kluczowe, które zatrudniają co najmniej 50 pracowników lub osiągają roczne przychody na poziomie co najmniej 10 milionów euro. W Polsce 7 maja uruchomiona została rządowa aplikacja, za pośrednictwem której przedsiębiorcy wnioskują o wpis do wykazu Krajowego Systemu Cyberbezpieczeństwa. Przedsiębiorcy mają czas na dokonanie wpisu do końca października.