Dyrektywa NIS2 (ang. Directive on Security of Network and Information Systems) to zaktualizowana wersja unijnej Dyrektywy NIS, przyjęta w 2022 roku (Dyrektywa Parlamentu Europejskiego i Rady UE 2022/2555 z dnia 14 grudnia 2022 r.). Ma na celu poprawę poziomu cyberbezpieczeństwa w krajach członkowskich Unii Europejskiej, w odpowiedzi na rosnące zagrożenia w cyberprzestrzeni. NIS2 zastępuje pierwotną Dyrektywę NIS z 2016 roku, wprowadzając bardziej zaawansowane mechanizmy, rozszerzając zakres podmiotów objętych regulacjami i wzmacniając współpracę międzynarodową.

Kluczowe założenia Dyrektywy NIS2:

1. Rozszerzenie zakresu podmiotów objętych regulacjami:
   • Dyrektywa NIS2 obejmuje więcej sektorów gospodarki, w tym:
     • Infrastruktura krytyczna (energia, transport, bankowość, ochrona zdrowia, wodociągi),
     • Usługi cyfrowe (platformy handlu elektronicznego, usługi przetwarzania danych),
     • Sektor administracji publicznej i samorządów.
   • Wprowadzono podział na podmioty kluczowe (essential entities) i podmioty ważne (important entities), z różnym poziomem wymagań.
2. Zwiększenie wymagań bezpieczeństwa:
   • Obowiązek wdrożenia zaawansowanych środków cyberbezpieczeństwa, takich jak:
     • Zarządzanie ryzykiem,
     • Identyfikacja i raportowanie incydentów,
     • Ciągłe monitorowanie systemów IT.
   • Zwiększone wymagania dotyczące zabezpieczeń technicznych i organizacyjnych.
3. Raportowanie incydentów:
   • Krótsze terminy zgłaszania incydentów (maksymalnie 24 godziny na zgłoszenie wstępne).
   • Większy nacisk na skuteczną reakcję na zagrożenia.
4. Kary za nieprzestrzeganie wymogów:
   • Wysokie sankcje finansowe za naruszenie obowiązków.
   • Kary mogą być nakładane zarówno na podmioty, jak i osoby odpowiedzialne.
5. Wzmocnienie współpracy międzynarodowej:
   • Ustanowienie skutecznych mechanizmów wymiany informacji między krajami UE.
   • Utworzenie sieci współpracy między organami ds. cyberbezpieczeństwa (CSIRT-y, ENISA – Agencja Unii Europejskiej ds. Cyberbezpieczeństwa).

Cel Dyrektywy NIS2:

• Podniesienie odporności państw członkowskich UE na zagrożenia w cyberprzestrzeni.
• Ujednolicenie wymogów dotyczących cyberbezpieczeństwa w całej Unii Europejskiej.
• Zapewnienie lepszego zabezpieczenia kluczowych usług i infrastruktury krytycznej.

Termin implementacji Dyrektywy NIS2:

Państwa członkowskie UE mają obowiązek wdrożenia przepisów Dyrektywy NIS2 do swojego prawa krajowego do 17 października 2024 roku. W Polsce wpłynie to na zmiany w ustawie o krajowym systemie cyberbezpieczeństwa i innych przepisach związanych z ochroną infrastruktury krytycznej.