NIS2 dla ISP – nowe obowiązki operatorów sieci i przedsiębiorców komunikacji elektronicznej

Dlaczego dyrektywa NIS2 jest tak ważna dla ISP?

Kiedy mówi się o dyrektywie NIS2, najczęściej wymienia się banki, szpitale, urzędy czy firmy
energetyczne. W praktyce jednak żaden z tych podmiotów nie jest w stanie spełnić nowych wymagań
bez stabilnego dostępu do internetu i niezawodnej infrastruktury telekomunikacyjnej.

Dlatego NIS2 dla ISP ma szczególne znaczenie. Operatorzy sieci nie tylko sami podlegają nowym
regulacjom, ale również odpowiadają za usługi, od których zależy funkcjonowanie wielu innych
organizacji objętych dyrektywą.

Jeżeli klientem operatora jest szpital, bank lub administracja publiczna, każda poważna niedostępność
usług może wpływać na ich obowiązki związane z ciągłością działania oraz zgłaszaniem incydentów. W
efekcie parametry SLA, czas przywrócenia usług czy procedury reagowania na awarie przestają być
wyłącznie elementem oferty handlowej. Stają się częścią wymagań regulacyjnych wynikających z
dyrektywy NIS2.

Dlaczego NIS2 dotyczy ISP inaczej niż większości firm?

Dla wielu organizacji dyrektywa NIS2 oznacza konieczność zabezpieczenia własnych systemów
informatycznych. W przypadku operatorów telekomunikacyjnych sytuacja jest bardziej złożona.

ISP musi zadbać nie tylko o bezpieczeństwo własnej infrastruktury, ale również udowodnić klientom, że
skutecznie zarządza ryzykiem w całym łańcuchu dostaw. Jest to szczególnie istotne dla podmiotów
kluczowych i podmiotów ważnych, które zgodnie z przepisami muszą oceniać swoich dostawców pod
kątem cyberbezpieczeństwa.

Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555, czyli dyrektywa NIS2, zalicza
przedsiębiorców komunikacji elektronicznej do sektorów ważnych. Oznacza to konieczność wdrożenia
środków zarządzania ryzykiem, procedur zgłaszania incydentów oraz wymagań bezpieczeństwa
dotyczących sieci i systemów informatycznych.

Dla wielu regionalnych operatorów jest to całkowicie nowa sytuacja. Dotychczas nie podlegali oni
przepisom w zakresie cyberbezpieczeństwa ani krajowemu systemowi cyberbezpieczeństwa. Teraz
muszą przygotować organizację na nowe obowiązki, kontrole oraz potencjalne kary pieniężne.

Kogo dotyczy NIS2 w sektorze telekomunikacyjnym?

Przedsiębiorcy komunikacji elektronicznej jako podmioty ważne

Zgodnie z dyrektywą NIS2 przedsiębiorcy komunikacji elektronicznej są klasyfikowani jako podmioty
ważne, jeżeli spełniają określone kryteria wielkości.

Najczęściej dotyczy to:

• średnich przedsiębiorstw zatrudniających od 50 do 250 pracowników lub osiągających obrót od 10 do 50 mln euro;
• dużych przedsiębiorstw zatrudniających ponad 250 pracowników lub osiągających obrót przekraczający 50 mln euro.

W wielu przypadkach małe lokalne firmy pozostają poza zakresem regulacji. Istnieją jednak wyjątki.

NIS 2 może objąć również mniejsze podmioty, jeżeli mają kluczowe znaczenie dla lokalnej infrastruktury
lub świadczą usługi na rzecz podmiotów publicznych oraz organizacji działających w sektorach
krytycznych.

W praktyce oznacza to, że nawet niewielki operator powinien przeanalizować swoją sytuację i sprawdzić,
czy nowe wymogi nie dotyczą również jego działalności.

Dostawcy usług cyfrowych – dodatkowe obowiązki dla części operatorów

Wielu operatorów oferuje dziś znacznie więcej niż sam dostęp do internetu. Hosting, DNS, centra
danych, usługi bezpieczeństwa czy rozwiązania chmurowe powodują, że firma może podlegać NIS2 w
kilku różnych obszarach jednocześnie.

Dotyczy to szczególnie dostawców usług cyfrowych oraz organizacji zarządzających usługami ICT.
Niektóre z tych działalności mogą zostać zakwalifikowane jako podmioty kluczowe, niezależnie od
wielkości przedsiębiorstwa.

To oznacza wyższy poziom nadzoru, bardziej szczegółowe wymagania oraz większą odpowiedzialność w
zakresie cyberbezpieczeństwa.

Co zmienia się względem poprzedniej dyrektywy NIS?

Poprzednia dyrektywa NIS posługiwała się pojęciem operatorów usług podstawowych. Dyrektywa NIS2
wprowadza nowy podział na podmioty kluczowe i podmioty ważne.

Choć nazewnictwo się zmienia, podstawowe obowiązki pozostają podobne. Organizacje muszą wdrożyć
skuteczne środki techniczne i organizacyjne, prowadzić zarządzanie ryzykiem, dbać o bezpieczeństwo
sieci i systemów informatycznych oraz realizować obowiązki związane ze zgłaszaniem incydentów.

Różnica polega na tym, że nowe przepisy obejmują znacznie większą liczbę organizacji, a wymagania są
bardziej szczegółowe i konsekwentnie egzekwowane.

Co dyrektywa NIS2 w praktyce oznacza dla operatora sieci?

Jakie pytania NIS2 stawia przed zarządem?

Dyrektywa NIS2 wymaga od organizacji wdrożenia skutecznych środków zarządzania ryzykiem w
zakresie cyberbezpieczeństwa. W przypadku operatorów ISP nie chodzi jednak wyłącznie o spełnienie
formalnych wymagań. Kluczowe jest realne przygotowanie organizacji na incydenty, które mogą
wpłynąć na bezpieczeństwo sieci, dostępność usług oraz ciągłość działania klientów.

Dlatego przed wdrożeniem nowych procedur warto odpowiedzieć na kilka podstawowych pytań:

• Czy posiadasz aktualną mapę infrastruktury wraz z identyfikacją krytycznych elementów sieci i ich zależności?
• Czy masz przygotowane i udokumentowane procedury postępowania na wypadek incydentu bezpieczeństwa, a nie tylko standardowej awarii sprzętowej?
• Czy zespół NOC zna proces eskalacji incydentów oraz obowiązki związane ze zgłaszaniem incydentów do właściwego CSIRT?
• Czy pracownicy regularnie uczestniczą w szkoleniach z zakresu cyberbezpieczeństwa i znają zagrożenia charakterystyczne dla sektora telekomunikacyjnego?
• Czy umowy z dostawcami ICT zawierają wymagania bezpieczeństwa oraz możliwość weryfikacji ich spełnienia?

W praktyce każda odpowiedź „nie”, „nie wiemy” lub „nie mamy tego udokumentowanego” wskazuje obszar wymagający pilnej analizy. To właśnie takie luki najczęściej są wykrywane podczas audytów oraz kontroli prowadzonych przez organy nadzorcze.

Ocena ryzyka – proces, który nigdy się nie kończy

Jednym z najważniejszych wymagań dyrektywy NIS2 jest wdrożenie systemowego podejścia do
zarządzania ryzykiem. Nie jest to jednorazowy projekt realizowany na potrzeby audytu, lecz stały proces
obejmujący całą organizację.

Dla operatora sieci pierwszym krokiem powinna być inwentaryzacja aktywów krytycznych oraz
identyfikacja zagrożeń mogących wpłynąć na funkcjonowanie infrastruktury. Co istotne, ocena ryzyka
musi być regularnie aktualizowana, szczególnie po wdrożeniu nowych usług, zmianach architektury sieci
lub wymianie kluczowych komponentów.

Proces ten obejmuje między innymi:

Ocenę ryzyka dla sieci i systemów informatycznych

Operator powinien zidentyfikować wszystkie kluczowe elementy infrastruktury, takie jak węzły
szkieletowe, systemy routingu, platformy zarządzania siecią czy systemy BSS i OSS. Następnie należy
określić potencjalne zagrożenia, podatności oraz skutki ewentualnego incydentu. Analiza powinna
uwzględniać również ryzyko związane z dostawcami ICT, sprzętem sieciowym, oprogramowaniem oraz
usługami zewnętrznymi.

Polityki bezpieczeństwa sieci

NIS2 wymaga, aby zasady dotyczące bezpieczeństwa były formalnie udokumentowane. Dotyczy to
między innymi zarządzania zmianami, konfiguracją urządzeń, dostępem uprzywilejowanym oraz
ochroną infrastruktury przed nieautoryzowanym dostępem. Szczególne znaczenie mają procedury
związane z bezpieczeństwem routingu, ochroną przed przejęciem tras BGP oraz kontrolą dostępu do
systemów zarządzania.

Procedury reagowania na incydenty

Awaria techniczna i incydent bezpieczeństwa to dwa różne zdarzenia wymagające odmiennego sposobu
działania. Dlatego organizacja powinna posiadać jasno określone procedury reagowania, obejmujące
ścieżki eskalacji, zakres odpowiedzialności poszczególnych zespołów oraz obowiązki związane z
raportowaniem incydentów.

Dobrze przygotowany proces reagowania pozwala nie tylko ograniczyć skutki ataku, ale również spełnić
wymagania dotyczące terminowego zgłaszania incydentów określone przez dyrektywę NIS2.

Ciągłość działania

Większość operatorów ISP od lat inwestuje w redundancję łączy, zapasowe źródła zasilania i rozwiązania
minimalizujące ryzyko przestojów. W branży telekomunikacyjnej wysoka dostępność usług jest
standardem, a wymagania klientów oraz umowy SLA wymuszają utrzymywanie odpowiedniego
poziomu niezawodności.

Dyrektywa NIS2 patrzy jednak na ciągłość działania znacznie szerzej. Nie koncentruje się wyłącznie na
awariach technicznych, ale również na sytuacjach związanych z cyberatakami i naruszeniem
bezpieczeństwa sieci.

Pojawia się więc pytanie: co stanie się, jeśli cyberprzestępca przejmie dostęp do systemu
zarządzającego całą infrastrukturą operatora?

W takim przypadku samo posiadanie redundantnych urządzeń lub zapasowych łączy może okazać się
niewystarczające. Kluczowe znaczenie ma zdolność do szybkiego odtworzenia środowiska, przywrócenia
konfiguracji oraz bezpiecznego wznowienia świadczenia usług.

Dlatego NIS2 wymaga, aby organizacje posiadały nie tylko procedury awaryjne, ale również plany
zapewniające ciągłość działania po incydentach bezpieczeństwa.

W praktyce operator powinien znać odpowiedzi na następujące pytania:

• Jak długo trwa przywrócenie działania sieci po przejęciu lub kompromitacji systemu zarządzania?
• Czy czas odtworzenia kluczowych usług został zmierzony i zweryfikowany podczas testów?
• Czy kopie zapasowe konfiguracji urządzeń są przechowywane w sposób bezpieczny i odseparowany od podstawowego środowiska?
• Czy procedury odtworzeniowe są regularnie testowane przez zespoły techniczne?
• Czy organizacja jest przygotowana na sytuację, w której atak obejmie jednocześnie kilka krytycznych systemów informatycznych?

Dla wielu operatorów właśnie ten obszar okazuje się największym wyzwaniem. Standardowe procedury
często dobrze opisują awarie sprzętu lub przerwy w dostępie do usług, jednak znacznie rzadziej
uwzględniają scenariusze związane z ransomware, przejęciem kont administracyjnych czy
kompromitacją systemów zarządzania siecią.

NIS2 wymaga, aby takie scenariusze były nie tylko opisane, ale również regularnie testowane.
Organizacja musi być w stanie wykazać, że posiada realną zdolność do utrzymania ciągłości działania
nawet w przypadku poważnego incydentu cyberbezpieczeństwa.

W praktyce oznacza to konieczność połączenia działań z zakresu cyberbezpieczeństwa, zarządzania
ryzykiem oraz planowania ciągłości działania w jeden spójny system bezpieczeństwa organizacji.

Bezpieczeństwo łańcucha dostaw – dostawcy ICT pod szczególnym nadzorem

Jedną z najważniejszych zmian wprowadzanych przez dyrektywę NIS2 jest większy nacisk na
bezpieczeństwo łańcucha dostaw. Organizacja nie odpowiada już wyłącznie za własne sieci i systemy
informatyczne. Musi również ocenić ryzyko związane z firmami, od których kupuje sprzęt,
oprogramowanie i usługi.

Dla operatorów ISP ma to szczególne znaczenie. Infrastruktura telekomunikacyjna opiera się na
rozwiązaniach dostarczanych przez wielu partnerów – od producentów routerów i przełączników, przez
dostawców systemów zarządzania siecią, aż po operatorów tranzytowych i dostawców usług
chmurowych.

NIS2 wymaga, aby bezpieczeństwo było uwzględniane już na etapie wyboru dostawcy oraz procesu
nabywania nowych rozwiązań. Oznacza to konieczność wdrożenia procedur pozwalających ocenić, czy
dany partner spełnia wymagania bezpieczeństwa oraz czy współpraca z nim nie zwiększa poziomu
ryzyka dla organizacji.

W praktyce warto zwrócić uwagę na kilka kluczowych obszarów.

Wymagania bezpieczeństwa w umowach

Umowy z dostawcami ICT powinny jasno określać obowiązki związane z cyberbezpieczeństwem. Dotyczy
to między innymi sposobu zgłaszania podatności, informowania o incydentach, dostępności aktualizacji
bezpieczeństwa czy zasad ochrony danych.

Weryfikacja nowych rozwiązań przed wdrożeniem

Każde nowe urządzenie, system lub usługa powinny przejść ocenę bezpieczeństwa przed
uruchomieniem w środowisku produkcyjnym. Pozwala to ograniczyć ryzyko wprowadzenia podatności,
które mogłyby zostać wykorzystane przez atakujących.

Monitorowanie podatności i aktualizacji

Operator powinien na bieżąco śledzić informacje dotyczące wykorzystywanego sprzętu i
oprogramowania. Dotyczy to przede wszystkim krytycznych podatności bezpieczeństwa oraz
dostępnych aktualizacji producenta. W wielu przypadkach szybkie wdrożenie poprawek pozwala
uniknąć poważnych incydentów.

Ocena ryzyka geopolitycznego

Coraz większe znaczenie ma również analiza kraju pochodzenia dostawcy oraz związanych z tym
zagrożeń. W ostatnich latach wiele państw członkowskich Unii Europejskiej ograniczyło wykorzystanie
wybranych technologii w sektorach o krytycznym znaczeniu dla bezpieczeństwa państwa.

Dyrektywa NIS2 nie wskazuje konkretnych producentów ani nie wprowadza zamkniętej listy zakazanych
rozwiązań. Wymaga jednak przeprowadzenia udokumentowanej oceny ryzyka, która uwzględnia
również czynniki geopolityczne oraz potencjalny wpływ dostawcy na bezpieczeństwo infrastruktury.

Dla operatorów ISP oznacza to konieczność bardziej świadomego zarządzania relacjami z dostawcami
ICT. W wielu przypadkach nie wystarczy już kierowanie się wyłącznie ceną lub parametrami
technicznymi. Coraz większą rolę odgrywa zdolność dostawcy do spełnienia wymagań bezpieczeństwa
oraz wsparcia organizacji w obszarze cyberbezpieczeństwa.

W praktyce bezpieczeństwo łańcucha dostaw staje się jednym z filarów zarządzania ryzykiem. To właśnie
w tym obszarze organy nadzorcze coraz częściej będą sprawdzać, czy organizacja rzeczywiście wdrożyła
środki zarządzania ryzykiem wymagane przez dyrektywę NIS2.

Zgłaszanie incydentów – nowe terminy i nowe obowiązki raportowe

Dla wielu operatorów telekomunikacyjnych zgłaszanie awarii nie jest niczym nowym. Dotychczas
obowiązki raportowe wynikały przede wszystkim z przepisów prawa telekomunikacyjnego i dotyczyły
głównie poważnych zakłóceń w świadczeniu usług.

Dyrektywa NIS2 znacząco rozszerza ten zakres. Od teraz raportowaniu podlegają nie tylko awarie
techniczne, ale również incydenty bezpieczeństwa, które mogą wpływać na funkcjonowanie sieci,
systemów informatycznych lub świadczonych usług.

To istotna zmiana. W praktyce oznacza, że operator musi być przygotowany nie tylko do usuwania
skutków incydentu, ale również do jego szybkiego wykrycia, oceny oraz zgłoszenia do właściwego
zespołu CSIRT.

Jakie terminy wprowadza NIS2?

Dyrektywa określa trzy kluczowe etapy raportowania incydentów:

Do 24 godzin od wykrycia incydentu

Organizacja musi przesłać wstępne ostrzeżenie do właściwego CSIRT. Na tym etapie nie jest wymagane
pełne ustalenie przyczyn zdarzenia. Najważniejsze jest poinformowanie o incydencie oraz jego
potencjalnym wpływie na usługi.

Do 72 godzin od wykrycia incydentu

Należy przekazać bardziej szczegółowe informacje, w tym wstępną ocenę skutków, zakres oddziaływania
oraz działania podjęte w celu ograniczenia ryzyka.

Do miesiąca od wykrycia incydentu

Organizacja przygotowuje raport końcowy zawierający analizę przyczyn, opis działań naprawczych oraz
wnioski pozwalające ograniczyć ryzyko podobnych zdarzeń w przyszłości.

Kiedy zaczyna biec termin zgłoszenia?

W praktyce jednym z najważniejszych pojęć w NIS2 jest moment wykrycia incydentu.

Zegar nie uruchamia się w chwili rozpoczęcia ataku, lecz wtedy, gdy organizacja dowie się o jego
wystąpieniu lub uzyska informacje pozwalające stwierdzić, że doszło do incydentu bezpieczeństwa.

Dlatego samo monitorowanie dostępności usług nie jest już wystarczające. Operator powinien posiadać
rozwiązania umożliwiające wykrywanie zagrożeń, analizę zdarzeń oraz identyfikację prób naruszenia
bezpieczeństwa sieci i systemów informatycznych.

Im szybciej organizacja wykryje incydent, tym większa szansa na ograniczenie jego skutków oraz
terminowe wywiązanie się z obowiązków raportowych.

Które incydenty trzeba zgłaszać?

Nie każde zdarzenie będzie wymagało raportowania. Obowiązek zgłoszenia dotyczy przede wszystkim
incydentów mających znaczący wpływ na świadczenie usług lub bezpieczeństwo organizacji.

Przy ocenie bierze się pod uwagę między innymi:

• liczbę użytkowników objętych skutkami incydentu;
• czas trwania niedostępności usług;
• skalę zakłóceń operacyjnych;
• wpływ na podmioty kluczowe i podmioty ważne;
• konsekwencje dla sektorów krytycznych.

Szczególne znaczenie ma to dla operatorów obsługujących klientów z takich obszarów jak administracja
publiczna, ochrona zdrowia, infrastruktura rynków finansowych czy sektor energetyczny.

W takich przypadkach nawet pozornie lokalny incydent może wywołać skutki odczuwalne przez wiele
organizacji jednocześnie.

Dlaczego proces raportowania jest tak ważny?

NIS2 zakłada, że skuteczne cyberbezpieczeństwo opiera się nie tylko na zapobieganiu incydentom, ale
również na szybkiej wymianie informacji o zagrożeniach.

Sprawny proces zgłaszania incydentów pozwala organom odpowiedzialnym za bezpieczeństwo państwa
szybciej reagować na nowe zagrożenia oraz ostrzegać inne organizacje przed podobnymi atakami.

Dla operatorów ISP oznacza to konieczność połączenia monitoringu bezpieczeństwa, procedur
reagowania oraz obowiązków raportowych w jeden spójny proces. To właśnie on będzie jednym z
kluczowych elementów ocenianych podczas kontroli zgodności z dyrektywą NIS2.

NIS2 a krajowy system cyberbezpieczeństwa – co zmienia się w Polsce?

Sama dyrektywa NIS2 nie obowiązuje bezpośrednio przedsiębiorców. Każde państwo członkowskie musi
wdrożyć jej przepisy do prawa krajowego. W Polsce odbywa się to poprzez nowelizację ustawy o
krajowym systemie cyberbezpieczeństwa (KSC).

Dla operatorów ISP oznacza to, że oprócz znajomości wymagań wynikających z NIS2, konieczne będzie
również śledzenie polskich przepisów wykonawczych oraz wytycznych organów nadzorczych.

Więcej podmiotów zostanie objętych regulacjami

Jedną z najważniejszych zmian jest sposób określania organizacji podlegających przepisom.

Dotychczas część przedsiębiorstw trafiała do krajowego systemu cyberbezpieczeństwa na podstawie
indywidualnych decyzji administracyjnych. Po wdrożeniu NIS2 sytuacja będzie znacznie prostsza.

Jeżeli organizacja działa w określonym sektorze i spełnia kryteria wielkościowe wskazane w przepisach,
automatycznie podlega nowym obowiązkom. Nie trzeba czekać na formalną decyzję organu
administracji.

W praktyce oznacza to, że wielu operatorów telekomunikacyjnych, którzy wcześniej nie funkcjonowali w
ramach krajowego systemu cyberbezpieczeństwa, zostanie objętych regulacjami z mocy prawa.

Polskie przepisy mogą być bardziej wymagające niż sama dyrektywa

Warto pamiętać, że NIS2 określa minimalny poziom wymagań obowiązujący w całej Unii Europejskiej.

Państwa członkowskie mogą jednak wprowadzać dodatkowe regulacje lub bardziej szczegółowe
wymagania bezpieczeństwa. Dotyczy to również Polski.

Dlatego zgodność z samą dyrektywą nie zawsze oznacza pełną zgodność z krajowymi przepisami.
Operatorzy powinni monitorować zmiany w ustawie o KSC oraz analizować ich wpływ na własną
organizację.

Jaką rolę będzie pełnił CSIRT NASK?

Dla większości przedsiębiorców komunikacji elektronicznej podstawowym punktem kontaktowym
pozostanie CSIRT NASK.

To właśnie tam trafiają zgłoszenia incydentów bezpieczeństwa, a także informacje dotyczące zagrożeń i
podatności mogących wpływać na bezpieczeństwo sieci oraz systemów informatycznych.

CSIRT NASK odgrywa również istotną rolę w zakresie wymiany informacji pomiędzy podmiotami
objętymi regulacjami oraz wspierania działań na rzecz wysokiego wspólnego poziomu
cyberbezpieczeństwa na terytorium Unii Europejskiej.

NIS2 a obowiązki wynikające z prawa telekomunikacyjnego

Dla operatorów ISP szczególnie ważna jest relacja pomiędzy nowymi regulacjami a obowiązkami
wynikającymi z prawa telekomunikacyjnego.

W wielu obszarach wymagania będą się uzupełniać. Dotyczy to między innymi bezpieczeństwa sieci,
zgłaszania incydentów czy utrzymania ciągłości działania.

Nie oznacza to jednak, że NIS2 zastępuje dotychczasowe obowiązki. W praktyce operatorzy będą musieli
funkcjonować równolegle w kilku reżimach regulacyjnych i zapewnić zgodność zarówno z przepisami
telekomunikacyjnymi, jak i wymaganiami krajowego systemu cyberbezpieczeństwa.

Co to oznacza dla ISP w praktyce?

Dla większości operatorów wdrożenie NIS2 nie będzie polegało wyłącznie na przygotowaniu
dokumentacji.

Nowe przepisy wymagają uporządkowania procesów związanych z cyberbezpieczeństwem,
zarządzaniem ryzykiem oraz reagowaniem na incydenty. Konieczne może być również wdrożenie
nowych procedur, przeprowadzenie szkoleń oraz dostosowanie organizacji do wymagań dotyczących
raportowania i nadzoru.

Im wcześniej operator rozpocznie przygotowania, tym łatwiej będzie mu spełnić nowe obowiązki i
uniknąć problemów podczas pierwszych kontroli lub audytów zgodności.

Jakie sektory obsługujesz? To zmienia Twoje ryzyko regulacyjne

W przypadku operatorów ISP znaczenie ma nie tylko to, kim są jako organizacja, ale również to, komu
świadczą usługi.

Z punktu widzenia dyrektywy NIS2 operator sieci jest podmiotem ważnym lub podmiotem kluczowym.
Jednocześnie stanowi element łańcucha dostaw dla wielu organizacji działających w sektorach
krytycznych. To właśnie dlatego profil klientów ma bezpośredni wpływ na poziom ryzyka regulacyjnego.

Wśród klientów operatorów telekomunikacyjnych często znajdują się:

• szpitale, przychodnie i laboratoria;
• jednostki administracji publicznej;
• banki i instytucje finansowe;
• przedsiębiorstwa energetyczne;
• firmy wodociągowe i podmioty związane z gospodarką wodną;
• operatorzy infrastruktury cyfrowej;
• inni przedsiębiorcy komunikacji elektronicznej;
• organizacje świadczące usługi cyfrowe.

Wiele z tych podmiotów zostało wskazanych w dyrektywie NIS2 jako sektory kluczowe lub sektory
ważne. Oznacza to, że są one zobowiązane do zarządzania ryzykiem nie tylko we własnej organizacji, ale
również w całym łańcuchu dostaw.

Dlaczego ma to znaczenie dla ISP?

Jeżeli klient operatora podlega NIS2, musi ocenić bezpieczeństwo swoich dostawców. Dotyczy to
również dostawców usług telekomunikacyjnych i internetowych.

W praktyce oznacza to, że coraz więcej klientów będzie oczekiwać od operatorów dokumentacji
potwierdzającej spełnianie wymagań bezpieczeństwa. Standardem stają się pytania dotyczące procedur
bezpieczeństwa, zarządzania ryzykiem, ciągłości działania oraz sposobu reagowania na incydenty.

Jeszcze kilka lat temu podczas przetargów najważniejszymi kryteriami były cena, przepustowość i
gwarantowany poziom SLA. Dziś coraz częściej równie ważne staje się cyberbezpieczeństwo.

Rosnące wymagania klientów

Podmioty publiczne, instytucje finansowe czy organizacje ochrony zdrowia muszą wykazać, że
współpracują z dostawcami spełniającymi określone wymagania bezpieczeństwa.

Dlatego operator może zostać poproszony między innymi o:

• przedstawienie polityk bezpieczeństwa;
• opis procedur zgłaszania incydentów;
• informacje dotyczące zarządzania ryzykiem;
• wyniki audytów bezpieczeństwa;
• potwierdzenie stosowania środków technicznych i organizacyjnych;
• informacje dotyczące bezpieczeństwa łańcucha dostaw.

Brak takich dokumentów nie musi oznaczać problemów technicznych. Może jednak skutkować utratą
możliwości udziału w przetargu lub podpisania umowy z klientem objętym regulacjami.

NIS2 to nie tylko obowiązek prawny

Dla wielu operatorów nowe wymogi będą miały również wymiar biznesowy.

Organizacje działające w sektorach krytycznych coraz częściej traktują zgodność z NIS2 jako jeden z
warunków współpracy. W efekcie bezpieczeństwo staje się nie tylko kwestią zgodności z przepisami, ale
również elementem przewagi konkurencyjnej.

Operator, który potrafi udokumentować swoje działania w zakresie cyberbezpieczeństwa, zarządzania
ryzykiem oraz ciągłości działania, będzie znacznie lepiej przygotowany do współpracy z wymagającymi
klientami.

W praktyce oznacza to, że inwestycje związane z wdrożeniem NIS2 mogą przełożyć się nie tylko na
zgodność z przepisami, ale również na większą wiarygodność i łatwiejsze pozyskiwanie klientów z
najbardziej wymagających sektorów gospodarki.

Poziom nadzoru a kategoria podmiotu – co to oznacza dla ISP?

Dyrektywa NIS2 wprowadza podział organizacji na podmioty kluczowe i podmioty ważne. Dla wielu
operatorów ISP pojawia się więc pytanie: czy status podmiotu ważnego oznacza mniej obowiązków? W praktyce nie.

Różnica pomiędzy obiema kategoriami dotyczy przede wszystkim sposobu sprawowania nadzoru przez
organy odpowiedzialne za cyberbezpieczeństwo. Zakres wymagań związanych z zarządzaniem ryzykiem,
bezpieczeństwem sieci czy zgłaszaniem incydentów pozostaje bardzo podobny.

Podmiot ważny – nadzór reaktywny

Większość przedsiębiorców komunikacji elektronicznej zostanie zakwalifikowana jako podmioty ważne.

W ich przypadku organy nadzorcze działają przede wszystkim reaktywnie. Oznacza to, że szczegółowa
kontrola najczęściej następuje po wystąpieniu incydentu, otrzymaniu skargi lub pojawieniu się
informacji wskazujących na możliwe naruszenie przepisów.

Nie oznacza to jednak mniejszej odpowiedzialności. Jeżeli dojdzie do incydentu bezpieczeństwa,
organizacja musi być przygotowana do wykazania, że wdrożyła wymagane środki techniczne i
organizacyjne oraz prawidłowo zarządzała ryzykiem.

Podmiot kluczowy – większy poziom nadzoru

Podmioty kluczowe podlegają bardziej intensywnemu nadzorowi. Organy mogą prowadzić regularne
kontrole, żądać dodatkowych informacji oraz weryfikować zgodność z wymaganiami niezależnie od
tego, czy doszło do incydentu.

Dotyczy to między innymi części organizacji działających w obszarze infrastruktury cyfrowej, dostawców
usług DNS, operatorów centrów danych czy innych podmiotów o krytycznym znaczeniu dla
funkcjonowania gospodarki i bezpieczeństwa państwa.

Te same obowiązki, różny moment weryfikacji

Choć poziom nadzoru jest różny, podstawowe wymagania pozostają takie same.

Zarówno podmioty kluczowe, jak i podmioty ważne muszą:

• wdrożyć środki zarządzania ryzykiem;
• chronić sieci i systemy informatyczne;
• posiadać procedury zgłaszania incydentów;
• zapewnić ciągłość działania;
• prowadzić ocenę ryzyka dostawców ICT;
• angażować kadrę zarządzającą w procesy związane z cyberbezpieczeństwem.

W praktyce organ nadzorczy będzie sprawdzał te same elementy niezależnie od kategorii podmiotu.
Różnica polega jedynie na tym, kiedy dojdzie do takiej weryfikacji.

Dlaczego nie warto czekać na kontrolę?

W przypadku podmiotów ważnych najczęściej pierwsza szczegółowa kontrola pojawia się po
wystąpieniu problemu. Może to być poważny incydent bezpieczeństwa, skarga klienta lub zgłoszenie
dotyczące naruszenia obowiązków wynikających z przepisów.

To właśnie wtedy weryfikowane są procedury, dokumentacja, wyniki oceny ryzyka oraz skuteczność
wdrożonych zabezpieczeń.

Z tego powodu status podmiotu ważnego nie powinien być traktowany jako łagodniejszy reżim
regulacyjny. Wręcz przeciwnie – oznacza sytuację, w której ewentualne braki wychodzą na jaw w
najmniej dogodnym momencie, czyli wtedy, gdy organizacja już mierzy się z incydentem lub kontrolą.

Dla operatorów ISP najlepszym rozwiązaniem jest więc przygotowanie się do audytu jeszcze przed
wystąpieniem pierwszego poważnego zdarzenia. Dzięki temu można nie tylko spełnić wymagania
dyrektywy NIS2, ale również ograniczyć ryzyko kar finansowych i problemów w relacjach z klientami.

Proporcjonalne środki techniczne

Jednym z najczęściej pojawiających się pojęć w dyrektywie NIS2 są „proporcjonalne środki techniczne i
organizacyjne”. Brzmi to dość ogólnie, jednak w praktyce chodzi o bardzo konkretne działania mające
chronić organizację przed cyberzagrożeniami.

Dyrektywa nie wskazuje konkretnych produktów, producentów ani technologii. Wymaga natomiast, aby
zastosowane zabezpieczenia były adekwatne do poziomu ryzyka oraz znaczenia świadczonych usług.

Dla operatorów ISP oznacza to konieczność spojrzenia na bezpieczeństwo nie tylko przez pryzmat
infrastruktury sieciowej, ale również wszystkich procesów związanych z utrzymaniem usług,
zarządzaniem dostępem oraz ochroną systemów informatycznych.

Bezpieczeństwo infrastruktury sieciowej

Infrastruktura telekomunikacyjna stanowi fundament działalności każdego operatora. Dlatego jednym z
głównych obszarów ocenianych podczas audytu NIS2 będzie sposób zabezpieczenia urządzeń i
systemów odpowiedzialnych za funkcjonowanie sieci.

Szczególną uwagę warto zwrócić na kilka elementów:

Zarządzanie dostępem uprzywilejowanym

Dostęp administracyjny do routerów, przełączników i systemów zarządzania powinien być odpowiednio
chroniony. W praktyce oznacza to stosowanie uwierzytelniania wieloskładnikowego, regularny przegląd
uprawnień oraz monitorowanie działań wykonywanych przez administratorów.

Celem jest ograniczenie ryzyka przejęcia kont uprzywilejowanych, które należą do najczęściej
wykorzystywanych wektorów ataku.

Bezpieczeństwo routingu

Operatorzy odpowiadają za utrzymanie stabilności i bezpieczeństwa ruchu sieciowego. Dlatego coraz
większego znaczenia nabierają rozwiązania chroniące przed nieautoryzowanymi zmianami tras routingu
oraz atakami wykorzystującymi protokół BGP.

Wdrożenie mechanizmów takich jak RPKI staje się dziś jednym z elementów dobrych praktyk w zakresie
cyberbezpieczeństwa.

Segmentacja środowisk

Systemy odpowiedzialne za zarządzanie siecią nie powinny funkcjonować w tej samej przestrzeni co
usługi dostępne dla klientów lub publiczny internet.

Oddzielenie kluczowych środowisk administracyjnych znacząco ogranicza ryzyko rozprzestrzeniania się
incydentów oraz utrudnia atakującym dostęp do krytycznych zasobów.

Monitorowanie bezpieczeństwa

NIS2 wymaga zdolności do wykrywania zagrożeń i reagowania na nie w odpowiednim czasie. W
praktyce oznacza to konieczność zbierania logów, monitorowania zdarzeń oraz analizowania anomalii
mogących świadczyć o próbie naruszenia bezpieczeństwa.

Im szybciej organizacja wykryje zagrożenie, tym większa szansa na ograniczenie jego skutków i
spełnienie wymagań dotyczących zgłaszania incydentów.

Bezpieczeństwo systemów BSS i OSS

Wielu operatorów koncentruje działania bezpieczeństwa przede wszystkim na urządzeniach sieciowych.
Tymczasem równie istotne są systemy wspierające codzienną działalność przedsiębiorstwa.

Systemy BSS odpowiadają między innymi za obsługę klientów, rozliczenia oraz procesy biznesowe. Z
kolei systemy OSS wspierają zarządzanie infrastrukturą i utrzymanie sieci.

Ich kompromitacja może prowadzić do wycieku danych, zakłóceń operacyjnych lub przejęcia kontroli
nad elementami infrastruktury.

Dlatego dyrektywa NIS2 obejmuje nie tylko bezpieczeństwo sieci, ale również ochronę wszystkich
systemów informatycznych wykorzystywanych do świadczenia usług.

Operator powinien zadbać o regularne aktualizacje, kontrolę dostępu, monitorowanie aktywności
użytkowników oraz odpowiednie zabezpieczenie danych przetwarzanych przez te systemy.

Utrzymanie sieci i zarządzanie zmianami

Jednym z najczęstszych problemów występujących w środowiskach telekomunikacyjnych jest odkładanie
aktualizacji urządzeń sieciowych z obawy przed zakłóceniem pracy usług.

Choć takie podejście może wydawać się uzasadnione biznesowo, z perspektywy NIS2 staje się coraz
trudniejsze do obrony.

Dyrektywa wymaga aktywnego zarządzania podatnościami oraz regularnej oceny ryzyka związanego z
wykorzystywanym sprzętem i oprogramowaniem.

W praktyce oznacza to konieczność:

• monitorowania informacji o nowych podatnościach bezpieczeństwa;
• oceny wpływu wykrytych luk na organizację;
• planowania aktualizacji i działań naprawczych;
• dokumentowania zmian w infrastrukturze;
• kontrolowania procesu wdrażania nowych rozwiązań.

Dobrze zorganizowane zarządzanie zmianami pozwala nie tylko zwiększyć bezpieczeństwo sieci, ale
również ograniczyć ryzyko nieplanowanych przerw w świadczeniu usług.

Co to oznacza w praktyce?

NIS2 nie wymaga wdrożenia konkretnych technologii. Oczekuje natomiast, że organizacja będzie
potrafiła wykazać, iż zastosowane środki bezpieczeństwa odpowiadają poziomowi ryzyka i znaczeniu
świadczonych usług.

Dla operatorów ISP oznacza to konieczność spojrzenia na bezpieczeństwo w sposób kompleksowy – od
infrastruktury sieciowej, przez systemy informatyczne, po procesy operacyjne i zarządzanie zmianami.

To właśnie połączenie tych elementów tworzy fundament skutecznego systemu cyberbezpieczeństwa
zgodnego z wymaganiami dyrektywy NIS2.

Pierwszy audyt NIS2 – od czego zacząć?

Dla wielu operatorów ISP wdrożenie NIS2 może wydawać się skomplikowanym i czasochłonnym
procesem. W praktyce najtrudniejszy jest pierwszy krok: określenie, na jakim poziomie dojrzałości
znajduje się organizacja i które wymagania są już spełnione.

Dlatego pierwszy audyt nie powinien skupiać się wyłącznie na szukaniu niezgodności. Jego celem jest
przede wszystkim zbudowanie realistycznego planu działań i określenie priorytetów.

Krok 1. Ustal, czy i w jakim zakresie podlegasz NIS2

Pierwszym etapem jest określenie statusu organizacji.

Należy sprawdzić, czy firma spełnia kryteria podmiotu ważnego lub podmiotu kluczowego oraz które
obszary działalności podlegają regulacjom. W przypadku operatorów telekomunikacyjnych szczególne
znaczenie ma analiza wszystkich świadczonych usług, ponieważ różne linie biznesowe mogą podlegać
odmiennym wymaganiom.

Dotyczy to między innymi usług dostępu do internetu, hostingu, DNS, centrów danych czy innych usług
cyfrowych.

Krok 2. Zinwentaryzuj kluczowe zasoby

Nie da się skutecznie zarządzać bezpieczeństwem bez wiedzy o tym, co należy chronić.

Dlatego kolejnym krokiem jest przygotowanie aktualnej inwentaryzacji infrastruktury, obejmującej
zarówno urządzenia sieciowe, jak i systemy informatyczne wspierające świadczenie usług.

Warto zidentyfikować elementy o krytycznym znaczeniu dla ciągłości działania oraz określić zależności
pomiędzy poszczególnymi systemami.

Krok 3. Przeprowadź ocenę ryzyka

Ocena ryzyka stanowi jeden z fundamentów dyrektywy NIS2.

Dla każdego kluczowego zasobu należy określić potencjalne zagrożenia, podatności oraz skutki
ewentualnego incydentu. Analiza powinna obejmować również ryzyko związane z dostawcami ICT oraz
bezpieczeństwem łańcucha dostaw.

Efektem tego etapu jest lista zagrożeń oraz działań, które wymagają wdrożenia w pierwszej kolejności.

Krok 4. Porównaj obecny stan z wymaganiami NIS2

Po zakończeniu analizy ryzyka warto przeprowadzić tzw. analizę luk.

Pozwala ona określić, które wymagania zostały już spełnione, a które obszary wymagają dodatkowych
działań. Najczęściej dotyczą one dokumentacji, procedur bezpieczeństwa, zarządzania incydentami oraz
formalnego nadzoru nad cyberbezpieczeństwem.

Dzięki temu organizacja może stworzyć realistyczny harmonogram wdrożenia zamiast próbować
realizować wszystkie działania jednocześnie.

Krok 5. Przygotuj procedury zgłaszania incydentów

Jednym z obszarów, które warto uporządkować na początku projektu, są procedury raportowania
incydentów.

Dyrektywa NIS2 nakłada konkretne terminy zgłoszeń, dlatego organizacja powinna wiedzieć, kto
odpowiada za ocenę incydentu, podejmowanie decyzji oraz kontakt z właściwym CSIRT.

Brak jasno określonych procedur może prowadzić do opóźnień i dodatkowych konsekwencji podczas
kontroli.

Krok 6. Zaangażuj zarząd

NIS2 po raz pierwszy tak wyraźnie podkreśla odpowiedzialność kadry zarządzającej za obszar
cyberbezpieczeństwa.

Oznacza to, że wdrożenie nie może być wyłącznie projektem realizowanym przez dział IT lub NOC.
Zarząd powinien uczestniczyć w procesie podejmowania decyzji, zatwierdzać polityki bezpieczeństwa
oraz posiadać wiedzę na temat najważniejszych ryzyk występujących w organizacji.

Audyt jako początek procesu

Wiele firm traktuje audyt jako jednorazowe działanie związane z kontrolą lub spełnieniem wymagań
formalnych.

W rzeczywistości audyt NIS2 powinien być punktem wyjścia do budowy długofalowego systemu
zarządzania cyberbezpieczeństwem. To właśnie na jego podstawie organizacja określa priorytety,
planuje inwestycje oraz przygotowuje się do spełnienia wymagań wynikających z krajowego systemu
cyberbezpieczeństwa i dyrektywy NIS2.

Kary finansowe – ile ryzykuje operator?

Wdrożenie NIS2 często kojarzy się przede wszystkim z nowymi obowiązkami organizacyjnymi i
technicznymi. Warto jednak pamiętać, że dyrektywa przewiduje również realne sankcje za brak
zgodności z wymaganiami.

Co istotne, kara nie musi być związana wyłącznie z wystąpieniem incydentu bezpieczeństwa. Organ
nadzorczy może nałożyć sankcje również wtedy, gdy organizacja nie wdrożyła wymaganych procedur,
nie przeprowadza oceny ryzyka lub nie posiada odpowiedniej dokumentacji potwierdzającej spełnienie
obowiązków wynikających z przepisów.

Jakie kary przewiduje NIS2?

W przypadku podmiotów ważnych, do których zalicza się większość przedsiębiorców komunikacji
elektronicznej, kary pieniężne mogą wynieść do 7 mln euro lub 1,4% całkowitego rocznego światowego
obrotu przedsiębiorstwa – w zależności od tego, która kwota jest wyższa.

Wysokość sankcji zależy między innymi od:

• charakteru naruszenia;
• skali wpływu na świadczone usługi;
• czasu trwania niezgodności;
• działań podjętych przez organizację po wykryciu problemu;
• poziomu współpracy z organem nadzorczym.

Kary finansowe to nie jedyne ryzyko

W praktyce konsekwencje braku zgodności z NIS2 mogą być znacznie szersze niż sama kara finansowa.

W przypadku operatorów ISP coraz większe znaczenie mają wymagania klientów działających w
sektorach krytycznych. Organizacje z branży finansowej, ochrony zdrowia czy administracji publicznej
coraz częściej oczekują od swoich dostawców potwierdzenia spełniania wymagań w zakresie
cyberbezpieczeństwa.

Brak odpowiednich procedur, dokumentacji lub wyników audytu może utrudnić udział w przetargach,
przedłużanie umów lub pozyskiwanie nowych klientów.

Koszt przygotowania jest niższy niż koszt braku zgodności

Dla wielu operatorów wdrożenie nowych procedur, przeprowadzenie audytu czy uruchomienie
monitoringu bezpieczeństwa oznacza dodatkowe nakłady finansowe.

Warto jednak spojrzeć na te działania jak na inwestycję w bezpieczeństwo i rozwój organizacji. Koszty
związane z wdrożeniem NIS2 są zazwyczaj znacznie niższe niż potencjalne straty wynikające z
poważnego incydentu bezpieczeństwa, utraty klientów lub kar nakładanych przez organy nadzorcze.

NIS2 to nie tylko obowiązek, ale również przewaga konkurencyjna

Coraz więcej organizacji traktuje zgodność z NIS2 jako jeden z elementów oceny dostawców.

Operator, który potrafi wykazać dojrzałe podejście do zarządzania ryzykiem, bezpieczeństwa sieci i
ciągłości działania, buduje większe zaufanie klientów oraz zwiększa swoje szanse na współpracę z
organizacjami działającymi w sektorach kluczowych i ważnych.

Dlatego warto postrzegać wdrożenie NIS2 nie tylko jako konieczność wynikającą z przepisów, ale
również jako element budowania przewagi konkurencyjnej i długoterminowej wartości biznesowej.

Jak ITH wspiera operatorów ISP we wdrożeniu NIS2?

Dla wielu operatorów największym wyzwaniem nie jest samo poznanie wymagań dyrektywy NIS2, ale przełożenie ich na konkretne działania organizacyjne i techniczne.

W praktyce wdrożenie obejmuje znacznie więcej niż przygotowanie dokumentacji. Konieczne jest przeprowadzenie oceny ryzyka, uporządkowanie procedur, wdrożenie odpowiednich środków bezpieczeństwa, przygotowanie organizacji do zgłaszania incydentów oraz zapewnienie ciągłego monitorowania zagrożeń.

To właśnie dlatego coraz więcej przedsiębiorców komunikacji elektronicznej decyduje się na współpracę z partnerem, który przeprowadzi organizację przez cały proces – od pierwszego audytu aż po bieżące utrzymanie zgodności.

Wdrożenie NIS2 krok po kroku

Model wdrożenia realizowany przez ITH został zaprojektowany tak, aby objąć wszystkie obszary wymagane przez dyrektywę NIS2 oraz nowelizację ustawy o krajowym systemie cyberbezpieczeństwa.

Proces obejmuje cztery główne etapy:

Audyt zgodności

Pierwszym krokiem jest ocena obecnego poziomu zgodności organizacji z wymaganiami NIS2 i KSC. Audyt pozwala zidentyfikować luki, określić poziom ryzyka oraz przygotować plan działań dostosowany do specyfiki operatora.

Dokumentacja i zgodność

Na podstawie wyników audytu przygotowywana jest kompletna dokumentacja wymagana przez przepisy. Obejmuje ona między innymi polityki bezpieczeństwa, procedury reagowania na incydenty, zasady zarządzania ryzykiem oraz dokumenty związane z ciągłością działania.

Szkolenia i przygotowanie organizacji

NIS2 nakłada obowiązki nie tylko na działy techniczne, ale również na kadrę zarządzającą. Dlatego ważnym elementem wdrożenia są szkolenia dla pracowników oraz członków zarządu odpowiedzialnych za nadzór nad obszarem cyberbezpieczeństwa.

Monitoring i wsparcie operacyjne

Ostatnim etapem jest uruchomienie mechanizmów pozwalających na bieżące monitorowanie zagrożeń oraz obsługę incydentów bezpieczeństwa. Dzięki temu organizacja nie tylko spełnia wymagania formalne, ale również zwiększa swoją zdolność do wykrywania i ograniczania skutków cyberataków.

Dlaczego operatorzy decydują się na wsparcie zewnętrzne?

Wiele wymagań NIS2 wymaga specjalistycznej wiedzy z zakresu cyberbezpieczeństwa, zarządzania ryzykiem oraz regulacji prawnych.

Budowanie wszystkich kompetencji wewnątrz organizacji bywa czasochłonne i kosztowne, szczególnie w przypadku średnich przedsiębiorstw oraz regionalnych operatorów ISP.

Współpraca z doświadczonym partnerem pozwala szybciej przejść przez proces wdrożenia, ograniczyć ryzyko błędów oraz przygotować organizację do ewentualnej kontroli organu nadzorczego.

Najczęstsze pytania ISP o NIS2

Czy mały operator ISP również podlega NIS2?

Nie zawsze. Dyrektywa NIS2 obejmuje przede wszystkim średnie i duże przedsiębiorstwa działające w sektorach uznanych za istotne dla funkcjonowania gospodarki i społeczeństwa.

W przypadku przedsiębiorców komunikacji elektronicznej podstawowym kryterium jest wielkość organizacji. Nie oznacza to jednak, że mali operatorzy mogą całkowicie pominąć temat. W określonych sytuacjach, na przykład gdy firma świadczy usługi o krytycznym znaczeniu dla danego obszaru lub obsługuje podmioty publiczne, może zostać objęta dodatkowymi obowiązkami wynikającymi z prawa krajowego.

Dlatego przed rozpoczęciem wdrożenia warto zweryfikować swój status oraz zakres obowiązków wynikających z dyrektywy NIS2 i krajowego systemu cyberbezpieczeństwa.

Czy NIS2 zastępuje obowiązki wynikające z prawa telekomunikacyjnego?

Nie. NIS2 nie zastępuje dotychczasowych regulacji dotyczących przedsiębiorców komunikacji elektronicznej, lecz je uzupełnia.

Operatorzy nadal muszą realizować obowiązki wynikające z przepisów sektorowych, a jednocześnie spełniać wymagania związane z cyberbezpieczeństwem, zarządzaniem ryzykiem, bezpieczeństwem sieci i systemów informatycznych oraz zgłaszaniem incydentów.

W praktyce oznacza to konieczność połączenia istniejących procedur z nowymi wymogami regulacyjnymi.

Czy klienci będą wymagać potwierdzenia zgodności z NIS2?

Coraz częściej tak.

Podmioty kluczowe i podmioty ważne mają obowiązek zarządzania ryzykiem w całym łańcuchu dostaw. Oznacza to, że organizacje z sektorów krytycznych będą weryfikować poziom bezpieczeństwa swoich dostawców, w tym operatorów ISP.

W praktyce można spodziewać się pytań dotyczących procedur bezpieczeństwa, audytów, ciągłości działania, sposobu zgłaszania incydentów oraz stosowanych środków technicznych i organizacyjnych.

Dla wielu organizacji zgodność z NIS2 staje się dziś nie tylko wymogiem regulacyjnym, ale również ważnym kryterium wyboru partnera biznesowego.

Jak długo trwa wdrożenie NIS2?

Nie ma jednej odpowiedzi na to pytanie.

Czas wdrożenia zależy od wielkości organizacji, stopnia złożoności infrastruktury oraz poziomu dojrzałości procesów bezpieczeństwa. Firmy posiadające już procedury zarządzania ryzykiem, dokumentację bezpieczeństwa i rozwinięte mechanizmy monitorowania zwykle potrzebują znacznie mniej czasu niż organizacje rozpoczynające działania od podstaw.

Dlatego pierwszym krokiem powinien być audyt zgodności, który pozwoli określić rzeczywisty zakres prac i przygotować harmonogram wdrożenia.

Podsumowanie

Dyrektywa NIS2 znacząco zmienia podejście do cyberbezpieczeństwa w całej Unii Europejskiej. W przypadku operatorów ISP nowe obowiązki dotyczą nie tylko ochrony własnej infrastruktury, ale również sposobu zarządzania ryzykiem, współpracy z dostawcami ICT oraz zapewnienia ciągłości działania świadczonych usług.

Dla przedsiębiorców komunikacji elektronicznej oznacza to konieczność wdrożenia nowych procesów, uporządkowania dokumentacji oraz przygotowania procedur pozwalających skutecznie reagować na incydenty bezpieczeństwa. Szczególnego znaczenia nabierają również wymagania dotyczące bezpieczeństwa sieci i systemów informatycznych, bezpieczeństwa łańcucha dostaw oraz obowiązków związanych ze zgłaszaniem incydentów.

W praktyce NIS2 to nie tylko kolejna regulacja. To element budowania wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii Europejskiej oraz zwiększenia odporności organizacji działających w sektorach kluczowych i ważnych.

Operatorzy, którzy rozpoczną przygotowania odpowiednio wcześnie, zyskają nie tylko większą pewność zgodności z przepisami, ale również przewagę konkurencyjną. Coraz więcej klientów zwraca bowiem uwagę na poziom bezpieczeństwa swoich dostawców, a cyberbezpieczeństwo staje się jednym z kluczowych kryteriów wyboru partnera biznesowego.

Dlatego niezależnie od tego, czy Twoja organizacja dopiero rozpoczyna przygotowania do NIS2, czy posiada już rozwinięte procedury bezpieczeństwa, warto rozpocząć od audytu zgodności. To najlepszy sposób, aby określić aktualny poziom dojrzałości organizacji, zidentyfikować obszary wymagające poprawy i przygotować skuteczny plan wdrożenia zgodny z wymaganiami dyrektywy NIS2 oraz krajowego systemu cyberbezpieczeństwa.