Firmy w Polsce stoją przed poważnym wyzwaniem – osiągnięciem zgodności z nowymi przepisami dotyczącymi cyberbezpieczeństwa. Unijna dyrektywa NIS 2, której postanowienia powinny być stosowane od 18 października 2024, nakłada na działające w Europie przedsiębiorstwa wiele nowych zobowiązań w zakresie analizy ryzyka oraz reagowania na cyfrowe incydenty. Niespełnienie tych norm będzie grozić karami sięgającymi nawet 10 mln euro. Badanie Fortinet przeprowadzone wśród firm, które będą objęte dyrektywą, wykazało, że ponad połowa z nich nie wiedziała, czy nowe przepisy będą ich dotyczyły.
NIS 2 jest rozszerzeniem obowiązującej od 2016 roku dyrektywy NIS, powstałej w celu ujednolicenia zasad cyberbezpieczeństwa w Unii Europejskiej. Oprócz nowych obowiązków, w skład których wchodzi m.in. zabezpieczanie łańcuchów dostaw, zaktualizowany akt zwiększa również grupę podmiotów, które mają mu podlegać. Podczas gdy dyrektywa NIS koncentrowała się na operatorach usług kluczowych, NIS 2 uwzględnia także średnie i duże firmy z różnych branż, jak energetyka, infrastruktura cyfrowa oraz opieka zdrowotna. Oznacza to, że część podmiotów objętych rozszerzoną wersją dyrektywy nie podlegała jej pierwszemu wariantowi.
Firmy w Polsce nie wiedzą, że są podmiotami objętymi NIS 2
Badanie świadomości przedsiębiorstw w Polsce na temat dyrektywy NIS 2 zostało przeprowadzone na zlecenie firmy Fortinet przez centrum badawczo-rozwojowe Biostat. Przeprowadzono je na grupie 150 średnich i dużych podmiotów z branży produkcyjnej, energetycznej, infrastruktury cyfrowej, ochrony zdrowia, produkcji żywności oraz transportowej.
Choć wielu respondentów (niemal 75 proc,) słyszało o wchodzącej w życie w październiku dyrektywie NIS 2, ponad połowa badanych (51 proc.) nie potrafiła stwierdzić, czy ich firmy zostaną objęte nowymi regulacjami, a 12% uważało, że nowe przepisy nie będą ich dotyczyły.
Fakt, że tak wiele firm nie zdaje sobie sprawy, iż podlega dyrektywie NIS 2, jest alarmujący. Wśród uczestników badania obecni byli również respondenci, którzy uważali, że nadchodzące zmiany ich nie dotyczą. Odpowiedź tę wyjaśniali przywołując błędne argumenty, takie jak to, że nie świadczą usług dla struktur państwowych. Jednakże, kwestia ta nie zwalnia podmiotu z przestrzegania wytycznych zawartych w NIS 2.
Część firm już teraz korzysta lub planuje skorzystać z usług podmiotów doradczych oraz konsultingowych. Drugą popularną opcją jest stworzenie wewnętrznych zespołów odpowiedzialnych za sprawdzanie zgodności działalności przedsiębiorstwa z regulacjami przedstawionymi w NIS.
Ankietowani, poproszeni o wskazanie czynników stanowiących największe wyzwania związane z osiągnięciem zgodności z dyrektywą NIS 2, wskazali kolejno:
- obowiązek wprowadzenia polityki ryzyka i bezpieczeństwa systemów informatycznych,
- warunek zapewnienia ciągłości działania procesów w obliczu cyberataku,
- konieczność wprowadzenia standardów, które pomagałyby w ocenie skuteczności środków zarządzania ryzykiem.
Dodatkowo, przedstawiciele przedsiębiorstw zwracali uwagę na niewystarczającą klarowność regulacji zawartych w NIS 2. Treść dyrektywy jest zrozumiała jedynie dla 46 proc. respondentów, a 43 proc. nie było w stanie udzielić jednoznacznej odpowiedzi na to pytanie. Pozostali uznali, że przepisy NIS 2 są dla nich niezrozumiałe – dotyczy to firm, które słyszały o dyrektywie oraz nie zaprzeczały, że zostaną nią objęte.
Czas ucieka – co na to firmy?
Przedsiębiorstwa nie mogą zignorować wymogów, jakie nakłada na nie unijna dyrektywa, ponieważ stanowią one odpowiedź na ewoluujący krajobraz cyberzagrożeń. Istotna jest również kwestia kar finansowych, jakie wiążą się z nieprzystosowaniem do nowych zasad. Firmy i instytucje, które nie wdrożą wymaganych zmian, muszą liczyć się z koniecznością zapłacenia grzywny w wysokości nawet 10 milionów euro lub 2 proc. ich światowych obrotów. W związku z tym alarmujący jest fakt, iż w grupie firm, które słyszały o dyrektywie oraz nie zaprzeczały, że będą nią objęte, 27 proc. badanych nie zdaje sobie sprawy z potencjalnych konsekwencji wynikających z niedostosowania się do unijnych wymogów.
Ankietowani, którzy odpowiedzieli, że ich firmy zostaną objęte NIS 2, a także ci, którzy nie byli w stanie jednoznacznie stwierdzić swojej zależności od dyrektywy, zostali zapytani o plany względem nadchodzących regulacji. 38 proc. respondentów w tej grupie deklaruje, że podczas wdrażania wymaganych zmian zamierza wspomagać się międzynarodowymi standardami. Wśród nich dominuje (56 proc.) ISO 27001 – zalecany w procesie wdrażania rozwiązań wynikających z NIS 2. Równocześnie jednak 31 proc. badanych nie było w stanie jednoznacznie nazwać standardu, z którego mają zamiar skorzystać, ponieważ nie są z nimi odpowiednio zaznajomieni.
Jak wynika z badania Fortinet, wiele firm nie będzie miało szans na osiągnięcie zgodności z unijną dyrektywą, ponieważ wierzą, że ta ich nie dotyczy. Warto zwrócić również uwagę na fakt, że dla znacznej liczby podmiotów NIS 2 nie jest aktualizacją przepisów dyrektywy NIS z 2016 roku, lecz zestawem zupełnie nowych wymogów. Kwestia ta także znalazła swoje odzwierciedlenie w wynikach badania. Ponad 60 proc. respondentów, którzy nie zaprzeczali, że będą objęci NIS 2, nie było w stanie stwierdzić, które elementy nowej dyrektywy są uzupełnieniem NIS, co może wskazywać również na nieznajomość tego pierwotnego aktu. Istnieje więc ryzyko, że wprowadzenie wymaganych zmian nie będzie w firmach prostym procesem. Wyniki badania Fortinet sygnalizują konieczność podjęcia pilnych kroków w kierunku edukacji firm w zakresie NIS 2.
