Nie tylko banki. Sprawdź, czy Twoja firma podlega pod NIS2 i jakie grożą jej kary

Kogo dotyczy NIS2 i KSC2?

Wejście w życie polskiej ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC2), implementującej unijną dyrektywę NIS2, to jedna z najważniejszych zmian w obszarze cyberbezpieczeństwa dla firm działających w Polsce. Choć przepisy budzą wiele emocji i pytań, jedno jest pewne – dotyczą znacznie szerszego kręgu organizacji niż wcześniejsze regulacje. Błędna klasyfikacja własnej firmy może prowadzić do poważnych sankcji finansowych, dlatego warto zawczasu zweryfikować, czy nowe obowiązki nas obejmują.

Kogo tak naprawdę dotyczy NIS2 i KSC2?

Podstawowym błędem jest myślenie, że nowe przepisy odnoszą się wyłącznie do banków, operatorów infrastruktury krytycznej czy dużych korporacji telekomunikacyjnych. Zakres podmiotowy jest znacznie szerszy. Jak wskazuje Marcin Serafin, partner w kancelarii Sterberg, podczas bezpłatnego webinaru organizowanego przez Sekurak, kluczowe jest określenie, czy organizacja działa w jednym z sektorów wymienionych w załącznikach do dyrektywy. Są to m.in. energetyka, transport, ochrona zdrowia, administracja publiczna, ale także dostawcy usług cyfrowych, w tym platformy społecznościowe i wyszukiwarki internetowe.

Co więcej, przepisy obejmują nie tylko podmioty kluczowe i ważne, ale często również ich dostawców i partnerów w łańcuchu dostaw. Pytanie „czy jesteśmy tylko dostawcą dla banku, a nie bankiem, to podlegamy pod NIS2/UKSC, czy nie?” – jak czytamy w materiałach szkoleniowych – jest jednym z najczęściej zadawanych. Odpowiedź brzmi: tak, pod pewnymi warunkami, jeśli świadczone usługi są kluczowe dla funkcjonowania podmiotu regulowanego.

Jak nie popełnić błędu przy samoklasyfikacji?

Samoklasyfikacja to proces wymagający analizy nie tylko formalnych wpisów w KRS czy kodów PKD. Jak podkreśla Marcin Serafin, „czy decyduje kod PKD i wpis w KRS, czy raczej rzeczywisty zakres działania” – odpowiedź brzmi: przede wszystkim rzeczywisty zakres działalności. W praktyce oznacza to, że nawet jeśli kod PKD nie wskazuje wprost na sektor objęty regulacją, ale firma faktycznie świadczy usługi w tym obszarze, może podlegać pod KSC2.

Ważne jest również prawidłowe liczenie progów – liczby pracowników i przychodów. Wątpliwości budzi często to, czy „pracownik” to tylko osoba zatrudniona na umowę o pracę, czy także współpracownicy na innych formach zatrudnienia. Eksperci radzą, aby przyjąć jak najszerszą definicję, uwzględniającą wszystkie osoby świadczące pracę na rzecz firmy, ponieważ przepisy w różnych krajach mogą być interpretowane odmiennie, a ryzyko sankcji spoczywa na przedsiębiorcy.

Kary za brak rejestracji lub błędną klasyfikację

Konsekwencje nieprawidłowego określenia statusu organizacji mogą być dotkliwe. Jak czytamy w zapowiedzi szkolenia Sekuraka, „błędna klasyfikacja może pociągać za sobą poważne skutki w postaci wysokich kar finansowych i poważnych sankcji operacyjnych oraz administracyjnych”. Górna granica kary administracyjnej za naruszenie przepisów KSC2 wynosi aż 10 milionów euro lub 2% rocznego światowego obrotu przedsiębiorcy – w zależności od tego, która kwota jest wyższa.

W praktyce oznacza to, że zarówno świadome pomijanie obowiązków, jak i błąd wynikający z niedokładnej analizy, może kosztować firmę miliony złotych. Dlatego tak ważne jest, aby podejść do procesu samoklasyfikacji rzetelnie i, w razie wątpliwości, skorzystać z dostępnych materiałów szkoleniowych lub konsultacji z ekspertami.

Jak przygotować się do wdrożenia obowiązków?

Dla organizacji, które już zidentyfikowały, że podlegają pod NIS2/KSC2, kluczowe jest opracowanie i wdrożenie odpowiednich procedur zarządzania ryzykiem w cyberbezpieczeństwie. Obejmują one m.in.:

• Przeprowadzenie kompleksowej oceny ryzyka aktywów IT i OT,
• Wdrożenie systemu zarządzania incydentami z obowiązkiem ich zgłaszania do właściwych organów (np. CSIRT NASK, CSIRT MON),
• Zapewnienie ciągłości działania i odtwarzania po awarii,
• Szkolenie pracowników z zakresu cyberhigieny,
• Zabezpieczenie łańcucha dostaw poprzez audyt kluczowych dostawców.

W przypadku braku pewności co do statusu, warto skorzystać z bezpłatnych webinarów i narzędzi online, takich jak wspomniane szkolenie Sekuraka, które pomagają przejść przez cały proces krok po kroku – od liczenia pracowników i przychodów, przez analizę sektorów, po wypełnienie formularza zgłoszeniowego do wykazu KSC.

Polskie przepisy wdrażające NIS2 są już faktem, a firmy – bez względu na wielkość – muszą zmierzyć się z nowymi obowiązkami. Kluczowe jest, aby zrobić to świadomie i uniknąć kosztownych błędów już na etapie klasyfikacji.