Artykuł 21 dyrektywy NIS 2 nakłada na podmioty kluczowe i ważne obowiązek wdrożenia systemowego zarządzania ryzykiem cyberbezpieczeństwa. Wymaga to uporządkowania kilku kluczowych procesów: analizy zagrożeń, ochrony infrastruktury, weryfikacji dostawców, obsługi incydentów oraz planowania ciągłości działania.
W praktyce sprowadza się to do precyzyjnego określenia chronionych zasobów, identyfikacji potencjalnych ryzyk i przygotowania procedur na przypadek awarii lub ataku. Art. 21 nie wskazuje jednego uniwersalnego scenariusza wdrożenia. Wymaga natomiast, aby środki bezpieczeństwa były proporcjonalne do ryzyka, wielkości organizacji i charakteru jej działalności. W tym wpisie opisujemy dziesięć obszarów wymagających weryfikacji w pierwszej kolejności.
1. Polityka analizy ryzyka i bezpieczeństwa systemów
Zgodnie z art. 21 dyrektywy NIS 2 organizacje muszą zapewnić gotowość do wykrywania, obsługi i rejestrowania incydentów. Niezbędne jest do tego określenie osób decyzyjnych, sposobów zabezpieczania dowodów oraz zasad komunikacji wewnętrznej i z partnerami (warto wiedzieć, że terminy oraz tryb powiadamiania właściwych organów określa art. 23 dyrektywy).
W ramach wdrożenia polityki bezpieczeństwa organizacja powinna zapewnić:
- Rejestr aktywów obejmujący systemy, dane, urządzenia, aplikacje i dostawców.
- Analizę ryzyka dla kluczowych procesów biznesowych.
- Zasady akceptacji, ograniczania i przenoszenia ryzyka.
- Cykliczny przegląd polityk bezpieczeństwa.
Pytanie kontrolne, które warto sobie zadać: czy potrafimy od razu wskazać systemy i dane kluczowe dla działania firmy?
2. Obsługa incydentów
Zgodnie z art. 21 dyrektywy NIS 2 organizacje muszą zapewnić gotowość do wykrywania, obsługi i zgłaszania incydentów. Niezbędne jest do tego określenie osób decyzyjnych, sposobów zabezpieczania dowodów, terminów powiadamiania organów oraz zasad komunikacji z klientami i partnerami.
Proces obsługi incydentów w organizacji wymaga określenia następujących kwestii:
- Zbiór reguł dotyczących wewnętrznego przekazywania informacji o zagrożeniach.
- Skład zespołu odpowiedzialnego za działanie oraz wskazane zastępstwa.
- Ścieżkę postępowania uwzględniającą identyfikację, odizolowanie problemu, zbadanie przyczyn, usunięcie skutków, przygotowanie sprawozdania i wyciągnięcie wniosków.
- Rejestry zdarzeń pozwalające na dokładny odczyt przebiegu zdarzenia.
Pytanie kontrolne, które warto sobie zadać: czy wszyscy w zespole wiedzą, kogo natychmiast poinformować po zauważeniu podejrzanej wiadomości lub awarii sprzętu?
3. Ciągłość działania biznesowego
Art. 21 obejmuje również gotowość organizacji na funkcjonowanie w warunkach kryzysowych. Dyrektywa wymienia wprost zarządzanie kopiami zapasowymi, odtwarzanie po awarii, zarządzanie kryzysowe oraz zapewnienie ciągłości działania biznesowego.
Oznacza to, że firma musi zachować zdolność do pracy w przypadku awarii systemów, zaszyfrowania danych, braku dostępu do usług chmurowych czy niedostępności kluczowych pracowników.
W praktyce oznacza to wdrożenie:
- Planu ciągłości działania (BCP).
- Planu odtwarzania środowiska po awarii (DRP).
- Zarządzania kopiami zapasowymi, w tym przechowywania ich w odizolowanym środowisku.
- Procedur zarządzania kryzysowego.
- Cyklicznego testowania odzyskiwania danych oraz sprawności kluczowych procesów.
Pytanie kontrolne, które warto sobie zadać: jak długo firma może działać bez kluczowego systemu i jakie decyzje zapadną w pierwszej godzinie awarii?
4. Bezpieczeństwo łańcucha dostaw
NIS 2 kładzie w art. 21 nacisk na zarządzanie ryzykiem w relacjach z podmiotami trzecimi. Dostawca oprogramowania, hostingodawca, operator IT czy agencja z dostępem do firmowych danych mogą stać się wejściem dla atakującego.
Można temu zapobiec, wdrażając:
- Listę dostawców z dostępem do systemów lub danych.
- Ocenę ryzyka dla kluczowych usługodawców.
- Zapisy umowne dotyczące bezpieczeństwa, incydentów i powiadamiania.
- Weryfikację lokalizacji danych, certyfikacji i praktyk bezpieczeństwa dostawcy.
Pytanie kontrolne, które warto sobie zadać: kto poza firmą ma dostęp do naszych danych, systemów lub kont administracyjnych?
5. Bezpieczeństwo w pozyskiwaniu i rozwoju systemów
Art. 21 dyrektywy NIS 2 zakłada, że bezpieczeństwo powinno być uwzględniane już na etapie wyboru i wdrażania systemów IT. Zasada obejmuje zarówno zewnętrzne narzędzia, jak i aplikacje tworzone wewnątrz organizacji.
Kluczowe działania w tym obszarze to:
- Określanie kryteriów bezpieczeństwa przy zamawianiu oprogramowania i usług IT.
- Przeprowadzanie weryfikacji bezpieczeństwa przed uruchomieniem nowych systemów.
- Prowadzenie stałego nadzoru nad aktualizacjami i podatnościami.
- Kontrolowanie zmian wprowadzanych w konfiguracji środowiska IT.
Pytanie kontrolne, które warto sobie zadać: czy przed wdrożeniem nowego systemu lub aplikacji sprawdzamy, jakie dane przetwarza i jakich uprawnień wymaga?
6. Ocena skuteczności środków bezpieczeństwa
Organizacja powinna regularnie weryfikować, czy przyjęte rozwiązania działają zgodnie z założeniami i sprawnie wykrywają potencjalne ataki. Art. 21 wymaga bowiem nie tylko posiadania środków ochrony, lecz także oceniania ich skuteczności w praktyce.
Niezbędne kroki w tym zakresie obejmują:
- Prowadzenie cyklicznych audytów oraz przeglądów konfiguracji.
- Testy podatności oraz, tam gdzie to zasadne, testy penetracyjne.
- Bieżącą analizę alertów oraz zarejestrowanych incydentów.
- Śledzenie wskaźników operacyjnych, takich jak czas wykrycia i reakcji, liczba niezałatanych podatności czy skuteczność odzyskiwania danych z kopii zapasowych.
Pytanie kontrolne, które warto sobie zadać: kiedy ostatnio sprawdzaliśmy w praktyce, czy systemy ochronne zadziałają w krytycznym momencie?
7. Podstawowe praktyki cyberhigieny i szkolenia
Najskuteczniejszy atak często zaczyna się od e-maila, fałszywej strony logowania albo przejętego konta. Dlatego art. 21 dyrektywy NIS 2 obejmuje także podstawowe praktyki bezpieczeństwa, szkolenia oraz politykę zarządzania ryzykiem związanym z używaniem technologii.
W budowaniu bezpiecznych nawyków pomagają:
- Regularne szkolenia z rozpoznawania phishingu i socjotechniki.
- Określenie przejrzystych reguł tworzenia oraz zarządzania hasłami.
- Stosowanie wieloskładnikowego uwierzytelniania (MFA) na kontach służbowych, ze szczególnym uwzględnieniem dostępów administracyjnych.
- Ustalenie zasad korzystania z prywatnych urządzeń oraz zewnętrznych nośników pamięci.
Pytanie kontrolne, które warto sobie zadać: czy pracownicy wiedzą, jak rozpoznać próbę wyłudzenia dostępu i gdzie zgłosić incydent?
8. Kryptografia i szyfrowanie
Tam, gdzie istnieje ryzyko dla poufności lub integralności danych, art. 21 wymaga posiadania polityk i procedur dotyczących stosowania kryptografii, a w odpowiednich przypadkach – szyfrowania.
Podstawowy pakiet działań obejmuje:
- Szyfrowanie danych na urządzeniach mobilnych i przenośnych.
- Zabezpieczenie połączeń i wymiany danych z zewnętrznymi serwisami oraz usługami.
- Uporządkowane zarządzanie certyfikatami i kluczami kryptograficznymi.
- Wdrożenie jasnych reguł bezpiecznego przesyłania i przechowywania wrażliwych informacji.
Pytanie kontrolne, które warto sobie zadać: co stanie się z zasobami firmy, jeśli pracownik zgubi służbowy laptop lub telefon?
9. Bezpieczeństwo zasobów, urządzeń i dostępu
Nadzór nad dostępem do zasobów wymaga precyzyjnego określenia, kto, z jakiego sprzętu i na jakich zasadach korzysta z systemów firmy. Art. 21 dyrektywy NIS 2 obejmuje w tym zakresie nie tylko kontrolę dostępu, lecz także bezpieczeństwo zasobów ludzkich, zarządzanie aktywami oraz zabezpieczenie punktów końcowych.
Do kluczowych elementów tej ochrony należą:
- Stosowanie zasady przyznawania wyłącznie niezbędnych uprawnień.
- Zarządzanie aktywami, w tym rejestr urządzeń, systemów, danych i kont z dostępem do zasobów firmy.
- Uwzględnienie bezpieczeństwa zasobów ludzkich, m.in. podczas onboardingu, zmiany stanowiska i zakończenia współpracy.
- Stosowanie wieloskładnikowego uwierzytelniania (MFA/2FA) lub rozwiązań ciągłego uwierzytelniania tam, gdzie jest to odpowiednie – w szczególności dla kont uprzywilejowanych i paneli administracyjnych.
- Zabezpieczenie stacji roboczych, serwerów i telefonów służbowych.
- Zarządzanie dostępem do portów USB oraz możliwość zdalnego zablokowania lub wyczyszczenia zgubionego sprzętu.
Pytanie kontrolne, które warto sobie zadać: czy po odejściu pracownika lub zakończeniu umowy z dostawcą wszystkie konta, uprawnienia i dostępy do zasobów są natychmiast wygaszane?
10. Bezpieczeństwo komunikacji i ochrona przed zagrożeniami
Ochrona kanałów komunikacji i infrastruktury wymaga zabezpieczenia najczęstszych ścieżek, którymi zagrożenia trafiają do sieci. Art. 21 nie wymienia tych rozwiązań odrębnie, jednak obejmuje je w ramach ogólnego obowiązku ochrony systemów sieciowo-informacyjnych oraz ograniczania skutków incydentów.
Praktyczne działania w tym obszarze obejmują:
- Ochronę poczty przed malwarem, phishingiem i spoofingiem.
- Monitoring zdarzeń w systemach, sieci i aplikacjach.
- Wdrożenie narzędzi do automatycznego wykrywania i blokowania nietypowych aktywności.
- Podział sieci na odseparowane strefy i ograniczenie komunikacji między kluczowymi systemami.
Pytanie kontrolne, które warto sobie zadać: czy systemy ostrzegą nas od razu, gdy ktoś przejmie konto pracownika lub podłączy nieznane urządzenie do firmowej sieci?
Jak skutecznie zaplanować wdrożenie NIS 2?
Nie trzeba realizować wszystkich dziesięciu obszarów jednocześnie. Art. 21 dyrektywy NIS 2 wymaga proporcjonalnego podejścia – dopasowanego do rzeczywistych ryzyk, zasobów i specyfiki działalności organizacji.
Optymalna ścieżka wdrażania obejmuje następujące kroki
| Etap | Krok | Cel i zakres działań |
|---|---|---|
| 1. | Inwentaryzacja | Sporządzenie spisu systemów, zasobów danych, sprzętu i dostawców oraz wyznaczenie osób odpowiedzialnych |
| 2. | Analiza luk | Porównanie obecnych zabezpieczeń z wymogami art. 21 dyrektywy NIS 2 |
| 3. | Ustalanie priorytetów | Skupienie się na obszarach o największym wpływie na ciągłość działania organizacji |
| 4. | Podstawowe zabezpieczenia | Uruchomienie wieloskładnikowej weryfikacji (MFA), tworzenie kopii zapasowych, regularne aktualizacje, ochrona poczty oraz przegląd uprawnień |
| 5. | Procedury operacyjne | Przygotowanie planów obsługi incydentów oraz ciągłości działania |
| 6. | Testy i dokumentacja | Regularne testowanie skuteczności zabezpieczeń oraz wprowadzanie poprawek na podstawie wyciągniętych wniosków |
Art. 21 nie nakłada obowiązku idealnego bezpieczeństwa od pierwszego dnia, lecz kładzie nacisk na świadome, udokumentowane i regularnie doskonalone działania – dopasowane do rzeczywistego ryzyka organizacji.
Szukasz rozwiązań, które ułatwią Ci spełnienie wymogów art. 21 dyrektywy NIS 2 w praktyce?
SKONTAKTUJ SIĘ Z EKSPERTEM G DATA
FAQ – najczęściej zadawane pytania
Art. 21 określa podstawowe środki zarządzania ryzykiem w obszarze cyberbezpieczeństwa. Nakłada on na organizacje obowiązek wdrożenia odpowiednich i proporcjonalnych środków technicznych oraz organizacyjnych w celu ochrony sieci i systemów informacyjnych.
Dyrektywa wymaga podejmowania działań proporcjonalnych do wielkości podmiotu, stopnia narażenia na ryzyko oraz charakteru prowadzonej działalności. Nie oznacza to zwolnienia z wymogów, ale pozwala dopasować zakres rozwiązań do skali operacji organizacji.
Najlepszym punktem startowym jest dokładna inwentaryzacja zasobów oraz przeprowadzenie analizy luk. Pozwala to ocenić obecny stan zabezpieczeń i w pierwszej kolejności skupić się na wdrożeniu podstawowych elementów, takich jak MFA, kopie zapasowe czy szkolenia pracowników.
Nie zawsze. Wiele wymogów dotyczy uporządkowania procedur, podziału odpowiedzialności oraz właściwego skonfigurowania posiadanych już narzędzi. Często kluczowe jest uaktualnienie polityk bezpieczeństwa oraz podniesienie świadomości zespołu.
Źródła:
