Firmy w Polsce stoją przed poważnym wyzwaniem – osiągnięciem zgodności z nowymi przepisami dotyczącymi cyberbezpieczeństwa. Unijna dyrektywa NIS 2, której postanowienia powinny być stosowane od 18 października 2024, nakłada na działające w Europie przedsiębiorstwa wiele nowych zobowiązań w zakresie analizy ryzyka oraz reagowania na cyfrowe incydenty. Niespełnienie tych norm będzie grozić karami sięgającymi nawet 10 mln euro.
Badanie firmy Fortinet przeprowadzone wśród firm, które będą objęte dyrektywą, wykazało, że ponad połowa z nich nie wiedziała, czy nowe przepisy będą ich dotyczyły.
NIS 2 jest rozszerzeniem obowiązującej od 2016 r. dyrektywy NIS, powstałej w celu ujednolicenia zasad cyberbezpieczeństwa w Unii Europejskiej. Oprócz nowych obowiązków, w skład których wchodzi m.in. zabezpieczanie łańcuchów dostaw, zaktualizowany akt zwiększa również grupę podmiotów, które mają mu podlegać. Podczas gdy dyrektywa NIS koncentrowała się na operatorach usług kluczowych, NIS 2 uwzględnia także średnie i duże firmy z różnych branż, jak energetyka, infrastruktura cyfrowa oraz opieka zdrowotna. Oznacza to, że część podmiotów objętych rozszerzoną wersją dyrektywy nie podlegała jej pierwszemu wariantowi.
Badanie świadomości przedsiębiorstw w Polsce na temat dyrektywy NIS 2 zostało przeprowadzone na zlecenie firmy Fortinet przez centrum badawczo-rozwojowe Biostat. Przeprowadzono je na grupie 150 średnich i dużych podmiotów z branży produkcyjnej, energetycznej, infrastruktury cyfrowej, ochrony zdrowia, produkcji żywności oraz transportowej.
Choć wielu respondentów (niemal 75 proc,) słyszało o wchodzącej w życie w październiku dyrektywie NIS 2, ponad połowa badanych (51 proc.) nie potrafiła stwierdzić, czy ich firmy zostaną objęte nowymi regulacjami, a 12% uważało, że nowe przepisy nie będą ich dotyczyły.
– Fakt, że tak wiele firm nie zdaje sobie sprawy, iż podlega dyrektywie NIS 2, jest alarmujący. Wśród uczestników badania obecni byli również respondenci, którzy uważali, że nadchodzące zmiany ich nie dotyczą. Odpowiedź tę wyjaśniali przywołując błędne argumenty, takie jak to, że nie świadczą usług dla struktur państwowych. Jednakże, kwestia ta nie zwalnia podmiotu z przestrzegania wytycznych zawartych w NIS 2
– zauważa Jolanta Malak, dyrektorka Fortinet w Polsce.
Ankietowani, poproszeni o wskazanie czynników stanowiących największe wyzwania związane z osiągnięciem zgodności z dyrektywą NIS 2, wskazali kolejno:
- obowiązek wprowadzenia polityki ryzyka i bezpieczeństwa systemów informatycznych,
- warunek zapewnienia ciągłości działania procesów w obliczu cyberataku,
- konieczność wprowadzenia standardów, które pomagałyby w ocenie skuteczności środków zarządzania ryzykiem.
– Część firm już teraz korzysta lub planuje skorzystać z usług podmiotów doradczych oraz konsultingowych. Drugą popularną opcją jest stworzenie wewnętrznych zespołów odpowiedzialnych za sprawdzanie zgodności działalności przedsiębiorstwa z regulacjami przedstawionymi w NIS 2 – wyjaśnia Jolanta Malak.
