Dyrektywa NIS 2 – szeroka ochrona, wyższe wymagania
NIS 2 zastępuje pierwszą dyrektywę NIS z 2016 r., rozszerzając zakres regulacji na 18 sektorów, takich jak administracja publiczna, transport, zdrowie, finanse, a także dostawcy usług cyfrowych.
Nowe wymogi obejmują m.in. obowiązek prowadzenia analizy ryzyka, wdrażania procedur bezpieczeństwa i ciągłości działania, zgłaszania incydentów oraz klasyfikacji podmiotów jako kluczowych lub ważnych. Kary za naruszenia sięgają 10 mln EUR lub 2% globalnego obrotu dla podmiotów kluczowych.
DORA – odporność cyfrowa sektora finansowego
DORA (Digital Operational Resilience Act) to rozporządzenie UE, które weszło w życie 17 stycznia 2025 r. Ma ono na celu ujednolicenie zasad zarządzania ryzykiem ICT, raportowania incydentów, testów odporności cyfrowej oraz nadzoru nad dostawcami usług technologicznych w sektorze finansowym.
Obowiązki obejmują zarządzanie ryzykiem technologicznym, prowadzenie dokumentacji zabezpieczeń oraz regularne testy odporności. Naruszenia mogą skutkować karami do 2% rocznego obrotu.
CRA – nowe standardy dla produktów cyfrowych
Cyber Resilience Act (CRA) to rozporządzenie UE, które weszło w życie 12 listopada 2024 r. i wprowadza wymogi cyberbezpieczeństwa dla wszystkich „produktów z elementami cyfrowymi”. Dotyczy to zarówno sprzętu, jak i oprogramowania mającego połączenie z siecią.
Od 2026 r. obowiązuje wymóg zgłaszania poważnych incydentów w ciągu 24h, a pełne wdrożenie regulacji nastąpi do grudnia 2027 r. Producenci muszą zapewniać aktualizacje, prowadzić dokumentację oraz przeprowadzać oceny ryzyka już na etapie projektowania. Kary mogą wynosić do 15 mln EUR lub 2,5% obrotu.
Podsumowanie regulacji
| Regulacja | Kategorie objętych | Główne wymagania | Termin wdrożenia | Konsekwencje |
| NIS 2 | Operatorzy usług kluczowych i ważnych | Zarządzanie ryzykiem, zgłaszanie incydentów, rejestracja | 2025 (implementacja w Polsce) | Do 10 mln EUR / 2% obrotu |
| DORA | Instytucje finansowe + dostawcy ICT | Odporność operacyjna, testy, raportowanie incydentów | 17 stycznia 2025 | Do 2% obrotu |
| CRA | Producenci produktów cyfrowych | Bezpieczeństwo od etapu projektu, aktualizacje, dokumentacja | Od września 2026 (incydenty), pełne od grudnia 2027 | Do 15 mln EUR / 2,5% obrotu |
Wnioski i rekomendacje dla firm
1. Zweryfikuj, czy Twoja firma podlega regulacjom NIS 2, DORA lub CRA.
2. Wdroż audyt bezpieczeństwa i opracuj plan zgodności – szczególnie dla instytucji finansowych (DORA) oraz sektorów kluczowych (NIS 2).
3. Przygotuj się na nowe obowiązki w zakresie produktów cyfrowych (CRA) – od aktualizacji po dokumentację.
4. Wzmocnij procedury zarządzania ryzykiem i raportowania incydentów.
5. Zadbaj o szkolenia pracowników – aspekt ludzki ma kluczowe znaczenie.
