Dyrektywa NIS2: Absurdalne interpretacje przepisów o cyberbezpieczeństwie

Założeniem unijnej dyrektywy NIS2 jest podniesienie odporności najważniejszych sektorów gospodarki na cyberataki. Przepisy obejmują m.in. energetykę, wodociągi, transport, ochronę zdrowia i usługi cyfrowe. Jednak sposób definiowania podmiotów objętych regulacją prowadzi do zaskakujących interpretacji - zauważa Politico.

W niektórych krajach i branżach obowiązki mogą dotyczyć także dużych firm produkujących lody, świąteczne oświetlenie czy zajmujących się dystrybucją gum do żucia.

Żywność pod szczególną ochroną

NIS2 obejmuje m.in. produkcję, przetwarzanie i dystrybucję żywności. Uzasadnienie jest jasne: skuteczny cyberatak na łańcuch dostaw mógłby zagrozić bezpieczeństwu zaopatrzenia ludności.

Problem pojawia się przy określaniu granic. Czeska europosłanka Markéta Gregorová zwracała uwagę, że duzi producenci lodów mogą spełniać kryteria objęcia dyrektywą, mimo że ich działalność trudno uznać za kluczową w sytuacji kryzysowej. Prawnicy cytowani przez Politico wskazują również na hurtownie gum do żucia.

W Niemczech jedna z organizacji branżowych miała już uspokajać małe, rzemieślnicze piekarnie, że nie podlegają nowym regulacjom.

Lampki choinkowe i szkoły z panelami słonecznymi

Wątpliwości budzi także klasyfikacja producentów świątecznego oświetlenia. W zależności od krajowego wdrożenia przepisów firmy wytwarzające lampki choinkowe mogą zostać zaliczone do podmiotów ważnych z punktu widzenia cyberbezpieczeństwa.

W Holandii sektor ten ma być uznawany za „ważny”, ale nie „kluczowy”. Oznacza to lżejsze obowiązki niż w przypadku branż, których zakłócenie mogłoby bezpośrednio zagrozić bezpieczeństwu publicznemu albo stabilności systemu.

Niejasności dotyczą też szkół posiadających instalacje fotowoltaiczne. Duże placówki mogą formalnie zostać uznane za producentów energii elektrycznej, a tym samym wejść w zakres przepisów. To mogłoby oznaczać dodatkowe koszty i wymogi dla instytucji, które często nie mają własnych specjalistów od cyberbezpieczeństwa.

Opóźnienia i brak jasnych wytycznych

Państwa UE miały wdrożyć NIS2 do prawa krajowego do końca 2024 roku. Proces jednak się opóźnia. Politico pisze, że własnych ustaw wdrażających nie przyjęły jeszcze m.in. Francja i Hiszpania, a w Niemczech rejestracja firm objętych regulacjami przebiega wolno.

Firmy działające w sektorach wskazanych w dyrektywie muszą rejestrować się w krajowych organach odpowiedzialnych za cyberbezpieczeństwo oraz stosować odpowiednie środki ochrony. Komisja Europejska podkreśla, że mikro- i małe przedsiębiorstwa są zasadniczo wyłączone z nowych obowiązków, a wobec mniej krytycznych organizacji przewidziano łagodniejsze wymogi.

Polska wdrożyła już unijną dyrektywę NIS2. 7 maja uruchomiona została rządowa aplikacja, za pośrednictwem której przedsiębiorcy będą musieli dokonać wpisu do wykazu Krajowego Systemu Cyberbezpieczeństwa (KSC).