NIS2 jest wdrażana do polskiego prawa poprzez nowelizację Ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC/UKSC). Ta strona mapuje kluczowe obowiązki dyrektywy na konkretne funkcje EventSentry - tak, aby praca nad zgodnością tworzyła realne bezpieczeństwo, a nie tylko dokumentację.
NIS2 znacząco rozszerza zakres regulacji cyberbezpieczeństwa UE w porównaniu z pierwotną dyrektywą NIS, klasyfikując organizacje jako podmioty kluczowe lub ważne w około 18 sektorach - niezależnie od progów wielkości firmy w kilku kategoriach wysokiego ryzyka.
Energetyka, transport, bankowość, infrastruktura rynków finansowych, zdrowie, zaopatrzenie w wodę pitną, ścieki, infrastruktura cyfrowa, administracja publiczna, przestrzeń kosmiczna.
Usługi pocztowe i kurierskie, gospodarka odpadami, chemikalia, produkcja żywności, przemysł wytwórczy, dostawcy cyfrowi, organizacje badawcze.
Obowiązki obejmują dostawców usług ICT i kluczowych poddostawców - wiele MŚP zostaje objętych regulacją jako podwykonawcy podmiotów regulowanych.
Organy administracji centralnej i lokalnej świadczące usługi, których zakłócenie miałoby istotny wpływ na bezpieczeństwo publiczne.
Powiadomienie właściwego CSIRT o poważnym incydencie, w tym informacja, czy podejrzewa się działanie bezprawne lub złośliwe.
Wstępna ocena powagi, wpływu i wskaźników kompromitacji, aktualizująca wcześniejsze ostrzeżenie.
Szczegółowe sprawozdanie: przyczyna źródłowa, podjęte działania naprawcze oraz wpływ transgraniczny, jeśli dotyczy.
| Typ podmiotu | Maksymalna kara |
|---|---|
| Kluczowy | 10 000 000 € lub 2% globalnego rocznego obrotu - w zależności od tego, która kwota jest wyższa |
| Ważny | 7 000 000 € lub 1,4% globalnego rocznego obrotu - w zależności od tego, która kwota jest wyższa |
Organy zarządzające muszą zatwierdzać środki zarządzania ryzykiem, nadzorować ich wdrożenie i mogą ponosić osobistą odpowiedzialność oraz podlegać obowiązkom szkoleniowym. Dokładne kwoty i procedury są finalizowane w polskiej ustawie wdrażającej KSC/UKSC - aktualne progi warto potwierdzić z doradcą prawnym.
Artykuł 21 określa minimalne środki zarządzania ryzykiem cyberbezpieczeństwa, które musi wdrożyć każdy podmiot objęty regulacją. Poniżej pokazujemy, jak wbudowane pakiety EventSentry wspierają każdy z nich.
| Wymóg NIS2 (art. 21) | Co jest wymagane | Funkcja EventSentry |
|---|---|---|
| Analiza ryzyka i polityki bezpieczeństwa systemów | Ciągła widoczność systemów jako podstawa decyzji o ryzyku. | Monitoring logów zdarzeń w czasie rzeczywistym w systemach Windows, Syslog i aplikacjach, z 68 wbudowanymi pakietami. |
| Obsługa incydentów | Wykrywanie, klasyfikacja i reakcja w ramach terminów raportowania. | Korelacja, alerty oparte o reguły filtrów i zautomatyzowana reakcja skracające czas od wykrycia do odpowiedzi. |
| Ciągłość działania i zarządzanie kryzysowe | Utrzymanie dostępności i odzyskiwanie po zakłóceniach. | Monitoring wydajności, dysku i dostępności z proaktywnymi alertami, zanim awarie się rozprzestrzenią. |
| Bezpieczeństwo łańcucha dostaw | Nadzór nad ryzykiem dostawców i podmiotów trzecich. | Inwentaryzacja zasobów, sprawdzanie wersji oprogramowania (305 kontroli) oraz audyt zmian w całym środowisku. |
| Obsługa i ujawnianie podatności | Systematyczne identyfikowanie i usuwanie słabości. | 293 kontrole walidacyjne oraz dashboardy gotowości na zgodność. |
| Podstawowa higiena cyberbezpieczeństwa i szkolenia | Ograniczenie ekspozycji na typowe, możliwe do uniknięcia problemy. | Monitoring procesów, wykrywanie eskalacji uprawnień i walidacja integralności wcześnie sygnalizują ryzykowne zachowania. |
| Kryptografia i szyfrowanie | Ochrona danych w tranzycie i w spoczynku, tam gdzie dotyczy. | Monitoring zmian konfiguracji i polityk wpływających na mechanizmy kryptograficzne. |
| Kontrola dostępu i zarządzanie zasobami | Wiedza o posiadanych zasobach i uprawnieniach dostępu. | Audyt Active Directory: zmiany obiektów/grup, blokady kont, audyt Group Policy, wykrywanie skompromitowanych danych logowania. |
| Bezpieczeństwo sieci i systemów informacyjnych | Widoczność ruchu sieciowego i anomalii. | Analityka NetFlow/IPFIX/sFlow, wykrywanie spoofingu ARP, geolokalizowany wywiad o zagrożeniach. |
| Uwierzytelnianie wieloskładnikowe i bezpieczna komunikacja | Wzmocnienie uwierzytelniania tam, gdzie wymaga tego ryzyko. | Monitoring logowań i alerty o podejrzanym uwierzytelnianiu wspierają egzekwowanie i przegląd polityki MFA. |
Gotowe dashboardy zgodności i REST API w EventSentry zamieniają codzienny monitoring w dokumentację, której oczekują CSIRT, audytorzy i zarząd - generowaną na bieżąco, a nie przygotowywaną w tygodniu przed audytem.
Omnus.pl oferuje krótką rozmowę o gotowości na NIS2 / KSC oraz prowadzone wdrożenie pilotażowe EventSentry na Twojej infrastrukturze.
