NIS 2 w Polsce: co musisz wiedzieć jako firma obsługi IT

Dyrektywa NIS 2 (Network and Information Security Directive 2) to największa zmiana regulacyjna w obszarze cyberbezpieczeństwa w Unii Europejskiej od lat. Dla właścicieli firm IT, integratorów i MSP w Polsce to nie jest abstrakcyjny temat z Brukseli – to realna zmiana, która wpłynie na Twój biznes i biznes Twoich klientów.

W tym artykule wyjaśniamy: czym jest NIS 2, kogo dotyczy, jakie obowiązki nakłada – i dlaczego to jest szansa, a nie tylko problem.

Czym jest dyrektywa NIS 2 i dlaczego powstała

NIS 2 to następczyni pierwszej dyrektywy NIS z 2016 r. Unia Europejska uznała, że pierwotne regulacje były niewystarczające – zakres był zbyt wąski, a państwa członkowskie wdrażały je nierównomiernie. Cyberataki rosły w liczbie i skali, a pandemia przyspieszyła cyfryzację, odsłaniając nowe luki w bezpieczeństwie.

NIS 2 weszła w życie na poziomie UE w styczniu 2023 r. Państwa członkowskie miały czas do 17 października 2024 r. na wdrożenie jej na poziomie prawa krajowego. Polska – jak wiele krajów – nadal pracuje nad ostatecznym kształtem ustawy implementującej, ale kierunek jest jasny: regulacje nadchodzą i są nieuniknione.

Kogo dotyczy NIS 2

To kluczowe pytanie dla każdego MSP. Odpowiedź: znacznie większej liczby organizacji niż poprzednia dyrektywa.

NIS 2 dzieli podmioty na dwie kategorie:

Podmioty kluczowe

• energetyka (prąd, gaz, ropa, ciepło),
• transport (lotniczy, kolejowy, morski, drogowy),
• bankowość i infrastruktura rynku finansowego,
• ochrona zdrowia (szpitale, laboratoria, producenci wyrobów medycznych),
• woda pitna i ścieki,
• infrastruktura cyfrowa (DNS, centra danych, dostawcy chmury, IXP),
• administracja publiczna,
• przestrzeń kosmiczna.

Podmioty ważne

• usługi pocztowe i kurierskie,
• gospodarka odpadami,
• produkcja (żywność, chemikalia, wyroby medyczne, elektronika, maszyny, pojazdy),
• dostawcy usług cyfrowych (sklepy online, wyszukiwarki, media społecznościowe),
• badania naukowe.

Zwróć uwagę na produkcję – to sektor, w którym działa wielu klientów polskich firm MSP. Firma produkcyjna z 50 pracownikami, która dotychczas traktowała cyberbezpieczeństwo jako „dodatkowy koszt”, teraz będzie musiała spełniać konkretne wymagania prawne.

„Klient do tej pory myślał tak: muszę mieć antywirusa, firewalla, może PAM-a. A teraz okazuje się, że to nie będzie załatwione.”

– Paweł Jurek, DAGMA/ESET (CRN Polska)

Kluczowe wymagania NIS 2 istotne dla MSP

Dyrektywa NIS 2 nakłada na objęte nią podmioty obowiązki w kilku kluczowych obszarach. Jako firma IT obsługująca tych klientów, musisz je znać.

Artykuł 20: szkolenia jako wymóg prawny

Z perspektywy MSP, jeden z najważniejszych elementów NIS 2 to Artykuł 20, który wprost mówi o obowiązku szkolenia:

Artykuł 20 wymaga, aby organy zarządzające podmiotów objętych dyrektywą:

1. Zatwierdzały środki zarządzania ryzykiem cyberbezpieczeństwa.
2. Nadzorowały ich wdrażanie.
3. Uczestniczyły w szkoleniach z zakresu cyberbezpieczeństwa – i zapewniały takie szkolenia swoim pracownikom.

To nie jest rekomendacja, sugestia ani „dobrze byłoby”. To wymóg prawny. A za nieprzestrzeganie NIS 2 grożą kary finansowe – dla podmiotów kluczowych do 10 mln EUR lub 2% rocznego obrotu (w zależności od tego, co jest wyższe), dla podmiotów ważnych do 7 mln EUR lub 1,4% obrotu.

Dla właściciela firmy produkcyjnej z 80 pracownikami to nie jest abstrakcyjne zagrożenie. To realne ryzyko finansowe, które wymusi działanie.

Co to oznacza dla Twojego biznesu MSP

NIS 2 zmienia dynamikę rozmowy z klientem. Dotychczas wyglądała ona mniej więcej tak:

„Skoro do tej pory nic się nie wydarzyło, to pewnie przez kolejny rok również uda się uniknąć problemów. Tyle że prędzej czy później taki dzień nadchodzi i wtedy skala konsekwencji bywa dramatyczna.”

– Karol Kij, ISSA Polska

NIS 2 zmienia ten paradygmat. Klient nie może już mówić „do tej pory nic się nie stało” – bo teraz niezależnie od tego, czy coś się stało, musi spełniać wymagania regulacyjne. A jeśli ich nie spełnia, ryzykuje możliwością nałożenia na niego kary.

Dla MSP to oznacza trzy scenariusze:

Szansa: od dostawcy towarów „z półki” do partnera strategicznego

To jest prawdziwa wartość NIS 2 dla MSP. Dyrektywa zmienia pozycję firmy IT w relacji z klientem.

Dotychczas wielu klientów postrzegało firmę IT jako dostawcę gotowych produktów – ktoś, kto dostarcza licencje, naprawia drukarki i resetuje hasła. Relacja oparta na cenie, łatwa do zastąpienia.

NIS 2 otwiera drogę do pozycji partnera strategicznego – ktoś, kto pomaga klientowi spełnić wymagania prawne, zarządzać ryzykiem, chronić organizację. Relacja oparta na zaufaniu i ekspertyzie, trudna do zastąpienia.

MSP, który potrafi powiedzieć klientowi: „Wiem, że NIS 2 wymaga szkoleń pracowników – mamy gotową usługę, która realizuje o zapotrzebowanie, z raportami dla zarządu i mierzalnymi wynikami” – to nie jest dostawca licencji. To doradca, którego klient nie zmieni z powodu ceny niższej o parę złotych za licencję.

Konkretne usługi, które możesz zaoferować

W kontekście NIS 2 jako MSP możesz budować ofertę wokół kilku kluczowych usług:

• Szkolenia security awareness training – szkolenia antyphishingowe, symulacje ataków, mikro-szkolenia, raportowanie miesięczne. Bezpośrednio zabezpiecza to wymaganie Artykułu 20 o szkoleniach.
• Audyt bezpieczeństwa – ocena stanu cyberbezpieczeństwa klienta w kontekście wymagań NIS 2. Identyfikacja luk i plan naprawczy.
• Monitoring i raportowanie incydentów – pomoc w spełnieniu wymogu raportowania incydentów w ciągu 24/72h.
• Kopia zapasowa i odtwarzanie po awariach – usługi ciągłości działania, testowanie odtworzenia danych, dokumentacja planów.
• Polityki bezpieczeństwa – generowanie i aktualizacja polityk, procedur, dokumentacji wymaganej przez NIS 2.

Nie musisz budować wszystkiego od zera. Zacznij od jednej usługi – na przykład od szkolenia z cyberbezpieczeństwa – i rozszerzaj portfolio w miarę wzrostu popytu. Kluczowe jest, by mieć choćby jedną konkretną odpowiedź na pytanie klienta: „Co możemy zrobić w kontekście NIS 2?”

Jak zacząć: model white label dla szkoleń security awareness

Jeśli szkolenia z cyberbezpieczeństwa wydają się naturalnym punktem startu (a według nas tak jest, ponieważ bezpośrednio spełniają wymogi Artykułu 20 i jsą stosunkowo łatwe do wdrożenia), rozważ model white label.

W takim modelu:

• nie musisz budować zespołu do realizacji szkoleń – robi to partner,
• nie musisz konfigurować platformy – partner uruchamia wszystko w 14 dni,
• nie musisz tworzyć raportów – dostajesz gotowe raporty pod swoją marką,
• Ty sprzedajesz, fakturujesz i budujesz relację z klientem – marża zostaje u Ciebie.

To pozwala szybko wejść z ofertą przygotowaną z myślą o spełnieniu wymogów regulacyjnych, zanim konkurencja się obudzi – bez inwestycji w ludzi i narzędzia, których dziś nie masz.

NIS 2 to nie kwestia „czy” – to kwestia „kiedy”. Firmy IT, które przygotują się teraz, będą w najlepszej pozycji, gdy klienci zaczną masowo pytać o zgodność z regulacjami. A pytania takie pojawia się z całą pewnością, ponieważ dyrektywa wymaga określonych działań, a kary za jej nieprzestrzeganie są realne.