Przewodnik NIS2 · 9 min
RODO a NIS2: pokrywanie się, różnice i kiedy jeden incydent uruchamia oba
RODO i NIS2 oba dotykają bezpieczeństwa i oba wiążą się z wysokimi karami, więc są mylone, ale chronią różne rzeczy i odpowiadają przed różnymi organami. Ryzyko nie polega na wyborze niewłaściwego; polega na przeoczeniu, że jeden incydent może uruchomić oba, według różnych terminów. Ten przewodnik wytycza granicę, pokazuje pokrywanie się, wyjaśnia wzajemne oddziaływanie (współpraca i brak podwójnej kary) i daje prostą odpowiedź zespołom obsługującym klientów objętych oboma.
Sprawdź swoją domenę teraz
Zobacz, co jest publicznie widoczne w zakresie bezpieczeństwa Twojej organizacji, bez rejestracji.
Ten natychmiastowy podgląd sprawdza:
- HTTPS dostępny
- HSTS włączony
- Przekierowanie HTTP → HTTPS
- SPF skonfigurowany
- DMARC egzekwowany
- Poczta (MX) skonfigurowana
Pełny raport dodaje ransomware, dark web, certyfikaty, dane firmowe i ponad 100 innych kontroli.
Najważniejsze punkty
- RODO chroni dane osobowe i dotyczy niemal każdej organizacji; NIS2 chroni cyberodporność i dotyczy tylko wyznaczonych podmiotów kluczowych i ważnych.
- Jeden incydent może wymagać dwóch zgłoszeń: 72-godzinnego zgłoszenia naruszenia danych osobowych do organu nadzorczego (RODO art. 33) oraz raportu do CSIRT w trybie 24h/72h/miesiąc (NIS2 art. 23).
- Są zaprojektowane tak, by się zazębiać: organy współpracują (NIS2 art. 35) i nie karze się dwukrotnie za to samo postępowanie, ale i tak oceniasz i zgłaszasz według każdego tam, gdzie ma zastosowanie.
Co reguluje każde z nich
RODO i NIS2 to oba akty UE dotykające bezpieczeństwa i bywają mylone, ale chronią różne rzeczy. RODO chroni dane osobowe; NIS2 chroni ciągłość i bezpieczeństwo usług kluczowych. Organizacja może z łatwością podlegać obu naraz.
Najczystsze rozróżnienie: RODO pyta „czy chronisz dane osobowe ludzi?” i dotyczy niemal każdej organizacji, która je przetwarza. NIS2 pyta „czy Twoja organizacja jest odporna operacyjnie i cybernetycznie?” i dotyczy tylko wyznaczonych podmiotów kluczowych i ważnych w określonych sektorach.
RODO: dane osobowe, niemal wszyscy
Rozporządzenie (UE) 2016/679, stosowane od 2018 r. Reguluje przetwarzanie danych osobowych przez administratorów i podmioty przetwarzające: podstawa prawna, prawa osób, których dane dotyczą, oraz bezpieczeństwo przetwarzania (art. 32). Egzekwowane przez organy ochrony danych.
NIS2: cyberbezpieczeństwo, wyznaczone podmioty
Dyrektywa (UE) 2022/2555, transponowana do prawa krajowego (termin 17 października 2024 r.). Reguluje zarządzanie ryzykiem cyberbezpieczeństwa (art. 21) i zgłaszanie incydentów (art. 23) dla podmiotów kluczowych i ważnych. Egzekwowana przez krajowe organy cyberbezpieczeństwa i CSIRT.
Pułapka: jeden incydent, dwa zgłoszenia
Jedno naruszenie może uruchomić oba reżimy: do różnych organów, według różnych terminów. Znaj oba:
Jeśli incydent bezpieczeństwa dotyczy danych osobowych, zgłoś go organowi nadzorczemu bez zbędnej zwłoki i, o ile to wykonalne, w ciągu 72 godzin od stwierdzenia: chyba że jest mało prawdopodobne, by naruszenie skutkowało ryzykiem dla praw i wolności osób.
Jeśli to incydent istotny, wyślij do swojego CSIRT wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin i raport końcowy w ciągu miesiąca.
Atak ransomware szyfrujący dane osobowe jest jednocześnie istotnym incydentem NIS2 i naruszeniem danych osobowych RODO: dwa zgłoszenia, dwa organy, dwa terminy.
Gdzie się pokrywają
Wdroż jeden dobrze, a części drugiego wynikają. Oba wymagają:
- Bezpieczeństwo przetwarzania / środki zarządzania ryzykiem: proporcjonalne kontrole techniczne i organizacyjne.
- Zgłoszenie incydentu lub naruszenia w określonych terminach, z dokumentacją tego, co się stało i jak zareagowano.
- Odpowiedzialność: kierownictwo musi ją przejąć, a oba reżimy wiążą się ze znaczącymi karami administracyjnymi.
- Rejestry i dowody: musisz móc wykazać, a nie tylko twierdzić, że kontrole istnieją i działają.
- Zapewnienie wobec stron trzecich: RODO poprzez umowy powierzenia (art. 28), NIS2 poprzez bezpieczeństwo łańcucha dostaw (art. 21 ust. 2 lit. d).
Zobacz, jak naprawdę wypadacie Ty i Twoi dostawcy
7 dni bezpłatnie · bez karty kredytowej · anuluj w każdej chwili
Kluczowe oddziaływanie: współpraca i brak podwójnej kary
NIS2 napisano tak, by zazębiał się z RODO, a nie je powielał. Zgodnie z art. 35 NIS2, gdy organ cyberbezpieczeństwa dowie się, że incydent u podmiotu może obejmować naruszenie danych osobowych podlegające zgłoszeniu na podstawie art. 33 RODO, musi bez zbędnej zwłoki poinformować organ ochrony danych. Oba organy współpracują i wymieniają informacje.
Co kluczowe: nie karze się dwukrotnie za to samo postępowanie. Gdy organ ochrony danych nałoży karę na podstawie RODO za naruszenie, organ NIS2 nie może dodatkowo nałożyć kary NIS2 (art. 34) wynikającej z tego samego postępowania. Ale to ochrona przed podwójną karą za jeden czyn: nie łączy obu obowiązków. Nadal oceniasz, dokumentujesz i zgłaszasz według każdego reżimu tam, gdzie ma zastosowanie.
To, które obowiązki mają zastosowanie, zależy od stanu faktycznego, czy w grę wchodziły dane osobowe i czy jesteś podmiotem kluczowym lub ważnym? Potwierdź szczegóły u swojego organu ochrony danych, krajowego organu cyberbezpieczeństwa i u wykwalifikowanego doradcy.
Który dotyczy Ciebie?
Większość organizacji odpowiada przed jednym; wiele przed oboma:
Przetwarzasz dane osobowe, ale nie jesteś podmiotem kluczowym/ważnym
RODO ma zastosowanie; NIS2 nie stosuje się bezpośrednio: choć należyta staranność klienta objętego NIS2 wobec łańcucha dostaw może i tak sięgnąć Cię poprzez umowy.
Jesteś podmiotem kluczowym/ważnym przetwarzającym niewiele danych osobowych
NIS2 stosuje się w pełni; RODO stosuje się do danych osobowych, które przetwarzasz (pracownicy, klienci).
Podlegasz obu (typowy przypadek)
Prowadź jeden proces reagowania na incydenty spełniający oba terminy: organ ochrony danych w ciągu 72 h dla naruszeń danych, CSIRT w trybie 24h/72h/miesiąc dla incydentów istotnych.
Jesteś dostawcą lub podmiotem przetwarzającym
Spodziewaj się zarówno klauzul powierzenia RODO (art. 28), jak i kontroli łańcucha dostaw NIS2 (art. 21 ust. 2 lit. d) ze strony klientów: kwestionariuszy, żądań dowodów i ciągłego monitorowania.
Źródła: Rozporządzenie (UE) 2016/679 (RODO) oraz dyrektywa (UE) 2022/2555 (NIS2), w szczególności art. 35 o oddziaływaniu z RODO. Potwierdź, jak oba mają zastosowanie do Twojej sytuacji, u swojego organu ochrony danych i krajowego organu cyberbezpieczeństwa.
Jak pomaga norppa.io
Oba reżimy oczekują teraz ciągłego, popartego dowodami zapewnienia wobec Twoich dostawców i podmiotów przetwarzających: RODO poprzez nadzór nad podmiotami przetwarzającymi (art. 28), NIS2 poprzez bezpieczeństwo łańcucha dostaw (art. 21 ust. 2 lit. d). norppa.io monitoruje każdą domenę dostawcy w ponad stu punktach kontrolnych codziennie, a każde ustalenie jest zmapowane na właściwy artykuł NIS2 i eksportowalne do Twoich rejestrów.
Kwestionariusze samooceny ujmują kontrole umowne i procesowe, których ani organ ochrony danych, ani audytor cyberbezpieczeństwa nie widzą z zewnątrz, a każda odpowiedź jest zestawiana z technicznym profilem na żywo: tak że niezależnie od tego, czy pytanie pada z perspektywy ochrony danych czy NIS2, możesz pokazać aktualne, potwierdzone dowody zamiast twierdzeń.