Przewodnik NIS2 · 7 min
NIS2 a odpowiedzialność kierownictwa: co muszą wiedzieć zarząd i kadra zarządzająca
NIS2 robi coś, czego wcześniejsze przepisy o cyberbezpieczeństwie w większości nie robiły: kładzie cyberbezpieczeństwo wprost na biurku organu zarządzającego. Kierownictwo musi zatwierdzić środki zarządzania ryzykiem, nadzorować je i może ponosić osobistą odpowiedzialność w razie zaniedbań. Ten przewodnik wyjaśnia, czego dyrektywa oczekuje od zarządu i kadry zarządzającej, jakie pytania zadać zespołowi ds. bezpieczeństwa, jak wygląda dobre raportowanie i ile kosztuje błąd.
Najważniejsze punkty
- Organy zarządzające muszą zatwierdzać i nadzorować środki zarządzania ryzykiem cyber — i mogą odpowiadać za zaniedbania (art. 20).
- Kierownictwo musi odbyć szkolenie z cyberbezpieczeństwa; obowiązku nie można w pełni przekazać działowi IT.
- Kary sięgają 10 mln € lub 2% światowego obrotu dla podmiotów kluczowych, 7 mln € lub 1,4% dla ważnych (art. 34).
- Zarząd powinien oczekiwać zwięzłego raportowania opartego na dowodach — pokrycie, tempo naprawy i otwarte ryzyko — a nie corocznego zapewnienia.
Kierownictwo jest wskazane i odpowiedzialne
Zgodnie z artykułem 20 organ zarządzający podmiotu kluczowego lub ważnego musi zatwierdzić środki zarządzania ryzykiem cyber podmiotu i nadzorować ich wdrożenie. To nie jest formalność, którą można delegować: dyrektywa czyni kierownictwo odpowiedzialnym za to, by środki rzeczywiście funkcjonowały.
Co kluczowe, członkowie organów zarządzających mogą ponosić odpowiedzialność za naruszenia podmiotu. Ta odpowiedzialność jest zapisana w samej dyrektywie; jej konkretny kształt zależy od krajowej transpozycji. Cyberbezpieczeństwo jest więc kwestią ładu korporacyjnego, a nie tylko IT — należy do porządku obrad zarządu obok ryzyka finansowego i prawnego.
Cztery obowiązki organu zarządzającego
W praktyce oczekiwania dyrektywy co do ładu sprowadzają się do czterech rzeczy, które kierownictwo musi zrobić:
- Zatwierdź środki — zatwierdź środki zarządzania ryzykiem (podstawa z art. 21) z wystarczającym zrozumieniem tego, co zatwierdzasz.
- Nadzoruj wdrożenie — zapewnij, że środki są faktycznie wdrożone i skuteczne w czasie, z regularnym raportowaniem do zarządu.
- Odbądź szkolenie — członkowie muszą odbyć szkolenie z cyberbezpieczeństwa, aby rozpoznawać ryzyka i oceniać adekwatność środków (art. 20(2)); podobne szkolenie należy zaoferować pracownikom.
- Ponoś odpowiedzialność — weź odpowiedzialność za wynik. Odpowiedzialność za zaniedbania spoczywa na organie zarządzającym, a organy nadzoru mogą działać bezpośrednio wobec kierownictwa.
Pytania do zespołu ds. bezpieczeństwa
Aby sprawować nadzór, nie trzeba być inżynierem bezpieczeństwa. Zarząd może wypełnić znaczną część swojego obowiązku, zadając właściwe pytania i oczekując odpowiedzi opartych na dowodach:
Jak wygląda dobre raportowanie do zarządu
Nadzór potrzebuje sygnału, a nie 60-stronicowego załącznika. Użyteczna linia raportowania NIS2 do zarządu jest krótka, porównywalna w czasie i oparta na dowodach:
Pokrycie
Jaki odsetek objętych dostawców i zasobów jest faktycznie monitorowany — niespodzianki biorą się z luk.
Tempo naprawy
Średni czas usunięcia ustaleń krytycznych i wysokich — trend liczy się bardziej niż pojedyncza liczba.
Otwarte ryzyko
Bieżące ustalenia krytyczne/wysokie oraz udokumentowane, zaakceptowane ryzyka — NIS2 oczekuje zarządzanego ryzyka, nie zera ustaleń.
Gotowość na incydenty
Czy terminy zgłoszeń da się dotrzymać i czy je przećwiczono, także dla incydentów spowodowanych przez dostawców?
Ile kosztuje błąd — i sukces
Kary na podstawie artykułu 34 sięgają do 10 milionów € lub 2% całkowitego rocznego światowego obrotu (kwota wyższa) dla podmiotów kluczowych oraz do 7 milionów € lub 1,4% dla ważnych. Organy nadzoru mogą też wydawać wiążące instrukcje, nakazać ujawnienie incydentów oraz — w przypadku podmiotów kluczowych — tymczasowo zawiesić funkcje kierownicze. Dla kierownictwa ekspozycja reputacyjna i osobista odpowiedzialność mogą ważyć więcej niż sama grzywna.
Zrobione dobrze, chodzi często mniej o nowy wydatek niż o przekierowanie istniejących kontroli: środki z art. 21 w dużej mierze pokrywają się z kontrolami, które wiele organizacji już prowadzi (ISO 27001, ciągłość działania, kontrola dostępu). Zmiana wymuszona przez NIS2 prowadzi od jednorazowego zapewnienia do ciągłego, opartego na dowodach zarządzania — co sprawia też, że raportowanie nadzorcze jest naprawdę informacyjne, a nie formalne.
Źródło: Dyrektywa (UE) 2022/2555 (NIS2), artykuły 20 i 34 — sprawdź krajową ustawę wdrażającą, aby poznać dokładne przepisy o odpowiedzialności i szkoleniach w Twoim kraju.
Jak pomaga norppa.io
norppa.io zamienia ryzyko cyber dostawców i stron trzecich w dowody, których zarząd może realnie użyć: czytelny wynik ryzyka na dostawcę, ustalenia przypisane do artykułów NIS2 oraz miesięczny raport zarządczy zaprojektowany dla kierownictwa, a nie dla inżynierów.
Pokrycie, historia napraw i otwarte ryzyko są widoczne na pierwszy rzut oka, z pełną eksportowalną ścieżką audytu — dzięki temu kierownictwo może wykazać aktywny nadzór, a te same dowody odpowiadają na pytania organu nadzoru.