Czy moja firma podlega NIS2 — i co, jeśli tak?

Do skrzynki wpada mail od Twojego największego klienta. W załączniku ankieta na osiem stron: pytania o zabezpieczenia, kopie zapasowe, procedury na wypadek włamania do systemów, osobę odpowiedzialną za cyberbezpieczeństwo. Na końcu zdanie: „Prosimy o wypełnienie w ciągu 14 dni — to warunek kontynuacji współpracy w związku z wymogami NIS2”. Czytasz to trzeci raz i myślisz: NIS2? To chyba jakaś pomyłka, my przecież nie jesteśmy firmą informatyczną.

To nie pomyłka. I to jest dokładnie moment, w którym najwięcej średnich firm dowiaduje się o nowych przepisach — nie z ustawy, tylko od większego partnera, który właśnie przerzucił swoje obowiązki na łańcuch dostawców. Czyli na Ciebie.

Co to jest NIS2 i dlaczego nie chodzi tylko o IT

NIS2 to unijne przepisy o cyberbezpieczeństwie, które w Polsce wchodzą przez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa. Ich celem jest podniesienie odporności firm i instytucji na cyberataki. I tu pojawia się nieporozumienie numer jeden: większość właścicieli słyszy „cyberbezpieczeństwo” i zakłada, że to sprawa firm technologicznych.

Tymczasem przepisy działają inaczej — obejmują całe sektory gospodarki, nie zawody związane z komputerami. Na liście są między innymi energetyka, transport i logistyka, gospodarka wodno-ściekowa, ochrona zdrowia, produkcja niektórych wyrobów, przetwórstwo żywności, gospodarka odpadami, usługi pocztowe i kurierskie. Jeśli Twoja firma działa w jednym z objętych sektorów i przekracza określoną wielkość, możesz podlegać nowym obowiązkom — niezależnie od tego, że „nie robicie w IT”.

Drugie kryterium to wielkość. Przepisy celują przede wszystkim w firmy średnie i większe — mierzone liczbą pracowników i obrotem. To znaczy, że mała działalność najczęściej będzie poza zakresem, ale rozwijająca się firma, która przekroczyła pewien próg zatrudnienia, może się w nim nagle znaleźć, nie robiąc nic poza tym, że urosła.

Ile kosztuje potraktowanie tego jak spam

Są dwie warstwy kosztów i obie potrafią zaboleć. Pierwsza to kary administracyjne. Za niedopełnienie obowiązków przewidziano sankcje finansowe liczone w wysokościach, które dla średniej firmy są dotkliwe — to nie jest mandat rzędu kilkuset złotych. Druga warstwa jest cichsza, ale częściej realna: utrata kontraktu.

Duże, regulowane firmy mają obowiązek pilnować bezpieczeństwa całego swojego łańcucha dostaw. W praktyce oznacza to, że zaczynają wymagać potwierdzeń od dostawców — takich jak ta ankieta z początku. Jeśli nie umiesz na nią odpowiedzieć albo zignorujesz temat, po prostu wypadasz z grona dostawców, którym można zaufać. Straciłeś klienta nie dlatego, że dostarczasz gorzej, tylko dlatego, że nie ogarnąłeś papierologii, o którą się nikt wcześniej nie pytał.

Najgorsze jest to, że oba te koszty spadają na Ciebie w najgorszym momencie — pod presją cudzego terminu, gdy klient czeka na odpowiedź, a Ty od zera uczysz się, co ta firma w ogóle od Ciebie chce.

Dlaczego tyle firm się na tym potyka

Powód pierwszy to właśnie ta etykieta „cyber”, która usypia czujność właścicieli firm produkcyjnych, transportowych czy usługowych. „To nie o nas” — myślą — i przestają czytać dalej, akurat w miejscu, gdzie zaczyna się lista sektorów, która ich obejmuje.

Powód drugi to złożoność samych przepisów. Ustalenie, czy konkretna firma podlega obowiązkom i jako jaki rodzaj podmiotu, wymaga zestawienia sektora z wielkością firmy. Dla kogoś, kto pierwszy raz się z tym styka, brzmi to jak zadanie dla prawnika — więc temat ląduje na dnie listy „zajmę się tym później”.

Powód trzeci to brak jednego, głośnego terminu w mediach. O ile o niektórych zmianach mówi się szeroko, o tyle NIS2 przez długi czas był tematem branżowym. Efekt: firma dowiaduje się, że podlega, dopiero gdy zapyta ją o to klient albo gdy sama trafi na kontrolę.

Co robią firmy, które podeszły do tego spokojnie

Paweł prowadzi pod Łodzią zakład produkujący komponenty dla przemysłu spożywczego. Zatrudnia kilkudziesięciu ludzi, dostarcza do kilku dużych sieci. Kiedy pierwszy raz usłyszał o NIS2, jego reakcja była typowa: „to na pewno nie o nas”. Ale zamiast na tym poprzestać, poświęcił pół godziny, żeby to sprawdzić — i okazało się, że przez sektor i wielkość firma jednak jest w zakresie.

Zamiast wpadać w panikę, potraktował to jak każdy inny projekt. Ustalił, jako jaki rodzaj podmiotu firma jest kwalifikowana i jakie obowiązki się z tym wiążą. Wyznaczył osobę odpowiedzialną, spisał podstawowe procedury, uporządkował kopie zapasowe. Kiedy kilka miesięcy później przyszła od klienta dokładnie taka ankieta, jego firma odesłała ją wypełnioną w jeden dzień — podczas gdy dwóch konkurentów tego klienta wypadło z gry, bo nie potrafili odpowiedzieć.

Dla Pawła zgodność z przepisami zamieniła się z zagrożenia w przewagę. Stał się dostawcą „bezpiecznym”, z którym duzi chcą pracować, bo nie generuje ryzyka w ich łańcuchu. Wszystko zaczęło się od jednej decyzji: sprawdzić, zamiast założyć, że temat go nie dotyczy.

Pierwszy krok — ustal, czy w ogóle podlegasz

Zanim zaczniesz cokolwiek wdrażać, musisz odpowiedzieć na jedno pytanie: czy Twoja firma w ogóle jest w zakresie NIS2, a jeśli tak, to jako podmiot kluczowy czy ważny. Bez tego każda dalsza rozmowa jest gdybaniem, a wdrażanie procedur „na wszelki wypadek” to marnowanie czasu i pieniędzy.

Najszybciej ustalisz to, wskazując swój sektor i wielkość firmy w bezpłatnym narzędziu, które od razu poda werdykt i pokaże, z czym się to wiąże — możesz sprawdzić, czy Twoja firma podlega NIS2 w kilka chwil, bez brnięcia przez ustawę. Jeśli werdykt brzmi „nie podlegasz” — masz spokój na piśmie. Jeśli „podlegasz” — wiesz to dziś, na własnych warunkach, a nie pod presją cudzego terminu.