Cyberbezpieczeństwo w compliance: nowa Europa, nowe reguły

Cyberbezpieczeństwo w compliance to nie tarcza, którą zakładamy na koniec – to fundament, na którym budujemy resztę systemu. A fundamenty nie dodaje się po fakcie.

NIS2: Rozszerzony zakres, konkretne kary

Dyrektywa NIS2, obowiązująca od 18 października 2024 r., nie jest już tylko kwestią dobrych praktyk – to prawny obowiązek dla znacznie szerszej grupy podmiotów niż jej poprzedniczka, NIS1. Rozszerzono ją o sektory takie jak produkcja medyczna, żywność czy kosmos, a także o firmy średniej wielkości, które dotychczas mogły czuć się poza zasięgiem regulacji. Według Kancelarii Malujda, nowa dyrektywa wprowadza jednolite standardy bezpieczeństwa informatycznego, a ich niedostosowanie może skutkować karami finansowymi sięgającymi 2% globalnego obrotu lub 10 milionów euro – w zależności od tego, która kwota jest wyższa.

Co ważne, NIS2 nie dotyczy już tylko operatorów usług kluczowych, ale także dostawców usług cyfrowych, co oznacza, że nawet firmy niebędące bezpośrednio w sektorach krytycznych muszą sprawdzić, czy nie zostały objęte nowymi wymogami. To nie jest kwestia „czy”, ale „kiedy” – i „kiedy” już nadeszło.

CRA i DORA: Cyberodporność od produktów po finanse

Cyber Resilience Act (CRA), który wszedł w życie 10 grudnia 2024 r., nakłada obowiązki na producentów sprzętu i oprogramowania z elementami cyfrowymi. Od 2027 r. będą musieli zapewnić, że ich produkty spełniają wymogi cyberbezpieczeństwa przez cały cykl życia – od projektowania po wycofanie z rynku. To nie jest już kwestia „dodatkowej warstwy zabezpieczeń”, ale integralnej części procesu wytwórczego. Jak podaje Pillsbury Law, CRA dotyczy także zdalnych rozwiązań przetwarzania danych, co oznacza, że nawet firmy działające w chmurze muszą dostosować swoje procesy.

DORA (Digital Operational Resilience Act) to z kolei regulacja skierowana do sektora finansowego, w tym podmiotów zewnętrznych świadczących usługi ICT. Od 17 stycznia 2025 r. instytucje finansowe muszą spełniać ścisłe wymogi dotyczące zarządzania ryzykiem ICT i operacyjnej odporności cyfrowej. To nie jest już kwestia „dobrych chęci”, ale obowiązku prawnego, którego niedopełnienie może skutkować sankcjami.

Przykład z praktyki

Wyobraź sobie zespół jakości w firmie produkującej urządzenia medyczne, który dotychczas skupiał się głównie na spełnianiu wymogów ISO 13485. Nagle okazuje się, że ich produkty – ze względu na cyfrowe komponenty – podlegają także pod CRA. To nie jest kwestia „dodania nowego punktu na liście kontroli”, ale całkowitej rewizji procesów: od projektowania, przez testowanie, po dokumentację i monitorowanie po wprowadzeniu na rynek. Każdy etap musi teraz uwzględniać cyberbezpieczeństwo jako kluczowy parametr, a nie opcjonalny dodatek.

Inny przykład: dostawca usług IT dla banku, który dotychczas traktował bezpieczeństwo jako „coś, co robi się na końcu”. Teraz, z powodu DORA, musi udowodnić, że jego systemy są odporne na cyberzagrożenia na każdym etapie – od rozwoju oprogramowania po jego utrzymanie. To nie jest kwestia „zrobienia audytu i zapomnienia”, ale ciągłego monitorowania i doskonalenia.

Co z tego wynika

Nowe regulacje to nie kolejna papierkowa rewolucja – to realna zmiana sposobu myślenia o cyberbezpieczeństwie. Jeśli dotychczas traktowałeś je jako dodatek do compliance, teraz musisz je potraktować jako jego fundament. A fundamenty buduje się od początku, nie na końcu.