RODO versus NIS2: co musi zrobić Twoja firma?

✓

Bezpłatna analiza ryzyka IT

Sprawdź, które obszary bezpieczeństwa wymagają uwagi w Twojej firmie

23 pytania, około 10 minut, bez wiedzy technicznej. Na koniec dostajesz automatyczny wynik i wiesz, gdzie masz realne luki.

Zrób bezpłatną analizę →

Przejęte konto Microsoft 365, e-mail z fakturą wysłany przez przestępcę albo zaszyfrowany serwer mogą jednocześnie stać się problemem operacyjnym, bezpieczeństwa i ochrony danych. Dlatego pytanie „RODO versus NIS2” nie powinno prowadzić do wyboru jednego z tych obszarów. Dla firmy kluczowe jest zrozumienie, które obowiązki ją dotyczą oraz czy potrafi wykryć i opanować incydent, zanim przerodzi się on w przestój, wyciek danych lub stratę finansową.

RODO i NIS2 mają inny cel, inny zakres oraz odmienny język regulacyjny. W praktyce łączy je jednak to samo środowisko IT: konta użytkowników, poczta, serwery, urządzenia pracowników, systemy chmurowe i dostawcy usług. Błąd konfiguracji lub nieautoryzowane logowanie może dotyczyć obu obszarów równocześnie.

RODO versus NIS2 – najważniejsza różnica

RODO dotyczy ochrony danych osobowych. Reguluje, w jaki sposób organizacja zbiera, wykorzystuje, przechowuje i zabezpiecza dane osób fizycznych. Może to być lista klientów, dane pracowników, dokumentacja księgowa, historia korespondencji czy dane kandydatów do pracy. Obowiązuje szerokie grono administratorów i podmiotów przetwarzających dane.

NIS2 jest unijną dyrektywą dotyczącą cyberbezpieczeństwa i odporności podmiotów działających w sektorach uznanych za kluczowe lub ważne. Jej wymagania są wdrażane do krajowego porządku prawnego. To, czy konkretna organizacja zostanie objęta przepisami, zależy między innymi od branży, wielkości, charakteru działalności oraz przepisów krajowych. Ocena powinna uwzględniać aktualny stan prawa i rzeczywistą rolę firmy w łańcuchu usług.

Najprościej ująć to tak: RODO pyta, czy dane osobowe są przetwarzane legalnie i odpowiednio chronione. NIS2 pyta, czy organizacja zarządza ryzykiem cybernetycznym oraz potrafi utrzymać działanie i reagować na poważne incydenty.

To rozróżnienie nie oznacza, że obszary funkcjonują oddzielnie. Atak ransomware na system kadrowy może ograniczyć dostępność usług, naruszyć poufność danych pracowników i wymagać sprawnego postępowania incydentowego. Jedno zdarzenie techniczne może więc uruchomić równoległe obowiązki biznesowe, organizacyjne i regulacyjne.

Inny zakres, wspólne ryzyka biznesowe

RODO koncentruje się na osobach, których dane dotyczą. Organizacja powinna między innymi ograniczać zakres przetwarzanych danych, kontrolować dostęp, ustalać okresy retencji i zapewniać środki techniczne oraz organizacyjne adekwatne do ryzyka. Nie chodzi o wdrożenie jednego narzędzia, lecz o świadome zarządzanie danymi przez cały ich cykl życia.

NIS2 silniej akcentuje bezpieczeństwo systemów i sieci. W praktyce oznacza to potrzebę zarządzania ryzykiem, obsługi incydentów, zapewniania ciągłości działania, kontroli dostawców, ochrony dostępu oraz rozwijania świadomości pracowników. Znaczenie ma nie tylko to, czy firma posiada politykę, ale czy potrafi ją stosować podczas rzeczywistego ataku.

Dla zarządu wspólnym mianownikiem jest ograniczanie ryzyka biznesowego. Wyciek danych klientów może naruszyć zaufanie i wywołać koszty operacyjne. Niedostępność systemu produkcyjnego, magazynowego lub księgowego może zatrzymać pracę firmy. Przejęcie konta pocztowego może zostać wykorzystane do oszustwa na zmianę numeru rachunku lub wyłudzenia płatności.

Poufność, integralność i dostępność

RODO najczęściej kojarzy się z poufnością danych, czyli ochroną przed nieuprawnionym dostępem. To istotne, ale niewystarczające spojrzenie na cyberbezpieczeństwo. Równie ważna jest integralność – pewność, że dane lub konfiguracje nie zostały zmienione przez osobę nieuprawnioną – oraz dostępność, czyli możliwość korzystania z systemów wtedy, gdy są potrzebne.

NIS2 wyraźnie wzmacnia perspektywę ciągłości działania. Firma może nie utracić danych osobowych, ale nadal ponieść dotkliwe straty, jeśli atak uniemożliwi realizację zamówień, obsługę klientów lub dostęp do dokumentacji. Dobre zabezpieczenia powinny zatem chronić zarówno dane, jak i zdolność organizacji do pracy.

Zgłoszenie incydentu nie zaczyna się od formularza

W RODO naruszenie ochrony danych osobowych należy ocenić pod kątem ryzyka dla praw i wolności osób fizycznych. W określonych sytuacjach konieczne może być zgłoszenie naruszenia do organu nadzorczego, co do zasady w ciągu 72 godzin od jego stwierdzenia. Nie każde zdarzenie techniczne automatycznie jest naruszeniem wymagającym zgłoszenia, ale każda taka decyzja wymaga udokumentowanej analizy.

W reżimie NIS2 obowiązują ramy raportowania znaczących incydentów, obejmujące między innymi wczesne ostrzeżenie oraz późniejsze zgłoszenia. Szczegółowe obowiązki, terminy i kanały raportowania należy zawsze weryfikować w przepisach mających zastosowanie do danego podmiotu. Nie warto czekać na formalny obowiązek, aby uporządkować proces reagowania.

Największy problem pojawia się zwykle wcześniej: firma nie wie, kiedy doszło do incydentu, jak szeroki jest jego zakres i jakie systemy zostały dotknięte. Bez logów, analizy zdarzeń i ustalonego podziału odpowiedzialności trudno przygotować wiarygodną ocenę w krótkim czasie.

Przykład jest prosty. Pracownik zgłasza nietypowe zachowanie skrzynki e-mail. Czy to pojedyncza wiadomość phishingowa, czy przejęte konto, z którego reguły przekierowują korespondencję do zewnętrznego odbiorcy? Czy napastnik zalogował się z nietypowej lokalizacji? Czy pobrał pliki z chmury? Odpowiedzi wymagają danych technicznych i szybkiej analizy, a nie wyłącznie procedury zapisanej w segregatorze.

Jak przygotować firmę bez budowania nadmiernej infrastruktury

Skala zabezpieczeń powinna odpowiadać wielkości organizacji, jej usługom, wartości informacji i realnym zagrożeniom. Mała firma nie musi kopiować modelu bezpieczeństwa z dużej instytucji. Musi jednak umieć wskazać swoje kluczowe systemy, osoby odpowiedzialne, najważniejsze ryzyka oraz sposób działania, gdy wystąpi incydent.

Dobrym punktem wyjścia jest uporządkowanie dostępu. Konta administracyjne powinny być odseparowane od zwykłych kont użytkowników, a wieloskładnikowe uwierzytelnianie powinno chronić pocztę, systemy chmurowe, zdalny dostęp i inne krytyczne usługi. Równie istotne jest szybkie odbieranie uprawnień po zmianie stanowiska lub zakończeniu współpracy.

Kolejny obszar to aktualizacje, kopie zapasowe i odzyskiwanie danych. Backup, którego nigdy nie testowano, nie jest potwierdzeniem ciągłości działania. Firma powinna wiedzieć, które systemy należy odtworzyć najpierw, gdzie są przechowywane kopie oraz kto podejmuje decyzje w kryzysie.

Potrzebne są też szkolenia dopasowane do ryzyk. Pracownik nie musi znać technicznych nazw ataków, ale powinien rozpoznać podejrzaną prośbę o płatność, fałszywą stronę logowania i nietypowe zachowanie konta. Właściciel procesu finansowego powinien mieć dodatkową procedurę potwierdzania zmian danych kontrahenta.

Monitoring jako dowód i czas reakcji

Polityki oraz zabezpieczenia prewencyjne są konieczne, ale nie zatrzymują każdego ataku. Dlatego ważne jest wykrywanie zagrożeń po ich wystąpieniu. Stały monitoring bezpieczeństwa IT pozwala zauważyć sygnały, które pojedynczy administrator może przeoczyć: serię nieudanych logowań, logowanie z nietypowego kraju, wyłączenie ochrony na stacji roboczej, podejrzane uruchomienie programu albo masowe szyfrowanie plików.

Monitoring bezpieczeństwa 24/7 nie oznacza jedynie gromadzenia alertów. W modelu SOC as a Service analitycy SOC oceniają, które zdarzenia są rzeczywistym zagrożeniem, a które wymagają jedynie korekty konfiguracji. MDR, czyli Managed Detection and Response, łączy wykrywanie z obsługą incydentów i reagowaniem na zagrożenia. Celem jest skrócenie czasu od pierwszego sygnału do konkretnego działania.

W zależności od środowiska monitoring może obejmować komputery, serwery, zapory sieciowe, Microsoft 365, Google Workspace i zasoby chmurowe. Centralne zbieranie logów w systemie SIEM ułatwia odtworzenie przebiegu zdarzenia: kto się zalogował, co zrobił, do jakich danych uzyskał dostęp i czy incydent dotknął innych systemów.

To ma wymiar regulacyjny, ale przede wszystkim praktyczny. Gdy dochodzi do podejrzenia naruszenia, firma potrzebuje faktów. Bez nich trudno ograniczyć dostęp napastnika, podjąć właściwą decyzję komunikacyjną, ocenić zakres zdarzenia i przywrócić bezpieczne działanie.

RODO i NIS2 jako jeden program zarządzania ryzykiem

Rozdzielenie odpowiedzialności za dane osobowe od odpowiedzialności za IT jest częstą przyczyną luk. Osoba zajmująca się ochroną danych może nie otrzymać informacji o incydencie na czas, a administrator może nie znać systemów zawierających szczególnie wrażliwe dane. Warto połączyć te perspektywy w jeden, praktyczny proces.

Powinien on określać, jakie systemy są krytyczne, gdzie przetwarzane są dane osobowe, jakie zdarzenia wymagają eskalacji oraz kto podejmuje decyzje. Należy także regularnie sprawdzać, czy dostępy, kopie zapasowe, konfiguracje i procedury działają tak, jak zakładano. Audyt bezpieczeństwa, testy penetracyjne, wsparcie vCISO oraz stały monitoring mogą pełnić różne role, ale razem pomagają budować mierzalną odporność organizacji.

Najlepszym pierwszym krokiem nie jest zakup przypadkowego narzędzia. Jest nim uczciwa odpowiedź na pytanie, czy firma zauważy przejęcie konta lub ransomware wystarczająco szybko, aby ograniczyć skutki. Jeśli odpowiedź brzmi „nie wiemy”, warto zacząć od rozpoznania kluczowych ryzyk i ustanowienia realnego sposobu ich monitorowania.

Dyrektor ds. Technologii