W 2016 roku Unia Europejska uchwaliła dyrektywę NIS (Network and Information Security Directive), będącą pierwszym ogólnoeuropejskim aktem prawnym dotyczącym cyberbezpieczeństwa. Jej celem było podniesienie poziomu ochrony systemów informacyjnych i sieci w państwach członkowskich. W Polsce dokument ten stał się podstawą do opracowania i wdrożenia Ustawy o krajowym systemie cyberbezpieczeństwa (UoKSC), obowiązującej od sierpnia 2018 roku.
Choć dziś mówi się głównie o dyrektywie NIS 2, warto przypomnieć, jakie znaczenie miała pierwsza dyrektywa NIS i jak wpłynęła na krajowe przepisy.
Czym była dyrektywa NIS z 2016 roku?
Dyrektywa NIS wprowadziła ramy prawne mające zapewnić wysoki, wspólny poziom bezpieczeństwa sieci i systemów informatycznych w UE. Jej założenia obejmowały:
- Obowiązki dla operatorów usług kluczowych – m.in. w sektorach energetyki, transportu, bankowości, ochrony zdrowia, infrastruktury cyfrowej.
- Wymogi dla dostawców usług cyfrowych – takich jak platformy e-commerce, wyszukiwarki internetowe czy usługi przetwarzania danych w chmurze.
- Mechanizmy zgłaszania incydentów – obowiązek raportowania poważnych incydentów bezpieczeństwa do odpowiednich organów.
- Współpracę międzynarodową – ustanowienie sieci punktów kontaktowych i grupy współpracy NIS na poziomie UE.
Dyrektywa zakładała, że państwa członkowskie muszą dostosować swoje przepisy krajowe do jej wymogów, co dla Polski oznaczało konieczność stworzenia spójnego systemu cyberbezpieczeństwa.
Ustawa o krajowym systemie cyberbezpieczeństwa (UoKSC)
W odpowiedzi na wymogi NIS, Polska przyjęła Ustawę o krajowym systemie cyberbezpieczeństwa. Akt ten:
- Określił strukturę systemu – wyznaczono m.in. CSIRT-y krajowe (Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego) prowadzone przez:
- NASK,
- MON,
- ABW.
- Wskazał obowiązki operatorów usług kluczowych:
- zapewnienie ciągłości działania systemów,
- wdrożenie środków ochrony,
- raportowanie incydentów.
- Uregulował współpracę publiczno-prywatną – umożliwiając wymianę informacji o zagrożeniach.
- Wprowadził sankcje – za niewywiązywanie się z obowiązków wynikających z ustawy.
Znaczenie NIS i UoKSC dla polskich firm i instytucji
Dzięki dyrektywie NIS i UoKSC wiele organizacji w Polsce po raz pierwszy w sposób formalny wdrożyło polityki i procedury związane z cyberbezpieczeństwem. Oznaczało to:
- konieczność przeprowadzenia audytów bezpieczeństwa,
- inwestycje w monitoring i ochronę infrastruktury IT,
- stworzenie planów reagowania na incydenty.
To właśnie te regulacje położyły fundamenty pod dzisiejsze, bardziej rozbudowane przepisy – w tym dyrektywę NIS 2.
Dyrektywa NIS z 2016 roku i Ustawa o krajowym systemie cyberbezpieczeństwa były kamieniami milowymi w kształtowaniu krajowej polityki ochrony systemów teleinformatycznych. Dzięki nim Polska stworzyła spójny, wielopoziomowy mechanizm reagowania na zagrożenia cyfrowe i wzmocniła odporność krytycznej infrastruktury.
Choć przepisy te z czasem ewoluowały (Dyrektywa NIS 2 oraz planowana na 2025 rok nowelizacja polskiej UoKSC) ich pierwotny cel – ochrona najważniejszych zasobów cyfrowych państwa i obywateli – pozostaje niezmienny.
