Transpozycje NIS2: gdzie polska ustawa odbiega od dyrektywy
To nie dyrektywa obowiązuje Państwa klientów, tylko ustawa krajowa. A polska ustawa odbiega od dyrektywy bardziej, niż sugeruje słowo "harmonizacja".
Ta wersja językowa nie została jeszcze zweryfikowana przez native speakera
Ustalenia pochodzą z dzienników urzędowych, a cytaty i odesłania do przepisów podano dosłownie. Samo brzmienie polskiego tekstu czeka jeszcze na redakcję rodzimego użytkownika języka. Jeśli zauważą Państwo błąd językowy lub merytoryczny, prosimy o wiadomość na [email protected] — poprawimy.
Przez ostatnie tygodnie czytałem transpozycje w dziennikach urzędowych, a nie w streszczeniach. Zacznę od Polski, bo to ona wymyśliła obowiązek, którego w dyrektywie nie ma w ogóle.
Dostawca wysokiego ryzyka
Artykuły 67b–67c tworzą reżim, którego NIS2 nie przewiduje w żadnej formie. Decyzja ministra ogłoszona w Monitorze Polskim jest natychmiast wykonalna i nie przysługuje od niej wniosek o ponowne rozpatrzenie sprawy. Od tego momentu nie wolno wdrażać objętych produktów, na wycofanie tego, co już działa, jest siedem lat — a dla operatorów telekomunikacyjnych cztery lata w kategoriach funkcji krytycznych — a podmioty publiczne nie mogą ich kupować. Nigdzie w dyrektywie nie ma siedmioletniego zegara przypiętego do konkretnego dostawcy.
Szkolenia
Artykuł 20 ust. 2 dyrektywy mówi o członkach organu zarządzającego. Polska idzie dalej: raz w roku kalendarzowym, udokumentowane, i obejmuje również osoby, którym powierzono wykonywanie obowiązków (art. 8e). Nie jest w tym odosobniona. Chorwacja wymaga, by dyrektor się szkolił i umożliwił szkolenie pracownikom (čl. 29 st. 3), i rozszerza zakres na każdego, kto ma uprawnienia nadzorcze, reprezentacyjne lub decyzyjne wobec środków (st. 4). Francja obejmuje organ zarządzający i "osoby narażone na ryzyko" (art. 14, 1°). Trzy kraje na trzy. Jeśli plan szkoleń kończy się na zarządzie, jest najprawdopodobniej za wąski.
Zegar incydentu
Terminy 24 i 72 godzin biegną w Polsce od momentu wykrycia, nie od chwili uzyskania wiedzy, że incydent jest istotny. To jedyny zweryfikowany przeze mnie kraj, który liczy w ten sposób — i różnica potrafi wynieść kilkanaście godzin.
Rozbieżność, której zignorowanie kosztuje
W łańcuchu dostaw Włochy i Portugalia wymagają udokumentowania, do czego dostawca faktycznie ma dostęp: "valutato e documentato" dla dostępu do danych i własności intelektualnej, ważone krytycznością (Misure ACN GV.SC-07.R1), oraz "a exposição da sua informação" jako element kategoryzacji (QNRCS GR.CA-7). Polska i Niemcy nie wymagają niczego takiego, a Niemcy w ogóle nie transponowały art. 21 ust. 3. Narzędzie, które wymusza to pole wszędzie, myli się dokładnie tak samo jak takie, które nie oferuje go nigdzie.
Dlaczego to nie jest szczegół dla dostawcy narzędzia
Platforma zbudowana na dyrektywie liczy 24 i 72 godziny od uzyskania wiedzy o istotności incydentu — bo tak mówi art. 23. Polskiemu podmiotowi pokaże więc, że mieści się w terminie, kiedy ten już upłynął. My liczymy od wykrycia, bo tak mówi ustawa, i wskazujemy właściwy CSIRT sektorowy dla każdego z 18 sektorów — art. 11 kieruje zgłoszenie do sektorowego, a ustawa nie wymienia go z nazwy. Przyznam też błąd: sami przez pewien czas wskazywaliśmy CSIRT NASK. Poprawiliśmy to po przeczytaniu przepisu, nie po zgłoszeniu klienta.
Która ustawa krajowa Państwa obowiązuje?
Bezpłatna ocena wskazuje ustawę, która Państwa wiąże, organ, do którego zgłaszają Państwo incydent, oraz terminy, jakie faktycznie wyznacza dany kraj. W Polsce liczymy je od wykrycia i wskazujemy właściwy CSIRT sektorowy. Bez karty płatniczej.