Dyrektywa NIS 2 (NIS = network and information systems) wzmacnia strategiczne myślenie o cyberbezpieczeństwie w firmach. Z technicznego aspektu staje się tematem zarządczym, wymagającym decyzji na poziomie zarządów i właścicieli.
Jest tematem strategicznym, który wymaga spójnego zarządzania ryzykiem, ciągłością działania i komunikacją, a więc wpisuje się w obszar ładu korporacyjnego i odpowiedzialności za biznes. To otwiera przestrzeń dla ekspertów PR, którzy rozumieją zarówno język biznesu, technologii, jak i oczekiwania klientów, regulatorów oraz pracowników. I potrafią połączyć je w jedną, wiarygodną narrację o bezpieczeństwie.
Spis treści
Komunikowanie zmian i znaczenie bezpieczeństwa
Po pierwsze, PR przestaje być tylko „nadbudową” do działań IT i reagowaniem na pojedyncze kryzysy. NIS 2 wymaga wdrożenia systemu zarządzania bezpieczeństwem informacji, polityk bezpieczeństwa, regularnego szacowania ryzyka oraz planów ciągłości działania i zarządzania kryzysowego, które muszą zostać zrozumiane i przyjęte przez całą organizację.
Te elementy trzeba przełożyć na czytelne zasady, konkretne zachowania i regularne komunikaty wewnątrz firmy – a to właśnie kompetencja działów komunikacji, które potrafią zbudować narrację wokół bezpieczeństwa jako wspólnej odpowiedzialności biznesu, managerów i pracowników, a nie wyłącznie „problemu działu IT” czy „bezpieczników”.
Scenariusze komunikacyjne na incydenty i budowanie świadomości bezpieczeństwa
Po drugie, dyrektywa NIS 2 nie traktuje incydentu – dalej, kryzysu – jako wyjątku, lecz jako scenariusz, do którego trzeba się zawczasu przygotować, testować go i aktualizować. Aktualizacja prawa wprowadza obowiązek zorganizowania obsługi incydentów, w tym wykrywania, klasyfikowania i zgłaszania poważnych zdarzeń w bardzo krótkich terminach: wczesne ostrzeżenie w ciągu 24 godzin i pełne zgłoszenie w 72 godziny, a także późniejsze raporty podsumowujące.
To naturalne pole działania dla PR, który może współtworzyć scenariusze komunikacyjne, zestawy komunikatów i procedury – tak, by firma mówiła jednym głosem do klientów, partnerów i mediów, komunikowała się spójnie z organami państwa i jednocześnie nie improwizowała pod presją czasu. Jednocześnie, eksperci od komunikacji mogą przygotować proaktywne standardy relacji z mediami i kluczowymi interesariuszami. A podczas obsługi incydentu czy poważnego kryzysu, są tak samo istotni jak prawnicy czy dyrektorzy techniczni.
Zarządzanie ryzykiem reputacyjnym
Po trzecie, zarządzanie ryzykiem w NIS 2 obejmuje nie tylko systemy i infrastrukturę, ale też ludzi, procesy i łańcuch dostaw. A każde z tych pól niesie ze sobą poważne konsekwencje wizerunkowe.
Analizy ryzyka wymagane przez NIS 2 powinny więc obejmować także ryzyka reputacyjne: wpływ przestojów, wycieków danych czy zakłóceń w usługach na zaufanie klientów, partnerów i inwestorów, a także na relacje z regulatorami.
PR może współuczestniczyć w tych analizach, wskazując, które scenariusze z punktu widzenia opinii publicznej są najbardziej dotkliwe i gdzie potrzebne są dodatkowe środki komunikacyjne – od proaktywnych informacji i przygotowanych z wyprzedzeniem Q&A, po edukację klientów i partnerów na temat działań firmy.
Dyrektywa NIS 2 zobowiązuje państwa członkowskie do zwiększenia swoich zdolności w zakresie cyberbezpieczeństwa, przy jednoczesnym wprowadzeniu środków zarządzania ryzykiem i wymogów sprawozdawczych dla podmiotów z większej liczby sektorów oraz ustanowieniu zasad współpracy, wymiany informacji, nadzoru i egzekwowania środków w zakresie cyberbezpieczeństwa. (digital-strategy.ec.europa.eu)
Odpowiedzialność C-level za politykę cyber i ryzyka
Po czwarte, dyrektywa bardzo mocno podnosi odpowiedzialność zarządów, nadając cyberbezpieczeństwu wymiar osobistego obowiązku kadry kierowniczej. Kierownik podmiotu – prezes, dyrektor generalny czy inny najwyższy organ – odpowiada za ocenę ryzyk, zatwierdzanie środków bezpieczeństwa i nadzór nad ich wdrożeniem, a także ma obowiązek regularnych szkoleń w zakresie cyberbezpieczeństwa oraz współpracy z nadzorem i CSIRT (Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego; z angielskiego: Computer Security Incident Response Team).
Brak wypełniania tych zobowiązań już wkrótce będzie się wiązać z karami finansowymi o znaczącym wymiarze oraz dodatkowymi sankcjami przewidzianymi w polskiej ustawie. Dział PR, który zna sposób myślenia decydentów, może stać się dla nich tłumaczem z języka technicznego na biznesowy: przedstawiać konsekwencje regulacyjne i reputacyjne, pomagać w narracji wobec rady nadzorczej, pracowników czy rynku oraz włączać cyberbezpieczeństwo do szerszej opowieści o odpowiedzialnym zarządzaniu i kulturze organizacyjnej.
Transparentność i partnerzy w CSIRT
Po piąte, NIS 2 wymusza przejrzystość i systematyczność w informowaniu o incydentach i zagrożeniach – w tym także wobec użytkowników usług, których dotyka zakłócenie lub atak. To nie tylko obowiązki formalne wobec CSIRT-ów i organów nadzoru, ale też konieczność utrzymania zaufania klientów, którzy chcą wiedzieć, co się dzieje, co firma zrobiła, aby ograniczyć skutki i jak chroni ich dane, a także co zrobi, aby podobna sytuacja się nie powtórzyła.
Dyrektywa zawiera również przepisy dotyczące nadzoru, egzekwowania i dobrowolnych wzajemnych ocen w celu zwiększenia wzajemnego zaufania i zdolności w zakresie cyberbezpieczeństwa w całej UE. Wprowadza również odpowiedzialność najwyższego kierownictwa za nieprzestrzeganie środków zarządzania ryzykiem w cyberprzestrzeni, tym samym zwracając uwagę zarządu na cyberbezpieczeństwo. (digital-strategy.ec.europa.eu)
Eksperci PR, którzy potrafią łączyć wymagania regulacyjne z oczekiwaniem na jasną, uczciwą i terminową komunikację, stają się kluczowym elementem zespołu NIS 2 – od etapu budowy systemu zarządzania bezpieczeństwem i ćwiczeń kryzysowych, po realne incydenty, w których to właśnie komunikacja często decyduje o tym, czy firma utrzyma reputację i relacje z rynkiem.
Łukasz Zając, ekspert PR, absolwent studiów MBA „Zarządzanie Cyberbezpieczeństwem”, w WAT
Więcej o NIS2
„Wejście w życie Dyrektywy w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa w całej Unii (Dyrektywa NIS2)
W 2023 r. weszła w życie Dyrektywa NIS 2, która zmieni kształt cyberbezpieczeństwa w Państwach Członkowskich Unii Europejskiej.
Od daty wejścia w życie Dyrektywy, czyli 16 stycznia 2023 r., Państwa Członkowskie UE mają 21 miesięcy na wprowadzenie postanowień Dyrektywy do prawa krajowego. Nowe przepisy powinny być stosowane we wszystkich krajach Unii Europejskiej od 18 października 2024 r. W Polsce trwa dalsze przygotowanie przepisów.
Najważniejsze zmiany wynikające z Dyrektywy NIS 2:
- Obejmuje dwa typy podmiotów: podmioty kluczowe (essential entities) oraz podmioty istotne (important entities).
- Rozszerza zakres podmiotowy dotychczasowej Dyrektywy NIS m.in. o administrację publiczną, sektor żywności, ścieki, przemysł, zarzadzanie odpadami i przestrzeń kosmiczną oraz szerzej traktuje niektóre sektory (m.in. rozszerzenie zakresu infrastruktury cyfrowej).
- Na podmioty objęte Dyrektywą NIS2 zostają nałożone większe niż dotychczas wymagania w zakresie zarządzania, obsługi i ujawniania luk w zabezpieczeniach, testowaniu poziomu cyberbezpieczeństwa oraz efektywnym wykorzystywaniu szyfrowania.
- Dyrektywa precyzuje zapisy w zakresie raportowania incydentów.
- Dyrektywa wprowadza odpowiedzialność kierownictwa firmy za zgodność ze środkami zarządzania ryzykiem w cyberbezpieczeństwie.
- Dyrektywa wprowadza nowe mechanizmy współpracy międzynarodowej poprzez ustanowienie Europejskiej Sieci Zarządzania Kryzysowego w Cyberprzestrzeni”.
Na podstawie gov.pl
