Atak ransomware blokuje systemy firmy, pracownicy tracą dostęp do poczty, a część danych trafia poza organizację. W takim scenariuszu pytanie o NIS2 a RODO różnice przestaje być tematem dla działu prawnego. Zarząd musi szybko ustalić, czy zdarzenie narusza dane osobowe, czy zakłóca świadczenie usługi istotnej dla klientów lub gospodarki, komu należy je zgłosić i jak ograniczyć dalsze straty.
RODO i NIS2 dotyczą ryzyka cyfrowego, ale patrzą na nie z innych perspektyw. RODO chroni osoby fizyczne i ich dane. NIS2 podnosi odporność cybernetyczną podmiotów działających w sektorach uznanych za kluczowe lub ważne. W praktyce jedna organizacja może podlegać obu reżimom, a jeden incydent może uruchomić obowiązki wynikające z każdego z nich.
NIS2 a RODO – różnice w celu regulacji
Podstawowa różnica dotyczy tego, co jest chronione. RODO ma chronić prawa i wolności osób fizycznych w związku z przetwarzaniem ich danych osobowych. Chodzi więc między innymi o dane klientów, pacjentów, pracowników, uczniów, kontrahentów prowadzących jednoosobową działalność czy kandydatów do pracy.
NIS2 koncentruje się na cyberbezpieczeństwie usług, systemów i procesów organizacji. Jej celem jest ograniczenie skutków incydentów, które mogą zatrzymać działalność podmiotu, zakłócić dostawy, wpłynąć na bezpieczeństwo pacjentów, dostępność usług publicznych albo funkcjonowanie łańcucha dostaw. Dane osobowe mogą być elementem takiego zdarzenia, lecz nie są warunkiem koniecznym.
Przykład dobrze pokazuje tę granicę. Awaria po aktualizacji systemu produkcyjnego może nie dotyczyć żadnych danych osobowych, ale może poważnie zakłócić działalność przedsiębiorstwa objętego NIS2. Z kolei omyłkowe wysłanie listy płac do niewłaściwego odbiorcy może stanowić naruszenie RODO, choć nie będzie incydentem istotnym z perspektywy NIS2.
Kogo dotyczą NIS2 i RODO?
RODO ma szeroki zakres. Dotyczy administratorów i podmiotów przetwarzających dane osobowe, niezależnie od branży i wielkości organizacji. Mała firma usługowa, szkoła, przychodnia, urząd i duży bank mogą mieć obowiązki wynikające z RODO, jeśli przetwarzają dane osób fizycznych.
NIS2 nie obejmuje automatycznie każdej firmy. Dyrektywa wskazuje sektory kluczowe i ważne, a szczegółowy zakres obowiązków zależy od przepisów krajowych wdrażających jej wymagania oraz cech konkretnego podmiotu. Znaczenie mogą mieć branża, wielkość organizacji, rodzaj świadczonych usług, rola w łańcuchu dostaw i potencjalny wpływ zakłócenia na odbiorców.
Dlatego nie warto odpowiadać na pytanie „czy podlegamy NIS2?” wyłącznie na podstawie liczby pracowników. Firma produkcyjna współpracująca z podmiotami krytycznymi, dostawca usług IT, placówka medyczna lub jednostka publiczna powinny ocenić swój status w szerszym kontekście. RODO zwykle pozostaje punktem odniesienia niezależnie od wyniku tej oceny.
Dane osobowe to tylko część obrazu
W RODO centralne znaczenie ma cały cykl życia danych: podstawa przetwarzania, zakres zbieranych informacji, upoważnienia, okres przechowywania, prawa osób, umowy powierzenia oraz zabezpieczenia. Organizacja musi umieć wykazać, że działa zgodnie z zasadą rozliczalności.
W NIS2 ciężar przesuwa się na zarządzanie ryzykiem cybernetycznym. Liczy się nie tylko ochrona informacji, lecz także dostępność systemów, ciągłość działania, zdolność wykrywania zagrożeń i odtwarzania usług po incydencie. Istotne są procedury, kopie zapasowe, kontrola dostępu, bezpieczeństwo dostawców, zarządzanie podatnościami oraz sposób reagowania kryzysowego.
To nie oznacza, że RODO nie wymaga środków technicznych i organizacyjnych. Wymaga ich, ale dobiera się je do ryzyka dla osób, których dane dotyczą. NIS2 formułuje oczekiwania szerzej: organizacja ma przygotować się na zakłócenie działalności oraz systemowo ograniczać ryzyko ataków i awarii.
Ten sam phishing, dwa różne skutki prawne
Pracownik otrzymuje wiadomość podszywającą się pod dostawcę. Po kliknięciu w link przestępca przejmuje konto pocztowe i wysyła fałszywe faktury. Jeżeli z konta wyciekną dane klientów, trzeba przeanalizować naruszenie RODO, jego ryzyko dla osób oraz ewentualne zgłoszenie do organu nadzorczego i zawiadomienie poszkodowanych.
Jeżeli przejęcie konta umożliwi dalszy ruch w sieci, zatrzyma obsługę zamówień lub zagrozi usłudze objętej NIS2, pojawiają się także obowiązki związane z obsługą incydentu cyberbezpieczeństwa. Prawidłowa reakcja wymaga więc współpracy IT, bezpieczeństwa, ochrony danych, compliance i zarządu. Oddzielne procedury, które nie komunikują się ze sobą, często wydłużają decyzje w pierwszych godzinach kryzysu.
Zgłaszanie incydentów: terminy są podobne tylko pozornie
RODO przewiduje co do zasady zgłoszenie naruszenia ochrony danych osobowych do właściwego organu w ciągu 72 godzin od stwierdzenia naruszenia, jeżeli może ono skutkować ryzykiem naruszenia praw i wolności osób fizycznych. Nie każde naruszenie podlega zgłoszeniu, ale każde wymaga udokumentowanej oceny.
Model raportowania w NIS2 jest nastawiony na szybkie ostrzeganie i przekazywanie kolejnych informacji o incydencie. Dyrektywa przewiduje w szczególności wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie incydentu w ciągu 72 godzin, a następnie raport końcowy. Konkretne kanały, definicje oraz procedury należy zawsze sprawdzić w obowiązujących przepisach krajowych.
Różnicy nie należy sprowadzać do prostego porównania 24 i 72 godzin. Kluczowe jest przygotowanie organizacji do zebrania wiarygodnych informacji: co się wydarzyło, kiedy rozpoczął się incydent, jakie systemy objął, czy wpływa na klientów, czy trwa nadal i jakie działania ograniczające podjęto. Bez ćwiczonych ról oraz jasnej ścieżki eskalacji terminy mogą minąć, zanim zarząd otrzyma rzetelny obraz sytuacji.
Rola zarządu jest wyraźniejsza w NIS2
W obu regulacjach odpowiedzialność nie kończy się na administratorze systemów ani inspektorze ochrony danych. RODO wymaga, aby administrator wdrożył adekwatne środki i potrafił wykazać zgodność. NIS2 mocniej akcentuje odpowiedzialność organów zarządzających za zatwierdzanie środków zarządzania ryzykiem, nadzorowanie ich realizacji i podnoszenie własnych kompetencji.
Dla zarządu oznacza to konieczność zadawania konkretnych pytań. Czy wiemy, które usługi są krytyczne? Czy mamy aktualne kontakty do osób decyzyjnych i dostawców? Czy kopie zapasowe można faktycznie odtworzyć? Czy pracownicy wiedzą, komu zgłosić podejrzaną wiadomość? Czy ćwiczyliśmy decyzje komunikacyjne na wypadek przestoju?
Sama polityka bezpieczeństwa nie odpowie na te pytania. Dokument jest potrzebny, ale o odporności organizacji przesądza to, czy procedury działają pod presją czasu.
Gdzie RODO i NIS2 spotykają się w praktyce?
Największa część wspólna dotyczy świadomych ludzi i rozsądnie zaprojektowanych procesów. Phishing, wykorzystanie słabego hasła, błędne udostępnienie pliku, brak weryfikacji prośby o przelew czy opóźnione zgłoszenie podejrzanej aktywności mogą jednocześnie zwiększyć ryzyko dla danych osobowych i ciągłości działania firmy.
Warto jednak unikać uproszczenia, że jedno szkolenie „załatwia” pełną zgodność z obiema regulacjami. Szkolenie pracowników nie zastąpi analizy obowiązków prawnych, decyzji zarządu, konfiguracji technicznej ani planu reagowania. Jest natomiast jednym z najbardziej praktycznych sposobów ograniczania błędów ludzkich, które otwierają drogę do incydentów.
Dobre szkolenie powinno być osadzone w realiach konkretnego zespołu. Dział finansowy potrzebuje scenariuszy fałszywych faktur i zmiany rachunku bankowego. Rejestracja w placówce medycznej musi rozumieć ryzyko rozmów telefonicznych i dokumentacji pacjentów. Kadra kierownicza powinna ćwiczyć ocenę skutków przestoju oraz zasady eskalacji. Uniwersalna prezentacja nie pokaże pracownikom, gdzie ryzyko zaczyna się w ich codziennych zadaniach.
Od czego zacząć bez mnożenia biurokracji?
Najpierw ustal, jakie informacje, usługi i systemy są krytyczne dla organizacji. Następnie sprawdź, kto podejmuje decyzje podczas incydentu i czy zespoły znają swoje role. Dopiero na tej podstawie można sensownie określić priorytety: poprawę zgłaszania phishingu, weryfikację uprawnień, ćwiczenie komunikacji kryzysowej albo podniesienie świadomości kadry zarządzającej.
Najlepszym sprawdzianem nie jest liczba zapisanych procedur, lecz odpowiedź pracownika na proste pytanie: „Co robię w ciągu pierwszych pięciu minut, gdy widzę coś podejrzanego?”. Jeżeli odpowiedź jest jasna, szybka i zgodna z procesem organizacji, ryzyko kosztownego chaosu po incydencie wyraźnie maleje.
