NIS 2 predstavlja direktivo o kibernetski varnosti, ki je bila objavljena kot Direktiva (EU) 2022/2555 in je nadomestila prejšnjo direktivo NIS (EU) 2016/1148. Nova direktiva prinaša izboljšave in širši obseg uporabe, vključno z razširjenimi varnostnimi zahtevami in večjimi sankcijami za neskladnost.

Čeprav je NIS 2 začela veljati 16. januarja 2023, morajo države članice prenesti zahteve direktive v svojo nacionalno zakonodajo do 17. oktobra 2024 in jih začeti uporabljati naslednji dan. Razveljavitev prvotne direktive NIS začne veljati isti dan.

NIS 2 izhaja iz pomanjkljivosti prejšnje direktive, kot so pomanjkanje jasnosti, neučinkovito izvajanje in pomanjkanje izmenjave informacij med državami članicami. Nova direktiva prinaša širše področje uporabe, razširjene varnostne zahteve, večjo odgovornost vodstva ter strožji nadzor in kazni.

Glavni cilj nove direktive je izboljšati kibernetsko varnost v Evropski uniji, zagotoviti večjo zaščito pred kibernetskimi grožnjami ter okrepiti sposobnost odziva na incidente. Hkrati si prizadeva povečati skladnost organizacij s strožjimi varnostnimi standardi.

Ključni cilji in namen te nadgradnje so:

• Izboljšanje prejšnjih pomanjkljivosti: NIS 2 je nastala zaradi prepoznavanja pomanjkljivosti v prejšnji direktivi NIS. Te vključujejo pomanjkanje jasnosti glede zahtev, nedosledno izvajanje v državah članicah EU, neučinkovito izvrševanje ter pomanjkanje izmenjave informacij med državami.

• Prilagoditev spremenjenim tehnološkim trendom: Direktiva se odziva na hitro rastočo tehnologijo in spreminjajoče se okolje groženj kibernetske varnosti. Od leta 2016, ko je bila uvedena prvotna direktiva NIS, so se tehnološki trendi dramatično razvili, povečala se je odvisnost družb in gospodarstev od informacijske tehnologije, kar je povečalo ranljivost z

• Širše področje uporabe in jasnejša pravila: NIS 2 velja za več sektorjev in subjektov kot prejšnja direktiva. Razširja obseg organizacij, ki so pod njenim nadzorom, ter jasno opredeljuje standardna merila za določanje, kdo jo mora upoštevati.
• Razširjene varnostne zahteve: Nova direktiva uvaja več obveznih ukrepov za preprečevanje kibernetskih incidentov, kot so analiza tveganj, kibernetska higiena, usposabljanje za varnost ter močnejša avtentikacija. Te zahteve so bolj podrobno opredeljene in zahtevajo strožje izvajanje.
• Večja odgovornost vodij in upravnih odborov: NIS 2 določa večjo vključenost in odgovornost vodstva ter upravnih odborov pri zagotavljanju skladnosti z varnostnimi standardi in ukrepi.
• Strožji nadzor in kazni: Nova direktiva standardizira in zaostruje kazni za neskladnost ter povečuje pristojnosti nadzornih organov za izvajanje nadzora nad izvajanjem zahtev direktive.
• Jasnejše obveznosti poročanja o incidentih: NIS 2 podrobneje določa postopke, roke in vsebino poročanja o kibernetskih incidentih, kar zagotavlja hitrejše in bolj natančne informacije ob ugotovitvi incidentov.
• Večja varnost dobavne verige: Nova direktiva krepi varnost dobavne verige s posebnimi ukrepi, ki zahtevajo oceno tveganja in ustrezno upravljanje v tej pomembni komponenti informacijskega okolja.
• Večje mednarodno sodelovanje: Uvedba nove platforme za obvladovanje obsežnih čezmejnih kriz kibernetske varnosti, priznavanje potrebe po tesnejšem mednarodnem sodelovanju v primeru kibernetskih incidentov.

Direktiva NIS 2 prinaša temeljne spremembe v pristopu k kibernetski varnosti, s poudarkom na širši vključenosti sektorjev, jasnejših pravilih, odgovornosti vodstva ter močnejših zahtevah glede varnostnih standardov.

NIS 2 je razširila obseg subjektov, na katere se nanaša, in določila nove zahteve, ki se nanašajo na njihovo skladnost. Direktiva zajema bistvene in pomembne subjekte ter določa, kdo mora izpolnjevati določene varnostne zahteve. Sistem NIS 2 se razlikuje od prejšnje direktive v širšem obsegu subjektov, ki so vključeni ter glede na obveznosti, ki jih morajo izpolnjevati.

Bistveni in Pomembni Subjekti

Bistveni Subjekti

Pod NIS 2 so bistveni subjekti opredeljeni kot širši koncept kot OES (Operaterji Bistvenih Storitev), ki so bili glavna skupina v prejšnji direktivi. Ta nova definicija zajema več sektorjev, vključno s tistimi, ki jih je pokrivala prejšnja direktiva, in dodaja dodatne sektorje.

Bistveni subjekti vključujejo organizacije iz 18 kritičnih sektorjev:

• Promet (zračni, železniški, vodni ali cestni)
• Bančništvo
• Infrastruktura finančnega trga
• Zdravstvo
• Pitna voda
• Odpadne vode
• Digitalna infrastruktura (storitve računalništva v oblaku, podatkovni centri, omrežja za dostavo vsebin, javna elektronska komunikacijska omrežja)
• Podjetja za upravljanje medpodjetniških storitev (MSP) in ponudniki upravljanih varnostnih storitev (MSSP)
• Javna uprava
• Vesolje
• Poštne in kurirske storitve
• Ravnanje z odpadki
• Proizvodnja, predelava in distribucija kemikalij
• Proizvodnja, predelava in distribucija hrane
• Proizvodnja medicinskih pripomočkov, računalnikov, elektronskih in optičnih izdelkov, strojev in transportne opreme
• Ponudniki digitalnih storitev (spletne tržnice, iskalniki, platforme za storitve družabnih omrežij)
• Raziskave

Pomembni subjekti

Poleg bistvenih subjektov so pod NIS 2 definirani tudi pomembni subjekti. Ti zajemajo širšo skupino organizacij, ki niso vključene v kategorijo bistvenih subjektov, vendar morajo še vedno izpolnjevati določene varnostne zahteve.

Pomembni subjekti lahko vključujejo “ponudnike digitalnih storitev”, ki so bili opredeljeni že v prejšnji direktivi NIS 1, pa tudi druge organizacije, ki imajo manjše zahteve v primerjavi z bistvenimi subjekti, vendar še vedno morajo izpolniti določene obveznosti.

Merila za določitev subjektov

Velikost in vloga organizacije sta ključna merila za določitev, ali organizacija spada med bistvene ali pomembne subjekte. NIS 2 določa število zaposlenih, letni promet in/ali bilančno vsoto kot ključne dejavnike za uvrstitev v eno od kategorij.

• Bistveni subjekti: Organizacije, ki spadajo med srednje velika ali večja podjetja (opredeljena v členu 2 Priloge k Priporočilu 2003/361/ES), kar pomeni več kot 50 zaposlenih in letni promet ali bilančno vsoto nad določenimi vrednostmi (10 miljonov EUR in navzgor)
• Pomembni subjekti: Vključujejo organizacije, ki morda ne dosežejo meril za bistvene subjekte, vendar še vedno izpolnjujejo določena merila.

Direktiva NIS 2 prinaša širše in bolj natančne opredelitve ter razširja kategorije organizacij, ki morajo izpolnjevati varnostne zahteve. Razumevanje teh kategorij in meril za določitev subjektov je ključno za organizacije pri ugotavljanju, ali so obvezne izpolnjevati zahteve direktive ter kaj je potrebno za skladnost z zakonodajo o kibernetski varnosti.

Direktiva NIS 2 zahteva, da države članice določijo kazni za neskladnost, ki morajo biti učinkovite, sorazmerne in odvračilne.

Kazni za neskladnost so odvisne od kategorije subjekta.

• Bistveni subjekti: Minimalna kazen je 10 milijonov EUR ali 2 % svetovnega letnega prometa, upošteva tisto kar je višje.
• Pomembni subjekti: Minimalna kazen je 7 milijonov EUR ali 1,4 % svetovnega letnega prometa, upošteva tisto kar je višje.

Odgovornost vodstva: Poleg kazni za organizacije je lahko po tej direktivi tudi vodstveno osebje odgovorno za neskladnost z direktivo.

Poročanje o kršitvah: Organi za preiskovanje imajo preiskovalna pooblastila, ki vključujejo inšpekcijske preglede, varnostne revizije in dostop do informacij, povezanih z varnostnimi odzivnimi načrti subjekta.

NIS 2 prinaša jasnejše in natančnejše zahteve glede poročanja o kibernetskih incidentih ter uveljavlja višje kazni za neskladnost, kar spodbuja organizacije k boljšemu obvladovanju in prijavljanju kibernetskih groženj.