NIS2 wyjaśnione: Wymagania, terminy i przypadki użycia LogTotal w całej Europie

Co to jest NIS2?

NIS2 to Dyrektywa (UE) 2022/2555, podstawowa ustawa UE o cyberbezpieczeństwie dla organizacji, które utrzymują działanie energetycznych sieci przesyłowych, systemów wodnych, szpitali, łańcuchów logistycznych, dostaw żywności i cyfrowej infrastruktury. Zastąpiła ona pierwotną Dyrektywę NIS (UE) 2016/1148, przekształcając luźno stosowany reżim sektorowy w jednolity ramowy system z wspólnymi obowiązkami, wspólnymi terminami raportowania i realnymi uprawnieniami egzekucyjnymi.

Co więc oznacza NIS2 w praktycznych kategoriach dla zespołu bezpieczeństwa? Trzy rzeczy. Po pierwsze, precyzuje, kto jest w zakresie poprzez progi wielkości i dwa załączniki sektorowe, dzieląc objęte organizacje na istotne i ważne jednostki. Po drugie, nakłada minimalny zestaw kontroli zarządzania ryzykiem w Artykule 21, od obsługi incydentów i logowania po bezpieczeństwo łańcucha dostaw i kryptografię. Po trzecie, nakłada etapowy proces zgłaszania incydentów w Artykule 23, z pierwszym sygnałem do krajowego CSIRT lub właściwego organu w ciągu 24 godzin od uzyskania wiedzy o znaczącym incydencie.

Ponieważ NIS2 jest dyrektywą, a nie rozporządzeniem, każdy Państwo Członkowskie pisze własne prawo krajowe. Obowiązki główne są współdzielone, ale portale rejestracyjne, organy nadzorcze i formularze raportowania różnią się od Rzymu po Warszawę, co dokładnie pokazuje, dlaczego widok na poziomie kraju ma znaczenie.

Rozpocznij za darmo

Data wydania NIS2 i droga do zgodności

Dyrektywa została opublikowana w Dzienniku Urzędowym 27 grudnia 2022 roku i weszła w życie 16 stycznia 2023 roku. Państwa Członkowskie miały czas do 17 października 2024 roku na jej wdrożenie, a krajowe środki miały zastosowanie od 18 października 2024 roku. Niewiele z nich to zrobiło: Włochy i Belgia były wśród nielicznych, które miały przepisy obowiązujące na czas.

Komisja odpowiedziała listami z formalnym powiadomieniem w listopadzie 2024 roku, uzasadnionymi opiniami w maju 2025 roku i 8 lipca 2026 roku skierowała sprawy do Trybunału Sprawiedliwości UE dla pozostałych opóźnionych. Według śledzenianisd2.eu, od 16 października 2026 roku krajowe przepisy obowiązują w 24 z 27 Państw Członkowskich. Francja, Irlandia i Hiszpania nadal ich nie mają.

Dla zgodności z NIS2, wnioskiem jest, że zegar jest krajowy, a nie europejski. Nowelizacje BSIG w Niemczech obowiązują od 6 grudnia 2025 roku, nowelizacja ustawy KSC w Polsce od 3 kwietnia 2026 roku, holenderska ustawa o cyberbezpieczeństwie od 15 sierpnia 2026 roku, a austriacka NISG 2026 od 1 października 2026 roku. Każda z nich obejmuje własne okno rejestrowania, więc operator międzynarodowy może być zgodny w Mediolanie, będąc już opóźnionym w Gdańsku.

Wymagania Dyrektywy NIS2

Dyrektywa NIS2 umieszcza obowiązki w trzech kategoriach: zarządzanie, kontrole techniczne i raportowanie.

Zarządzanie jest w Artykule 20. Organy zarządzające muszą zatwierdzić środki zarządzania ryzykiem cyberbezpieczeństwa, nadzorować ich wdrażanie i regularnie prowadzić szkolenia. Odpowiedzialność nie kończy się już na CISO.

Kontrole techniczne są w Artykule 21(2), który wymienia dziesięć minimalnych środków: analiza ryzyka i polityki bezpieczeństwa systemów informatycznych; obsługa incydentów; ciągłość działania, kopia zapasowa i zarządzanie kryzysowe; bezpieczeństwo łańcucha dostaw; bezpieczne nabywanie, rozwój i utrzymanie, w tym obsługa podatności; ocena skuteczności kontroli; cyberhigiena i szkolenie; kryptografia; bezpieczeństwo HR, kontrola dostępu i zarządzanie zasobami; oraz MFA plus zabezpieczone komunikacje. Dla dostawców infrastruktury cyfrowej i usług ICT, Rozporządzenie Wykonawcze (UE) 2024/2690 szczegółowo je określa, w tym wymogi monitorowania i rejestrowania.

Raportowanie jest w Artykule 23 i to tutaj zespoły SOC odczuwają presję:

• 24 godziny: wczesne ostrzeżenie, w tym, czy incydent jest podejrzewany o działanie złośliwe lub czy ma skutki transgraniczne
• 72 godziny: powiadomienie o incydencie z wstępną oceną powagi i wpływu oraz dostępnymi wskaźnikami naruszenia
• Jeden miesiąc: raport końcowy z przyczyną źródłową, działaniami naprawczymi i skutkami transgranicznymi

Wczesne ostrzeżenie w ciągu 24 godzin jest wiarygodne tylko wtedy, gdy zespół faktycznie może przeczytać swoje dzienniki w ciągu godzin, a nie dni.

Dlaczego UE zastąpiła NIS1 przez NIS2

NIS1 zawiodła pod względem spójności. Każda z Państw Członkowskich samodzielnie ustalała, które firmy były operatorami usług kluczowych, więc dwa szpitale o tej samej wielkości w sąsiednich krajach mogły mieć całkowicie różne obowiązki. Kary były niskie i rzadko stosowane, a progi raportowania incydentów różniły się na tyle szeroko, że sytuacyjna świadomość transgraniczna prawie nie istniała.

Obraz zagrożeń zmieniał się szybciej niż prawo. Pomiędzy propozycją Komisji z grudnia 2020 roku a ostatecznym tekstem, Europa widziała ransomware wyłączające IT szpitali, kompromis zasobów łańcucha dostaw SolarWinds i Kaseya dotykający tysiące klientów w dół łańcucha, oraz atak z lutego 2022 roku na sieć KA-SAT Viasat, który odłączył zdalne monitorowanie około 5800 turbin Enercon w Niemczech. Ten ostatni przypadek bardzo wyraźnie pokazał jeden punkt: atak na usługodawcę IT może wywołać fizyczne, na poziomie OT konsekwencje w innym sektorze i innym kraju.

NIS2 odpowiada poprzez szerszy zakres, zharmonizowane minimalne kontrole, wyraźne obowiązki łańcucha dostaw, osobistą odpowiedzialność zarządzania i wspólny zegar incydentów. Formalizuje również współpracę przez EU-CyCLONe i sieć CSIRTs, więc znaczący incydent w Lyonie nie jest już wyłącznie francuskim problemem.

Kary NIS2 i odpowiedzialność zarządzania

Artykuł 34 ustala progi, które muszą osiągnąć krajowe przepisy w minimalnym zakresie:

Odniesieniem dla obrotu jest całe przedsiębiorstwo, a nie lokalna jednostka, co sprawia, że CFO na poziomie grupy teraz analizują raporty NIS2.

Pieniądze to tylko część ekspozycji. Dla istotnych jednostek, Artykuł 32 pozwala organom zawiesić certyfikaty lub zezwolenia i tymczasowo odebrać funkcje menedżerskie CEO lub przedstawicielowi prawnemu, dopóki braki nie zostaną naprawione. Organy mogą również nakazać jednostce publiczne ujawnienie jej niezgodności.

W praktyce, regulatorzy szukają dowodów. Organizacja, która potrafi pokazać, kiedy wykryła incydent, które dzienniki przeanalizowała i jak doszła do wniosków 24-godzinnych i 72-godzinnych, jest w znacznie silniejszej pozycji niż ta, która rekonstruktuje harmonogram po fakcie. Udokumentowana, powtarzalna analiza dzienników jest najtańszym ubezpieczeniem przeciwko górnym granicom tych kar.

NIS2 kontra DORA: Która się stosuje?

Jednolinijkowe podsumowanie dyrektywy NIS2: horyzontalne zasady cyberbezpieczeństwa dla 18 sektorów krytycznych, transponowane na szczeblu krajowym. DORA, Rozporządzenie o Cyfrowej Odporności Operacyjnej (Rozporządzenie (UE) 2022/2554), jest przeciwieństwem w obu aspektach. Jest specyficzna dla sektora, obejmuje banki, ubezpieczycieli, firmy inwestycyjne, instytucje płatnicze, dostawców usług związanych z kryptowalutami i ich kluczowych zewnętrznych dostawców ICT, a jako rozporządzenie stosuje się bezpośrednio we wszystkich Państwach Członkowskich od 17 stycznia 2025 roku.

Oba łączą się przez Artykuł 4 NIS2. Gdy sektorowy akt UE nakłada wymagania co najmniej równoważne z NIS2, ten akt ma pierwszeństwo. DORA jest takim lex specialis dla podmiotów finansowych, więc bank przestrzega zasad ryzyka, testowania i raportowania ICT według zasad DORA, a nie wersji NIS2.

Nadmiar ma znaczenie dla dostawców. Zarządzana SOC lub dostawca chmury może być ważnym podmiotem zgodnie z NIS2 i jednocześnie kontraktowym dostawcą ICT zgodnie z DORA, stojąc w obliczu dwóch zestawów żądań dowodów dzienników.

NIS2 kontra RODO: Ciągłość usług spotyka się z ochroną danych

RODO chroni dane osobowe ludzi. NIS2 chroni ciągłość usług, od których społeczeństwo zależy. Różnica pojawia się w tym, co wyzwala raport: zgodnie z RODO, jest to naruszenie danych osobowych, które prawdopodobnie stwarza ryzyko dla osób fizycznych, zgłoszone organowi ochrony danych w ciągu 72 godzin. Zgodnie z NIS2, jest to znaczący incydent wpływający na świadczenie usług, zgłoszony CSIRT lub właściwemu organowi rozpoczynającemu się po 24 godzinach, niezależnie od tego, czy jakiekolwiek dane osobowe zostały naruszone.

Atak ransomware na szpital zazwyczaj wyzwala oba. Artykuł 35 NIS2 wymaga, aby organ ds. cyberbezpieczeństwa informował organ ds. ochrony danych, gdy incydent może obejmować naruszenie danych osobowych i zabrania podwójnej grzywny za to samo postępowanie, jeśli nałożono już karę zgodnie z RODO. Sufit RODO pozostaje wyższym: 20 milionów euro lub 4% światowego obrotu.

Punkt tarcia dla zespołów SOC to same dzienniki. Telemetria bezpieczeństwa jest pełna danych osobowych: nazw użytkowników, adresów IP, nagłówków wiadomości e-mail, nazw hostów związanych z wymienionymi pracownikami. Wysłanie surowych dzienników do analityka zewnętrznego, MSSP lub usługi AI, aby spełnić termin NIS2, może otworzyć pytanie RODO o minimalizację danych i transfery. Pseudonimizacja identyfikatorów zanim dzienniki opuszczą organizację, przy jednoczesnym zachowaniu klucza wewnętrznego, to sposób, w jaki zespoły spełniają oba reżimy jednocześnie.

Które organizacje obejmuje NIS2

NIS2 stosuje zasadę wielkości: średnie i duże organizacje, czyli 50 lub więcej pracowników lub więcej niż 10 milionów euro rocznego obrotu, działające w jednym z 18 sektorów.

• Aneks I, sektory o wysokiej krytyczności (11): energia, transport, bankowość, infrastruktura rynku finansowego, zdrowie, woda pitna, ścieki, infrastruktura cyfrowa, zarządzanie usługami ICT B2B, administracja publiczna i przestrzeń kosmiczna.
• Aneks II, inne sektory krytyczne (7): usługi pocztowe i kurierskie, gospodarka odpadami, chemikalia, produkcja i dystrybucja żywności, produkcja (urządzenia medyczne, elektronika, sprzęt elektryczny, maszyny, pojazdy silnikowe i inny sprzęt transportowy), dostawcy cyfrowi i badania.

Duże jednostki z Aneksu I, z 250 lub więcej pracownikami lub więcej niż 50 milionów euro obrotu, są zazwyczaj istotne. Większość pozostałych jest ważna. Niektórzy dostawcy są objęci przepisami bez względu na wielkość, w tym dostawcy usług DNS, rejestry TLD, kwalifikowani dostawcy usług zaufania i publiczne sieci komunikacji elektronicznej, a Państwa Członkowskie mogą wyznaczyć małe jednostki będące jedynym dostawcą usługi krytycznej.

Rzeczywisty zasięg jest jeszcze szerszy. Artykuł 21 czyni bezpieczeństwo łańcucha dostaw obowiązkiem, więc jednostki w zakresie przesuwają wymagania dotyczące bezpieczeństwa kontraktowego na dostawców. 30-osobowy integrator firmware obsługujący niemieckiego producenta samochodów lub firma serwisująca chłodnictwo obsługująca sieć supermarketów poczuje NIS2 poprzez audyty kwestionariuszy długo przed jakimkolwiek telefonem regulatora.

LogTotal i dzienniki OT: Silnik kontra ekosystem

LogTotal, który SOC Prime przeniósł z wersji public preview do ogólnego wydania 15 października 2026 roku, został zbudowany z myślą o wersji problemu dzienników związanej z czasem incydentu. Wybierasz zestaw dzienników, open-source @socprime/logtotal-sanitizer zastępuje poświadczenia, adresy IP, nazwy hostów i nazwy użytkowników stabilnymi tokenami HMAC w przeglądarce, a jedynie tokenizowane zdarzenia są przesyłane. Przetwarza do 1,7 miliona zdarzeń w ciągu minuty na zwykłym sprzęcie, nie przechowuje nic po analizie, a organizacja zachowuje klucz do wewnętrznego mapowania tokenów.

Sam silnik jest agnostyczny co do formatu. Automatyczne wykrywa EVTX, CEF, JSON/NDJSON i syslog, więc wszystko, co można wyrazić jako tekst, może być zbadane: dzienniki PC przemysłowego syslog, zdarzenia SCADA historyczne i HMI, dzienniki stacji roboczych inżynierskich lub ruch Modbus i BACnet, po zdekodowaniu do tekstowych rekordów.

Mapowanie krajów: Przypadki użycia NIS2 i LogTotal w 10 rynkach

NIS2 jest prawem UE, ale jego oddziaływanie rozszerza się na dostawców, sąsiadów i kraje kandydackie obsługujące rynek europejski. Wspólnym mianownikiem we wszystkich tych dziesięciu rynkach jest zegar raportowania mierzony w godzinach, co sprawia, że szybka, ochraniająca prywatność segregacja dzienników jest praktyczną koniecznością, a nie przyjemnym dodatkiem. Status odnosi się do października 2026 roku.