NIS2 wyjaśnione: Wymagania, terminy i przypadki użycia LogTotal w całej Europie

Czym jest NIS2?

NIS2 to dyrektywa (UE) 2022/2555, podstawowe prawo dotyczące cyberbezpieczeństwa w UE dla organizacji, które utrzymują sieci energetyczne, systemy wodociągowe, szpitale, łańcuchy logistyczne, dostawy żywności i infrastrukturę cyfrową. Zastąpiło ono pierwotną dyrektywę NIS (UE) 2016/1148 i przekształciło luźno stosowany system sektorowy w jedną ramę z wspólnymi obowiązkami, harmonogramami raportowania i realnymi uprawnieniami do egzekwowania.

Więc, czym jest NIS2 w praktycznych kategoriach dla zespołu ds. bezpieczeństwa? Trzy rzeczy. Po pierwsze, definiuje, kto jest objęty zakresem poprzez progi wielkościowe i dwa załączniki sektorowe, dzieląc objęte organizacje na podmioty kluczowe i znaczące. Po drugie, nakłada obowiązek stosowania minimalnego zestawu kontroli zarządzania ryzykiem w artykule 21, od obsługi incydentów i logowania po bezpieczeństwo łańcucha dostaw i kryptografię. Po trzecie, nakłada etapowy proces powiadamiania o incydentach w artykule 23, z pierwszym sygnałem do narodowego CSIRT lub właściwego organu w ciągu 24 godzin od uzyskania wiedzy o znaczącym incydencie.

Ponieważ NIS2 jest dyrektywą, a nie rozporządzeniem, każdy z państw członkowskich pisze swoje własne prawo narodowe. Rdzeń obowiązków jest wspólny, ale portale rejestracyjne, organy nadzorcze i formularze raportowania różnią się od Rzymu po Warszawę, co jest dokładnie powodem, dla którego widok na poziomie kraju ma znaczenie.

Wypróbuj LogTotal, za darmo

Data wydania NIS2 i droga do zgodności

Dyrektywa została opublikowana w Dzienniku Urzędowym 27 grudnia 2022 i weszła w życie 16 stycznia 2023. Państwa członkowskie miały czas do 17 października 2024 na jej transpozycję, z narodowymi środkami obowiązującymi od 18 października 2024. Niewiele z nich dotrzymało terminu: Włochy i Belgia były wśród tych, które miały obowiązujące prawo na czas.

Komisja odpowiedziała pismami formalnego powiadomienia w listopadzie 2024, uzasadnionymi opiniami w maju 2025 i, 8 lipca 2026, skierowaniami do Trybunału Sprawiedliwości UE dla pozostałych opóźnialców. Według nisd2.eu transpozycja tracker, od 16 października 2026 obowiązywało prawo krajowe w 24 z 27 państw członkowskich. Francja, Irlandia i Hiszpania wciąż nie mają takiego prawa.

Dla zgodności z NIS2 nauka jest taka, że zegar jest narodowy, nie europejski. Nowelizacje BSIG Niemiec obowiązują od 6 grudnia 2025, znowelizowana ustawa KSC Polski od 3 kwietnia 2026, holenderska Cyberbeveiligingswet od 15 sierpnia 2026 i austriacka NISG 2026 od 1 października 2026. Każda wnosi swoje własne okno rejestracyjne, więc operator wieloprawiłkowy może być zgodny w Mediolanie, podczas gdy jest już spóźniony w Gdańsku.

Czego wymaga dyrektywa NIS2

Dyrektywa NIS2 umieszcza obowiązki w trzech kategoriach: zarządzanie, kontrola techniczna i raportowanie.

Zarządzanie znajduje się w artykule 20. Organy zarządzające muszą zatwierdzać środki zarządzania ryzykiem cyberbezpieczeństwa, nadzorować ich wdrażanie i regularnie odbywać szkolenia. Odpowiedzialność już nie kończy się na CISO.

Kontrole techniczne znajdują się w artykule 21(2), który wymienia dziesięć minimalnych środków: analiza ryzyka i polityki bezpieczeństwa systemów informatycznych; obsługa incydentów; ciągłość działania, tworzenie kopii zapasowych i zarządzanie kryzysowe; bezpieczeństwo łańcucha dostaw; bezpieczne pozyskiwanie, rozwój i utrzymanie, w tym obsługa luk; ocena skuteczności kontroli; higiena cybernetyczna i szkolenia; kryptografia; bezpieczeństwo HR, kontrola dostępu i zarządzanie aktywami; a także MFA oraz zabezpieczona komunikacja. Dla dostawców infrastruktury cyfrowej i usług ICT Regulacja Implementacyjna (UE) 2024/2690 określa te wymagania szczegółowo, w tym dosłowne wymagania dotyczące monitorowania i logowania.

Raportowanie znajduje się w artykule 23 i tutaj zespoły SOC odczuwają presję:

• 24 godziny: wczesne ostrzeżenie, w tym czy incydent podejrzewany jest o złośliwy charakter lub ma wpływ transgraniczny
• 72 godziny: powiadomienie o incydencie z początkową oceną ciężkości i wpływu oraz dostępnymi wskaźnikami kompromitacji
• Jeden miesiąc: ostateczny raport z analizą przyczyny źródłowej, mitygacji i wpływu transgranicznego

24-godzinne wczesne ostrzeżenie jest wiarygodne tylko wtedy, gdy zespół faktycznie może przeczytać swoje logi w ciągu godzin, nie dni.

Dlaczego UE zastąpiła NIS1 NIS2

NIS1 nie dawało spójności. Każde państwo członkowskie samo decydowało, które firmy liczą się jako operatorzy usług kluczowych, więc dwa szpitale o tej samej wielkości w sąsiednich krajach mogły mieć zupełnie różne obowiązki. Kary były niskie i rzadko stosowane, a progi raportowania incydentów tak różniły się, że świadomość sytuacyjna transgraniczna ledwie istniała.

Obraz zagrożeń zmienia się szybciej niż prawo. Między propozycją Komisji z grudnia 2020 roku a tekstem końcowym, Europa widziała, jak ransomware sparaliżował IT szpitala, kompromisy łańcucha dostaw SolarWinds i Kaseya dotarły do tysięcy klientów niższego szczebla, a atak na sieć KA-SAT Viasat w lutym 2022 roku odciął zdalne monitorowanie dla około 5 800 turbin wiatrowych Enercon w Niemczech. Ten ostatni przypadek jasno pokazał: atak na dostawcę usług IT może wywołać fizyczne, konsekwencje OT w innym sektorze i kraju.

NIS2 odpowiada szerszym zakresem, zharmonizowanymi minimalnymi kontrolami, wyraźnymi obowiązkami dotyczącymi łańcucha dostaw, osobistą odpowiedzialnością kierownictwa i wspólnym zegarem incydentów. Formalizuje również współpracę za pośrednictwem EU-CyCLONe i sieci CSIRTs, więc znaczący incydent w Lyonie nie jest już wyłącznie francuskim problemem.

Kary nałożone przez NIS2 i odpowiedzialność zarządu

Artykuł 34 określa górne granice, które muszą osiągnąć prawa krajowe:

Typ podmiotu	Maksymalna kara administracyjna	Model nadzoru
Kluczowe	Co najmniej 10 milionów euro lub 2% całkowitych światowych rocznych obrotów, w zależności od tego, która kwota jest wyższa	Z góry: audyty, inspekcje na miejscu, skanowania bezpieczeństwa
Ważne	Co najmniej 7 milionów euro lub 1,4% całkowitych światowych rocznych obrotów, w zależności od tego, która kwota jest wyższa	Z preferencjami: wywołane dowodami lub incydentem

Odwołanie do obrotów dotyczy całego przedsiębiorstwa, a nie lokalnej filii, co jest powodem, dla którego CFO najwyższego poziomu czytają teraz briefing NIS2.

Pieniądze są tylko częścią ekspozycji. Dla podmiotów kluczowych artykuł 32 pozwala władzom zawiesić certyfikaty lub autoryzacje oraz czasowo zakazać prezesowi lub przedstawicielowi prawnemu pełnienia funkcji menedżerskich, aż do naprawienia niedomagań. Władze mogą również zarządzić, aby podmiot publicznie ujawnił swoją niezgodność.

W praktyce regulatorzy szukają dowodów. Organizacja, która potrafi pokazać, kiedy wykryła incydent, które logi przeglądała i jak doszła do wniosków w ciągu 24 godzin i 72 godzin, jest w o wiele lepszej pozycji niż ta, która rekonstruuje harmonogram post factum. Udokumentowana, powtarzalna analiza logów jest najtańszym ubezpieczeniem przed górną granicą tych kar.

NIS2 vs. DORA: Który z nich ma zastosowanie?

Jednozdaniowe podsumowanie dyrektywy NIS2: poziome zasady cyberbezpieczeństwa dla 18 krytycznych sektorów, transponowane krajowo. DORA, Digital Operational Resilience Act (Regulation (EU) 2022/2554), jest przeciwna pod oboma względami. Jest specyficzna dla sektora, obejmując banki, ubezpieczycieli, firmy inwestycyjne, instytucje płatnicze, dostawców usług kryptowalutowych i ich krytycznych dostawców zewnętrznych ICT, a jako rozporządzenie bezpośrednio stosowane w każdym z państw członkowskich od 17 stycznia 2025.

Oba łączą się przez artykuł 4 NIS2. Tam, gdzie akt sektora specyficznego UE narzuca wymagania co najmniej równoważne z NIS2, ten akt ma pierwszeństwo. DORA jest specjalnym prawem dla podmiotów finansowych, więc bank podlega regułom zarządzania ryzykiem, testowania i raportowania DORA, a nie wersjom NIS2.

	NIS2	DORA
Forma prawna	Dyrektywa, transpozycja krajowa	Rozporządzenie, bezpośrednio stosowane
Zakres	18 sektorów, podmioty kluczowe i ważne	Podmioty finansowe i krytyczni dostawcy ICT
Pierwszy raport	Wczesne ostrzeżenie w ciągu 24 godzin	Początkowe powiadomienie w ciągu 4 godzin od zaklasyfikowania incydentu jako poważnego, nie później niż 24 godziny po wykryciu
Testowanie	Ocena skuteczności	Testowanie penetrujące prowadzone przez zagrożenia (TLPT) dla istotnych podmiotów

Nakładanie się ma znaczenie dla dostawców. Zarządzany SOC lub dostawca chmury może być ważnym podmiotem według NIS2 i jednocześnie kontraktowym dostawcą ICT według DORA, stawiając czoła dwóm zestawom wniosków o dowody z logów.

NIS2 vs. RODO: Ciągłość usług spotyka ochronę danych

RODO chroni dane osobowe ludzi. NIS2 chroni ciągłość usług, od których zależy społeczeństwo. Różnica przejawia się w tym, co wywołuje raport: według RODO jest to naruszenie danych osobowych prawdopodobnie stwarzające ryzyko dla osób, zgłaszane do organu ochrony danych w ciągu 72 godzin. Według NIS2 jest to znaczący incydent wpływający na świadczenie usług, zgłaszany do CSIRT lub właściwego organu, począwszy od 24 godzin, niezależnie od tego, czy dotykał jakiekolwiek dane osobowe.

Atak ransomware na szpital zazwyczaj wywołuje oba. Artykuł 35 NIS2 wymaga, aby organ ds. cyberbezpieczeństwa poinformował organ ochrony danych, gdy incydent może obejmować naruszenie danych osobowych, i uniemożliwia podwójną karę za to samo postępowanie, jeśli kara RODO została już nałożona. Sufit RODO pozostaje wyższy: 20 milionów euro lub 4% światowych obrotów.

Punkt tarcia dla zespołów SOC to same logi. Telemetria bezpieczeństwa jest pełna danych osobowych: nazwy użytkowników, adresy IP, nagłówki e-mail, nazwy hostów powiązanych z nazwanymi pracownikami. Wysłanie surowych logów do zewnętrznego analityka, MSSP lub usługi AI, aby spełnić termin NIS2, może otworzyć pytanie RODO o minimalizację danych i transfery. Pseudonimizacja identyfikatorów przed opuszczeniem organizacji, podczas gdy klucz pozostaje wewnątrz, to sposób na spełnienie obu reżimów jednocześnie.

Które organizacje obejmuje NIS2

NIS2 używa reguły limitu wielkości: średnie i duże organizacje, oznaczające 50 lub więcej pracowników lub ponad 10 milionów euro rocznego obrotu, działające w jednym z 18 sektorów.

• Załącznik I, sektory wysokiej krytyczności (11): energia, transport, bankowość, infrastruktura rynku finansowego, zdrowie, woda pitna, ścieki, infrastruktura cyfrowa, zarządzanie usługami ICT B2B, administracja publiczna i kosmos.
• Załącznik II, inne sektory krytyczne (7): usługi pocztowe i kurierskie, gospodarka odpadami, chemikalia, produkcja i dystrybucja żywności, produkcja (urzędzenia medyczne, elektronika, sprzęt elektryczny, automatyka przemysłowa i inne wyposażenie transportowe), dostawcy cyfrowi i badania.

Duże podmioty w Załączniku I, z 250 lub więcej pracownikami lub ponad 50 milionów euro obrotu, są zazwyczaj kluczowe. Większość pozostałych jest ważna. Niektórzy dostawcy są objęci bez względu na rozmiar, w tym dostawcy usług DNS, rejestry TLD, kwalifikowani dostawcy usług zaufania i publiczne sieci łączności elektronicznej, a państwa członkowskie mogą wyznaczyć małe podmioty, które są jedynymi dostawcami krytycznej usługi.

Praktyczny zasięg jest jeszcze szerszy. Artykuł 21 czyni bezpieczeństwo łańcucha dostaw obowiązkiem, więc objęte podmioty wymuszają wymagania dotyczące bezpieczeństwa kontraktowego na dostawców. Integrator firmware o 30 pracownikach obsługujący niemieckiego producenta samochodów, czy usługodawca konserwacji chłodnictwa obsługujący sieć supermarketów, odczują NIS2 przez kwestionariusze audytowe znacznie wcześniej niż zadzwoni którekolwiek organ regulacyjny.

LogTotal i logi OT: Silnik vs. ekosystem

LogTotal, który SOC Prime przestawił z publicznej wersji demonstracyjnej na ogólnodostępną 15 października 2026, jest skonstruowany dla wersji log problemu w czasie incydentu. Wybierasz zestaw logów, open-source @socprime/logtotal-sanitizer zastępuje dane uwierzytelniające, adresy IP, nazwy hostów i nazwy użytkowników stabilnymi tokenami HMAC wewnątrz przeglądarki, a jedynie tokenizowane zdarzenia są przesyłane. Przetwarza do 1,7 miliona zdarzeń w poniżej minutę na zwyczajnym sprzęcie, nie przechowuje niczego po analizie, a organizacja zachowuje klucz do mapowania tokenów wewnętrznie.

Sam silnik jest agnostyczny co do formatu. Automatycznie rozpoznaje EVTX, CEF, JSON/NDJSON i syslog, więc wszystko, co można wyrazić jako tekst, można badać: syslogi przemysłowych PC, zdarzenia z SCADA historycznych i HMI, logi stacji roboczych inżynieryjnych lub ruch Modbus i BACnet po zdekodowaniu na zapisy tekstowe.

Mapowanie krajów: Przypadki użycia NIS2 i LogTotal w 10 rynkach

NIS2 to prawo UE, ale jego wpływ sięga na dostawców, sąsiadów i kraje kandydujące obsługujące rynek europejski. Wspólnym wątkiem we wszystkich dziesięciu rynkach poniżej jest zegar raportowania mierzony w godzinach, co sprawia, że szybka, zachowująca prywatność triage logów jest praktycznym wymogiem, a nie mile widzianą możliwością. Status odzwierciedla październik 2026.

Kraj	Status regulacyjny	Gdzie pasuje LogTotal
Włochy	D.Lgs. 138/2024 obowiązuje od 16 października 2024. Powiadomienie o incydentach do CSIRT Italia aktywne od 15 stycznia 2026; środki bezpieczeństwa ACN podstawowe wymagane do 31 października 2026.	Średnie firmy z sektora spożywczego i energetycznego rzadko prowadzą całodobowy SOC. LogTotal daje im triage tego samego dnia, aby wesprzeć 24-godzinną pre-notyfikację bez projektu integracji SIEM.
Francja	Loi Résilience nadal oczekuje; Zgromadzenie Narodowe wycofało go z sesji plenarnej 7 i 9 października. Ramy ANSSI ReCyF i prerejestracja MonEspaceNIS2 są już aktywne.	Po alercie CERT-FR CERTFR-2026-ALE-012, detaliści i konserwatorzy chłodnictwa mogą korelować logi VPN, hostów skokowych i firewallów, aby śledzić, kto uzyskał dostęp do interfejsów zarządzania kontrolerem i skąd.
Niemcy	Nowelizacje NIS2UmsuCG do BSIG obowiązujące od 6 grudnia 2025; rejestracja BSI była wymagana do 6 marca 2026.	Zakłady motoryzacyjne i maszynowe generują ogromne ilości EVTX z inżynieryjnych stacji roboczych. Przetwarzanie 1,7 miliona zdarzeń w poniżej minutę utrzymuje dochodzenia dotyczące dostawców transgranicznych w ruchu.
Ukraina	Ustawa nr 4336-IX obowiązuje od 20 kwietnia 2025, dostosowując krajowe ramy do NIS2 pod nadzorem SSSCIP i zobowiązując do powołania CISO.	Pod wojennymi ograniczeniami zasobów LogTotal działa na zwykłym sprzęcie, a interfejs CLI sanitizera działa w środowiskach odciętych od Internetu dla operatorów sektora energii i rolnictwa.
Zjednoczone Królestwo	Wciąż obowiązują przepisy NIS z 2018; ustawa o cyberbezpieczeństwie i odporności przeszła przez Izbę Gmin 10 czerwca 2026 i jest w Izbie Lordów.	Brytyjskie firmy logistyczne i MSP obsługujące klientów z UE stoją przed klauzulami łańcucha dostaw NIS2 na mocy umowy. LogTotal zapewnia szybkie, udostępnialne dowody, że dane logistyczne przez kanał La Manche nie zostały naruszone.
Hiszpania	Jeszcze brak prawa transpozycyjnego; rozporгdzenie królewskie 43/2021 (NIS1) pozostaje w mocy, a Komisja przekierowała Hiszpanię do TSUE 8 lipca 2026.	Sekoia zgłosiła, że Hiszpania znalazła się wśród krajów dotkniętych atakami na lodówki. Operatorzy chłodzenia łańcucha mogą teraz trenować 24-godzinny przepływ pracy na surowych eksportach sieciowych.
Holandia	Cyberbeveiligingswet obowiązuje od 15 sierpnia 2026, pod nadzorem NCSC-NL i RDI.	Operatorzy terminali w Rotterdamie i Amsterdamie mogą przeprowadzać audyt logów z automatyzacji bram i systemów śledzenia kontenerów w odniesieniu do wzorców włamań OT na terenie portu.
Belgia	Prawo NIS2 z 26 kwietnia 2024 obowiązuje od 18 października 2024; CCB nadzoruje, a CyberFundamentals jest ramą referencyjną.	Tokenizacja HMAC usuwa identyfikatory zanim logi zostaną wysłane do CERT.be lub zewnętrznej firmy IR, podczas gdy organizacja utrzymuje klucz do ponownego przypisania tożsamości.
Polska	Znowelizowana ustawa KSC obowiązuje od 3 kwietnia 2026; samorejestracja zakończona 3 października 2026.	Operatorzy transportu i blisko współpracujący z obroną muszą oddzielać rutynowe skanowanie od ataku państwowego. Pozycjonowane łańcuchy ataków w ramy ATT&CK wykonują szybko tę triage.
Szwajcaria	Nie w UE, ale infrastruktura krytyczna musi zgłaszać cyberataki do NCSC w ciągu 24 godzin od 1 kwietnia 2025, z karami do CHF 100,000 od 1 października 2025.	Operatorzy sieci synchronizowani z europejską siecią mogą przeprowadzać agnostyczne co do formatu kontrole logów transmisji i podstacji przed 14-dniowym raportem następczym.