NIS2: Francja przed Trybunałem Sprawiedliwości UE, 15 000 podmiotów bez krajowych ram prawnych

Dyrektywę NIS2 należało transponować do 17 października 2024 roku. Francja nie dotrzymała tego terminu do tego stopnia, że 8 lipca 2026 roku Komisja zdecydowała skierować sprawę do Trybunału Sprawiedliwości UE, wraz z Hiszpanią, Irlandią i Niderlandami, wnosząc o sankcje finansowe. Tak zwana ustawa Résilience, mająca transponować dyrektywę, nie znalazła się w porządku obrad lipcowej sesji: jej rozpatrzenie przesunięto na jesień. Tymczasem unijny obowiązek obowiązuje już od października 2024 roku.

Jeden szczegół zmienia wszystko dla tych, którzy chcą działać już teraz: model referencyjny jest już publiczny. ANSSI opublikowała w marcu 2026 roku swój Référentiel Cyber France, który przekłada wymogi NIS2 na cele bezpieczeństwa: dwadzieścia dla podmiotów kluczowych, piętnaście dla podmiotów ważnych. Innymi słowy, istota tego, czego będzie się wymagać, jest znana jeszcze przed głosowaniem nad ustawą. Czekanie na tekst prawa, by zacząć działać, oznacza czekanie na formalne ujęcie obowiązków, których treść już się zna.

Prawdziwym tematem jest zmiana skali: z kilkuset operatorów objętych NIS1 Francja przechodzi do 15 000 lub 18 000 podmiotów objętych przepisami, podzielonych na „podmioty kluczowe” i „podmioty ważne”. Średnie przedsiębiorstwa przemysłowe, jednostki samorządu terytorialnego, podmioty z sektora zdrowia, transportu czy rolno-spożywczego odkryją, że znajdują się w tym zakresie, z obowiązkami zarządzania ryzykiem, zgłaszania incydentów i nadzorem ze strony ANSSI.

Ta zmiana koncepcyjna przypomina tę, jaką w swoim czasie przyniosło RODO: cyberbezpieczeństwo przestaje być tematem ekspertów i dobrych intencji, by stać się mechanizmem, którego istnienie i funkcjonowanie trzeba umieć udowodnić. Zarządzanie, analiza ryzyka, bezpieczeństwo łańcucha dostaw, zarządzanie incydentami, ciągłość działania: każdy wymóg dyrektywy zakłada konieczność przedstawienia dowodów.

Uwagę skupia asymetria sankcji: do 10 milionów euro lub 2% światowego obrotu dla podmiotów kluczowych, z kontrolami prewencyjnymi; 7 milionów euro lub 1,4% dla podmiotów ważnych, kontrolowanych po wystąpieniu incydentu. W obu przypadkach, w dniu kontroli, improwizacja od razu rzuca się w oczy.

NIS2 nakłada minimalny zestaw środków: polityki bezpieczeństwa i analizy ryzyka, zarządzanie incydentami, ciągłość działania i zarządzanie kryzysowe, bezpieczeństwo łańcucha dostaw, bezpieczeństwo zakupów i rozwoju systemów, ocenę skuteczności środków, higienę cyberbezpieczeństwa i szkolenia, kryptografię, bezpieczeństwo zasobów ludzkich i kontrolę dostępu, uwierzytelnianie wieloskładnikowe. Dziesięć grup wymogów, które w praktyce tworzą model referencyjny.

Do tego dochodzi mechanizm zgłaszania istotnych incydentów, w ściśle określonych etapach: wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin, raport końcowy w ciągu miesiąca. Dotrzymanie tych terminów nie da się zaimprowizować w dniu wystąpienia incydentu: wymaga to wykrywania, kwalifikacji i łańcucha decyzyjnego już wdrożonych i już przetestowanych.

Rzeczywisty zasięg dyrektywy wykracza poza 15 000 wskazanych podmiotów: dyrektywa nakłada na nie obowiązek kontrolowania bezpieczeństwa swojego łańcucha dostaw, a ten wymóg przenosi się dalej za pośrednictwem umów. Dostawca oprogramowania, firma utrzymująca instalacje przemysłowe czy podmiot logistyczny spoza zakresu dyrektywy otrzyma kwestionariusze i klauzule od swoich regulowanych klientów.

Dla tych dostawców inteligentne podejście ma wymiar handlowy: ten, kto zjawia się z wymierzonym i udowodnionym poziomem dojrzałości cyberbezpieczeństwa, zamienia narzuconą konieczność w argument przewagi przy wyborze dostawcy. W przetargach 2027 roku będzie to kryterium selekcji, a nie dodatkowy atut.

Dla organizacji, która dopiero odkrywa ten temat, rozsądna kolejność działań obejmuje trzy kroki: ustalić, czy dana organizacja znajduje się w zakresie przepisów i z jakiego tytułu; zmierzyć rzeczywisty poziom dojrzałości wobec wymogów dyrektywy, podmiot po podmiocie, zamiast gromadzić doraźne audyty; oraz przekształcić stwierdzone luki w plan działania z określonymi terminami, ponieważ dostosowanie zajmie miesiące, a kalendarz nie poczeka.

Nasz katalog obejmuje 11 modeli referencyjnych z zakresu cyberbezpieczeństwa, które wspierają ten proces pomiaru, a ta logika sprawdza się również w grupach kapitałowych: każda spółka zależna oceniana według tej samej podstawy, a konsolidacja wyników pokazuje, gdzie skoncentrować wysiłki. Zgodność z NIS2 będzie maratonem pod nadzorem; lepiej wejść w niego z odpowiednim narzędziem.