Dla firmy produkcyjnej NIS2 przestaje być tematem działu IT w momencie, w którym dyrektywa obejmuje linię produkcyjną: obowiązki z dyrektywy i z ustawy o KSC dotyczą tak samo systemów biurowych, jak sterowników PLC i stacji SCADA, a za ich wdrożenie odpowiada osobiście zarząd. Poniżej progi, które decydują o objęciu regulacją, i plan rozłożony na dwanaście miesięcy.
NIS2 a sektor wytwórczy — co się zmieniło?
Dyrektywa NIS2 znacząco rozszerzyła zakres podmiotów objętych regulacjami cyberbezpieczeństwa. Sektor wytwórczy, wcześniej w dużej mierze pominięty przez NIS1, został explicite włączony jako podmioty ważne (important entities). To fundamentalna zmiana dla polskiego przemysłu.
W praktyce oznacza to, że firmy produkcyjne z obrotem powyżej 10 mln EUR lub zatrudniające ponad 50 osób muszą wdrożyć kompleksowe zarządzanie ryzykiem cyberbezpieczeństwa — obejmujące nie tylko IT, ale również systemy OT/ICS sterujące produkcją.
Które firmy produkcyjne podlegają NIS2?
NIS2 obejmuje sektor wytwórczy w szerokim zakresie:
- Produkcja urządzeń medycznych — podmioty kluczowe
- Produkcja komputerów, elektroniki, optyki — podmioty ważne
- Produkcja maszyn i urządzeń — podmioty ważne
- Produkcja pojazdów i sprzętu transportowego — podmioty ważne
- Produkcja chemikaliów — podmioty ważne
- Produkcja żywności — podmioty ważne
Kryterium wielkości: przychody > 10 mln EUR lub zatrudnienie > 50 osób. Wiele średnich polskich firm produkcyjnych spełnia te progi.
Kluczowe wymagania NIS2 dla produkcji
1. Zarządzanie ryzykiem cyberbezpieczeństwa
NIS2 wymaga wdrożenia proporcjonalnych środków zarządzania ryzykiem obejmujących:
- Analizę ryzyka — identyfikacja zagrożeń dla systemów IT i OT
- Polityki bezpieczeństwa — procedury obejmujące konwergencję IT/OT
- Obsługę incydentów — plan IR uwzględniający scenariusze OT
- Ciągłość działania — backup, disaster recovery, zarządzanie kryzysowe
- Bezpieczeństwo łańcucha dostaw — ocena dostawców OT i integratorów
- Bezpieczeństwo w zakupach i rozwoju systemów — weryfikacja nowych urządzeń OT
- Szkolenia cyberbezpieczeństwa — dla personelu IT i inżynierów OT
- Kryptografia i szyfrowanie — gdzie applicable w środowisku OT
- Kontrola dostępu i zarządzanie aktywami — inwentaryzacja urządzeń OT
- MFA i bezpieczna komunikacja — uwierzytelnianie do systemów OT
2. Zgłaszanie incydentów
Rygorystyczne terminy raportowania:
- 24 godziny — wstępne powiadomienie CSIRT o znaczącym incydencie
- 72 godziny — pełne zgłoszenie z oceną wpływu i wskaźnikami IoC
- 30 dni — raport końcowy z analizą przyczyn i podjętymi działaniami
Dla środowisk OT oznacza to konieczność wdrożenia monitoringu, który wykryje incydent i umożliwi jego analizę w wymaganych ramach czasowych.
3. Odpowiedzialność zarządu
NIS2 wprowadza osobistą odpowiedzialność zarządu za cyberbezpieczeństwo. Zarząd musi:
- Zatwierdzać środki zarządzania ryzykiem
- Nadzorować ich wdrożenie
- Odbywać szkolenia z cyberbezpieczeństwa
- Ponosić odpowiedzialność za naruszenia
To nowość w polskim przemyśle, gdzie cyberbezpieczeństwo tradycyjnie było delegowane wyłącznie do działu IT.
Specyfika wdrożenia NIS2 w środowisku OT
Inwentaryzacja aktywów OT
W IT inwentaryzacja aktywów to standard. W OT to często punkt startowy — wiele firm nie ma pełnej wiedzy o urządzeniach w sieci produkcyjnej. Inwentaryzacja musi objąć:
- Sterowniki PLC/RTU i ich wersje firmware
- Systemy SCADA/HMI i ich systemy operacyjne
- Przełączniki i routery przemysłowe
- Stacje inżynierskie i historian serwery
- Urządzenia IoT na hali produkcyjnej
Analiza ryzyka obejmująca OT
Tradycyjne metodyki analizy ryzyka (ISO 27005) muszą być rozszerzone o specyfikę OT:
- Ryzyko fizyczne — manipulacja procesami może zagrozić ludziom
- Ryzyko dostępności — priorytet nad poufnością
- Legacy systemy — brak możliwości patchowania
- Ograniczenia okien serwisowych — produkcja 24/7
Monitoring i detekcja w OT
NIS2 wymaga ciągłego monitorowania — w środowisku OT oznacza to:
- Pasywny monitoring ruchu sieciowego (bez wpływu na procesy)
- Wykrywanie anomalii w protokołach przemysłowych
- Monitoring integralności konfiguracji PLC
- SOC z kompetencjami OT lub SOC as a Service
Kary za niezgodność
Dla podmiotów ważnych (sektor wytwórczy):
- Do 7 mln EUR lub 1,4% globalnego obrotu rocznego (wyższa kwota)
- Odpowiedzialność osobista zarządu — możliwość czasowego odsunięcia od funkcji
- Nakazy audytowe — regulator może nakazać audyt na koszt firmy
Praktyczny plan wdrożenia NIS2 w fabryce
Faza 1: Ocena stanu (miesiąc 1-2)
- Audyt bezpieczeństwa OT/ICS — stan aktualny
- Inwentaryzacja aktywów IT i OT
- Gap analysis wobec wymagań NIS2
- Mapa dostawców z dostępem do OT
Faza 2: Strategia i planowanie (miesiąc 2-3)
- Analiza ryzyka IT i OT
- Opracowanie polityk bezpieczeństwa
- Plan wdrożenia z priorytetyzacją i budżetem
- Szkolenie zarządu z wymagań NIS2
Faza 3: Wdrożenie techniczne (miesiąc 3-9)
- Segmentacja IT/OT
- Wdrożenie monitoringu OT (SOC as a Service)
- Hardening systemów OT
- Kontrola dostępu i zarządzanie tożsamością
- Backup i procedury odtwarzania OT
Faza 4: Procesy i ludzie (miesiąc 6-12)
- Plan reagowania na incydenty OT
- Szkolenia personelu IT i OT
- Procedury zgłaszania incydentów
- Wymagania bezpieczeństwa w umowach z dostawcami
- Regularne testy i ćwiczenia
Nie wiesz, czy Twoja firma spełnia wymagania NIS2? Umów bezpłatną konsultację — ocenimy stan gotowości i zaproponujemy plan wdrożenia.
Od wymagań NIS2 do gotowości fabryki
Najtrudniejsze w tym wdrożeniu nie jest kupienie narzędzi, tylko rozstrzygnięcie, które wymagania artykułu 21 da się spełnić w środowisku OT bez zatrzymania produkcji — i udowodnienie tego regulatorowi. Ocena zgodności robiona osobno dla IT i osobno dla OT kończy się zwykle luką dokładnie na styku obu sieci, czyli tam, gdzie prowadzi droga atakującego.
Jeśli chcesz zacząć od punktu wyjścia, a nie od listy zakupów, zobacz ocenę zgodności z dyrektywą NIS2 dla OT/ICS — mapuje wymagania dyrektywy na konkretne systemy sterowania i pokazuje, w których miejscach brakuje dowodu.
Cyberbezpieczeństwo w Twojej branży
Dowiedz się więcej o cyberbezpieczeństwie w Twojej branży:
Tematy powiązane
Zobacz również:
