Krótko: Dyrektywa UE NIS2 zobowiązuje znacznie więcej firm niż dawniej do środków zarządzania ryzykiem i do zgłaszania istotnych incydentów bezpieczeństwa. W Niemczech wdraża ją NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG, niemiecka ustawa); właściwym organem jest BSI (niemiecki Federalny Urząd ds. Bezpieczeństwa w Technice Informatycznej). Dla serwerów WWW oznacza to przede wszystkim: aktualizacje, zarządzanie podatnościami i obsługa incydentów muszą być zorganizowane i możliwe do wykazania. Ta strona to ogólna informacja, a nie porada prawna.
Brak porady prawnej: czy Państwa firma podlega NIS2 i jakie obowiązki obowiązują w szczególności, proszę wyjaśnić na podstawie informacji BSI i z doradcą prawnym. Celowo nie podajemy progów ani terminów, które zależą od Państwa klasyfikacji.
Czym jest NIS2
NIS2 to druga dyrektywa UE o bezpieczeństwie sieci i informacji. Znacznie poszerza krąg zobowiązanych firm w porównaniu z wcześniejszą regulacją i rozróżnia podmioty szczególnie ważne oraz ważne. Jakie branże i klasy wielkości są objęte, określa ustawa.
W Niemczech NIS2UmsuCG wdraża dyrektywę i w tym celu między innymi na nowo ujmuje ustawę o BSI. BSI jest partnerem w sprawach rejestracji, zgłoszeń i nadzoru i udostępnia na swojej stronie informacje oraz pomoce w klasyfikacji. Wiarygodne, aktualne informacje o terminach i procedurach znajdą Państwo tam, a nie w ogólnych streszczeniach.
Obowiązki NIS2 dla firm w skrócie
Dla objętych przepisami firm obowiązki można z grubsza ująć w trzech obszarach:
Zarządzanie ryzykiem. Firmy muszą stosować odpowiednie i proporcjonalne środki techniczne i organizacyjne. Należą do nich zazwyczaj koncepcje analizy ryzyka i bezpieczeństwa informacji, obsługa incydentów bezpieczeństwa, utrzymanie działalności z kopiami zapasowymi i zarządzaniem kryzysowym, bezpieczeństwo łańcucha dostaw, bezpieczeństwo przy zakupie, rozwoju i utrzymaniu, w tym postępowanie z podatnościami, kontrola dostępu i kryptografia.
Zgłoszenia. Istotne incydenty bezpieczeństwa należy zgłaszać do BSI. Dyrektywa przewiduje w tym celu procedurę stopniowaną, od wczesnego pierwszego zgłoszenia do raportu końcowego. Dokładne terminy i drogi zgłoszeń dla Niemiec proszę przyjąć z informacji BSI.
Odpowiedzialność kierownictwa. Kierownictwo musi zatwierdzać środki, nadzorować ich wdrożenie i szkolić się w sprawach cyberbezpieczeństwa. Więcej w artykule Odpowiedzialność zarządu.
Co to oznacza dla serwerów WWW
Serwery WWW są często najbardziej otwartym systemem firmy. PHP2Shell pokazuje, jak szybko luka w podstawowym komponencie może dotknąć wszystkie działające na nim aplikacje. Obie luki, CVE-2026-109618 i CVE-2026-109619, umożliwiają wykonanie kodu bez logowania; BSI ogłosiło stopień ostrzeżenia 3 (pomarańczowy) i zaleciło natychmiastową aktualizację.
Dla firmy podlegającej NIS2 wynikają z tego pytania praktyczne: czy wiemy, które serwery używają PHP i w jakiej wersji? Kto śledzi komunikaty bezpieczeństwa i decyduje o awaryjnych aktualizacjach? Czy potrafimy rozpoznać atak i kto ocenia, czy incydent jest istotny, a tym samym podlega zgłoszeniu? Czy uregulowano, co przejmują hoster i usługodawcy?
Poprawka nie usuwa szkodliwego oprogramowania wprowadzonego wcześniej i nie dowodzi, że nic się nie stało. To także należy do oceny incydentu.
Konkretne środki dla infrastruktury WWW
Poniższe punkty nie są listą wyczerpującą, ale obejmują najczęstsze luki:
| Środek | Odniesienie |
|---|---|
| Inwentarz wszystkich serwerów WWW, wersji PHP i aplikacji | Analiza ryzyka |
| Stała procedura aktualizacji bezpieczeństwa wraz z restartem i dowodem | Zarządzanie podatnościami |
| Monitoring i przechowywanie logów | Obsługa incydentów |
| Przetestowane kopie zapasowe i plan wznowienia działania | Ciągłość działania |
| Pisemny podział zadań z hosterem i agencjami | Łańcuch dostaw |
| Logowanie wieloskładnikowe do dostępów administracyjnych | Kontrola dostępu |
| Przygotowane drogi zgłoszeń i odpowiedzialności | Obowiązki zgłoszeniowe |
Ramą metodyczną jest IT-Grundschutz (podstawowa ochrona IT) wydany przez BSI. Plan awaryjny IT dla serwerów WWW łączy technikę, odpowiedzialności i drogi zgłoszeń.
NIS2 i ochrona danych razem
Atak na serwer WWW może być jednocześnie incydentem NIS2 i naruszeniem ochrony danych. Wtedy równolegle toczą się dwie procedury, z różnymi organami i wymogami. Zgłoszenie do organu nadzorczego ochrony danych według art. 33 RODO opisuje artykuł Obowiązek zgłoszenia z RODO: 72 godziny. Proszę zaplanować obie drogi z wyprzedzeniem, aby w razie potrzeby nikt nie musiał improwizować.
Kolejny punkt dotyczy usługodawców. Wiele firm zleca opiekę nad stronami agencjom, a eksploatację serwerów hosterom. Obowiązek uwzględniania ryzyk łańcucha dostaw oznacza w praktyce: uregulować umownie, kto instaluje aktualizacje bezpieczeństwa, jak szybko obsługiwane są krytyczne luki, jak są Państwo informowani o incydentach i jakie dowody otrzymują. Sytuacja wokół PHP2Shell jest dobrym sprawdzianem, czy takie regulacje już istnieją i zadziałały w razie potrzeby. Jeśli brakuje odpowiedzi, jest to punkt dla Państwa zarządzania ryzykiem.
Jak konkretnie pomaga PHP SOS?
- Rejestrujemy Państwa infrastrukturę WWW i oceniamy ryzyka oraz luki w formie, którą mogą Państwo wykorzystać w zarządzaniu ryzykiem.
- Wdrażamy możliwą do wykazania procedurę aktualizacji bezpieczeństwa i na życzenie przejmujemy ją w ramach umowy serwisowej bezpieczeństwa.
- Dzięki monitoringowi bezpieczeństwa i przechowywaniu logów tworzymy podstawę do wykrywania i oceny incydentów.
- W razie incydentu dostarczamy fakty techniczne do Państwa zgłoszenia do BSI; ocena prawna pozostaje po Państwa stronie i po stronie Państwa doradcy prawnego.
Częste pytania
Czy moja firma podlega NIS2?
Zależy to między innymi od branży i wielkości firmy. Dokładne kryteria wynikają z niemieckiej ustawy wdrażającej. BSI udostępnia na swojej stronie informacje o objęciu przepisami; w razie wątpliwości proszę wyjaśnić tę kwestię z doradcą prawnym.
Co NIS2 oznacza dla firmowej strony internetowej?
Serwery WWW, portale klientów i sklepy należą do systemów, których ryzykiem musi zarządzać objęta przepisami firma. Należą tu aktualizacje, zarządzanie podatnościami, kontrola dostępu i zdolność do wykrywania oraz zgłaszania incydentów.
Jakie terminy zgłoszeń obowiązują według NIS2?
Dyrektywa przewiduje stopniowaną procedurę zgłaszania istotnych incydentów bezpieczeństwa. Wiążące terminy, drogi i formularze dla Niemiec proszę przyjąć z informacji BSI i z tekstu ustawy. Celowo nie podajemy tu terminów bez odniesienia do Państwa sytuacji.
Czy NIS2 obowiązuje także dostawców?
NIS2 wymaga od objętych podmiotów uwzględniania także bezpieczeństwa łańcucha dostaw. Dlatego wielu klientów pyta swoich usługodawców i dostawców o środki bezpieczeństwa, nawet jeśli sami nie podlegają bezpośrednio ustawie.