Polskie firmy i instytucje są na ogół nieprzygotowane na ataki cybernetyczne, a w dodatku, gdy padną ich ofiarą, bardzo często nie podają tego do publicznej wiadomości. Wkrótce powinno się to jednak poprawić. Wszystko dzięki unijnej dyrektywie NIS (Network and Information Security), która nakazuje państwom członkowskim podniesienie swojego poziomu bezpieczeństwa cyfrowego.
– Dyrektywa NIS obliguje kraje do zidentyfikowania, które przedsiębiorstwa komercyjne oraz organizacje publiczne należą do infrastruktury krytycznej, niezbędnej do funkcjonowania poszczególnych państw oraz Unii Europejskiej jako całości. Tym zidentyfikowanym podmiotom będzie trzeba nakazać współpracę oraz powiadamianie, gdy coś złego będzie działo się w ich systemach informatycznych – mówi serwisowi infoWire.pl Michał Jarski, dyrektor regionalny ds. sprzedaży z firmy Trend Micro. – Wspomnianymi przedsiębiorstwami będą firmy z takich sektorów, jak: telekomunikacja, bankowość, finanse, energetyka, infrastruktura drogowa czy logistyka.
Co ważne, dyrektywa NIS jest niejako uzupełnieniem przyjętej wcześniej dyrektywy GDPR (General Data Protection Regulation), dotyczącej ochrony danych osobowych obywateli, które są przetwarzane w systemach bankowych czy telekomunikacyjnych. Wdrożenie postanowień tych obu dyrektyw spowoduje zwiększenie inwestycji w bezpieczeństwo, skuteczniejszą ochronę danych osobowych i usprawnienie unijnego systemu zabezpieczeń przed atakami cybernetycznymi.
Czy z punktu widzenia Polski dyrektywa NIS jest jednak faktycznie potrzebna? Jak najbardziej. Raporty Najwyższej Izby Kontroli i innych urzędów nadzorujących pokazują, że nasza infrastruktura krytyczna nie jest dostatecznie chroniona i jej bezpieczeństwo wymaga poprawy. Konieczne jest stworzenie jednostek, które będą mogły zarówno przeciwdziałać atakom cybernetycznym, jak i reagować w momencie wystąpienia kryzysowej sytuacji.
Dyrektywa NIS została przyjęta przez Parlament Europejski 6 lipca. Polska ma ponad półtora roku na wdrożenie jej postanowień do naszego prawa.