W ramach dostosowania się do tych regulacji, sektor wod-kan musi wdrożyć kompleksowe środki techniczne i organizacyjne, które zapewnią odporność na cyberzagrożenia.
Kogo dotyczy NIS2?
Zgodnie z dyrektywą, obowiązki obejmują:
- podmioty kluczowe – zatrudniające ≥250 osób lub z obrotem ≥50 mln EUR,
- podmioty ważne – zatrudniające ≥50 osób lub z obrotem ≥10 mln EUR, jeśli działają w sektorze o znaczeniu dla społeczeństwa (np. lokalne wodociągi).
W praktyce oznacza to, że większość średnich i dużych zakładów wodociągowych w Polsce będzie objęta regulacją.
Główne obowiązki dla wodociągów wynikające z NIS2
Zgodnie z dyrektywą NIS2, przedsiębiorstwa wodociągowe zostały sklasyfikowane jako podmioty kluczowe lub ważne, co oznacza konieczność:
- Zarządzanie ryzykiem: Obowiązek oceny ryzyka i wdrożenia środków bezpieczeństwa w celu zarządzania nim.
- Bezpieczeństwo systemów informatycznych: Dbanie o integralność danych, bezpieczeństwo sieci i systemów IT.
- Zarządzanie incydentami: Wdrożenie procedur umożliwiających wykrywanie, ocenę i zgłaszanie poważnych incydentów cyberbezpieczeństwa w określonych terminach (np. 24 godziny).
- Ciągłość działania: Zapewnienie ciągłości działania systemów, zwłaszcza w sytuacjach kryzysowych.
- Bezpieczeństwo łańcucha dostaw: Wprowadzenie środków zapewniających bezpieczeństwo w całym łańcuchu dostaw, co jest szczególnie istotne dla mniejszych dostawców usług i produktów.
- Poinformowanie organów: Obowiązek informowania właściwych organów (np. krajowego CSIRT) o poważnych incydentach.
Brak wdrożenia tych obowiązków może skutkować sankcjami. Za naruszenia dyrektywy grożą kary do 10 mln EUR lub 2% globalnego obrotu, a także osobista odpowiedzialność menedżerska za zaniedbania.
Stan wdrożenia w Polsce
Choć termin implementacji minął 17 października 2024 r., Polska wciąż nie przyjęła krajowej ustawy. Projekt nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa (KSC, sygnatura UC32) znajduje się w Stałym Komitecie Rady Ministrów i może wejść w życie dopiero pod koniec 2025 roku Komisja Europejska wszczęła postępowanie naruszeniowe wobec Polski, co może skutkować karami finansowymi.
Cyberbezpieczne Wodociągi – jak przygotować się do NIS2?
Wdrożenie wymogów NIS2 wymaga od sektora wod-kan nie tylko zmian proceduralnych, ale również inwestycji w technologie i kompetencje. Kluczowe działania to:
- przeprowadzenie audytów bezpieczeństwa,
- aktualizacja polityk i procedur,
- wdrożenie systemów monitorowania i reagowania na incydenty,
- segmentacja sieci i kontrola dostępu,
- szkolenia z zakresu cyberbezpieczeństwa.
Cyberbezpieczny Wodociąg KPO – wsparcie finansowe dla sektora
W odpowiedzi na potrzeby branży, Ministerstwo Cyfryzacji uruchomiło program Cyberbezpieczny Wodociąg, finansowany z Krajowego Planu Odbudowy i Zwiększania Odporności (KPO). Program ten ma na celu wsparcie przedsiębiorstw wodociągowo-kanalizacyjnych w dostosowaniu się do wymogów NIS2.
Kluczowe informacje o programie Cyberbezpieczny Wodociąg KPO:
- budżet: ok. 328,5 mln zł,
- dofinansowanie: do 300 tys. euro (ok. 1,26 mln zł) w ramach pomocy de minimis,
- termin naboru: sierpień 2025 r.,
- okres kwalifikowalności wydatków: od 1 stycznia 2025 r. do 30 czerwca 2026 r.,
- beneficjenci: operatorzy usług kluczowych, spółki komunalne, JST i ich związki wykorzystujące technologie OT.
Zakres finansowania:
- organizacja: audyty, procedury, polityki zarządzania incydentami,
- technologia: zakup i modernizacja systemów IT/OT, SOC, testy penetracyjne,
- kompetencje: szkolenia, testy socjotechniczne, rozwój kadry.
Program Cyberbezpieczny Wodociąg KPO to realna szansa na zwiększenie odporności infrastruktury krytycznej i skuteczne wdrożenie wymogów NIS2 w sektorze wodociągowym.
Podsumowanie
Wdrożenie dyrektywy NIS2 oraz skorzystanie z programu Cyberbezpieczny Wodociąg to kluczowe kroki w kierunku budowy Bezpieczeństwa sektora wodociągowego w Polsce. Przedsiębiorstwa wod-kan powinny już teraz rozpocząć przygotowania, aby sprostać nowym wymaganiom i zabezpieczyć swoją infrastrukturę przed rosnącymi zagrożeniami cyfrowymi.
Zobacz i pobierz prosty przewodnik po wymaganiach NIS2 wobec Wodociągów
Zapoznaj się z ofertą - Cyberbezpieczne wodociągi Dyrektywa NIS2
