Oprogramowanie NIS2
do zgodności i zarządzania ryzykiem

NIS2 to dyrektywa (UE) 2022/2555 w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii. Zobowiązuje podmioty ważne i kluczowe do stosowania środków zarządzania ryzykiem, zgłaszania poważnych incydentów bezpieczeństwa i rejestracji oraz nakłada obowiązki na zarząd. W Niemczech transponowano ją niemiecką ustawą o wdrożeniu NIS2 (NIS2-Umsetzungsgesetz) do ustawy o BSI (BSIG), która w nowym brzmieniu obowiązuje od 6 grudnia 2025 r.

Oprogramowanie NIS2 odwzorowuje obowiązki wynikające z NIS2 w jednym modelu danych — zakres, aktywa, wymagania, ryzyka, środki, incydenty bezpieczeństwa i dowody — i wiąże je ze sobą. W istocie jest to oprogramowanie ISMS, które zawiera katalog wymagań NIS2: zamiast ręcznie utrzymywać spójność arkuszy, utrzymują Państwo każdy obiekt raz, a raporty i pulpity powstają z danych.

Oprogramowanie do wdrożenia NIS2 nie zastępuje pracy, tylko ją porządkuje: wymagania NIS2 są dostępne jako katalog, a każde z nich jest oceniane, uzasadniane i potwierdzane dowodami. Ryzyka i środki są przypisane do aktywów, których dotyczą, a terminy i osoby odpowiedzialne są zapisane. Dzięki temu zgodność z NIS2 można dokumentować, a stan raportować w każdej chwili — i nikt nie musi scalać arkuszy.

Complaica wspiera całe wdrożenie NIS2: dziesięć środków zarządzania ryzykiem zgodnie z § 30 BSIG, w przypadku objętych nim rodzajów podmiotów rozporządzenie wykonawcze (UE) 2024/2690 z art. 1–⁠14 i 13 obszarami tematycznymi jego załącznika, prowadzenie incydentów bezpieczeństwa z terminami zgłoszeń zgodnie z § 32 BSIG oraz widok dla zarządu zgodnie z § 38 BSIG. Katalogi ocenia się na Państwa drzewie aktywów.

§ 30 BSIG wymienia dziesięć obszarów, które środki muszą obejmować co najmniej: analizę ryzyka i polityki bezpieczeństwa, obsługę incydentów bezpieczeństwa, ciągłość działania i zarządzanie kryzysowe, bezpieczeństwo łańcucha dostaw, bezpieczeństwo w procesie nabywania, rozwoju i utrzymania, ocenę skuteczności, szkolenia, kryptografię, bezpieczeństwo zasobów ludzkich i kontrolę dostępu oraz uwierzytelnianie wieloskładnikowe i zabezpieczoną komunikację. Środki muszą być odpowiednie, proporcjonalne i skuteczne, a ich przestrzeganie należy dokumentować.

Ustanawia zasady stosowania dyrektywy NIS2. Art. 1 i 2 wraz z załącznikiem określają wymogi techniczne i metodyczne dotyczące środków zarządzania ryzykiem; art. 3 i 4 określają, kiedy incydent bezpieczeństwa uznaje się za poważny; art. 5–⁠14 robią to dla poszczególnych rodzajów podmiotów — od dostawców usług DNS przez usługi chmurowe i usługi ośrodków przetwarzania danych po dostawców usług zaufania. Bezpośrednio rozporządzenie obowiązuje tylko te rodzaje podmiotów.

Bezpośrednio rozporządzenie wykonawcze (UE) 2024/2690 obowiązuje tylko te rodzaje podmiotów, które samo wymienia: dostawców usług DNS, rejestry nazw TLD, dostawców usług chmurowych i usług ośrodka przetwarzania danych, dostawców sieci dostarczania treści (CDN), dostawców usług zarządzanych i usług zarządzanych w zakresie bezpieczeństwa (Managed Service Provider, Managed Security Service Provider), dostawców internetowych platform handlowych, wyszukiwarek internetowych i platform usług sieci społecznościowych oraz dostawców usług zaufania. Do wszystkich pozostałych podmiotów ważnych i kluczowych stosują się obowiązki wynikające z BSIG; rozporządzenie może im służyć jako punkt odniesienia, ale nie jest dla nich wiążące.

Poważne incydenty bezpieczeństwa należy zgodnie z § 32 BSIG zgłaszać do wspólnego punktu zgłoszeniowego BSI i BBK: wczesnym ostrzeżeniem, zgłoszeniem incydentu i sprawozdaniem końcowym, a na wniosek BSI dodatkowo sprawozdaniami okresowymi. Complaica prowadzi incydenty bezpieczeństwa ze znacznikami czasu, osobami odpowiedzialnymi i terminami oraz zapisuje każdy krok z autorem i datą. Samo zgłoszenie składają Państwo w punkcie zgłoszeniowym.

Oba terminy biegną od chwili, w której podmiot powziął wiedzę o poważnym incydencie bezpieczeństwa. W ciągu 24 godzin należy przekazać wczesne ostrzeżenie, w ciągu 72 godzin — zgłoszenie incydentu, które potwierdza lub aktualizuje pierwsze informacje. Najpóźniej miesiąc po tym zgłoszeniu następuje sprawozdanie końcowe; jeżeli incydent nadal trwa, zastępuje je sprawozdanie z postępu prac.

Usługodawców i dostawców prowadzi się jako aktywa i wiąże z procesami biznesowymi i usługami, które od nich zależą. Dla każdego dostawcy można ocenić wymagania, zidentyfikować ryzyka dostawców i ustalić postępowanie z nimi oraz zapisać dowody. Graf i macierz zależności pokazują, która usługa zależy od którego dostawcy.

Zgodnie z § 38 BSIG zarząd musi wdrożyć środki zarządzania ryzykiem, nadzorować ich wdrażanie i regularnie uczestniczyć w szkoleniach. Dlatego pulpity i raporty w Complaica są przygotowane z perspektywy zarządu: stopień spełnienia, największe ryzyka i otwarte środki na jednej stronie.

Każde wymaganie otrzymuje status wdrożenia. Complaica kumuluje go od dołu do góry — od wymagania przez obszar tematyczny aż do organizacji — i pokazuje na pulpitach: jako wartość łączną, według obszaru tematycznego, według lokalizacji i w porównaniu z poprzednim miesiącem. Stopień spełnienia to wartość wyliczana przez Complaica na podstawie Państwa własnych ocen, a nie wskaźnik ustalony urzędowo.

Objęcie wynika z sektora, wielkości i rodzaju działalności. Objęte są podmioty w sektorach z załączników 1 i 2 do BSIG — na przykład energia, transport, zdrowie, infrastruktura cyfrowa, usługi ICT czy przetwórstwo przemysłowe — co do zasady od 50 pracowników lub powyżej 10 mln euro rocznego obrotu i rocznej sumy bilansowej; niektóre podmioty są objęte niezależnie od wielkości. Chętnie sprawdzimy razem z Państwem, czy Państwa firma jest objęta.

NIS2 to przepis prawa, ISO 27001 to norma dla ISMS — merytorycznie pokrywają się w wielu tematach, od zarządzania ryzykiem po kontrolę dostępu. W Complaica NIS2 i ISO 27001 ocenia się na tym samym modelu zakresu, korzystając z tych samych aktywów, ryzyk, środków i dowodów. To samo dotyczy TISAX, BSI IT-Grundschutz, DORA, RODO i ISO 22301: to, co już udokumentowano, można — o ile pasuje merytorycznie — wykorzystać dla każdego zbioru wymagań, którego dotyczy.

Pokrywa znaczną część wymagań z § 30 BSIG, ale nie zastępuje ani rejestracji, ani obowiązków zgłoszeniowych i dowodowych. W Complaica oba zbiory wymagań korzystają z tych samych aktywów, ryzyk, środków i dowodów; różnica pojawia się jako lista otwartych wymagań.

Nie. NIS2 to przepis prawa, a nie norma certyfikacyjna: nie ma certyfikatu NIS2 ani dla podmiotów, ani dla oprogramowania. Podmiot musi wdrożyć środki i być w stanie wykazać to na żądanie organu nadzoru; to, czy obowiązek został spełniony, ocenia właściwy organ. Complaica przechowuje potrzebne do tego dowody przy obiekcie, który potwierdzają.

Tak. Complaica jest dostępna jako SaaS i on-premises: wariant SaaS jest hostowany w Niemczech; on-premises uruchamiają Państwo oprogramowanie do zgodności z NIS2 we własnej infrastrukturze. Licencja kosztuje tyle samo w obu przypadkach.

Tak. Complaica importuje i eksportuje dane z Excela i do Excela, przez REST API oraz z innych narzędzi ISMS; migracja Państwa danych jest bezpłatna i prowadzona przez naszych specjalistów. Dzięki temu oceniają Państwo narzędzie na własnym zbiorze danych, a nie na danych demonstracyjnych.

Przez REST API systemy zarządzania aktywami i CMDB, takie jak i-doit, GLPI, FNT Command i inne, a także Jira, SAP i Microsoft Azure. Dane aplikacji są dostępne przez data marty dla zewnętrznych systemów analitycznych i raportowych, a przez MCP można podłączyć asystenta AI.

Dla zdefiniowanego zakresu pierwsze wiarygodne raporty statusowe są zwykle dostępne po kilku tygodniach — zależnie od istniejącej dokumentacji i dostępnych zasobów. Z przygotowanymi treściami i doradztwem mniejsze organizacje mieszczą się w dolnej granicy.