Obowiązek NIS2 a RODO – podobieństwa i różnice dla samorządów
Wprowadzenie: dwa obowiązki, jeden cel – bezpieczeństwo informacji w JST
Gmina wdrożyła RODO. Ma dokumentację, rejestry, procedury. I nagle pojawia się NIS2. Pytanie, które słyszę od wójtów i sekretarzy najczęściej: *czy to nie jest to samo?* Odpowiedź brzmi: i tak, i nie. Dyrektywa NIS2 i RODO to dwa odrębne systemy prawne, które w praktyce samorządowej przenikają się na każdym kroku. Łączy je cel – ochrona informacji i budowanie zaufania do instytucji publicznych. Ale różnią się fundamentalnie: przedmiotem ochrony, katalogiem obowiązków, a przede wszystkim – konsekwencjami zaniedbań. Zrozumienie tych podobieństw i różnic to dziś absolutna konieczność dla każdej jednostki samorządu terytorialnego. Nie dlatego, że "tak wypada". Dlatego, że kary za naruszenia mogą się sumować – i potrafią sięgnąć milionów złotych.Czym jest NIS2 i kogo obejmuje w samorządach?
NIS2 to unijna dyrektywa o cyberbezpieczeństwie, która w Polsce zyskuje konkretny kształt w ustawie o krajowym systemie cyberbezpieczeństwa. Dla samorządów oznacza jedno: obowiązek NIS2 dla jednostek samorządu terytorialnego to już nie przyszłość, lecz teraźniejszość. Kogo dokładnie obejmuje? Katalog jest szeroki i obejmuje m.in.: - urzędy gmin i powiatów, - szkoły i placówki oświatowe (tu wdrożenie NIS2 w szkole bywa szczególnie problematyczne ze względu na ograniczone zasoby), - spółki komunalne – wodociągi, ciepłownictwo, transport, - jednostki podległe, takie jak ośrodki pomocy społecznej czy biblioteki. Kluczowa zmiana względem poprzednich regulacji: NIS2 nie czeka na "incydenty". Wymaga proaktywnego zarządzania ryzykiem, ciągłości działania i konkretnych zabezpieczeń – zanim cokolwiek się wydarzy.RODO – fundament ochrony danych osobowych
RODO znamy wszyscy od 2018 roku. Rozporządzenie o ochronie danych osobowych działa na innych zasadach: chroni prywatność osób fizycznych, daje im prawa (dostęp, sprostowanie, usunięcie) i nakłada na administratorów obowiązki związane z przetwarzaniem. Dla samorządów RODO to codzienność: rejestr czynności przetwarzania, umowy powierzenia, oceny skutków (DPIA) dla ryzykownych operacji. Do tego – zgłaszanie naruszeń do Prezesa UODO w terminie 72 godzin. I tu pojawia się pierwsza pułapka. Wiele JST myśli: "mamy RODO, więc cyberbezpieczeństwo mamy z głowy". Nic bardziej mylnego.Dlaczego samorządy muszą dziś myśleć o obu regulacjach równolegle?
Bo incydenty cyberbezpieczeństwa prawie zawsze wiążą się z danymi osobowymi. Atak ransomware na urząd gminy? To jednocześnie naruszenie ochrony danych (RODO) i incydent w rozumieniu NIS2. Konsekwencje? Dwa postępowania, dwa potencjalne zestawy kar. Co więcej, NIS2 dla spółek komunalnych to często zupełnie nowy świat. Spółka wodociągowa, która do tej pory myślała wyłącznie o RODO, nagle musi wdrożyć systemy wykrywania włamań, plany ciągłości działania i procedury współpracy z CSIRT. Wdrożenie tylko jednego z wymogów nie zwalnia z drugiego. To dwie niezależne ścieżki odpowiedzialności – i warto je traktować jako dwie strony tej samej monety.Zakres obowiązków: co dokładnie muszą wdrożyć samorządy?
Zacznijmy od konkretów. Bo ogólniki w tym temacie to najkrótsza droga do kosztownych błędów.Obowiązki NIS2: zarządzanie ryzykiem, zgłaszanie incydentów, ciągłość działania
Obowiązki NIS2 dla gmin obejmują przede wszystkim: - wdrożenie polityk bezpieczeństwa informacji (w tym analizy ryzyka), - planowanie ciągłości działania i zarządzanie kryzysowe, - zabezpieczenie łańcucha dostaw (tak – także umowy z dostawcami IT), - procedury zgłaszania incydentów do właściwego CSIRT, - szkolenia personelu i podnoszenie świadomości, - wyznaczenie osób odpowiedzialnych za cyberbezpieczeństwo. To nie jest papierkowa robota. NIS2 wymaga faktycznego, technicznego i organizacyjnego zabezpieczenia systemów. Urząd, który "ma dokumenty", ale nie testuje planów ciągłości działania, w praktyce łamie przepisy.Obowiązki RODO: rejestr czynności, ocena skutków, zgłaszanie naruszeń
RODO z kolei wymaga: - prowadzenia rejestru czynności przetwarzania, - przeprowadzania DPIA dla operacji wysokiego ryzyka, - zawierania umów powierzenia z podmiotami przetwarzającymi, - zgłaszania naruszeń do PUODO w 72h, - realizacji praw osób (dostęp, usunięcie, przenoszenie). Samorządy mają to zwykle wdrożone. Pytanie brzmi: jak aktualne są te dokumenty? Bo RODO to nie projekt jednorazowy – to proces ciągły.Podobieństwa w obszarach: szkolenia, dokumentacja, monitorowanie
Tu pojawia się dobra wiadomość. Oba systemy wymagają tego samego fundamentu: - dokumentacji – polityk, procedur, rejestrów, - szkoleń – pracownicy muszą wiedzieć, jak reagować, - monitorowania – systemy muszą wykrywać naruszenia i incydenty. W tych obszarach można i warto łączyć wysiłki. Jedna polityka bezpieczeństwa informacji, jeden program szkoleń, jeden rejestr – to oszczędność czasu, budżetu i nerwów.Kluczowe kryteria porównania: kary, terminy, podmioty nadzorujące
Przejdźmy do rzeczy, które najbardziej interesują kierownictwo JST. Bo odpowiadają za to osobiście.Kary finansowe: NIS2 do 10 mln EUR, RODO do 20 mln EUR
Maksymalne kary są porównywalne – obie regulacje potrafią boleśnie uderzyć po kieszeni. Ale jest jedna istotna różnica, o której mówi się za mało. NIS2 przewiduje odpowiedzialność osobistą członków zarządu i kierownictwa. Wójt, burmistrz, prezes spółki komunalnej może odpowiadać majątkiem za brak wdrożenia wymogów. W RODO takiej konstrukcji nie ma – odpowiada instytucja, nie osoby. To zmienia perspektywę. Nagle cyberbezpieczeństwo przestaje być "sprawą informatyka", a staje się priorytetem zarządu.Terminy zgłaszania incydentów: 24h vs 72h
Tu NIS2 jest bezlitosna. Wstępne zgłoszenie incydentu do CSIRT musi trafić w ciągu 24 godzin. Pełny raport – do 72 godzin. RODO daje 72 godziny na zgłoszenie naruszenia do PUODO. Różnica jest pozornie niewielka, ale w praktyce ogromna. 24 godziny to czas, w którym trzeba wykryć incydent, ocenić jego skalę i przygotować wstępną informację. Wymaga to sprawnej procedury i jasno określonych ról – kto decyduje, kto raportuje, kto kontaktuje się z CSIRT.Organy nadzorcze: CSIRT NASK vs PUODO
Nadzór nad NIS2 sprawują CSIRT-y – dla JST to przede wszystkim CSIRT NASK. RODO nadzoruje Prezes UODO. To dwie różne instytucje, o różnych procedurach i oczekiwaniach. W praktyce oznacza to: dwa tory raportowania, dwie różne dokumentacje, dwa zestawy pytań kontrolnych. Chaos? Nie musi być, jeśli od początku zaplanujesz proces.Praktyczne podobieństwa: gdzie można połączyć wysiłki?
Dobra wiadomość jest taka, że ogromną część pracy można wykonać raz – dla obu regulacji jednocześnie.Polityka bezpieczeństwa jako wspólny fundament
Opracowanie jednej, spójnej polityki bezpieczeństwa informacji to fundament. Dokument, który opisuje zasady ochrony danych i systemów, spełnia wymogi zarówno RODO, jak i NIS2. Oszczędzasz czas i budżet, a przy tym masz spójny obraz sytuacji.Rejestr incydentów i naruszeń – jedno narzędzie?
Prowadzenie jednego rejestru incydentów – z możliwością rozróżnienia typów naruszeń – to rozwiązanie, które sprawdza się w praktyce. Jeden wpis, jedno narzędzie, a raporty generujesz osobno dla CSIRT i PUODO. To ogromne ułatwienie, zwłaszcza gdy incydentów przybywa.Szkolenia pracowników: łączone moduły NIS2 + RODO
Łączone szkolenia to strzał w dziesiątkę. Pracownicy uczą się jednego spójnego podejścia: jak chronić dane, jak rozpoznawać phishing, jak reagować na incydenty. Zamiast dwóch oddzielnych szkoleń – jedno, kompleksowe. Mniej kosztów, większa skuteczność.Kluczowe różnice: co odróżnia NIS2 od RODO w praktyce?
Czas na sedno. Bo choć podobieństw jest sporo, różnice decydują o tym, jak zaplanować wdrożenie.Przedmiot ochrony: dane osobowe vs systemy i usługi
RODO chroni wyłącznie dane osobowe. NIS2 obejmuje całość systemów informatycznych i usług kluczowych – nawet jeśli nie przetwarzają danych osobowych. System zarządzania siecią wodociągową, platforma e-learningowa, infrastruktura przetwarzania danych – to wszystko podlega NIS2, choć dane osobowe mogą się tam w ogóle nie pojawiać.Podmioty zobowiązane: szerszy katalog w NIS2
NIS2 obejmuje podmioty publiczne i prywatne z określonych sektorów – ale katalog jest znacznie szerszy niż w RODO. W praktyce samorządy podlegają obu regulacjom, ale NIS2 potrafi zaskoczyć: może objąć podmiot, który dotąd nie myślał o sobie jako o "przetwarzającym dane".Charakter obowiązków: prewencyjny vs reaktywny
NIS2 kładzie nacisk na proaktywne zarządzanie ryzykiem i ciągłość działania. RODO – na reakcję na naruszenia i prawa osób fizycznych. To dwie różne filozofie, które wymagają innego podejścia w praktyce.Jak wdrożyć oba obowiązki efektywnie? Rekomendacje dla JST
Teoria teorią, ale pytanie brzmi: jak to zrobić, żeby nie zwariować? Z doświadczenia wiem, że kluczem jest integracja.Zintegrowany system zarządzania zgodnością – nis2panel.pl jako wsparcie
Samodzielne zarządzanie dwoma systemami zgodności to prosta droga do chaosu. Dlatego warto postawić na narzędzia, które pomagają w jednym miejscu zarządzać dokumentacją NIS2 i RODO, monitorować terminy i przygotowywać raporty. Platforma do zarządzania NIS2, taka jak nis2panel.pl, pozwala utrzymać porządek w obu obszarach – bez mnożenia arkuszy kalkulacyjnych i zakładek w przeglądarce. Narzędzie tego typu to nie fanaberia, lecz praktyczna konieczność, gdy liczba obowiązków rośnie, a zespół w urzędzie nie jest z gumy.Audyt luki: co już mamy, a czego brakuje?
Zanim zaczniesz cokolwiek wdrażać, przeprowadź audyt luki. Sprawdź, które wymogi są już spełnione (np. dzięki wcześniejszemu wdrożeniu RODO), a które wymagają nowych działań. Często okazuje się, że połowa pracy jest już wykonana. Polityka bezpieczeństwa, procedury zgłaszania naruszeń, szkolenia – to wszystko można zaadaptować na potrzeby NIS2. Audyt pokazuje, gdzie są realne luki: brak planów ciągłości działania, brak testów, brak procedur współpracy z CSIRT.Plan działania krok po kroku: od analizy do certyfikacji
Opracuj harmonogram wdrożeń z podziałem na etapy. Nie próbuj zrobić wszystkiego naraz – to najczęstszy błąd. Lepiej małymi krokami, ale systematycznie: 1. Audyt luki i analiza ryzyka. 2. Aktualizacja polityk i procedur. 3. Wdrożenie rozwiązań technicznych (monitoring, backup, testy). 4. Szkolenia pracowników. 5. Testy ciągłości działania. 6. Regularne przeglądy i aktualizacje.Podsumowanie: NIS2 i RODO – dwa filary, jedna strategia
NIS2 i RODO to nie konkurencyjne obowiązki, ale uzupełniające się obszary. Ich łączne wdrożenie zwiększa odporność JST na cyberzagrożenia i buduje zaufanie mieszkańców. To inwestycja, która zwraca się przy pierwszym poważnym incydencie. Integracja polityk, procedur i narzędzi przynosi wymierne oszczędności. Jeden rejestr, jedna polityka, jeden program szkoleń – mniej pracy, mniejsze ryzyko błędów, lepsza kontrola. A przede wszystkim: samorządy powinny traktować zgodność jako proces ciągły, a nie jednorazowy projekt. Regularne audyty, aktualizacje dokumentacji i testy procedur to klucz do spokojnego snu kierownictwa. Następny krok? Zacznij od audytu luki. Sprawdź, gdzie jesteś i czego Ci brakuje. A jeśli potrzebujesz wsparcia – narzędzia takie jak nis2panel.pl pomogą Ci utrzymać porządek w obu obszarach. Bo w dzisiejszych czasach zgodność to nie luksus – to podstawa funkcjonowania nowoczesnego samorządu.Najczesciej zadawane pytania
Czy obowiązek NIS2 zastępuje RODO w jednostkach samorządu terytorialnego?
Nie, NIS2 nie zastępuje RODO. Oba akty prawne obowiązują równolegle. NIS2 koncentruje się na bezpieczeństwie systemów informatycznych i raportowaniu incydentów, a RODO na ochronie danych osobowych. Samorządy muszą wdrożyć oba obowiązki, często się one uzupełniają (np. incydent naruszający dane osobowe może być raportowany zarówno do CSIRT NASK, jak i do UODO).
Które samorządy są objęte obowiązkiem NIS2?
Obowiązkiem NIS2 objęte są jednostki samorządu terytorialnego, które spełniają kryterium wielkości (co najmniej 50 pracowników lub roczny obrót powyżej 10 mln euro) oraz są uznane za podmioty kluczowe lub ważne. W praktyce dotyczy to głównie większych gmin, powiatów i województw, a także ich jednostek organizacyjnych, jeśli świadczą usługi kluczowe (np. transport, ochrona zdrowia, administracja).
Jakie są główne różnice między NIS2 a RODO w zakresie zgłaszania incydentów?
Główna różnica dotyczy terminów i organów. W NIS2 incydent zgłasza się do CSIRT NASK (lub właściwego sektorowego CSIRT) w ciągu 24 godzin od wykrycia (wstępne zgłoszenie), a pełny raport w ciągu 72 godzin. W RODO naruszenie danych osobowych zgłasza się do Prezesa UODO w ciągu 72 godzin, chyba że nie stanowi ono ryzyka dla praw i wolności osób. Ponadto NIS2 obejmuje szerszy zakres incydentów (nie tylko te dotyczące danych osobowych, ale też awarie systemów, ataki DDoS itp.).
Czy samorząd może mieć wspólnego inspektora ochrony danych i osobę odpowiedzialną za bezpieczeństwo NIS2?
Tak, ale to nie to samo. Inspektor Ochrony Danych (IOD) to funkcja wymagana przez RODO, a w NIS2 nie ma obowiązku powoływania osobnego inspektora, ale samorząd musi wyznaczyć osobę lub zespół odpowiedzialny za zarządzanie ryzykiem cyberbezpieczeństwa. W praktyce te role mogą być łączone, pod warunkiem że dana osoba ma odpowiednie kompetencje techniczne i organizacyjne, a także że nie występuje konflikt interesów (np. IOD nie powinien bezpośrednio zarządzać systemami, aby zachować niezależność).
Jakie kary grożą samorządom za nieprzestrzeganie NIS2 w porównaniu z RODO?
Kary za naruszenie NIS2 są niższe niż w RODO, ale nadal dotkliwe. Za nieprzestrzeganie NIS2 podmioty kluczowe mogą otrzymać karę do 10 mln euro lub 2% rocznego obrotu, a podmioty ważne do 7 mln euro lub 1,4% obrotu. W RODO kary wynoszą do 20 mln euro lub 4% obrotu. W przypadku samorządów kary są nakładane na jednostkę jako całość, a odpowiedzialność osobista może obejmować kierownictwo. Dodatkowo NIS2 przewiduje sankcje administracyjne, takie jak nakaz zaprzestania naruszeń czy audyt bezpieczeństwa.