NIS2 w kontekście AI jest ważnym wątkiem

NIS2 to unijna dyrektywa o cyberbezpieczeństwie (2022/2555), wdrożona w Polsce nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa. Ani ona, ani polska ustawa nie pozostają bez wpływu na podejście do projektów AI & Data.

Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. (NIS2) w Polsce przyjęta została to nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa (KSC).

To ważny akt, bowiem wymusza on na większej ilości podmiotów wprowadzenie odpowiednich mechanizmów zarządzania ryzykiem bezpieczeństwa informacji.

Jakie zależności z AI Governance? No właśnie... Czy cyberbezpieczeństwo to ważny wątek w AI?

Rozwiązania AI to z jednej strony tradycyjne IT, jak i specyficzne systemy o ryzykach, także w zakresie cyberbezpieczeństwa, które wymykają się "tradycyjnemu" podejściu. Budowanie produktów i usług opartych o dane i algorytmy wymaga zdecydowanie innego podejścia do bezpieczeństwa.

W dobie coraz większej adopcji rozwiązań opartych o duże modele językowe, w tym agentycznej AI, uwzględnianie perspektywy opisanej chociażby w dokumentach OWASP czy MITRE ATLAS, gdzie możemy spotkać takiej rodzaje podatności, które "normalne" #security może ignorować.

Pakiet NIS2 nie odnosi się jednak wprost do tematyki AI. To prawo, które nakazuje pewnym grupom podmiotów do posiadania odpowiednich mechanizmów ochrony informacji. Bardziej "produktowe" jest CRA, czyli Cyberresilience Act - rozporządzenie, które narzuca pewne obowiązki w zakresie cyberbezpieczeństwa dla produktów z elementami cyfrowymi, a więc np. aplikacji.

Kogo obejmuje NIS2? A właściwie ustawa o krajowym systemie cyberbezpieczeństwa w wersji 2.0

To nie jest intuicyjne, bo NIS2 wprowadził pewne zamieszanie. Dzisiaj na bazie nowelizacji mówimy o dwóch rodzajach podmiotów:

Kryterium ustalenia do której kategorii możemy się zaliczać jest wynikiem analizy dwóch przesłanek:

Ilościowa odnosi się do naszego statusu przedsiębiorstwa (małe, średnie, duże) i jest zależne od wielkości obrotu i liczby pracowników.

Jakościowa dotyczy tego jaką działalność wykonujemy i czy jest ona objęta załącznikiem I lub II, gdzie znajdziemy m.in. takie sektory jak energetyka, transport, bankowość, infrastruktury rynku finansowego, ochrona zdrowia, woda pitna i ścieki, infrastruktura cyfrowa (DC, CDN, dostawcy chmury, DNS), ICT B2B, administracja publiczna, kosmos, ale także usługi pocztowe i kurierskie, gospodarka odpadami, produkcja chemikaliów, żywność, produkcja wyrobów medycznych / elektroniki / maszyn / pojazdów, dostawcy usług cyfrowych (marketplace, wyszukiwarki, platformy społecznościowe), badania naukowe.

Wydaje się to dużym wyzwaniem, ale w praktyce określenie tego nie powinno nastręczać większych problemów. Ważne jest przy tym to czy rzeczywiście wykonujemy daną działalność, a nie to czy wpisaliśmy ją do PKD.

Jeżeli uznaliśmy, że jesteśmy adresatem ustawy, to czeka nas rejestracja. Dokonujemy jej przez system S46 i zgodnie z instrukcją.

Ważne, abyśmy sytuację, w której pomimo wskazania naszej działalności w jednym z załączników do ustawy, uznaliśmy że nie łapiemy się pod np. progi udokumentować powody.

Konsekwencje? To w zasadzie dobrze skrojony system zarządzania bezpieczeństwem informacji

System zarządzania bezpieczeństwem informacji

Ustawa w art. 8 dość dokładnie określa "oczekiwania" względem podmiotów kluczowych lub ważnych w zakresie posiadania działającego systemu zarządzania bezpieczeństwem informacji (SZBI).

Taki system to m.in.:

Często można spotkać się ze stwierdzeniem, że wdrożenie ISO 27001 i 22301 (w zakresie ciągłości działania) nam wystarczy, ale to nieprawda. Jasne, to dobry kierunek, bo standardy te rzeczywiście pokrywają nam większą część wymagań, ale w SZBI nie chodzi o polityki i procedury, ale o to, aby wszystko ze sobą współgrało i działało.

Sama ustawa wprowadza jeszcze inne obowiązki, które orbitują wokół m.in. zasad odpowiedzialności czy wyznaczania osób, które będą zajmowały się bezpieczeństwem informacji.

Na wdrożenie rozwiązań jest trochę czasu, bo mowa o pierwszym kwartale 2027 r., ale przygotowanie można przecież rozłożyć w czasie i lepiej zarządzić budżetem. Nie warto więc czekać.

NIS2 a AI

Wiele wdrożeń AI mieści się w zakresie NIS2 (np. systemy AI w energetyce, finansach, ochronie zdrowia, infrastrukturze cyfrowej). Cyberbezpieczeństwo modeli, danych treningowych i pipeline'ów MLOps musi być uwzględnione w analizie ryzyka i procedurach zarządzania incydentami. O tym więcej w sekcji dotyczącej cyberbezpieczeństwa AI.

NIS2 to nie tylko obowiązki techniczne — to wymóg zarządczy. Zarząd, który nie potrafi pokazać udokumentowanego nadzoru nad cyber, ponosi osobiste ryzyko prawne.

NIS2 a AI - bezpieczeństwo kluczowych podmiotów

Jak dyrektywa NIS2 dotyka naszego podejścia do AI: obowiązki zarządcze, zarządzanie ryzykiem łańcucha dostaw i specyficzne zagrożenia

Aktualizacja: