NIS2 a GDPR
NIS2 a GDPR: jedno chroni odporność usług, drugie chroni dane osobowe. Wiele firm musi przestrzegać obu.
NIS2 a GDPR to pytanie o to, co chroni każde z tych przepisów. GDPR chroni dane osobowe osób fizycznych i dotyczy niemal każdej organizacji, która je przetwarza. NIS2 chroni bezpieczeństwo i ciągłość systemów sieciowych i informacyjnych i dotyczy organizacji z wymienionych sektorów powyżej progu wielkości.
Nakładają się, ale jedno nie zastępuje drugiego. Firma z objętego sektora może podlegać obu przepisom jednocześnie, a jeden incydent, na przykład naruszenie dotyczące danych osobowych, może wywołać obowiązki zgłoszenia na podstawie każdego z nich. Ta strona to informacje ogólne, a nie porada prawna.
Obok siebie
| Możliwość | NIS2 | GDPR |
|---|---|---|
| Imię i nazwisko | Dyrektywa (UE) 2022/2555 w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa | Rozporządzenie (UE) 2016/679, ogólne rozporządzenie o ochronie danych |
| Co chroni | Bezpieczeństwo i ciągłość systemów oraz usług sieciowych i informacyjnych | Dane osobowe i prawa osób fizycznych |
| Forma prawna | Dyrektywa, każde państwo członkowskie uchwala własne prawo krajowe | Rozporządzenie, stosowane bezpośrednio we wszystkich państwach członkowskich |
| Kogo obejmuje | Podmioty kluczowe i ważne z wymienionych sektorów, zasadniczo średnie i duże | Każda organizacja przetwarzająca dane osobowe osób w UE, niezależnie od wielkości |
| Główne obowiązki | Środki zarządzania ryzykiem, bezpieczeństwo łańcucha dostaw, odpowiedzialność kierownictwa | Podstawa prawna, minimalizacja danych, bezpieczeństwo, prawa osób, których dane dotyczą |
| Zgłaszanie incydentów | Wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin, raport końcowy w ciągu miesiąca | Zgłoszenie naruszenia danych osobowych do organu ochrony danych w ciągu 72 godzin |
| Kogo się informuje | Krajowy organ ds. cyberbezpieczeństwa lub CSIRT | Organ ochrony danych, a przy wysokim ryzyku także osoby, których dane dotyczą |
| Maksymalne kary | Do 10 mln EUR lub 2% obrotu dla podmiotów kluczowych, 7 mln EUR lub 1,4% dla podmiotów ważnych | Do 20 mln EUR lub 4% światowego obrotu |
| Odpowiedzialność kierownictwa | Wyraźna, kierownictwo musi zatwierdzać środki i nadzorować je | Odpowiedzialność ponosi organizacja, brak konkretnego zapisu o kierownictwie |
W czym każdy z nich jest dobry
NIS2
- Podnosi poziom bezpieczeństwa w całych sektorach
- Przenosi odpowiedzialność za bezpieczeństwo na kierownictwo
- Obejmuje ryzyko łańcucha dostaw
- Ustanawia jasne, szybkie kroki zgłaszania incydentów
- Zakres i szczegóły różnią się między państwami członkowskimi
- Dotyczy tylko określonych sektorów i wielkości
- Wymaga zaplanowanych i udokumentowanych środków bezpieczeństwa
GDPR
- Daje osobom fizycznym silne, jasne prawa
- Stosowane jednolicie w całej UE
- Dobrze ugruntowane, z wieloletnimi wytycznymi
- Obejmuje organizacje każdej wielkości
- Skupia się na danych osobowych, a nie na wszystkich systemach
- Przepisy bezpieczeństwa są ogólne, a nie szczegółowe
- Duże obowiązki dokumentacyjne i zgodowe
Kiedy skupić się na NIS2
- Państwa firma działa w sektorze wymienionym w dyrektywie, takim jak energetyka, transport, ochrona zdrowia, infrastruktura cyfrowa lub produkcja kluczowych towarów
- Państwa firma jest średnim lub dużym przedsiębiorstwem albo dostarcza usługi takiemu przedsiębiorstwu
- Przerwa w działaniu Państwa usługi wpłynęłaby na klientów lub społeczeństwo
- Klient prosi o potwierdzenie bezpieczeństwa łańcucha dostaw
- Zarząd musi wykazać, że nadzoruje ryzyko cybernetyczne
Kiedy skupić się na RODO
- Państwo zbierają lub przechowują dane klientów, pracowników lub użytkowników
- Państwo prowadzą stronę internetową, sklep lub aplikację z kontami lub śledzeniem
- Państwo korzystają z podmiotów przetwarzających lub usług chmurowych do danych osobowych
- Osoby proszą o wgląd, poprawienie lub usunięcie swoich danych
- Państwa firma jest małym przedsiębiorstwem poza sektorami NIS2
Częste pytania
Jaka jest główna różnica między NIS2 a RODO?
RODO chroni dane osobowe. NIS2 chroni bezpieczeństwo i ciągłość systemów oraz usług.
Czy NIS2 zastępuje RODO?
Nie. Oba stosują się równolegle, a jeden incydent może wymagać zgłoszeń do dwóch różnych organów.
Czy małe firmy muszą stosować NIS2 i RODO?
RODO dotyczy niemal każdej organizacji przetwarzającej dane osobowe. NIS2 obejmuje głównie średnie i duże podmioty w wymienionych sektorach, choć niektóre mniejsze też są ujęte, dlatego warto sprawdzić prawo krajowe.
Kiedy zaczęto stosować NIS2?
Dyrektywa weszła w życie w styczniu 2023 r., a państwa członkowskie miały czas na jej wdrożenie do prawa krajowego do 17 października 2024 r. Postępy i szczegóły różnią się w zależności od kraju.
Więcej o: porównania
Nie są Państwo pewni, czy to dotyczy Państwa firmy?
Doświadczony inżynier analizuje Państwa stronę, widoczność w wyszukiwarkach i sposób, w jaki trafiają do Państwa zapytania, a następnie zapisuje trzy rzeczy, które warto naprawić w pierwszej kolejności. Dokument zostaje u Państwa tak czy inaczej.