NIS2, DORA, KSeF. Jak dostosować firmę do nowych regulacji?

NIS2 - czym jest

Dyrektywa NIS2 dotycząca bezpieczeństwa sieci i systemów informatycznych wymaga wdrożenia odpowiednich środków ochrony oraz zgłaszania wszelkich naruszeń bezpieczeństwa przez firmy i organizacje z najbardziej narażonych na cyberataki branż. Zmiany adresowane są m.in. do sektora energetyki, opieki zdrowotnej, IT, bankowości i finansów, transportu, gospodarowania ściekami, usług pocztowych i kurierskich czy produkcji, przetwarzania i dystrybucji żywności. Przyjęta na początku 2023 roku dyrektywa NIS2 nakłada na kraje unijne obowiązek dostosowania prawa do jej wymogów do 17 października 2024.

- Może się wydawać, że czasu zostało sporo, jednak z uwagi na duży zakres zmian wprowadzanych przez NIS2, harmonogram jest napięty. O zgodność z szeregiem nowych wymogów musi zadbać również więcej firm, gdyż dyrektywa w stosunku do obecnie obowiązujących przepisów, obejmuje dodatkowe branże. Firmy i instytucje powinny jak najszybciej poznać nowe obowiązki w zakresie bezpieczeństwa IT, zaudytować swoje procesy i wdrożyć brakujące zabezpieczenia - tłumaczy Sebastian Toczewski, IT Security Manager w Beyond.pl. I dodaje: - Zakres prac w ramach dostosowania się do wymagań NIS2 będzie uzależniony od stopnia dojrzałości organizacji w obszarze cyberbezpieczeństwa. Szczególną uwagę muszą zwrócić firmy z wskazanych w dyrektywie branż, które zatrudniają więcej niż 250 pracowników lub ich roczne obroty przekraczają 50 mln euro. Są jednak sektory, w których nowe wymagania obowiązują niezależnie od wielkości firmy. W najgorszej sytuacji mogą znaleźć się firmy z sektorów, które wcześniej nie podlegały regulacjom i nie zatrudniają specjalistów ds. cyberbezpieczeństwa lub nie posiadają rozbudowanych kompetencji IT.

DORA - czym jest

DORA to unijne Rozporządzenie o Operacyjnej Odporności Cyfrowej, które zaostrza wymogi w zakresie bezpieczeństwa IT wobec podmiotów działających na rynkach finansowych, w tym banków, firm ubezpieczeniowych, fintechów czy dostawców usług ICT z UE obsługujących tę branżę. Dyrektywa ma wyeliminować niespójności, zapobiec powielaniu wymogów w różnych aktach prawnych oraz zagwarantować konsumentom końcowym dostęp do usług i produktów, nawet w przypadku nieprzewidzianych zdarzeń. Krajowe organizacje, których dotyczy DORA muszą dostosować się do nowej regulacji do 17 stycznia 2025 roku. Jego wdrożenie w Polsce będzie nadzorować Komisja Nadzoru Finansowego (KNF).

- Instytucje finansowe są zasadniczo bardzo dojrzałe w kwestii cyfrowego bezpieczeństwa z uwagi na obowiązujące już w Polsce regulacje. Jednak DORA to nowe podejście do ryzyk związanych ze stosowaniem nowoczesnych technologii, obowiązki związane z dokumentacją procedur, czy regularnego testowania usług odpowiadających za ciągłość biznesową. Z drugiej strony możemy założyć, że DORA wymusi profesjonalizację dostawców usług IT obsługujących podmioty finansowe, wzmocni znaczenie partnerów technologicznych z certyfikacjami oraz wygeneruje popyt na usługi zwiększające ciągłość działania jak np. backup oraz usługi Disaster Recovery - wyjaśnia Toczewski.

Wymagania dla sektora finansowego mają być rewolucyjną zmianą, porównywaną do wprowadzonego kilka lat temu RODO. Tym bardziej istotne jest, aby podmioty objęte regulacjami DORA już rozpoczęły przygotowanie do nowych standardów i dostosowywały swoje procesy oraz systemy. W ten sposób nie tylko unikną wysokich sankcji, ale zwiększą swoją konkurencyjność i zaufanie klientów.

KSeF - czym jest

KSeF to krajowy system umożliwiający wystawianie i odbieranie faktur ustrukturyzowanych. Na początku 2023 roku Polska jako jeden z pierwszych krajów UE, miała wprowadzić elektroniczny system obrotu faktur, jednak datę przesunięto na początek 2024 roku. Nowy termin, jaki zadeklarowano to 1 lipca 2024 dla wszystkich transakcji B2B. To jednak stoi pod znakiem zapytania. Jeśli Ministerstwo Finansów nie udostępni przed końcem tego roku wszystkich niezbędnych dokumentów, aby firmy i organizacje mogły dostosować i połączyć swoje systemy finansowo-księgowe z KSeFem, do połowy 2024 roku na wdrożenie oraz testy zostanie bardzo mało czasu. 

- Według danych Ministerstwa Finansów, do połowy listopada tego roku 690 podmiotów wystawiło elektroniczne faktury w KSeF. W sumie dokumentów było nieco ponad 31 tys. Tendencja jest wzrostowa, bo w pierwszej połowie listopada br. faktur było więcej niż w całym wrześniu, ale wciąż widać, że z KSeF testowo korzysta zaledwie niewielki procent firm. Firmy znajdują się obecnie w zawieszeniu. Co prawda jest już API i niektóre rozporządzenia, ale nad innymi wciąż trwają prace. Czas gra zdecydowanie na niekorzyść przedsiębiorców, bo szacujemy, że dostosowanie się do wymogów KSeF może zająć nawet 12 miesięcy - tłumaczy Tomasz Kuciel z EDITEL Polska.

Brak konkretnych decyzji administracyjnych i edukacji wszystkich zainteresowanych sektorów na temat podejmowanych zmian sprawia, że zarządzający organizacjami wstrzymują się z podejmowaniem konkretnych decyzji i mogą mieć problemy z planowaniem budżetów koniecznych na dostosowanie się do nowych wymogów. Dostosowanie wewnętrznych procedur do regulacji NIS2, DORA oraz KSeF oznacza dla niektórych firm i instytucji znaczące reformy oraz spore koszty, które biznes wolałby rozsądnie zaplanować. Pozostaje mieć nadzieję, że zmiany na szczycie przebiegną sprawnie, a organizacje wkrótce otrzymają jasne wytyczne, od których zależeć będą ich pierwsze decyzje w 2024 roku.