W jednym zdaniu. NIS2 i RODO to dwa różne reżimy — RODO chroni dane osobowe, a NIS2 bezpieczeństwo sieci i systemów informatycznych — które dla firmy objętej oboma oznaczają m.in. podwójne raportowanie tego samego incydentu: wczesne ostrzeżenie w 24 godziny do CSIRT i zgłoszenie w 72 godziny do UODO.
Jeden atak ransomware potrafi uruchomić dwa niezależne zegary compliance. NIS2 i RODO często mylone są jako “przepisy o cyberbezpieczeństwie”, tymczasem chronią zupełnie co innego, egzekwują je inne organy i przewidują inne terminy. Poniżej pokazuję, gdzie się różnią, gdzie pokrywają i jak firma objęta oboma reżimami ma poukładać obowiązki, by w razie incydentu nie przegapić żadnego terminu.
Najważniejsze punkty
- RODO chroni dane osobowe; NIS2 — bezpieczeństwo sieci i systemów (niezależnie od danych).
- NIS2 to dyrektywa 2022/2555; w Polsce wdrażana przez ustawę o krajowym systemie cyberbezpieczeństwa.
- Podwójne raportowanie: 24h wczesne ostrzeżenie do CSIRT (NIS2) vs 72h do UODO (RODO).
- Różne organy: UODO (RODO) vs organy właściwe ds. cyberbezpieczeństwa i CSIRT (NIS2).
- NIS2 wprowadza wyraźną odpowiedzialność organów zarządzających.
- Jeden incydent może wymagać dwóch odrębnych zgłoszeń — do CSIRT i do UODO.
Co chroni każdy z reżimów
Różnica zaczyna się od przedmiotu ochrony. RODO chroni prawa osób fizycznych związane z przetwarzaniem ich danych osobowych — bez względu na to, czy zagrożenie ma charakter cybernetyczny, czy wynika z błędu ludzkiego. NIS2 chroni odporność i bezpieczeństwo sieci oraz systemów informatycznych podmiotów istotnych dla gospodarki i społeczeństwa — niezależnie od tego, czy w grę wchodzą dane osobowe.
W praktyce zbiory te często się przecinają. Atak, który szyfruje bazę klientów, jednocześnie zagraża danym osobowym (domena RODO) i ciągłości działania usługi (domena NIS2). Ale nie zawsze: awaria systemu sterowania w elektrowni to poważny incydent NIS2, choć może w ogóle nie dotyczyć danych osobowych żadnej osoby fizycznej. I odwrotnie — wysłanie e-maila do niewłaściwego odbiorcy to naruszenie RODO, które NIS2 zupełnie nie interesuje. Ta rozłączność bywa źródłem nieporozumień: dział IT skupiony na ciągłości usługi może przeoczyć wymiar danych osobowych, a dział prawny skupiony na RODO może nie dostrzec obowiązku wobec CSIRT. Skuteczna reakcja na incydent wymaga więc, by obie perspektywy spotkały się przy jednym stole od pierwszej godziny.
Zakres podmiotowy: kto podlega czemu
RODO obowiązuje każdego administratora i procesora danych osobowych — od jednoosobowej firmy po korporację. NIS2 jest znacznie węższa: obejmuje podmioty kluczowe i ważne w wskazanych sektorach (energia, transport, bankowość, zdrowie, infrastruktura cyfrowa, wod-kan, produkcja i inne), zwykle powyżej progów wielkości. Większość mikrofirm nie podlega NIS2, choć podlega RODO. Odrębnym przypadkiem jest sektor finansowy: banki, ubezpieczyciele i firmy inwestycyjne w zakresie ryzyka ICT podlegają rozporządzeniu DORA jako lex specialis — jego polski kontekst opisuję w tekście o DORA w Polsce.
Dla polskich realiów kluczowe jest to, że NIS2 nie stosuje się bezpośrednio — jest dyrektywą wdrażaną przez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa. Kto podlega tej ustawie i jak przebiega wdrożenie, wyjaśniam w tekście o implementacji NIS2 w Polsce, a samą architekturę przepisów krajowych — w tekście o ustawie o krajowym systemie cyberbezpieczeństwa.
Kolejna praktyczna różnica: podleganie NIS2 zależy od klasyfikacji podmiotu jako kluczowego lub ważnego, co przekłada się na intensywność nadzoru i wysokość kar. Podmioty kluczowe podlegają nadzorowi proaktywnemu — organ może kontrolować je z własnej inicjatywy — podczas gdy podmioty ważne co do zasady nadzorowane są reaktywnie, po wystąpieniu przesłanek. W RODO takiego rozróżnienia nie ma; UODO może wszcząć kontrolę wobec każdego administratora niezależnie od jego wielkości czy sektora.
Podwójne raportowanie incydentu
To najbardziej praktyczna różnica i najczęstsze źródło błędów. Terminy biegną równolegle, ale do różnych organów i w innym rytmie:
| Aspekt | RODO | NIS2 |
|---|---|---|
| Zgłoszenie do | UODO | właściwy CSIRT (NASK/GOV/MON) |
| Pierwszy termin | 72h — zgłoszenie naruszenia | 24h — wczesne ostrzeżenie |
| Kolejne etapy | uzupełnienia | 72h zgłoszenie, 1 miesiąc raport końcowy |
| Kryterium | ryzyko dla praw osób | istotny wpływ na usługę |
| Podstawa | art. 33 RODO | art. 23 NIS2 |
Firma objęta oboma reżimami, która padnie ofiarą ransomware, musi w ciągu 24 godzin wysłać wczesne ostrzeżenie do właściwego CSIRT, a w ciągu 72 godzin — jeśli doszło do naruszenia danych osobowych — zgłoszenie do UODO. To dwa różne formularze, dwie różne oceny i dwa różne zegary. Mechanikę zgłoszenia po stronie RODO omawiam w tekście o zgłoszeniu naruszenia z art. 33.
Warto zauważyć, że kryteria uruchamiające obowiązek są odmienne. RODO patrzy na ryzyko dla praw i wolności osób — jeśli incydent nie zagraża osobom, zgłoszenie do UODO nie jest wymagane. NIS2 patrzy na istotny wpływ na świadczenie usługi — liczy się dostępność i ciągłość, a nie los konkretnych danych. Możliwe są więc sytuacje asymetryczne: awaria bez wycieku danych rodzi obowiązek wobec CSIRT, ale nie wobec UODO; wyciek bez zakłócenia usługi rodzi obowiązek wobec UODO, ale nie wobec CSIRT. Zespół reagujący na incydent musi ocenić oba wymiary równolegle i nie zakładać z góry, że jeden przesądza o drugim.
Środki bezpieczeństwa: zbieżne, ale nie tożsame
Oba reżimy wymagają adekwatnych środków bezpieczeństwa, jednak z różnej perspektywy. Art. 32 RODO każe dobrać środki odpowiednie do ryzyka dla praw osób — szyfrowanie, kontrola dostępu, testowanie. NIS2 (art. 21) wymaga szerszego zestawu środków zarządzania ryzykiem cyberbezpieczeństwa: analizy ryzyka, obsługi incydentów, ciągłości działania, bezpieczeństwa łańcucha dostaw, polityk i szkoleń.
W praktyce dobrze wdrożone środki NIS2 w dużej mierze pokrywają wymagania art. 32 RODO w warstwie technicznej — ale nie odwrotnie. Zgodność z RODO nie oznacza zgodności z NIS2, bo NIS2 obejmuje obszary (np. bezpieczeństwo łańcucha dostaw, testy odporności, obowiązkowe polityki ciągłości działania), których RODO wprost nie reguluje.
Odpowiedzialność zarządu — nowość NIS2
Najmocniejsza różnica jakościowa dotyczy odpowiedzialności kierownictwa. NIS2 wprost obarcza organy zarządzające obowiązkiem zatwierdzania środków zarządzania ryzykiem i nadzoru nad ich wdrożeniem, a członkowie zarządu mogą ponosić osobistą odpowiedzialność i podlegać obowiązkowym szkoleniom z zakresu zarządzania ryzykiem cyberbezpieczeństwa. RODO odpowiedzialność lokuje na poziomie administratora jako organizacji, nie personalizując jej tak wyraźnie na zarządzie.
FAQ
Czy zgodność z RODO oznacza zgodność z NIS2?
Nie. To dwa różne reżimy o różnym przedmiocie ochrony. RODO chroni dane osobowe, NIS2 — bezpieczeństwo sieci i systemów. Dobre środki NIS2 często pokrywają techniczne wymogi art. 32 RODO, ale NIS2 obejmuje obszary (łańcuch dostaw, testy, ład korporacyjny), których RODO nie reguluje. Zgodność trzeba wykazać osobno, wobec różnych organów i według różnych kryteriów.
Czy jeden incydent trzeba zgłaszać do dwóch organów?
Często tak. Jeśli incydent cyberbezpieczeństwa dotyczy podmiotu objętego NIS2 i jednocześnie narusza dane osobowe, firma zgłasza wczesne ostrzeżenie do właściwego CSIRT (24h) oraz naruszenie do UODO (72h). To dwie odrębne procedury z różnymi terminami i kryteriami.
Który reżim obowiązuje moją firmę?
RODO obowiązuje praktycznie każdą organizację przetwarzającą dane osobowe. NIS2 tylko podmioty kluczowe i ważne w wskazanych sektorach, zwykle powyżej progów wielkości. Zdecydowana większość firm podlega wyłącznie RODO; podmioty z sektorów krytycznych — obu reżimom naraz, a wtedy compliance trzeba planować całościowo, bo obowiązki jednego reżimu nie zastępują obowiązków drugiego.
Źródła: Dyrektywa NIS2 2022/2555 w EUR-Lex (CELEX 32022L2555) · UODO · ENISA — agencja UE ds. cyberbezpieczeństwa