Możliwe nowe obowiązki podmiotów sektora gospodarowania odpadami wynikające z Dyrektywy NIS 2

Dyrektywa NIS 2, a właściwie Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii, zastąpiła poprzednią Dyrektywę NIS. Termin implementacji dyrektywy NIS 2 upływa 17 października 2024 roku, a precyzyjny zakres regulacji w istotnym zakresie będzie zależał od decyzji polskiego ustawodawcy. Na ten moment możemy zasygnalizować pewne najistotniejsze kwestie.

Warunki uznania za „podmiot ważny” w rozumieniu Dyrektywy NIS 2

Po pierwsze został wprowadzony podział na podmioty kluczowe i podmioty ważne, co łączy się ze zróżnicowaniem zakresu systemu ich nadzoru i egzekwowania.

Podmioty z sektora gospodarowania odpadami, zgodnie z Załącznikiem II zaliczone zostały do kategorii ,,podmiotów ważnych”, z zastrzeżeniem poniższych uwag.

Zgodnie z definicją do której odsyła dyrektywa, za gospodarowanie odpadami rozumie się zbieranie, transport, odzysk, w tym sortowanie, oraz unieszkodliwianie odpadów, łącznie z nadzorem nad tego rodzaju działaniami, jak również późniejsze postępowanie z miejscami unieszkodliwiania odpadów wraz z działaniami wykonywanymi w charakterze dealera lub brokera. Nie każdy jednak podmiot wykonujący taką działalność będzie z automatu uznany za „podmiot ważny”. Dyrektywa zakłada bowiem, że działalność w postaci gospodarowania odpadami musi stanowić główną działalność danego podmiotu. Wobec czego „podmiotem ważnym” nie będzie przedsiębiorstwo dla którego działalność w zakresie gospodarowania odpadami jest działalnością uboczną.

Aby zgodnie z dyrektywą podmiot uznać za ważny, musi on być również klasyfikowany jako przedsiębiorstwo średnie lub przekraczać pułap określony do zaliczenia do średnich przedsiębiorców, wynikający z załącznika zalecenia 2003/361/WE. W myśl tego załącznika, za ,,podmiot ważny” uznawać należy tylko taki, który zatrudnia więcej niż 50 osób i którego roczny obrót lub roczna suma bilansowa przekracza 10 milionów euro. Wskazać należy, że do uznania za podmiot ważny nie ma znaczenia czy mamy do czynienia z podmiotem prywatnym czy publicznym. Co oczywiste, zakres regulacji dyrektywy obejmuje tylko podmioty świadczące swe usługi lub prowadzące swą działalność na terenie Unii Europejskiej.

Obowiązki płynące z Dyrektywy NIS 2 dla „podmiotów ważnych”

Podmioty ważne będą zobowiązane wprowadzić odpowiednie i proporcjonalne środki techniczne, operacyjne i organizacyjne w celu zarządzania ryzykiem dla bezpieczeństwa sieci i systemów informatycznych wykorzystywanych przez te podmioty do prowadzenia działalności oraz w celu zapobiegania bądź zminimalizowania wpływu incydentów na odbiorców lub na inne usługi.

Podkreśla się, że poziom bezpieczeństwa sieci i systemów informatycznych zapewniany przez zastosowane środki ma być odpowiedni do istniejącego ryzyka oraz proporcjonalny uwzględniając stopień narażenia podmiotu na ryzyko, jego wielkość i prawdopodobieństwa wystąpienia incydentów oraz ich dotkliwości, w tym ich skutków społecznych i gospodarczych.

Zastosowane środki muszą objąć w szczególności następujące elementy: politykę analizy ryzyka i bezpieczeństwa systemów informatycznych, obsługę incydentu, procedury służące ocenie skuteczności środków zarządzania ryzykiem w cyberbezpieczeństwie, podstawowe praktyki cyberhigieny i szkolenia w zakresie cyberbezpieczeństwa, a w stosownych przypadkach także – stosowanie uwierzytelniania wieloskładnikowego lub ciągłego, zabezpieczonych połączeń głosowych, tekstowych i wideo.  

Wdrożone środki mają na celu ochronę sieci i systemów teleinformatycznych oraz ich środowiska przed incydentami, czyli zdarzeniami naruszającymi dostępność, autentyczność, integralność lub poufność przechowywanych, przekazywanych lub przetwarzanych danych lub usług. Dyrektywa wprowadza procedury i terminy dotyczące obsługi incydentów. Na przykład, w momencie poważnego incydentu, mającego istotny wpływ na świadczenie usług przez podmioty, będą one zobowiązane do niezwłocznego zgłoszenia go właściwemu CSIRT (Zespołowi Reagowania na Incydenty Bezpieczeństwa Komputerowego). Ponadto, w odpowiednich przypadkach podmioty będą musiały niezwłocznie powiadomić także swoich klientów o wystąpieniu poważnego incydentu.

Skutki niespełnienia obowiązków stawianych przez Dyrektywę NIS 2

Aby zagwarantować skuteczną egzekucję przepisów dyrektywy, organy nadzoru otrzymają uprawnienia, takie jak wydawanie ostrzeżeń dotyczących naruszeń przepisów, nakładanie obowiązków na podmioty w celu zapewnienia zgodności ze środkami zarządzania ryzykiem w cyberbezpieczeństwie lub wypełnienia obowiązków zgłaszania incydentów. Organy nadzorcze będą również mogły zastosować lub wystąpić o zastosowanie administracyjnej kary pieniężnej przez właściwe organy lub sądy zgodnie z prawem krajowym. Kary te będą miały cechy skuteczności, proporcjonalności i odstraszania, dostosowane do indywidualnych okoliczności każdego przypadku.

Co do cechy odstraszania, to przewidywane administracyjne kary pieniężne za naruszenie przepisów dyrektywy będą ją niechybnie posiadać. Dla przedmiotów ważnych dyrektywa przewiduje bowiem administracyjne kary pieniężne, w wysokości co najmniej 7 000 000 euro lub 1,4% łącznego rocznego światowego obrotu w poprzednim roku obrotowym przedsiębiorstwa, do którego należy podmiot ważny, przy czym zastosowanie ma kwota wyższa.

Podsumowanie

Bezsprzecznym jest fakt konieczności wprowadzania coraz bardziej kompleksowych regulacji zapewniających cyberbezpieczeństwo usług publicznych w sytuacji coraz większej zależności gospodarki od prawidłowego działania i rozwoju systemów teleinformatycznych. Kwestią dyskusyjną pozostaje jednak kształt i uciążliwość wprowadzonych przepisów. Nie trudno wyobrazić sobie, że dla sporej części podmiotów wdrożenie standardów dyrektywy NIS 2 będzie nie lada przedsięwzięciem. Z punktu widzenia przedsiębiorstw zajmujących się gospodarowaniem odpadami będzie to novum gdyż nie były one objęte stosowaniem poprzedniej dyrektywy. Z tego względu zaleca się jak najszybsze rozpoczęcie procesu dostosowywania przedsiębiorstwa do nowej rzeczywistości regulacji cyberbezpieczeństwa.