Dlaczego są dwa różne akty
RODO powstało w 2016 r. dla ochrony danych osobowych - prywatności osób fizycznych. Egzekwuje UODO. Cel: każda firma, niezależnie od skali, ma obowiązek chronić dane, które przetwarza.
NIS2 powstało w 2022 r. dla ochrony infrastruktury cyfrowej UE - sieci, systemów, usług kluczowych. Egzekwuje Ministerstwo Cyfryzacji. Cel: podmioty istotne dla funkcjonowania państwa i społeczeństwa zarządzają ryzykiem cyber proporcjonalnie do ich wagi.
Akty są niezależne, bo chronią różne wartości. Naruszenie ransomware w szpitalu (NIS2 - usługa krytyczna) z wyciekiem dokumentacji pacjentów (RODO - dane medyczne) = naruszenie obu reżimów. Dwie procedury, dwóch regulatorów, dwie kary.
Co się nakłada, co się nie nakłada
Środki techniczne nakładają się prawie całkowicie. Art. 32 RODO i art. 21 NIS2 oba wymagają: MFA, szyfrowania at-rest i in-transit, backupu, regularnych aktualizacji, kontroli dostępu, regularnego testowania skuteczności. Jedna polityka bezpieczeństwa IT pokrywa oba.
Procedury raportowania są osobne. UODO 72h dla RODO; CSIRT NASK 24h/72h/30 dni dla NIS2. Procedury wewnętrzne muszą obsłużyć oba scenariusze - jednego incydentu, dwa formularze.
Klauzule kontraktowe nakładają się częściowo. Art. 28 RODO wymaga DPA z każdym procesorem danych osobowych. Art. 21(2)(d) NIS2 wymaga klauzul cyber z każdym dostawcą ICT. Jeden dostawca może wymagać obu (DPA + cyber).
Obowiązki dokumentacyjne są częściowo różne. Rejestr czynności (art. 30 RODO) ≠ rejestr podmiotów NIS2. Klauzula informacyjna RODO ≠ powiadomienie odbiorców usługi NIS2.
Podwójne zgłoszenie - praktyczny scenariusz
Ransomware atakuje sieć szpitala prywatnego (podmiot kluczowy, sektor zdrowie). Szyfruje dokumentację pacjentów oraz dane pracowników. W ciągu pierwszych 24 godzin szpital musi:
- Zacząć licznik 72h do UODO (RODO art. 33 - wyciek danych osobowych pacjentów + pracowników)
- Wysłać wczesne ostrzeżenie do CSIRT NASK (NIS2 art. 23 ust. 4 - istotny incydent)
W ciągu 72h:
- Zgłosić pełne powiadomienie do UODO przez ePUAP (formularz 138/2342)
- Zgłosić pełne powiadomienie do CSIRT NASK przez cert.pl
W ciągu 30 dni:
- Raport końcowy do CSIRT NASK z analizą przyczyn
Powiadomienie pacjentów (art. 34 RODO) - jeśli wyciek powoduje wysokie ryzyko dla ich praw (dane medyczne zwykle tak). Powiadomienie odbiorców usługi (NIS2 art. 23 ust. 7) - tutaj pacjentów. Jedna komunikacja może obsłużyć oba obowiązki, ale podstawy prawne są różne.
Jeden audyt - dwie zgodności
CyberCerber dostarcza zewnętrzną ocenę podatności, która jest jednoczesnym dowodem dla:
- RODO art. 32 (“regularne testowanie skuteczności środków technicznych”)
- NIS2 art. 21(2)(d) (“oceny skuteczności środków zarządzania ryzykiem cyberbezpieczeństwa”)
Jeden raport CVSS spełnia oba wymogi. CyberAudyt z ręczną weryfikacją OWASP Top 10 dostarcza poziomu wymaganego przez większość audytorów NIS2 jako “warstwa techniczna dowodu” przy formalnym audycie zgodności w 2028 r.