„Przecież mamy już RODO, to po co jeszcze NIS2?” — to pytanie pada na niemal każdym spotkaniu o cyberbezpieczeństwie w małej firmie. Brzmi rozsądnie, bo obie regulacje mówią o bezpieczeństwie i obie straszą karami. Ale to dwie różne rzeczy, które — dobrze poprowadzone — wzajemnie się wzmacniają, zamiast dublować pracę.
Rozłóżmy to spokojnie: co chroni RODO, co chroni NIS2, gdzie się stykają i jak nie robić tej samej roboty dwa razy.
Dwa różne cele
- RODO (GDPR) chroni dane osobowe — prywatność konkretnych ludzi. Pyta: „czy dobrze obchodzisz się z danymi osób?”.
- NIS2 chroni ciągłość i bezpieczeństwo usług oraz infrastruktury. Pyta: „czy Twoje systemy są odporne i czy usługa nie padnie?”.
Innymi słowy: RODO patrzy na dane osoby, NIS2 — na odporność organizacji. Można naruszyć jedno bez drugiego: wyciek danych osobowych to sprawa RODO, a wielogodzinna awaria usługi bez wycieku danych to sprawa NIS2.
Gdzie się pokrywają — i to mocno
Choć cele są różne, środki bywają identyczne. Obie regulacje wymagają w praktyce:
- ✅ Analizy ryzyka — ten sam proces zasila oba obowiązki. Pisaliśmy, jak zrobić analizę ryzyka i checklistę NIS2.
- ✅ Kontroli dostępu i szyfrowania — minimalne uprawnienia, MFA, szyfrowanie danych.
- ✅ Kopii zapasowych i ciągłości działania — to samo 3-2-1 chroni i przed utratą danych osobowych, i przed przestojem usługi.
- ✅ Procedury zgłaszania naruszeń/incydentów — tu uwaga: terminy i adresaci są różne (patrz niżej).
- ✅ Dokumentacji i rozliczalności — kto za co odpowiada, co wdrożono, kiedy przeglądano.
To dobra wiadomość: jedna porządnie zrobiona analiza ryzyka i jeden zestaw zabezpieczeń technicznych obsługują znaczną część obu regulacji naraz.
Najważniejsza różnica praktyczna: zgłaszanie
Tu nie wolno mylić ścieżek:
- RODO — naruszenie ochrony danych osobowych zgłaszasz do organu ochrony danych (UODO), co do zasady w ciągu 72 godzin, a w określonych przypadkach informujesz też osoby, których dane dotyczą.
- NIS2 — poważny incydent zgłaszasz do właściwego CSIRT, z własnymi, krótszymi terminami wstępnego zgłoszenia. Opisaliśmy to w zarządzaniu incydentami NIS2.
Jeden incydent (np. ransomware z wyciekiem danych klientów) może uruchomić oba obowiązki jednocześnie — do dwóch różnych instytucji. Dlatego procedura reakcji powinna od razu uwzględniać obie ścieżki.
Czego nie duplikować
Skoro środki się pokrywają, sztuką jest wdrożyć je raz, a wykorzystać do obu celów:
- Jeden rejestr zasobów i ryzyk — z adnotacją, gdzie występują dane osobowe (RODO), a gdzie kluczowe usługi (NIS2).
- Jedna polityka bezpieczeństwa z sekcjami, zamiast dwóch osobnych segregatorów, które się rozjeżdżają.
- Jedna procedura incydentu z dwiema ścieżkami zgłoszenia (UODO i CSIRT) i jasnymi terminami.
- Jeden program szkoleń — phishing, hasła, ochrona danych: te tematy obsługują oba światy.
Od czego zacząć
Jeśli masz już wdrożone RODO, jesteś w połowie drogi do NIS2 — i odwrotnie. Najlepszy ruch to mapa wspólnych wymagań: zestawienie, które zabezpieczenie zaspokaja który obowiązek. Wtedy widać, gdzie naprawdę trzeba coś dołożyć, a gdzie wystarczy opisać to, co już robisz.
Punktem wyjścia może być nasz wpis o tym, kogo obejmuje NIS2 oraz przewodnik po dokumentacji — szczególnie dla podmiotów publicznych.
Co dalej w tym cyklu
W kolejnych wpisach zejdziemy do bardzo praktycznych zabezpieczeń wspólnych dla obu regulacji: MFA i menedżery haseł oraz bezpieczeństwo łańcucha dostaw.
Masz RODO, ale nie wiesz, ile brakuje Ci do NIS2 — albo chcesz wdrożyć oba bez podwójnej pracy? Napisz do nas. Zmapujemy wspólne wymagania i pokażemy najkrótszą drogę do zgodności z obiema regulacjami naraz.