Status NIS 2 we Francji
Czego wymaga dyrektywa, jak Francja ją transponuje i gdzie w tym obrazie sytuuje się ANSSI.
Przegląd
Dyrektywa NIS 2 to warstwa UE. Wiąże każde państwo członkowskie, w tym Francję, jednym minimalnym poziomem cyberbezpieczeństwa dla podmiotów kluczowych i ważnych. Francja musi wprowadzić ten poziom do prawa francuskiego i prowadzić pod nim reżim nadzoru.
Francja nie dokonała jeszcze transpozycji NIS 2. Transpozycja ma formę rządowego projektu ustawy, projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, który obejmuje NIS 2, dyrektywę o podmiotach krytycznych i DORA. Senat przyjął go 12 marca 2025 r., a specjalna komisja Assemblée nationale 10 września 2025 r. Debata plenarna w Assemblée jest zaplanowana na 7 października 2026 r. Komisja skierowała Francję do Trybunału Sprawiedliwości UE 8 lipca 2026 r. za brak transpozycji NIS 2 i wniosła o sankcje finansowe. Projekt nakłada się na istniejący reżim OIV (Opérateurs d'Importance Vitale) i reżim OSE z NIS 1 (Opérateurs de Services Essentiels), zamiast zastępować je wprost.
ANSSI (Agence nationale de la sécurité des systèmes d'information) prowadzi krajowy CSIRT i jest krajowym organem w rozumieniu projektu ustawy. Oferuje dobrowolną wstępną rejestrację pod adresem messervices.cyber.gouv.fr/nis2 (dawniej MonEspaceNIS2). Rejestracja staje się obowiązkiem dopiero po przyjęciu ustawy. Regulatorzy sektorowi pozostają w obiegu dla sektorów, które już je miały, w szczególności w finansach, gdzie DORA działa jako lex specialis.
Dyrektywa UE
Directive (EU) 2022/2555 (NIS 2)
Ogólnounijna dyrektywa o cyberbezpieczeństwie. Ustala obowiązki, które każde państwo członkowskie musi transponować, w tym testy wielkości i sektora dla podmiotów kluczowych i ważnych.
Wdrożenie UE
Commission Implementing Regulation (EU) 2024/2690
Techniczne i metodologiczne środki dla dostawców infrastruktury cyfrowej. Bezpośrednio stosowane we Francji bez transpozycji krajowej.
Transpozycja francuska (projekt ustawy)
Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité
Rządowy projekt ustawy, który ma transponować NIS 2 wraz z dyrektywą o podmiotach krytycznych i DORA. Senat przyjął go 12 marca 2025 r., a debata plenarna w Assemblée nationale jest zaplanowana na 7 października 2026 r. Tytuł I projektu na nowo ujmuje przepisy o operatorach o znaczeniu krytycznym w Code de la défense, a tytuł II wprowadza NIS 2 jako artykuły nowej ustawy, z ANSSI jako krajowym organem. Dekrety wykonawcze i wytyczne ANSSI mają uzupełnić szczegóły operacyjne.
Projekt ustawy o odporności i cyberbezpieczeństwie
Przeniesie obowiązki NIS 2 do prawa francuskiego po przyjęciu; na razie nie jest to obowiązujące prawo. Projekt definiuje dwie kategorie, entités essentielles (EE) i entités importantes (EI), uprawnienia nadzorcze ANSSI, obowiązki zgłaszania incydentów oraz sankcje. Większość szczegółów operacyjnych jest delegowana do décrets d'application.
ANSSI jako organ nadzoru i CSIRT
Zgodnie z projektem ustawy ANSSI prowadzi nadzór i audyty oraz kieruje naruszenia do komisji ds. sankcji (commission des sanctions), która nakłada kary. Obsługuje także krajowy CSIRT oraz dobrowolną wstępną rejestrację pod adresem messervices.cyber.gouv.fr/nis2 (dawniej MonEspaceNIS2). Regulatorzy sektorowi, tacy jak ACPR dla finansów, zachowują własną właściwość tam, gdzie ma zastosowanie lex specialis.
Rejestracja i zgłaszanie
Dyrektywa wymagała, by podmioty były możliwe do zidentyfikowania przez państwa członkowskie od 17 kwietnia 2025 r. Francja nie ma jeszcze obowiązku rejestracji: ANSSI oferuje dobrowolną wstępną rejestrację pod adresem messervices.cyber.gouv.fr/nis2 (dawniej MonEspaceNIS2), a rejestracja staje się obowiązkiem dopiero po przyjęciu ustawy. Gdy ustawa zacznie obowiązywać, poważne incydenty podążają za rytmem dyrektywy: wczesne ostrzeżenie 24-godzinne, zgłoszenie 72-godzinne i raport końcowy w ciągu jednego miesiąca.
Wewnątrz Francji obowiązuje prawo lokalne
Podmioty z siedzibą we Francji będą podlegać francuskiej transpozycji po jej przyjęciu. Niemiecki Geschäftsführer prowadzący francuską spółkę zależną będzie dla tej spółki czytał francuską ustawę, a nie niemiecki BSIG. Obowiązki z dyrektywy są takie same; procedura, portal i sankcje będą mieścić się w prawie francuskim.
Francja nie może zejść poniżej poziomu UE
Dyrektywa jest instrumentem harmonizacji minimalnej. Francja może iść surowiej, i historycznie poszła poprzez reżim OIV. Nie może zejść poniżej dyrektywy w odniesieniu do obowiązków podmiotów kluczowych i ważnych, terminów zgłaszania incydentów ani odpowiedzialności organu zarządzającego.
ANSSI
Krajowy CSIRT i krajowy organ w rozumieniu projektu ustawy. Prowadzi dobrowolną wstępną rejestrację NIS 2 pod adresem messervices.cyber.gouv.fr/nis2 (dawniej MonEspaceNIS2), wydaje wytyczne i przeprowadza audyty. Zgodnie z projektem ANSSI sprawuje nadzór i kieruje naruszenia do komisji ds. sankcji (commission des sanctions), która nakłada kary do 10 mln EUR lub 2 % światowego obrotu dla podmiotów kluczowych oraz do 7 mln EUR lub 1,4 % dla podmiotów ważnych. Posiada historyczną doktrynę OIV, która będzie zasilać nadzór NIS 2.
CNIL
Francuski organ ochrony danych. Nie jest regulatorem NIS 2. Pozostaje właściwy dla zgłaszania naruszeń ochrony danych osobowych na podstawie GDPR. Incydent NIS 2 dotykający danych osobowych jest często podwójnym zawiadomieniem: ANSSI i CNIL.
ENISA
Agencja UE ds. cyberbezpieczeństwa. Publikuje wytyczne, zarządza europejską bazą danych dotyczącą podatności i wspiera koordynację transgraniczną. Nie jest organem nadzoru dla francuskich podmiotów; jest nim ANSSI.
Jesteśmy już OIV, więc NIS 2 jest załatwione.
Klasyfikacje OIV i OSE na podstawie istniejącego Code de la défense oraz ram NIS 1 nie przenoszą się automatycznie jako podmioty kluczowe lub ważne (EE lub EI) na podstawie NIS 2. Obwód jest inny, progi sektorowe są inne, a podmioty muszą zweryfikować swój status względem nowych kryteriów. Wiele OIV jest również podmiotami kluczowymi NIS 2, ale zbiór obowiązków i kanał zgłaszania się zmieniają.
NIS 2 we Francji ma zastosowanie tylko do dużych operatorów.
Test wielkości domyślnie zatrzymuje się na średnich i dużych przedsiębiorstwach, ale dyrektywa obejmuje małe podmioty tam, gdzie są jedynym dostawcą, gdzie zakłócenie ma wpływ transgraniczny lub gdzie prawo francuskie je dodaje. Administracje publiczne i niektórzy dostawcy cyfrowi są objęci niezależnie od wielkości. Sprawdzenie zastosowania trzeba przeprowadzić indywidualnie, a nie wyłącznie według wielkości firmy.
MonEspaceNIS2 i ANSSI przyjmują tylko francuski.
Portal i oficjalne wytyczne są przede wszystkim po francusku. Zagraniczne spółki macierzyste nie powinny zakładać, że potrzebują pełnego francuskiego tłumaczenia każdej wewnętrznej polityki, by się zarejestrować lub złożyć zgłoszenie incydentu.
Większość francuskich operatorów odpowiadających Mittelstandowi, których spotykamy, wciąż traktuje NIS 2 jako rozszerzenie dawnego reżimu OIV / OSE. To w połowie prawda. Zgodnie z projektem ustawy nadzór i kanał incydentów mieszczą się wewnątrz ANSSI jak wcześniej, ale zakres jest szerszy, a zatwierdzenie przez organ zarządzający cięższe. Gdy ustawa zacznie obowiązywać, odpowiednik Geschäftsführera (président, directeur général, gérant) odpowiada osobiście za zatwierdzenie zarządzania ryzykiem i za szkolenie.
Praktyczny ruch jest taki sam jak wszędzie w UE: potwierdź zakres na podstawie dyrektywy, zarejestruj się dobrowolnie wstępnie w ANSSI (messervices.cyber.gouv.fr/nis2, dawniej MonEspaceNIS2) i dokonaj rejestracji po przyjęciu ustawy, ustanów cztery obowiązki ciągłe (utrzymanie rejestracji, zgłaszanie incydentów, ryzyko łańcucha dostaw, nadzór organu zarządzającego) i udokumentuj minimum. Aparat OIV pomaga, ale nie zastępuje obowiązków NIS 2.
- Directive (EU) 2022/2555 (NIS 2): EUR-Lex
- Commission Implementing Regulation (EU) 2024/2690
- Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité: Assemblée nationale, akta legislacyjne
- Code de la défense, Articles L.1332-1 et suivants (OIV): Légifrance
- ANSSI: Agence nationale de la sécurité des systèmes d'information, official site
- Wstępna rejestracja NIS 2 w ANSSI: messervices.cyber.gouv.fr/nis2 (dawniej MonEspaceNIS2)
- ACPR / Banque de France: competent authority for DORA in the financial sector
W praktyce
Co zmienia prawo krajowe, a czego nie
Prawo krajowe określa między innymi, gdzie się rejestrujesz i komu zgłaszasz incydenty. Same środki wychodzą w każdym państwie członkowskim z tej samej minimalnej listy (art. 21 NIS 2). Przewodnik prowadzi przez nie krok po kroku:
Sam przewodnik jest po niemiecku i po angielsku.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Masz zająć się NIS2?
Prowadzimy Cię krok po kroku. Ty wypełniasz, my wyjaśniamy każdy punkt prostymi słowami, a na końcu podpisuje kierownictwo.
