Autoidentyfikacja podmiotu w NIS2 bez prawniczego labiryntu

Jednym z najbardziej paraliżujących momentów w zetknięciu z dyrektywą NIS2 oraz nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa jest próba odpowiedzi na pozornie proste pytanie: czy moja organizacja w ogóle podlega tym przepisom. Właśnie na tym etapie pojawia się najwięcej nieporozumień, błędnych założeń i decyzji odkładanych na później.

Tymczasem NIS2 bardzo jasno porządkuje kolejność działań. Pierwszym krokiem po stronie organizacji nie jest audyt, wdrożenie techniczne ani tworzenie dokumentacji. Jest nim autoidentyfikacja.

Autoidentyfikacja – co to jest, a czym nie jest

Autoidentyfikacja nie polega na uzyskaniu decyzji administracyjnej, certyfikatu ani formalnego potwierdzenia statusu przez organ publiczny. Nie jest to także jednorazowa deklaracja ani ćwiczenie czysto formalne.

Jest to proces wewnętrzny, w którym organizacja samodzielnie ocenia czy spełnia kryteria uznania jej za podmiot kluczowy lub podmiot ważny w rozumieniu NIS2. Odpowiedzialność za tę ocenę spoczywa bezpośrednio na organizacji, a w praktyce bezpośrednio na jej kierownictwie.

Co istotne, kryteria tej oceny nie wynikają z subiektywnego przekonania, że „jesteśmy ważni” albo „raczej mali”. Dyrektywa opiera się na konkretnych, zdefiniowanych przesłankach.

Dwa filary, które decydują o statusie

NIS2 opiera autoidentyfikację na dwóch filarach, które muszą być analizowane łącznie:

1. Rodzaj prowadzonej działalności: Decydujące znaczenie ma to, czy organizacja wykonuje działalność mieszczącą się w sektorach wskazanych w dyrektywie. Nie chodzi przy tym o potoczne nazwy branż, lecz o funkcje gospodarcze, jakie dana organizacja pełni.
2. Skala organizacji: Drugim filarem jest skala działalności, mierzona m.in. liczbą pracowników oraz wielkością obrotów lub sumą bilansową. Dopiero połączenie rodzaju działalności ze skalą pozwala określić status regulacyjny.

To właśnie zestawienie tych dwóch elementów pokazuje, że wiele organizacji błędnie ocenia swoją pozycję, opierając się wyłącznie na intuicji albo porównaniach rynkowych.

Funkcja w gospodarce ważniejsza niż etykieta branży

W praktyce autoidentyfikacja wymaga spojrzenia na organizację nie przez pryzmat struktury właścicielskiej, rozpoznawalności marki czy samookreślenia, lecz przez pryzmat funkcji, jakie pełni ona w gospodarce i w łańcuchach zależności.

Często okazuje się, że firmy postrzegające się jako zwykli dostawcy w rzeczywistości świadczą usługi, bez których działalność podmiotu kluczowego nie byłaby możliwa. Z perspektywy NIS2 jest to wystarczający powód, aby potraktować je jako element systemu odporności, nawet jeśli same nie identyfikowały się wcześniej z obszarem regulowanym.

To jeden z momentów, w których rozbieżność między samooceną organizacji a jej rzeczywistą rolą bywa największa.

Błędna autoidentyfikacja nie chroni przed odpowiedzialnością

Jednym z kluczowych założeń NIS2 jest to, że błędna autoidentyfikacja nie zwalnia z odpowiedzialności. Jeżeli organizacja uzna, że nie podlega regulacji, a w rzeczywistości spełnia kryteria podmiotu kluczowego lub ważnego, konsekwencje tej decyzji ujawniają się zazwyczaj w najmniej korzystnym momencie.

Dzieje się to najczęściej:

• przy wystąpieniu incydentu,
• w trakcie kontroli,
• albo w odpowiedzi na zapytanie ze strony regulatora.

W takiej sytuacji brak formalnego przypisania statusu nie jest okolicznością łagodzącą, lecz bywa traktowany jako dowód braku należytej staranności po stronie organizacji.

Autoidentyfikacja to nie jednorazowa decyzja

Istotnym, a często pomijanym aspektem jest fakt, że autoidentyfikacja nie jest procesem jednorazowym. Status organizacji może się zmieniać wraz z rozwojem działalności, wejściem w nowe sektory, przejęciem klientów z obszarów regulowanych czy zwiększeniem skali operacji.

Z tego powodu NIS2 w praktyce wymusza cykliczne spojrzenie na własną rolę rynkową, a nie jednorazową deklarację „jesteśmy poza zakresem”. Regularny przegląd statusu staje się elementem świadomego zarządzania ryzykiem regulacyjnym.

Nawet jeśli nie podlegasz bezpośrednio

Dla wielu organizacji kluczowym momentem nie jest samo zakwalifikowanie się jako podmiot kluczowy lub ważny, lecz uświadomienie sobie, że brak bezpośredniego statusu regulowanego nie zamyka tematu.

Autoidentyfikacja bardzo często prowadzi do wniosku: „nie podlegamy bezpośrednio, ale nasze usługi są krytyczne dla podmiotów regulowanych”.

To właśnie w tym miejscu zaczynają pojawiać się wymagania kontraktowe, audyty dostawców oraz pytania o procedury i mechanizmy bezpieczeństwa, które z perspektywy biznesowej są równie istotne jak formalna kwalifikacja ustawowa.

Sens autoidentyfikacji

Sens autoidentyfikacji nie polega na ucieczce spod regulacji. Polega na świadomym określeniu swojej pozycji, roli i ryzyk, jakie z niej wynikają.

Dopiero wtedy możliwe jest proporcjonalne podejście do dalszych działań. Takie, które nie opiera się na panicznym wdrażaniu wszystkiego naraz, lecz na uporządkowaniu obszarów, które rzeczywiście mają znaczenie z punktu widzenia odpowiedzialności i odporności organizacji.