Dyrektywa NIS 2 w polskiej firmie – kogo dotyczy i jakie kary grożą za brak wdrożenia?

Firma może mieć politykę haseł, program antywirusowy, kopie zapasowe i procedury wynikające z RODO, a mimo to nie spełniać wymagań związanych z NIS 2. Powód jest prosty: cyberbezpieczeństwo w rozumieniu tej dyrektywy nie ogranicza się do zakupu narzędzi informatycznych. Obejmuje sposób zarządzania ryzykiem, odpowiedzialność kierownictwa, bezpieczeństwo łańcucha dostaw, obsługę incydentów, ciągłość działania i zdolność do wykazania, że przyjęte środki są rzeczywiście stosowane.

Najważniejsze pytanie nie brzmi więc: „Czy mamy dział IT?”, lecz: czy nasza firma działa w sektorze objętym regulacją, ma odpowiednią skalę albo pełni szczególnie istotną funkcję dla innych podmiotów? Sama nazwa przedsiębiorstwa, posiadanie strony internetowej czy korzystanie z chmury nie przesądza jeszcze o podleganiu NIS 2. Z drugiej strony mały dostawca technologii może znaleźć się w obszarze zainteresowania organów, jeżeli obsługuje usługę o znaczeniu krytycznym.

Dyrektywa NIS 2 wyznacza unijne ramy. Konkretne obowiązki przedsiębiorcy w Polsce, właściwe organy, procedury nadzorcze, rejestry oraz wysokość i sposób nakładania kar wynikają z przepisów krajowych wdrażających dyrektywę, przede wszystkim z nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa. Status polskiej ustawy trzeba sprawdzać według daty publikacji i aktualnego tekstu prawnego, ponieważ sama dyrektywa nie zastępuje krajowych procedur.

NIS 2 nie jest już wyłącznie problemem działu IT

Dlaczego zarząd powinien interesować się cyberbezpieczeństwem

NIS 2 zmienia sposób patrzenia na bezpieczeństwo systemów informacyjnych. W starszym modelu cyberbezpieczeństwo często traktowano jako zadanie administratora: trzeba było zainstalować zaporę, wdrożyć antywirusa, wykonywać kopie zapasowe i reagować wtedy, gdy pojawił się problem. Dyrektywa przesuwa ciężar z pojedynczych narzędzi na cały system zarządzania ryzykiem.

Oznacza to, że osoba zarządzająca firmą powinna znać najważniejsze zależności: które procesy są krytyczne, jakie systemy je obsługują, od jakich dostawców zależy działalność i ile czasu organizacja może funkcjonować po awarii. Zarząd nie musi samodzielnie konfigurować serwerów, ale nie może skutecznie zasłaniać się twierdzeniem, że cyberbezpieczeństwo jest wyłącznie sprawą informatyków.

Wymagania NIS 2 dotykają trzech połączonych poziomów. Pierwszy to organizacja: polityki, role, analiza ryzyka, szkolenia, procedury i kontrola dostawców. Drugi to technologia: zabezpieczenia sieci, kontrola dostępu, szyfrowanie, kopie zapasowe, monitorowanie i odporność systemów. Trzeci to reakcja: wykrywanie, klasyfikowanie, zgłaszanie i usuwanie skutków incydentów.

RODO nie zastępuje NIS 2

Popularny mit brzmi: „Skoro firma spełnia RODO, to jest przygotowana także na NIS 2”. Rzeczywistość jest bardziej złożona. RODO wymaga odpowiednich środków ochrony danych osobowych i reguluje między innymi legalność przetwarzania, prawa osób oraz zgłaszanie naruszeń ochrony danych. NIS 2 koncentruje się natomiast na odporności sieci i systemów informacyjnych oraz ciągłości usług, nawet gdy incydent nie prowadzi do naruszenia danych osobowych.

Przykładowo, awaria systemu sterującego procesem produkcyjnym może zatrzymać fabrykę, ale nie ujawnić żadnych danych osobowych. Z perspektywy RODO nie musi powstać naruszenie ochrony danych. Z perspektywy NIS 2 zdarzenie może być poważnym incydentem cyberbezpieczeństwa, wymagającym analizy, dokumentacji i potencjalnego zgłoszenia.

Podobnie sama kopia zapasowa nie rozwiązuje problemu. Trzeba wiedzieć, czy kopia jest odseparowana od głównej sieci, czy można ją odtworzyć, jak długo trwa odtworzenie oraz kto podejmuje decyzję o przełączeniu na środowisko awaryjne. Zabezpieczenie, którego firma nigdy nie testowała, może okazać się jedynie założeniem zapisanym w procedurze.

Dyrektywa unijna a polskie przepisy

Dyrektywa NIS 2 jest aktem unijnym, który zobowiązuje państwa członkowskie do osiągnięcia określonego poziomu regulacji. Dla polskiej firmy praktyczne znaczenie mają jednak przepisy krajowe: ustawa, rozporządzenia, komunikaty organów i właściwe procedury zgłaszania. To z nich będzie wynikać między innymi, do którego organu należy kierować zgłoszenie, jak wygląda wpis do wykazu i jakie sankcje może zastosować administracja.

Przed opublikowaniem dokumentu compliance albo podjęciem decyzji biznesowej trzeba zweryfikować aktualny stan prawny. Nie wystarczy korzystać ze starszego opracowania opisującego projekt nowelizacji. Projekt ustawy, uchwalona ustawa, ustawa po podpisaniu i przepisy już obowiązujące to różne etapy. Również terminy przejściowe mogą wpływać na to, kiedy przedsiębiorca ma złożyć zawiadomienie, wdrożyć konkretną procedurę lub dostosować dokumentację.

To rozróżnienie ma znaczenie także przy karach. Dyrektywa wskazuje minimalne wymagania i poziomy sankcji, ale sposób ich stosowania w Polsce zależy od ustawy wdrażającej. Nie każda kwota pojawiająca się w artykułach internetowych będzie automatycznie karą, którą polski organ może nałożyć w konkretnej sprawie.

Kogo obejmuje NIS 2 w Polsce – sektor, wielkość firmy i wyjątki

Podmioty kluczowe i podmioty ważne

Jednym z podstawowych podziałów w NIS 2 jest rozróżnienie na podmioty kluczowe oraz podmioty ważne. Obie grupy muszą zarządzać ryzykiem cyberbezpieczeństwa i reagować na incydenty. Różnice dotyczą przede wszystkim intensywności nadzoru, sposobu kontroli i możliwych konsekwencji.

Podmioty kluczowe są związane z najbardziej wrażliwymi sektorami i usługami. W ich przypadku organy mogą mieć szersze uprawnienia nadzorcze, w tym możliwość przeprowadzania kontroli, żądania informacji, analizowania dowodów spełniania wymagań oraz nakazywania usunięcia nieprawidłowości. Podmioty ważne również podlegają obowiązkom, choć mechanizm nadzoru może być w większym stopniu następczy, na przykład uruchamiany po incydencie lub uzasadnionym podejrzeniu naruszenia.

Zakwalifikowanie do grupy „ważnych” nie oznacza zatem, że firma może działać bez formalnych zabezpieczeń. To nie jest kategoria dobrowolna ani łagodny wariant bez odpowiedzialności. Różnica między grupami wpływa na nadzór, ale nie usuwa obowiązków dotyczących analizy ryzyka, zabezpieczeń, raportowania czy współpracy z organami.

Sektory objęte rozszerzonym systemem cyberbezpieczeństwa

NIS 2 obejmuje znacznie więcej obszarów niż wcześniejsze regulacje. Wśród sektorów wskazywanych w dyrektywie znajdują się między innymi:

• energia, w tym podmioty związane z wytwarzaniem, przesyłem, dystrybucją i dostawą energii;
• transport, obejmujący wybrane usługi lotnicze, kolejowe, wodne i drogowe;
• bankowość i infrastruktura rynków finansowych;
• opieka zdrowotna, w tym wybrane podmioty i dostawcy usług medycznych;
• woda pitna i sektor ścieków;
• infrastruktura cyfrowa, usługi chmurowe, centra danych, sieci dostarczania treści, usługi DNS i rejestracja nazw domen;
• zarządzane usługi IT oraz zarządzane usługi bezpieczeństwa;
• administracja publiczna i przestrzeń kosmiczna;
• usługi pocztowe i kurierskie;
• gospodarowanie odpadami;
• produkcja wybranych produktów, w tym niektórych urządzeń, maszyn, produktów medycznych, chemikaliów i środków transportu;
• produkcja, przetwarzanie i dystrybucja żywności;
• wybrane usługi cyfrowe, w tym internetowe platformy handlowe, wyszukiwarki i platformy społecznościowe.

Lista sektorów nie może być stosowana mechanicznie. Liczy się faktyczny rodzaj działalności, zakres świadczonej usługi i kwalifikacja przewidziana w przepisach. Firma określająca się jako „technologiczna” nie musi automatycznie podlegać NIS 2. Z kolei przedsiębiorstwo produkcyjne, które nie sprzedaje usług cyfrowych, może być objęte regulacją ze względu na rodzaj produkcji i znaczenie procesu.

Wielkość przedsiębiorstwa jako kryterium wejścia

Ogólna zasada przewidziana w NIS 2 wiąże objęcie regulacją z sektorem oraz wielkością podmiotu. Znaczenie mają unijne kryteria mikro-, małego, średniego i dużego przedsiębiorstwa, uwzględniające między innymi liczbę pracowników oraz poziom obrotów lub sumę bilansową. Nie można jednak ograniczyć analizy do prostego pytania: „Czy mamy więcej niż określona liczba pracowników?”.

Firma może działać w grupie kapitałowej, korzystać z zasobów wspólnych albo świadczyć usługę dla podmiotu, który sam jest kluczowy. Wtedy konieczne jest ustalenie, czy badana jest samodzielna spółka, cały organizacyjny układ działalności, czy konkretny podmiot wykonujący usługę. Znaczenie może mieć także oddział zagranicznej organizacji oraz miejsce, w którym faktycznie świadczona jest usługa.

Mała lub mikro firma nie zawsze jest wyłączona. Szczególną rolę mogą odgrywać podmioty będące jedynym dostawcą usługi, operatorzy infrastruktury o znaczeniu systemowym, przedsiębiorstwa świadczące usługę szczególnie istotną dla państwa albo podmioty wskazane przez właściwy organ. Niewielka liczba pracowników nie chroni automatycznie przed obowiązkami.

Grupa kapitałowa, dostawca IT i infrastruktura krytyczna

Dostawcy usług chmurowych, centrów danych, zarządzanych usług IT i bezpieczeństwa muszą przeanalizować swoją rolę nie tylko przez pryzmat własnej siedziby. Ich awaria może jednocześnie dotknąć dziesiątki klientów z sektorów regulowanych. Dlatego kluczowe są zakres usługi, poziom kontroli nad systemem i wpływ zakłócenia na odbiorców.

Przykładowo, mała firma utrzymująca system obsługi dyspozycji dla operatora transportowego może być narażona na wymagania znacznie większe niż lokalne przedsiębiorstwo informatyczne tworzące strony internetowe. Oba podmioty używają technologii, lecz tylko jeden może mieć bezpośredni wpływ na ciągłość usługi o istotnym znaczeniu.

W grupach kapitałowych trzeba rozdzielić wspólne zasoby od wspólnej odpowiedzialności. Centralny dział IT może dostarczać narzędzia wszystkim spółkom, ale każda spółka może nadal odpowiadać za własne procesy, dane, zgłoszenia i decyzje biznesowe. Umowa o wspólnych usługach nie usuwa obowiązków wynikających z przepisów.

Praktyczne przykłady kwalifikacji

Średnia firma logistyczna realizująca przewozy może znaleźć się w obszarze NIS 2, jeżeli jej działalność mieści się w objętym regulacją sektorze transportu albo świadczy określoną usługę powiązaną z systemami transportowymi. Samo posiadanie floty nie wystarczy do ostatecznej kwalifikacji, ale ignorowanie regulacji tylko dlatego, że firma nie sprzedaje oprogramowania, byłoby błędem.

Mały dostawca oprogramowania utrzymujący system planowania pracy dla dużego operatora infrastruktury również powinien przeanalizować swoją rolę. Jeżeli jego system jest niezbędny do działania usługi, umowa może zawierać wymagania bezpieczeństwa wynikające z obowiązków klienta, nawet gdy dostawca nie zostanie formalnie zakwalifikowany jako podmiot kluczowy lub ważny.

Jak rozpoznać, czy firma podlega regulacji – analiza zakresu zamiast zgadywania

Ustalenie, czy przedsiębiorstwo podlega NIS 2, powinno przypominać analizę prawnobiznesową, a nie szybki test oparty na liczbie pracowników albo nazwie branży. Najpierw trzeba ustalić, co firma faktycznie robi, następnie powiązać tę działalność z sektorem wskazanym w przepisach i dopiero później ocenić wielkość podmiotu, jego rolę w łańcuchu dostaw oraz znaczenie świadczonej usługi.

W praktyce przydatne jest przygotowanie krótkiej mapy działalności. Powinna ona obejmować nie tylko główny przedmiot wpisany do umowy spółki lub rejestru, lecz także usługi rzeczywiście oferowane klientom. Wiele przedsiębiorstw wykonuje zadania poboczne, które z punktu widzenia NIS 2 mogą mieć większe znaczenie niż działalność wskazana jako podstawowa. Dotyczy to zwłaszcza utrzymywania infrastruktury, zarządzania systemami, przetwarzania danych operacyjnych albo obsługi procesów, od których zależy działanie innej organizacji.

Pierwszy etap: opis faktycznej działalności

Analizę warto rozpocząć od odpowiedzi na kilka powiązanych ze sobą pytań: jakie usługi firma świadczy, kto z nich korzysta, jakie systemy są niezbędne do ich realizacji oraz jakie skutki wywołałoby ich dłuższe zakłócenie. Istotne jest również ustalenie, czy przedsiębiorstwo samo świadczy usługę objętą regulacją, czy tylko dostarcza element techniczny innemu podmiotowi.

Nie należy opierać się wyłącznie na kodach działalności gospodarczej. Mogą one pomóc uporządkować analizę, ale nie zastępują oceny rzeczywistego modelu biznesowego. Dwie firmy o podobnym wpisie rejestrowym mogą pełnić zupełnie różne funkcje: jedna może realizować standardowe projekty informatyczne, a druga utrzymywać system niezbędny do działania infrastruktury transportowej, energetycznej lub medycznej.

Warto również rozdzielić usługi świadczone okazjonalnie od tych, które stanowią stały i krytyczny element działalności klienta. Jednorazowe wdrożenie programu nie musi mieć takiego samego znaczenia jak całodobowe utrzymywanie systemu, zapewnianie dostępu do infrastruktury chmurowej albo monitorowanie środowiska bezpieczeństwa.

Drugi etap: przyporządkowanie do sektora i rodzaju usługi

Po opisaniu działalności należy sprawdzić, czy mieści się ona w sektorze oraz kategorii usług objętych krajowymi przepisami wdrażającymi NIS 2. Analiza powinna uwzględniać definicje ustawowe, ponieważ potoczne rozumienie branży może prowadzić do błędnych wniosków. Przykładowo, „firma IT” może być dostawcą zwykłego oprogramowania, dostawcą zarządzanej usługi IT, operatorem centrum danych albo podmiotem świadczącym usługę bezpieczeństwa. Każda z tych ról może wiązać się z inną oceną prawną.

W tym miejscu trzeba przeanalizować również zakres odpowiedzialności wobec klienta. Jeżeli przedsiębiorstwo tylko dostarcza licencję, jego rola będzie inna niż w sytuacji, w której samodzielnie administruje systemem, decyduje o konfiguracji zabezpieczeń, przechowuje kopie zapasowe i reaguje na awarie. Im większa kontrola nad usługą i jej infrastrukturą, tym większe znaczenie ma ocena cyberbezpieczeństwa dostawcy.

Pomocne jest sporządzenie opisu usługi w języku operacyjnym, bez marketingowych określeń. Zamiast zapisu „kompleksowa obsługa technologiczna” lepiej wskazać, czy firma zapewnia hosting, monitoring, zarządzanie tożsamością, kopie zapasowe, obsługę incydentów, utrzymanie aplikacji lub dostęp do zasobów obliczeniowych. Taki opis ułatwia późniejsze porównanie działalności z przepisami.

Trzeci etap: wielkość podmiotu i powiązania organizacyjne

Następnie należy ustalić wielkość przedsiębiorstwa według właściwych kryteriów, a nie tylko na podstawie liczby osób zatrudnionych na umowę o pracę. Znaczenie mogą mieć również dane finansowe, powiązania z innymi podmiotami oraz sposób ustalania statusu przedsiębiorstwa w grupie. W przypadku spółek powiązanych konieczne jest sprawdzenie, czy przy ocenie wielkości należy uwzględnić dane podmiotów partnerskich lub powiązanych.

Nie można też zakładać, że outsourcing funkcji IT zmniejsza rozmiar obowiązków. Jeżeli firma korzysta z zewnętrznego operatora chmury, centrum danych lub dostawcy usług bezpieczeństwa, nadal powinna ustalić, za jakie procesy odpowiada samodzielnie. Zlecenie zadania innemu podmiotowi zmienia sposób realizacji obowiązku, ale nie zawsze usuwa odpowiedzialność za zapewnienie ciągłości działalności i właściwe zarządzanie ryzykiem.

W grupie kapitałowej trzeba osobno przeanalizować każdą spółkę, jej klientów, usługi i systemy. Dopiero po takim przeglądzie można ocenić, które elementy mogą być zarządzane centralnie, a które wymagają odrębnych decyzji, rejestrów, procedur i zgłoszeń. Wspólna polityka bezpieczeństwa jest dobrym narzędziem organizacyjnym, ale nie powinna zacierać podziału odpowiedzialności.

Czwarty etap: znaczenie usługi dla klienta i rynku

Sama relacja handlowa z podmiotem objętym NIS 2 nie przesądza jeszcze o formalnym statusie dostawcy. Ma jednak duże znaczenie praktyczne. Trzeba ustalić, czy przerwa w działaniu usługi dostawcy mogłaby zatrzymać proces o istotnym znaczeniu, ograniczyć dostęp do infrastruktury, zakłócić obsługę klientów lub utrudnić reakcję na incydent.

Analiza powinna obejmować co najmniej zależności techniczne, czas przywrócenia usługi, możliwość zastąpienia dostawcy oraz skutki utraty poufności, integralności lub dostępności systemu. W przypadku usług wspólnych trzeba uwzględnić efekt skali. Awaria niewielkiego komponentu może mieć ograniczone skutki dla jednego klienta, ale stać się poważnym problemem, jeżeli ten sam komponent jest używany przez wielu operatorów.

Wynik takiej analizy powinien być opisany w sposób, który da się obronić przed zarządem, audytorem lub organem nadzorczym. Samo stwierdzenie „firma nie jest krytyczna” jest niewystarczające. Lepsze będzie wskazanie, jakie usługi oceniono, jakie systemy je obsługują, jakie są zależności od dostawców oraz dlaczego przyjęto określoną kwalifikację.

Piąty etap: weryfikacja rejestracyjna i aktualnego prawa

Po zebraniu informacji należy sprawdzić, czy przepisy krajowe przewidują obowiązek zgłoszenia lub wpisu do odpowiedniego wykazu. Nie powinno się czekać na kontakt organu, jeżeli z analizy wynika, że przedsiębiorstwo może należeć do grupy objętej regulacją. Właściwy organ może oczekiwać od firmy przekazania danych identyfikacyjnych, informacji o świadczonych usługach i osobach odpowiedzialnych za kontakt.

Ważne jest korzystanie z aktualnych źródeł. Przedsiębiorca powinien sprawdzić obowiązującą ustawę, akty wykonawcze, komunikaty właściwego organu oraz oficjalne wytyczne dotyczące zgłaszania i nadzoru. Materiał opisujący projekt przepisów może być pomocny jako kontekst, ale nie powinien stanowić podstawy do podjęcia decyzji o spełnieniu lub niespełnieniu obowiązku.

Jeżeli kwalifikacja jest niejednoznaczna, należy udokumentować przyjęte założenia i zakres przeprowadzonej analizy. W praktyce może to być memorandum, mapa usług, opinia prawna albo uchwała zarządu odnosząca się do wyniku oceny. Dokument nie zwalnia z obowiązków, ale pokazuje, że decyzja nie była przypadkowa i może zostać ponownie zweryfikowana po zmianie modelu biznesowego, przepisów lub relacji z klientami.

Zmiana działalności może zmienić status firmy

Ocena podlegania NIS 2 nie powinna być traktowana jako czynność wykonywana tylko raz. Status przedsiębiorstwa może zmienić się po przejęciu nowego klienta, uruchomieniu usługi chmurowej, wejściu do nowego sektora, połączeniu spółek albo przejęciu odpowiedzialności za system wcześniej zarządzany przez inną organizację.

Dlatego w umowach, procesie zakupowym i zarządzaniu zmianą warto uwzględnić pytanie o wpływ nowej usługi na cyberbezpieczeństwo. Szczególnie istotne są projekty obejmujące systemy produkcyjne, automatykę przemysłową, platformy obsługi klientów, infrastrukturę sieciową oraz narzędzia wykorzystywane przez podmioty regulowane. Brak ponownej oceny po istotnej zmianie może sprawić, że firma pozostanie przy kwalifikacji, która przestała odpowiadać rzeczywistości.

Jakie kary mogą grozić za brak wdrożenia NIS 2?

Konsekwencje naruszenia NIS 2 nie ograniczają się do jednorazowej kary pieniężnej. System sankcji ma skłonić organizację do usunięcia nieprawidłowości, zapewnienia współpracy z organem i wdrożenia rzeczywistych zabezpieczeń. Dlatego znaczenie mogą mieć zarówno wysokość kary, jak i nakazy administracyjne, ograniczenia dotyczące pełnienia funkcji przez osoby zarządzające oraz skutki biznesowe związane z ujawnieniem naruszenia.

Dyrektywa przewiduje minimalny poziom maksymalnych administracyjnych kar pieniężnych, różnicując go zależnie od kategorii podmiotu. Dla podmiotów kluczowych poziom ten jest powiązany z kwotą co najmniej 10 mln euro albo 2 proc. całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy zastosowaniu wyższej wartości. Dla podmiotów ważnych dyrektywa wskazuje co najmniej 7 mln euro albo 1,4 proc. takiego obrotu, również według wyższej wartości. Są to poziomy wynikające z ram unijnych, natomiast konkretne zasady nakładania kar w Polsce wynikają z krajowych przepisów wdrażających dyrektywę.

Nie oznacza to, że każda nieprawidłowość automatycznie prowadzi do kary o maksymalnej wysokości. Organ powinien uwzględniać między innymi charakter, wagę i czas trwania naruszenia, jego skutki, liczbę osób lub podmiotów dotkniętych zdarzeniem, wcześniejsze naruszenia, stopień współpracy oraz działania podjęte w celu ograniczenia szkody. Duże znaczenie może mieć także to, czy organizacja miała procedury, czy je stosowała i czy potrafiła wykazać ich skuteczność.

Nie tylko kara pieniężna

Organ nadzorczy może żądać usunięcia stwierdzonych uchybień, wskazać termin wykonania określonych działań, nakazać przeprowadzenie audytu lub zażądać przedstawienia dowodów wdrożenia zabezpieczeń. W poważnych przypadkach mogą pojawić się również środki dotyczące czasowego ograniczenia działalności albo pełnienia funkcji kierowniczych, jeżeli przepisy krajowe przewidują taką możliwość.

Praktyczne ryzyko jest szersze niż sama decyzja administracyjna. Brak zgodności może prowadzić do zerwania kontraktu, utraty certyfikacji, zwiększenia kosztów ubezpieczenia cyber, konieczności sfinansowania pilnego audytu oraz utraty zaufania klientów. Dla dostawcy usług IT szczególnie dotkliwe może być wykreślenie z listy preferowanych dostawców lub ograniczenie możliwości udziału w postępowaniach zakupowych.

Co warto zapamiętać

• NIS 2 obejmuje nie tylko zabezpieczenia IT, lecz także zarządzanie ryzykiem, odpowiedzialność kierownictwa, ciągłość działania, obsługę incydentów i bezpieczeństwo dostawców.
• O podleganiu regulacji decydują przede wszystkim sektor działalności, wielkość przedsiębiorstwa oraz szczególna rola podmiotu lub świadczonej usługi.
• Podział na podmioty kluczowe i ważne wpływa na sposób nadzoru, ale obie grupy mają obowiązki w zakresie cyberbezpieczeństwa i reagowania na incydenty.
• Spełnianie wymagań RODO nie oznacza automatycznie spełniania wymagań NIS 2, ponieważ regulacje dotyczą różnych obszarów ochrony.
• Polska firma powinna weryfikować aktualne przepisy krajowe wdrażające dyrektywę, ponieważ to one określają właściwe organy, procedury i sankcje.
• Mała firma również może podlegać obowiązkom, zwłaszcza gdy świadczy usługę o znaczeniu systemowym, jest kluczowym dostawcą albo została wskazana przez właściwy organ.