Początki dyrektywy NIS sięgają 2016 r., kiedy została przyjęta przez państwa członkowskie UE, stanowiąc pierwsze europejskie prawo cyberbezpieczeństwa (dyrektywa Parlamentu Europejskiego i Rady (UE) 2016/1148 z 6 lipca 2016 r. w sprawie środków na rzecz wysokiego wspólnego poziomu bezpieczeństwa sieci i systemów informatycznych na terytorium Unii). Dyrektywa jest nieznaczną harmonizacją, wyznaczając określone minimalne warunki, które należy spełniać. Nie ogranicza przy tym możliwości państw członkowskich regulowania problematyki cyberbezpieczeństwa administracji publicznej, opierając się w szczególności na współpracy zarówno międzynarodowej, jak i krajowej poprzez wprowadzenie obowiązku raportowania incydentów oraz odpowiedniego zarządzania ryzykiem dla operatorów usług kluczowych i dostawców usług cyfrowych.
Czytaj także: Hejt, groźby, cyberprzemoc, seksualne wykorzystywanie dzieci -zgłoś nielegalne treści w internecie
W grudniu 2020 r. Komisja Europejska zaprezentowała nową koncepcję cyberbezpieczeństwa, nowej kompleksowej regulacji, nazwanej dyrektywą NIS 2 (dalej: dyrektywa). Przepisy dyrektywy mają zupełnie zastąpić dyrektywę NIS, usuwając jej słabości i znaczące różnice w implementacji między poszczególnymi państwami członkowskimi UE.
Komisja Europejska nie zdecydowała się przy tym na regulację powyższego zagadnienia w rozporządzeniu. Pakiet proponowany przez KE składa się w szczególności ze strategii cyberbezpieczeństwa Unii Europejskiej, dyrektywy w sprawie odporności infrastruktury krytycznej, dyrektywy, oraz raportu o wpływie rekomendacji KE z 26 marca 2019 r. na cyberbezpieczeństwo sieci 5G.
Modyfikacja i udoskonalenie
Biorąc pod uwagę powyższe, ustawodawca UE zdecydował, że tym razem to sama dyrektywa określi krąg podmiotów, które będą podlegać jej regulacjom. W poszukiwaniu jednolitego kryterium zdecydowano, że opierać się będzie na kryterium wielkości podmiotu. Wyłączono więc mikro- i małych przedsiębiorców, ale z pewnymi wyjątkami. Wskazano też, że każdy średni i duży przedsiębiorca prowadzący działalność wymienioną w załączniku do propozycji dyrektywy, powinien być objęty jej regulacją. ENISA (unijna Ugencja ds. Cyberbezpieczeństwa) prowadzić będzie rejestr podmiotów objętych dyrektywą i, co ważne, do którego wspomniane podmioty powinny same się zgłosić.
