Po NIS2 nadchodzi nowa era cyberbezpieczeństwa. Dlaczego rynek mówi już o „NIS3”?

Dyrektywa NIS2 jest dopiero wdrażana w państwach członkowskich Unii Europejskiej, jednak już dziś coraz wyraźniej widać, że dla Komisji Europejskiej nie jest ona docelowym modelem regulacyjnym, lecz raczej fundamentem pod budowę znacznie szerszego systemu cyberodporności europejskiej gospodarki.

Choć formalnie nie istnieje jeszcze „NIS3”, rynek coraz częściej używa tego określenia wobec kolejnych inicjatyw regulacyjnych dotyczących bezpieczeństwa łańcuchów dostaw ICT, ochrony infrastruktury przemysłowej, odporności systemów energetycznych oraz bezpieczeństwa strategicznych sektorów gospodarki. To właśnie w tym kierunku zmierza dziś europejska polityka cyberbezpieczeństwa.

Od bezpieczeństwa IT do odporności całej gospodarki

Jeszcze kilka lat temu cyberbezpieczeństwo było postrzegane przede wszystkim jako kwestia techniczna pozostająca w kompetencjach działów IT. Obecnie podejście regulatorów zmienia się radykalnie. Rozwój przemysłu 4.0, cyfryzacji produkcji, inteligentnych sieci energetycznych, infrastruktury magazynowania energii oraz systemów opartych na wymianie danych sprawił, że cyberbezpieczeństwo zaczyna bezpośrednio wpływać na funkcjonowanie całych sektorów gospodarki.

Coraz częściej mówi się nie tylko o ochronie danych, ale przede wszystkim o odporności operacyjnej przedsiębiorstw, ciągłości produkcji, bezpieczeństwie infrastruktury krytycznej oraz odporności państw na zagrożenia cyfrowe i geopolityczne. Cyberbezpieczeństwo przestało być wyłącznie sprawą działów IT. W gospodarce opartej na danych, automatyzacji i systemach połączonych incydent cybernetyczny może zatrzymać produkcję, zaburzyć funkcjonowanie infrastruktury energetycznej, przerwać dostawy usług krytycznych albo wywołać skutki w całym łańcuchu wartości.

Właśnie dlatego nowe regulacje europejskie coraz częściej posługują się pojęciem odporności, a nie tylko bezpieczeństwa. Chodzi już nie tylko o zapobieganie atakom, ale również o zdolność organizacji, sektorów i całych gospodarek do utrzymania działania, ograniczenia skutków incydentów oraz szybkiego odtwarzania funkcji krytycznych.

„Z perspektywy producenta infrastruktury elektroenergetycznej incydent z 29 grudnia 2025 r. był momentem przełomowym – po raz pierwszy w skali NATO i UE celem skoordynowanego, destrukcyjnego ataku stały się jednocześnie OZE, ciepłownictwo i przemysł, a wektorami były urządzenia, które codziennie projektujemy w stacjach i systemach BESS. To dlatego cyberbezpieczeństwo nie może być modułem doklejanym na końcu – musi być częścią architektury od pierwszej linii schematu, zgodnie z security-by-design, IEC 62443 dla OT i wymaganiami CRA dla produktów. NIS2 to dla nas punkt startu, a nie cel – i widać, że Komisja Europejska w styczniowym pakiecie 2026 idzie dokładnie w tę stronę, łącząc NIS2, Cybersecurity Act 2 i framework łańcucha dostaw ICT w jeden spójny system. Dyskusja o „NIS3” jest więc trochę myląca w warstwie nazewniczej, ale w warstwie merytorycznej – jak najbardziej trafna – podkreśla Marek Borówka, architekt systemów specjalizujący się w dziedzinie cyberbezpieczeństwa przemysłowego, ZPUE S.A.

Cyberbezpieczeństwo jako element transformacji energetycznej

Zmiana ta jest szczególnie widoczna w branżach związanych z energetyką, magazynami energii, elektromobilnością i produkcją baterii. Europejski sektor bateryjny stał się jednym z najważniejszych elementów transformacji energetycznej oraz strategicznej polityki przemysłowej UE.

Równolegle rosnąca cyfryzacja produkcji, rozwój systemów BMS i EMS, wykorzystanie telemetryki, integracji API, chmury obliczeniowej oraz wdrażanie cyfrowych paszportów produktów powodują, że branża ta staje się jednocześnie jednym z najbardziej narażonych sektorów pod względem cyberbezpieczeństwa.

Nowoczesne magazyny energii nie są już wyłącznie urządzeniami technicznymi stojącymi przy instalacji OZE albo w zakładzie przemysłowym. Stają się elementami cyfrowej infrastruktury energetycznej. Funkcjonują w oparciu o systemy zarządzania energią, komunikację z falownikami, kontrolery, systemy BMS, dane telemetryczne, integracje z platformami nadzorczymi i coraz częściej także zdalny monitoring.

Jeżeli magazyny energii mają wspierać stabilizację sieci, elastyczność systemu i bezpieczeństwo dostaw, ich cyberbezpieczeństwo przestaje być kwestią dodatkową. Staje się częścią bezpieczeństwa energetycznego.

Cyber Resilience Act i rozbudowa europejskiego systemu cyberodporności

Najważniejsza zmiana polega na tym, że Unia Europejska coraz mniej patrzy na cyberbezpieczeństwo jak na zamknięty katalog zabezpieczeń technicznych, a coraz bardziej jak na warunek ciągłości działania gospodarki.

Widać to w kilku równoległych regulacjach i inicjatywach. Cyber Resilience Act ma wprowadzić horyzontalne wymagania cyberbezpieczeństwa dla produktów z elementami cyfrowymi, czyli dla sprzętu i oprogramowania, które mogą łączyć się bezpośrednio lub pośrednio z innymi urządzeniami albo siecią.

Komisja Europejska przedstawia CRA jako odpowiedź na rosnącą liczbę podatności produktów cyfrowych oraz potrzebę projektowania bezpieczeństwa już na etapie tworzenia produktu. Równolegle rozwijany jest Cybersecurity Act i europejskie ramy certyfikacji cyberbezpieczeństwa, które mają wzmacniać zaufanie do produktów, usług i procesów cyfrowych na wspólnym rynku.

Znaczenie ma również planowany pakiet wzmacniający europejską cyberodporność. Komisja Europejska w styczniu 2026 r. zaproponowała nowy pakiet cyberbezpieczeństwa, którego celem jest dalsze zwiększanie odporności i zdolności UE w tym obszarze.

To pokazuje, że nawet po przyjęciu NIS2 europejska polityka cyberbezpieczeństwa pozostaje w fazie dynamicznej rozbudowy. Nie chodzi więc o jedną kolejną dyrektywę, ale o coraz bardziej złożony system regulacyjny obejmujący organizacje, produkty, infrastrukturę, dostawców, certyfikację oraz zarządzanie kryzysowe.

Bezpieczeństwo łańcuchów dostaw ICT

Szczególnie ważnym elementem tej zmiany jest bezpieczeństwo łańcuchów dostaw ICT. Komisja Europejska pracuje nad podejściem, które ma ograniczać ryzyka wynikające z zależności od dostawców technologii, usług chmurowych, oprogramowania, komponentów cyfrowych i infrastruktury komunikacyjnej.

W materiałach dotyczących ICT Supply Chain Security Toolbox Komisja wskazuje na potrzebę poprawy bezpieczeństwa łańcuchów dostaw ICT, ponieważ podatności dostawców mogą przenosić ryzyko na całe sektory i państwa członkowskie.

To jeden z najważniejszych powodów, dla których rynek mówi dziś o „NIS3”. Przyszły kierunek regulacyjny prawdopodobnie nie będzie polegał wyłącznie na dopisaniu nowych obowiązków do NIS2, ale na dalszym rozszerzeniu odpowiedzialności za cyberbezpieczeństwo na cały ekosystem dostawców i partnerów technologicznych.

W tym miejscu cyberbezpieczeństwo zaczyna przypominać ESG i due diligence w łańcuchach dostaw. Organizacje nie odpowiadają już wyłącznie za własne procesy. Coraz częściej muszą rozumieć, skąd pochodzą technologie, kto dostarcza oprogramowanie, gdzie przetwarzane są dane, jakie integracje tworzą powierzchnię ataku i w jaki sposób dostawcy reagują na podatności.

Cyberbezpieczeństwo OT i przemysł 4.0

Ten kierunek ma szczególne znaczenie dla przemysłu. ENISA w raporcie Threat Landscape 2025 wskazuje, że analizowany okres od lipca 2024 r. do czerwca 2025 r. obejmował niemal 4900 opracowanych incydentów, a środowisko zagrożeń charakteryzowało się szybkim wykorzystywaniem podatności oraz rosnącą złożonością działań cyberprzestępców.

Nie jest to już wyłącznie abstrakcyjny problem dla firm przemysłowych. W środowisku produkcyjnym cyberatak może oznaczać opóźnienia logistyczne, problemy jakościowe, ograniczenie wolumenów produkcji i ogromne straty finansowe, ale także przestój w zakładzie oraz ryzyko dla bezpieczeństwa ludzi i infrastruktury.

Przez lata wiele środowisk OT działało w logice izolacji. Zakład przemysłowy mógł zakładać, że automatyka, sterowniki, systemy SCADA, PLC czy MES są odseparowane od świata zewnętrznego. Dzisiaj ten model staje się coraz mniej realny.

Produkcja jest integrowana z systemami IT, chmurą, platformami raportowymi, narzędziami predykcyjnego utrzymania ruchu, systemami traceability i aplikacjami do analizy danych. To poprawia efektywność, ale równocześnie tworzy nowe powierzchnie ataku.

Właśnie dlatego cyberbezpieczeństwo OT będzie jednym z najważniejszych tematów kolejnych lat. W klasycznym IT priorytetem jest często poufność danych, integralność informacji i dostępność systemów. W OT szczególnie ważna jest ciągłość działania, bezpieczeństwo procesu i stabilność środowiska produkcyjnego.

Cyfrowe paszporty produktów i nowe ryzyka danych

Kolejnym obszarem zwiększającym znaczenie cyberbezpieczeństwa jest cyfrowy paszport produktu. Komisja Europejska wskazuje, że Digital Product Passport jest kluczową innowacją w ramach rozporządzenia ESPR i ma służyć przechowywaniu oraz udostępnianiu istotnych danych o produkcie, w tym danych dotyczących zrównoważenia, trwałości i innych aspektów środowiskowych.

W przypadku baterii temat jest jeszcze bardziej konkretny, ponieważ unijny paszport baterii ma wprowadzić nowe wymagania dotyczące transparentności i danych w całym łańcuchu wartości baterii — od surowców po koniec życia produktu.

Im większe znaczenie mają dane produktowe, tym większe znaczenie ma również ich bezpieczeństwo, integralność i odporność systemów wymiany informacji.

„NIS3” jako skrót dla nowej architektury cyberodporności

W tym miejscu dobrze widać, dlaczego dyskusja o „NIS3” jest tak nośna. Nie chodzi o to, że pojawi się jeden nowy akt prawny pod taką nazwą. Chodzi raczej o to, że europejskie regulacje układają się w coraz bardziej spójny system.

NIS2 obejmuje organizacje i zarządzanie ryzykiem. Cyber Resilience Act obejmuje produkty z elementami cyfrowymi. Cybersecurity Act rozwija certyfikację. Inicjatywy dotyczące ICT supply chain security obejmują dostawców technologii. CER dotyczy odporności podmiotów krytycznych. Cyfryzacja energetyki zwiększa znaczenie cyberbezpieczeństwa infrastruktury, a DPP przenosi wymianę danych produktowych na nowy poziom.

Razem tworzy to architekturę, która coraz bardziej przypomina europejski system cyberodporności.

Obawy branży: koszty, tempo zmian i nakładanie się regulacji

Ten kierunek budzi jednak również realne obawy w branży. Przedsiębiorstwa przemysłowe już dziś mierzą się z bardzo dużą liczbą nowych obowiązków. W tym samym czasie muszą wdrażać wymagania ESG, raportowanie zrównoważonego rozwoju, obowiązki produktowe, wymogi śladu węglowego, CBAM, regulacje bateryjne, DPP oraz nowe wymagania cyberbezpieczeństwa.

Dla dużych organizacji oznacza to konieczność budowy interdyscyplinarnych zespołów łączących compliance, IT, OT, ESG, prawników, zakupy, jakość i zarządzanie ryzykiem. Dla średnich firm może to być jeszcze trudniejsze, ponieważ często nie dysponują rozbudowanymi zespołami cyberbezpieczeństwa ani dojrzałymi procesami zarządzania dostawcami technologii.

Największym problemem nie jest sama potrzeba zwiększania cyberbezpieczeństwa, ponieważ trudno ją dziś kwestionować. Problemem pozostają tempo zmian, koszty i nakładanie się regulacji.

Cyberbezpieczeństwo jako element governance

Cyberbezpieczeństwo coraz bardziej przypomina dziś ESG. Najpierw było postrzegane jako temat specjalistyczny, później jako obszar compliance, a obecnie staje się elementem governance i strategii biznesowej.

Zarząd nie może już traktować cyberbezpieczeństwa jako technicznego kosztu po stronie IT. Musi rozumieć je jako ryzyko operacyjne, regulacyjne, finansowe i reputacyjne.

W firmach przemysłowych zmiana ta może być szczególnie trudna, ponieważ wymaga przełamania tradycyjnego podziału między IT i OT. Bezpieczeństwo systemu ERP, systemu produkcyjnego, linii montażowej, platformy DPP i systemu zarządzania energią nie powinno być analizowane osobno, ponieważ w praktyce wszystkie te elementy coraz częściej tworzą jeden cyfrowy ekosystem.

Wnioski dla przemysłu, energetyki i rynku baterii

NIS2 nie jest końcem europejskiej regulacji cyberbezpieczeństwa, lecz początkiem nowego etapu. Formalnie nie istnieje dziś dyrektywa NIS3, ale kierunek zmian jest już wyraźnie widoczny.

Unia Europejska buduje system, w którym cyberbezpieczeństwo obejmuje organizacje, produkty, infrastrukturę, dostawców, dane, certyfikację i odporność operacyjną. Dla przemysłu, energetyki, producentów baterii i operatorów magazynów energii oznacza to konieczność znacznie szerszego spojrzenia na ryzyko cyfrowe.

Organizacje, które potraktują NIS2 wyłącznie jako obowiązek formalny, mogą bardzo szybko znaleźć się pod presją kolejnych wymagań. Znacznie bezpieczniejszym podejściem jest potraktowanie NIS2 jako punktu wyjścia do budowy dojrzałego systemu cyber governance.

Taki system powinien obejmować nie tylko polityki i procedury, ale również realne rozpoznanie aktywów IT i OT, analizę krytyczności procesów, zarządzanie dostawcami, bezpieczeństwo danych produktowych, odporność systemów energetycznych, reagowanie na incydenty oraz odpowiedzialność zarządu.

---

Magdalena Pasik

Inżynier Gospodarki Wodnej oraz Inżynier Środowiska, absolwentka Uniwersytetu Przyrodniczego we Wrocławiu. Na co dzień – Specjalista ds. ochrony środowiska – w pracy zawodowej zajmuje się głównie emisją zanieczyszczeń do powietrza. Ochrona środowiska to nie tylko praca, ale przede wszystkim pasja.