Irlandzka ustawa NIS2 nadchodzi: co muszą wiedzieć dostawcy z UE

Irlandia przekroczyła termin NIS2 o ponad 18 miesięcy. To nie przypis — to problem, który dziedziczysz w chwili, gdy jeden z twoich klientów zależy od irlandzkiego dostawcy.

Jeśli prowadzisz MSP albo doradzasz europejskim organizacjom w zakresie zgodności, Irlandia waży więcej, niż sugeruje jej wielkość. Mieści europejskie siedziby Microsoftu, Google, Meta, AWS oraz sporą część mocy centrów danych na kontynencie. Gdy irlandzkie prawo NIS2 wreszcie wejdzie w życie, ogromna ilość krytycznej infrastruktury cyfrowej naraz trafi w zakres regulacji — a łańcuchy dostaw twoich klientów przechodzą przez nią na wylot.

Oto co naprawdę się dzieje i co powinieneś zrobić, zanim ustawa zostanie przyjęta.

Irlandia to ostatnia duża gospodarka UE bez ustawy NIS2

NIS2 miała zostać transponowana do prawa krajowego do 17 października 2024 r. Irlandia znacznie przekroczyła tę datę. W połowie 2026 r. National Cyber Security Bill wciąż przechodzi przez Oireachtas, a Irlandia należy do nielicznych państw członkowskich — obok Francji, Luksemburga, Holandii i Hiszpanii — w których ustawodawstwo transponujące jeszcze nie obowiązuje.

Opóźnienie jest po części polityczne. Wybory powszechne w 2024 r. przerwały kalendarz legislacyjny i projekt się poślizgnął. Ale Komisja Europejska straciła cierpliwość. Irlandia otrzymała wezwanie do usunięcia uchybienia, potem uzasadnioną opinię, a Komisja zasygnalizowała, że skieruje państwa nietransponujące do Trybunału Sprawiedliwości.

Praktyczny wniosek: kierunek jest przesądzony. Ustawa przejdzie. Otwarte pozostaje tylko wyczucie czasu, a „czekamy na ustawę" to nie jest obrona, na której chciałbyś oprzeć klienta.

Ustawa czyni z NCSC irlandzkiego regulatora cyber

Irlandzkie National Cyber Security Centre (NCSC) staje się na mocy nowej ustawy Lead Competent Authority oraz Single Point of Contact. To znaczące rozszerzenie roli organu, który dotąd pełnił głównie funkcję doradczą.

Ale Irlandia nie stawia na model jednego regulatora. Regulatorzy sektorowi zachowują uprawnienia egzekucyjne w swoich dziedzinach — operator energetyczny odpowiada przed swoim regulatorem sektorowym, podmiot ochrony zdrowia przed innym, i tak dalej, a NCSC koordynuje na szczycie. Dla konsultantów oznacza to, że „kto nadzoruje tego klienta" to realne pytanie z więcej niż jedną możliwą odpowiedzią. Nie zakładaj, że NCSC jest organem egzekwującym dla każdego podmiotu.

NCSC już wyprzedziło ustawodawstwo. W czerwcu 2025 r. opublikowało projekt wytycznych dotyczących Risk Management Measures i uruchomiło irlandzką wersję ram CyberFundamentals (CyFun). Nawet bez obowiązującego prawa istnieje więc udokumentowany zestaw oczekiwań, do którego już dziś można dostrajać klientów.

Ustal, którzy klienci — i ich dostawcy — są w zakresie

NIS2 w Irlandii stosuje standardowy podział essential/important w typowych sektorach: energetyka, transport, bankowość, infrastruktura rynków finansowych, zdrowie, woda pitna i ścieki, infrastruktura cyfrowa, zarządzanie usługami ICT, administracja publiczna, przestrzeń kosmiczna, plus poziom „important" obejmujący usługi pocztowe, gospodarkę odpadami, chemikalia, żywność, produkcję, dostawców cyfrowych i badania.

Dwie rzeczy powodują potknięcia.

Po pierwsze, wielkość. Zasada domyślna: średnie i duże podmioty w objętym sektorze są w zakresie — z grubsza co najmniej 50 pracowników albo mniej niż 50 przy obrotach i sumie bilansowej obu powyżej 10 mln euro — ale są przypadki nadrzędne, w których małe podmioty i tak się kwalifikują ze względu na krytyczność tego, co robią. Maleńki dostawca DNS albo jedyny krajowy rejestr nie dostaje zwolnienia.

Po drugie, łańcuch dostaw. Nawet jeśli twój klient sam nie jest podmiotem regulowanym, irlandzka essential lub important entity, która od niego zależy, przełoży obowiązki poziomu NIS2 w dół poprzez umowy. Dokładnie do tego zaprojektowano wymóg dotyczący łańcucha dostaw z Article 21. Przeczytaj nasz przewodnik po umowach z dostawcami, by zobaczyć, jak zwykle wyglądają te klauzule.

Kary są realne — i nie kończą się na firmie

Irlandzki General Scheme odzwierciedla pułapy NIS2. Essential entities grożą kary administracyjne do €10 milionów lub 2% światowego obrotu grupy, w zależności od tego, która kwota jest wyższa. Important entities do €7 milionów lub 1,4% obrotu.

Liczbą, która budzi zarząd, jest mnożnik od obrotu, a nie sztywny pułap. Dla średniej grupy 2% globalnych przychodów to kwota daleko przewyższająca €10 milionów, liczona od całej grupy, a nie od samej irlandzkiej spółki zależnej.

Ale kara to dopiero pierwsza warstwa. NIS2 dosięga też kierownictwa osobiście: kadra zarządzająca może odpowiadać za uchybienia w nadzorze, a organy mogą nałożyć czasowe zakazy na osoby pełniące funkcje kierownicze w essential entities. Do tego dochodzą skutki operacyjne: zawieszenie zezwoleń, obowiązkowa naprawa, publiczne ujawnienie naruszeń. Utrata reputacji i utracone kontrakty kosztują zwykle więcej niż sama kara.

Dlatego odpowiedzialność zarządu to nie taktyka zastraszania — jest wpisana w ramy. Jeśli doradzasz irlandzkim podmiotom lub ich grupom macierzystym, rozmowa o tym, kto ponosi osobistą odpowiedzialność, musi odbyć się przed incydentem, a nie po.

CyFun to zalecana przez Irlandię droga, nie jedyna

NCSC wskazało CyberFundamentals jako preferowaną drogę wykazania zgodności z NIS2. CyFun to warstwowe, oparte na standardach ramy zbudowane na NIST Cybersecurity Framework, z poziomami dojrzałości, które możesz przypisać klientowi na podstawie jego profilu ryzyka. To te same ramy, którymi Belgia uczyniła NIS2 konkretnym, więc istnieje realny precedens, jak działa to w praktyce.

Kluczowe: CyFun jest zalecany, nie nakazany. NCSC potwierdziło, że ISO 27001, IEC 62443, COBIT i standardy NIST pozostają akceptowalnymi sposobami wykazania zgodności. Jeśli twój klient prowadzi już certyfikowany SZBI ISO 27001, nie wyrzucasz go — mapujesz go na irlandzkie oczekiwania i domykasz różnice. Nasze zestawienie NIS2 vs ISO 27001 pokazuje, gdzie zwykle są luki.

Dla większości MSP pragmatycznym ruchem jest wybór jednego frameworku kontrolnego, dostrojenie do niego każdego irlandzkiego klienta i unikanie odrębnego podejścia dla każdego z osobna. Spójność sprawia, że portfolio jest audytowalne.

Co zrobić teraz, zanim prawo wejdzie w życie

Czekanie na przyjęcie ustawy to zły odruch. Obowiązki są znane, oczekiwania NCSC są opublikowane, a zegar audytu rusza w dniu wejścia prawa w życie — nie w dniu, w którym znajdziesz czas, by je przeczytać.

Zacznij od trzech ruchów. Zmapuj, którzy klienci i którzy z ich kluczowych dostawców dotykają irlandzkiej essential lub important entity. Wybierz framework kontrolny — CyFun lub ISO 27001 — i ujednolić się na nim. Następnie przeprowadź analizę luk względem dziesięciu środków z Article 21, by poznać rzeczywisty dystans do zgodności, a nie ten zakładany. Nasz przewodnik krok po kroku po analizie luk przechodzi przez całą sekwencję.

Jeśli chcesz szybko sprawdzić, gdzie stoi konkretny klient, przeprowadź go przez NIS2 Quick Scan. Zajmuje minuty i daje możliwy do obrony punkt wyjścia do rozmowy o zgodności — pozycja znacznie lepsza niż mówienie klientowi, że oboje czekaliście na Dublin.