NIS2 zgłaszanie incydentów i RODO: dwa zegary, jedno zdarzenie

Sobota, 02:10. Serwer plików Twojego klienta, średniej wielkości firmy logistycznej z Wielkopolski, zaczyna szyfrować dane. O 08:00 wiesz trzy rzeczy: atakujący jest w sieci, na serwerze leżą dane pracowników i klientów, a zegar biegnie od chwili, gdy się o tym dowiedziałeś. Ostrzeżenie wczesne według NIS2 trzeba wysłać w 24 godziny. Zgłoszenie naruszenia do UODO na podstawie RODO, w 72 godziny, najpewniej też. Dwa adresaty, dwa formaty i żadne zgłoszenie nie zastępuje drugiego.

To problem podwójnego zgłaszania. Trafia najpierw do MSP, bo to MSP zwykle ma logi.

NIS2 i RODO: dwa reżimy, jeden incydent

NIS2 (dyrektywa (UE) 2022/2555) chroni ciągłość i bezpieczeństwo usług. RODO (rozporządzenie (UE) 2016/679) chroni osoby, których dane osobowe zostały ujawnione. Jeden incydent może naruszyć oba.

Artykuł 23 NIS2 przewiduje dla poważnego incydentu trzy kroki: ostrzeżenie wczesne w ciągu 24 godzin od uzyskania wiedzy, zgłoszenie incydentu w ciągu 72 godzin oraz sprawozdanie końcowe najpóźniej miesiąc po tym zgłoszeniu. Artykuł 33 RODO wymaga zgłoszenia do organu nadzorczego w ciągu 72 godzin od stwierdzenia naruszenia ochrony danych osobowych, chyba że jest mało prawdopodobne, by skutkowało ryzykiem dla osób. Artykuł 34 dodaje obowiązek zawiadomienia osób, których dane dotyczą, gdy ryzyko jest wysokie.

Oba zegary często startują w tym samym momencie. Nie kończą się w tym samym momencie. Ostrzeżenie wczesne NIS2 (24 godziny) upływa pierwsze, więc wychodzi pierwsze.

Jedno zgłoszenie nigdy nie załatwia obu

Zgłoszenie do CSIRT nie zwalnia z obowiązku z RODO. Zgłoszenie do UODO nie uruchamia ani nie zatrzymuje kaskady NIS2. Różnią się adresat, przesłanka i treść. Zgłoszenie NIS2 dotyczy skutków operacyjnych i wskaźników technicznych. Zgłoszenie RODO dotyczy kategorii danych, liczby osób i prawdopodobnych konsekwencji dla nich.

NIS2 dostrzega to nakładanie się reżimów. Motywy dyrektywy wzywają do współpracy właściwych organów z organami ochrony danych, a artykuł 35 dotyczy naruszeń obejmujących dane osobowe. Ta współpraca odbywa się między organami. Nie zmniejsza pracy Twojego klienta.

Oś czasu incydentu z danymi osobowymi

Potraktuj pierwsze 72 godziny jako jedną operację z dwoma wynikami.

W praktyce oznacza to trzy nawyki:

1. Najpierw wyślij ostrzeżenie wczesne NIS2, nawet niepełne. To sygnał, nie gotowa analiza. Napisz, co wiesz, i zaznacz, czego nie wiesz.
2. Zapisz fakty raz. Oś czasu, systemy objęte incydentem, kategorie danych, szacunkowa liczba osób, działania ograniczające. Oba zgłoszenia korzystają z tej dokumentacji.
3. Oceń dwa razy. „Poważny incydent" według NIS2 i „ryzyko dla osób" według RODO to różne testy. Incydent może przejść jeden i nie przejść drugiego.

Szczegóły strony NIS2: NIS2 zgłaszanie incydentów: terminy 24 godzin, 72 godzin i miesiąca.

Co dodaje polskie prawo

Terminy pochodzą z przepisów unijnych. Kanał zgłoszenia i organ wynikają z prawa krajowego. W Polsce nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC), wdrażająca NIS2, obowiązuje od 3 kwietnia 2026 r. (Dz.U. 2026 poz. 252). Poważne incydenty zgłasza się do właściwego CSIRT: NASK, GOV albo MON, zależnie od podmiotu. Zgłoszenie naruszenia danych osobowych idzie do Prezesa UODO. Obowiązki z KSC wchodzą etapami, więc sprawdź dla każdego klienta, czy dany obowiązek już go obejmuje. Według informacji Ministerstwa Cyfryzacji większość kar za nowe obowiązki będzie możliwa dopiero po 3 kwietnia 2028 r., ale RODO nie czeka na żadne okresy przejściowe.

Jeśli klient ma oddziały w innych krajach, zgłoszenie wygląda inaczej:

• Niemcy: portal BSI (§ 32 BSIG); zgłoszenie RODO do właściwego organu ochrony danych.
• Holandia: NCSC jako CSIRT; zgłoszenie RODO do Autoriteit Persoonsgegevens.
• Włochy: ACN przez CSIRT Italia (art. 25 D.Lgs. 138/2024); zgłoszenie RODO do Garante.
• Francja i Hiszpania: brak krajowej ustawy NIS2 w mocy; RODO wobec CNIL lub AEPD w 72 godziny obowiązuje mimo to.

Jedno okienko zgłoszeń jest proponowane, nie obowiązuje

Komisja Europejska proponuje w pakiecie Digital Omnibus jednolity punkt zgłaszania incydentów, prowadzony przez ENISA, przez nowy art. 23a NIS2. Według doniesień z lipca 2026 r. zgłoszenie RODO przeszłoby na próg „wysokiego ryzyka", a termin z 72 do 96 godzin. Negocjacje między Parlamentem a Radą trwały wtedy nadal. Jednolity punkt miałby obowiązywać 18 miesięcy po wejściu w życie, z możliwością przedłużenia do 24.

Nie buduj procesu klienta na propozycji. Buduj na prawie obowiązującym i trzymaj proces modułowy, żeby nowy portal zmieniał jeden krok, a nie wszystkie.

Co przygotować przed incydentem

MSP obwinia się o spóźnione zgłoszenia, nawet gdy obowiązek ciąży na kliencie. Kierownictwo klienta pozostaje odpowiedzialne. Twoje zadanie to uczynić ten obowiązek wykonalnym.

• Jednostronicowa karta decyzyjna: kto decyduje, że incydent jest „poważny", kto, że to „naruszenie danych", kto zatwierdza w ciągu godzin.
• Wstępnie uzupełnione dane kontaktowe właściwego CSIRT i UODO, a przy klientach międzynarodowych także organów zagranicznych.
• Wspólna dokumentacja incydentu z polami pasującymi do obu zgłoszeń.
• Reguła: ostrzeżenie wczesne wychodzi w 24. godzinie, niezależnie od stanu analizy.
• Pisemne uzasadnienie za każdym razem, gdy zespół decyduje się nie zgłaszać. Organy o nie pytają.

To obszar art. 21 ust. 2 lit. b. Nasz przewodnik po obsłudze incydentów w NIS2 pokazuje, dlaczego ten proces częściej oblewa audyty niż samo zgłoszenie.

Sprawdź lukę przed sobotnim telefonem

Jeśli dziś nie umiesz powiedzieć, kto w przypadku każdego klienta składa ostrzeżenie wczesne, a kto zgłoszenie RODO, znalazłeś lukę. Wykonaj Quick Scan NIS2, aby zobaczyć, jak obsługa incydentów i gotowość do zgłoszeń klienta wypadają na tle środków z art. 21.

Potem zapisz oba zegary, wskaż dwóch właścicieli i przetestuj proces raz, zanim stanie się prawdziwy. Szerszy obraz dla MSP znajdziesz w NIS2 dla MSP i MSSP.