Czy istnieją dodatkowe przepisy unijne określające wymagania cyberbezpieczeństwa dla niektórych podmiotów kluczowych i podmiotów ważnych?

Tak. Działając na podstawie upoważnienia zawartego w art. 21 ust. 5 dyrektywy NIS 2 Komisja Europejska wydała rozporządzenie wykonawcze Komisji (UE) 2024/2690 https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32024R2690 .

Rozporządzenie to zostało oparte na następujących dokumentach normalizacyjnych:

• •
  ISO/IEC 27001
• •
  ISO/IEC 27002
• •
  ETSI EN 319401 - General Policy Requirements for Trust Service Providers
• •
  CEN/TS 18026:2024 - Three-level approach for a set of cybersecurity requirements for cloud services

Środki techniczne i organizacyjne określono w załączniku do rozporządzenia.

W niektórych przypadkach, gdy załącznik posługuje się wyrażeniami np.: "w stosownych przypadkach" można odstąpić od stosowania wskazanych w załączniku środków, jeżeli nie jest to właściwe - wymaga to jednak udokumentowania.

Przykład: zakres zdarzeń, które podmioty kluczowe i podmioty ważne monitorują w swoich systemach

Ponadto podmioty kluczowe z podsektora energii elektrycznej stosują, w ramach systemu zarządzania bezpieczeństwem informacji i ciągłości działania środki określone w rozporządzeniu delegowanym Komisji (UE) 2024/1366 z dnia 11 marca 2024 r. uzupełniające rozporządzenie Parlamentu Europejskiego i Rady (UE) 2019/943 poprzez ustanowienie kodeksu sieci dotyczącego zasad sektorowych w zakresie aspektów cyberbezpieczeństwa w transgranicznych przepływach energii elektrycznej.