Cyberbezpieczeństwo infrastruktury IT coraz częściej jest nie tylko kwestią technologiczną, ale również obowiązkiem wynikającym z przepisów. Organizacje działające w strategicznych sektorach gospodarki muszą spełniać wymagania dotyczące ochrony systemów informatycznych, ciągłości działania, reagowania na incydenty i zarządzania ryzykiem. Szczególne znaczenie mają tutaj NIS2 oraz DORA - unijne regulacje podnoszące wymagania dotyczące odporności cyfrowej przedsiębiorstw.
Dla administratorów infrastruktury oznacza to konieczność spojrzenia na serwery nie tylko przez pryzmat wydajności i dostępności, ale również bezpieczeństwa. Redundancja komponentów, monitoring, kopie zapasowe, zarządzanie podatnościami i testowanie procedur odtworzeniowych stają się elementami szerszego systemu ochrony organizacji. Nie istnieje jednak jeden „serwer zgodny z NIS2” czy „serwer zgodny z DORA”. Zgodność dotyczy całego środowiska IT oraz sposobu zarządzania nim.
Czym jest NIS2?
NIS2, czyli dyrektywa NIS2, to unijna regulacja dotycząca cyberbezpieczeństwa, która zastąpiła wcześniejszą dyrektywę NIS. Jej celem jest podniesienie poziomu ochrony sieci i systemów informatycznych oraz zwiększenie odporności organizacji na cyberataki i inne incydenty.
Zakres NIS2 jest szeroki i obejmuje między innymi energetykę, transport, ochronę zdrowia, infrastrukturę cyfrową, usługi cyfrowe, gospodarkę wodną, produkcję oraz administrację publiczną. Dyrektywa dzieli objęte nią organizacje na podmioty kluczowe oraz podmioty ważne, a szczegółowe obowiązki zależą między innymi od sektora i wielkości przedsiębiorstwa.
NIS2 nie wskazuje konkretnych modeli serwerów czy urządzeń, które trzeba zastosować. Wymaga natomiast wdrożenia odpowiednich środków technicznych, operacyjnych i organizacyjnych ograniczających ryzyko. Obejmuje to między innymi zarządzanie incydentami, ciągłość działania, backup i disaster recovery, bezpieczeństwo łańcucha dostaw, zarządzanie podatnościami, kontrolę dostępu oraz kryptografię.
Czym jest DORA?
DORA, czyli rozporządzenie w sprawie operacyjnej odporności cyfrowej sektora finansowego. Koncentruje się przede wszystkim na organizacjach finansowych. Obejmuje między innymi banki, firmy inwestycyjne, zakłady ubezpieczeń, instytucje płatnicze oraz inne podmioty rynku finansowego.
Rozporządzenie DORA obowiązuje od 17 stycznia 2025 roku i wprowadza jednolite wymagania dotyczące zarządzania ryzykiem związanym z technologiami informacyjno-komunikacyjnymi. Ważnym elementem jest zdolność organizacji do utrzymania działalności, reagowania na incydenty i szybkiego odtworzenia usług.
DORA obejmuje więc cały cykl odporności cyfrowej - od identyfikacji ryzyka, przez zabezpieczenia i monitoring, aż po testowanie, reagowanie i przywracanie działania. Szczególne znaczenie ma również zarządzanie ryzykiem związanym z zewnętrznymi dostawcami usług ICT.
NIS2 a DORA - najważniejsze różnice
Obie regulacje mają podobny cel, ale dotyczą innych obszarów. NIS2 ma charakter przekrojowy i obejmuje wiele sektorów uznanych za istotne dla gospodarki i społeczeństwa. DORA jest regulacją sektorową skoncentrowaną na odporności cyfrowej sektora finansowego.
NIS2 kładzie nacisk między innymi na zarządzanie ryzykiem cyberbezpieczeństwa, ciągłość działania, reagowanie na incydenty i bezpieczeństwo łańcucha dostaw. DORA szczegółowo określa natomiast wymagania dotyczące odporności ICT, w tym backupu, odtwarzania danych, redundancji, testowania oraz zarządzania dostawcami.
W przypadku niektórych organizacji wymagania obu regulacji mogą się uzupełniać. W obu przypadkach dobrze zaprojektowana infrastruktura serwerowa jest jednym z elementów pozwalających ograniczyć ryzyko.
Jak NIS2 wpływa na infrastrukturę serwerową?
Z punktu widzenia infrastruktury najważniejszym wymaganiem jest ograniczanie pojedynczych punktów awarii. Jeżeli jeden serwer odpowiada za krytyczną usługę, jego awaria może doprowadzić do niedostępności całego procesu biznesowego.
W zależności od analizy ryzyka uzasadnione może być zastosowanie klastra, dodatkowych hostów, redundantnych zasilaczy, wielu ścieżek sieciowych czy replikacji danych. Nie chodzi jednak o stosowanie maksymalnej redundancji w każdym przypadku. Zabezpieczenia powinny być dobrane do znaczenia systemu i potencjalnych skutków jego awarii.
NIS2 wymaga również uwzględnienia ciągłości działania, backupu i disaster recovery. Organizacja powinna zatem nie tylko chronić serwery przed awarią, ale także posiadać sposób na przywrócenie działania istotnych usług.
Redundancja serwerów i komponentów
Jednym z podstawowych elementów odpornej infrastruktury jest redundancja. Jej zadaniem jest umożliwienie kontynuowania pracy po awarii pojedynczego komponentu.
Na poziomie serwera może ona obejmować dwa zasilacze, redundantne kontrolery pamięci masowej czy kilka interfejsów sieciowych. W przypadku danych stosuje się między innymi macierze RAID, natomiast na poziomie całego środowiska - klastry wysokiej dostępności i replikację maszyn wirtualnych.
W przypadku systemów o wysokiej krytyczności warto również rozważyć redundancję geograficzną. Drugi serwer znajdujący się w tej samej serwerowni nie zapewni ciągłości działania, jeżeli cała lokalizacja zostanie wyłączona przez pożar, awarię zasilania lub inne zdarzenie fizyczne.
DORA szczególnie mocno akcentuje ten obszar. Rozporządzenie wymaga od odpowiednich podmiotów finansowych utrzymywania redundantnych zdolności ICT oraz odpowiednich mechanizmów backupu i odtwarzania.
Backup i odtwarzanie danych
Redundancja nie zastępuje kopii zapasowej. RAID, klaster czy drugi serwer chronią przede wszystkim przed określonymi awariami sprzętowymi, ale nie zabezpieczają przed przypadkowym usunięciem danych, ransomware czy błędną konfiguracją.
Dlatego organizacja powinna posiadać niezależny system backupu oraz procedury pozwalające na odtworzenie danych i usług. Samo wykonywanie kopii nie wystarcza - trzeba regularnie sprawdzać, czy rzeczywiście można z nich odzyskać działający system.
DORA wymaga określenia polityki backupu, zakresu danych i częstotliwości wykonywania kopii oraz okresowego testowania procedur odtworzeniowych. W przypadku własnych systemów backupowych istotna jest również separacja kopii od systemów źródłowych.
Podobne podejście wynika z NIS2, gdzie ciągłość działania, backup i disaster recovery stanowią element zarządzania ryzykiem.
Monitoring infrastruktury
Kolejnym elementem zgodności jest monitoring. Organizacja powinna być w stanie wykrywać zarówno awarie, jak i nietypowe zachowania mogące wskazywać na incydent bezpieczeństwa.
Monitoring serwerów może obejmować wykorzystanie procesora i pamięci, przestrzeń dyskową, temperaturę, stan macierzy, interfejsy sieciowe oraz dostępność usług. W warstwie bezpieczeństwa ważne jest również centralne zbieranie i analiza logów.
Systemy SIEM pozwalają korelować informacje pochodzące z serwerów, urządzeń sieciowych, systemów uwierzytelniania i innych elementów infrastruktury. Ułatwia to wykrywanie anomalii i analizowanie incydentów. Rozwiązania SOC, SIEM i SOAR mogą wspierać organizację w całodobowym monitorowaniu, analizie podatności i obsłudze incydentów.
Aktualizacje i zarządzanie podatnościami
Nawet rozbudowana infrastruktura nie będzie bezpieczna, jeśli wykorzystywane oprogramowanie pozostaje nieaktualne. Zarządzanie podatnościami powinno obejmować systemy operacyjne, aplikacje, hypervisory, urządzenia sieciowe oraz komponenty open source.
Ważne jest nie tylko instalowanie aktualizacji, ale również identyfikowanie podatności, określanie ich priorytetu i dokumentowanie działań naprawczych. Szczególne ryzyko może stanowić korzystanie z komponentów, których producent zakończył wsparcie.
Dotyczy to także środowisk open source. OpenLogic wskazuje w kontekście DORA na znaczenie zarządzania podatnościami oraz komponentami EOL. Organizacja powinna wiedzieć, jakie wersje oprogramowania wykorzystuje i posiadać procedurę reagowania na krytyczne podatności.
Testy odporności infrastruktury
Zgodność z regulacjami nie powinna być traktowana jako jednorazowy projekt. NIS2 i DORA zakładają ciągłe zarządzanie ryzykiem, a istotnym jego elementem są testy.
DORA wymaga od odpowiednich podmiotów finansowych prowadzenia kompleksowego programu testowania operacyjnej odporności cyfrowej. Może on obejmować skanowanie podatności, ocenę bezpieczeństwa sieci, testy scenariuszowe, testy wydajnościowe oraz testy penetracyjne. Systemy wspierające krytyczne lub istotne funkcje powinny być regularnie testowane.
W przypadku serwerów warto sprawdzać rzeczywiste scenariusze awarii: przełączenie na zapasowy host, odtworzenie systemu z backupu, awarię macierzy czy utratę podstawowej lokalizacji.
Test powinien kończyć się nie tylko raportem. Wykryte problemy powinny mieć określonego właściciela, priorytet i termin usunięcia.
Bezpieczeństwo dostawców
Nowoczesna infrastruktura często korzysta z zewnętrznych dostawców centrów danych, hostingu, chmury, backupu czy serwisu. Dlatego zgodność nie może ograniczać się do urządzeń znajdujących się we własnej serwerowni.
NIS2 wskazuje bezpieczeństwo łańcucha dostaw jako jeden z elementów zarządzania ryzykiem. DORA szczególną uwagę poświęca natomiast ryzyku związanemu z zewnętrznymi dostawcami usług ICT.
W praktyce należy sprawdzić między innymi, kto ma dostęp do infrastruktury, jak wygląda obsługa incydentów, jakie są czasy reakcji oraz w jaki sposób realizowane są backup i odtwarzanie usług. Warto również jasno określić podział odpowiedzialności pomiędzy organizacją a dostawcą.
Jak przygotować infrastrukturę do NIS2 i DORA?
Proces wdrażania zgodności najlepiej rozpocząć od analizy luk, a nie od zakupu nowego sprzętu. Najpierw należy określić, które systemy i usługi są krytyczne, jakie dane przetwarzają i jakie skutki może mieć ich niedostępność.
Następnie warto przeprowadzić inwentaryzację serwerów, systemów, aplikacji, urządzeń sieciowych i backupu. Kolejnym krokiem jest ocena istniejących zabezpieczeń i określenie najważniejszych luk.
W praktyce plan wdrożeniowy może obejmować:
- inwentaryzację infrastruktury,
- klasyfikację krytyczności systemów,
- analizę ryzyka,
- wdrożenie odpowiedniej redundancji,
- zabezpieczenie i testowanie backupów,
- monitoring infrastruktury i logów,
- zarządzanie podatnościami i aktualizacjami,
- testowanie procedur awaryjnych,
- ocenę dostawców ICT,
- dokumentowanie konfiguracji i procedur.
Podobne podejście opisuje Tenesys, wskazując między innymi na potrzebę analizy obecnego stanu, planowania działań, wdrożenia zabezpieczeń i późniejszego utrzymania zgodności.
Konsekwencje niezgodności
Brak odpowiednich zabezpieczeń może prowadzić nie tylko do awarii i cyberataków, ale również do konsekwencji regulacyjnych. W przypadku NIS2 państwa członkowskie mają zapewnić skuteczne, proporcjonalne i odstraszające sankcje. Dla podmiotów kluczowych dyrektywa przewiduje maksymalne kary na poziomie co najmniej 10 mln euro lub 2% całkowitego światowego rocznego obrotu przedsiębiorstwa - zależnie od tego, która wartość jest wyższa. Dla podmiotów ważnych jest to odpowiednio 7 mln euro lub 1,4% obrotu.
DORA również przewiduje środki nadzorcze i sankcje za naruszenia. Ich szczegółowy zakres zależy od rodzaju podmiotu, organu nadzoru oraz właściwych przepisów.
Ryzyko nie ogranicza się jednak do kary finansowej. Poważny incydent może oznaczać przestój usług, utratę danych, koszty odtworzenia infrastruktury, utratę klientów oraz szkody wizerunkowe.
Netografia
- OpenLogic.com, DORA Open Source Compliance, [dok.el.], https://www.openlogic.com/p/solutions/compliance/dora-open-source, Data odczytu: 2026.09.06.
- Sinersio.com, Dyrektywa NIS2, [dok.el.], https://sinersio.com/dyrektywa-nis2/, Data odczytu: 2026.09.06.
- Udemy.com, DORA & NIS2 Compliance Masterclass - Cyber Resiliency, [dok.el.], https://www.udemy.com/course/dora-nis2-compliance-masterclass-cyber-resiliency/, Data odczytu: 2026.09.06.
- Tenesys.io, Zgodność z NIS2 i DORA, [dok.el.], https://tenesys.io/usluga/zgodnosc-z-nis2-i-dora/, Data odczytu: 2026.09.06.
- SUSE,Zgodność z NIS2 - sześć powodów, [dok.el.], https://www.suse.com/c/pl/zgodnosc-z-nis-2-szesc-powodow/, Data odczytu: 2026.09.06.
- DSCpl, Jak zapewnić zgodność z NIS2 i DORA z wykorzystaniem usługi SOC?, [dok.el.], https://dcs.pl/pl/blog/jak-zapewnic-zgodnosc-z-nis2-i-dora-z-wykorzystaniem-uslugi-soc/, Data odczytu: 2026.09.06.
- EUR-Lex.europa.eu, Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii, [dok.el.], https://eur-lex.europa.eu/legal-content/PL/ALL/?uri=CELEX%3A32022L2555, Data odczytu: 2026.09.06.
- EUR-Lex.europa.eu, Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego, [dok.el.], https://eur-lex.europa.eu/eli/reg/2022/2554/oj?locale=pl, Data odczytu: 2026.09.06.
Zaloguj się