Wymogi edukacyjne NIS2: obowiązki, progi i kto musi się do nich stosować

Szkoły i instytucje edukacyjne w całej Europie coraz częściej stają się celem cyberprzestępców. Na początku 2025 roku hakerzy mieli dostęp do systemów informatycznych Politechniki w Eindhoven (TU/e) przez pięć dni, wykorzystując skradzione dane logowania oraz sieć VPN bez uwierzytelniania dwuskładnikowego. Zajęcia zostały odwołane na cały tydzień. Jednocześnie dyrektywa NIS2 wymaga od części europejskiego sektora edukacyjnego wyraźnej poprawy bezpieczeństwa cyfrowego. Ale do jakich instytucji to się odnosi i co dokładnie muszą zrobić? W tym artykule to wyjaśniamy.

Czy edukacja wchodzi w zakres NIS2?

NIS2 ma zastosowanie, gdy organizacja spełnia jednocześnie dwa warunki: musi działać w wyznaczonym sektorze (załącznik I lub II do dyrektywy) oraz przekraczać progi wielkości. Sama wielkość nie wystarczy – to przynależność do sektora jest głównym kryterium.

Dyrektywa NIS2 zalicza szkolnictwo wyższe do sektora badawczego (załącznik II). Uniwersytety i uczelnie techniczne prowadzące badania naukowe można zatem uznać za podmioty o znaczeniu krytycznym. Szkolnictwo średnie i podstawowe nie zostało wymienione w załącznikach i nie podlega automatycznie przepisom NIS2, niezależnie od wielkości placówki.

Nie oznacza to jednak, że sprawa jest tak prosta, jak twierdzenie, że „duże placówki kształcenia zawodowego są zawsze zwolnione”. Istnieją trzy sytuacje, w których może to nadal dotyczyć placówek szkolnictwa średniego i podstawowego.

Które placówki edukacyjne (potencjalnie) podlegają przepisom NIS2?

Progi wielkości: Rozporządzenie NIS2 dotyczy organizacji zatrudniających ponad 50 pracowników lub osiągających roczny obrót/sumę bilansową przekraczającą 10 mln euro. Jednak sama wielkość nie decyduje o tym, czy organizacja podlega przepisom – pierwszym warunkiem jest zawsze przynależność do określonego sektora.

A tak w ogóle, od kiedy szkoły średnie i podstawowe podlegają systemowi NIS2?

„Nieobjęte automatycznie zakresem” nie oznacza „nieistotne”. Istnieją trzy sytuacje, w których placówki szkolnictwa podstawowego i średniego mają do czynienia z NIS2:

1. Nazwa krajowa

Państwa członkowskie mogą uznać organizacje spoza europejskich załączników za podmioty o znaczeniu krytycznym. Rząd holenderski może zdecydować, że duże grupy szkolne odgrywające istotną rolę społeczną podlegają przepisom ustawy o cyberbezpieczeństwie. Szczególnie narażone na to są bardzo duże zarządy, które zarządzają dziesiątkami szkół i tysiącami pracowników.

2. Organizacje mieszane

Wiele placówek edukacyjnych prowadzi zarówno nauczanie w szkołach średnich, jak i kształcenie zawodowe, albo jest powiązanych z uczelnią techniczną. Jeśli część zajmująca się kształceniem zawodowym lub wyższym jest wystarczająco duża i prowadzi działalność badawczą, może ona podlegać przepisom NIS2. W praktyce oznacza to, że wymogi bezpieczeństwa obejmują całą organizację.

3. Wymagania pośrednie związane z łańcuchem dostaw

Organizacje objęte dyrektywą NIS2 muszą zadbać o bezpieczeństwo swojego łańcucha dostaw. Jeśli organizacja szkolna dostarcza oprogramowanie, udostępnia dane lub współpracuje z instytucjami, które podlegają wymogom NIS2, partnerzy ci mogą na nią przenieść te wymagania dotyczące bezpieczeństwa. Coraz częściej tego typu wymagania nakładają też grantodawcy i klienci rządowi.

Jakie obowiązki spoczywają na placówkach edukacyjnych?

Gdy placówka edukacyjna podlega przepisom NIS2, obowiązują ją te same podstawowe zobowiązania, co w innych sektorach. Najważniejsze z nich w kontekście edukacji to:

Analiza ryzyka i polityka bezpieczeństwa

Musisz systematycznie identyfikować zagrożenia dla swoich sieci, systemów i danych, w tym dla systemów wykorzystywanych przez dostawców, takich jak dostawcy systemów SIS, usługi chmurowe dla platform edukacyjnych oraz narzędzia do współpracy.

Obowiązek zgłaszania zdarzeń

Wszelkie poważne zdarzenia, takie jak ataki ransomware na systemy administracji studenckiej lub naruszenia bezpieczeństwa danych osobowych studentów, należy zgłaszać właściwym organom w ciągu 24 godzin.

Bezpieczeństwo łańcucha dostaw

Dostawcy oprogramowania i usług muszą w sposób widoczny spełniać Twoje wymagania dotyczące bezpieczeństwa. Weźmy na przykład dostawców platform edukacyjnych, systemów informacji o studentach czy usług przechowywania danych w chmurze.

Zarządzanie dostępem i uwierzytelnianie

Wymagane jest uwierzytelnianie wieloskładnikowe przy dostępie do systemów zawierających poufne dane. W kontekście edukacyjnym dotyczy to z pewnością pracowników mających dostęp do akt uczniów, systemów finansowych i danych badawczych. Atak na Uniwersytet Techniczny w Eindhoven w styczniu 2025 roku pokazuje, co może pójść nie tak bez uwierzytelniania wieloskładnikowego: hakerzy dostali się do sieci przez VPN bez weryfikacji dwuetapowej i przez pięć dni mieli niezauważony dostęp.

Szkolenie z zakresu świadomości bezpieczeństwa dla pracowników

NIS2 wyraźnie wymaga od instytucji szkolenia pracowników w zakresie cyberbezpieczeństwa. Dotyczy to nie tylko pracowników IT, ale także wykładowców, naukowców i personelu pomocniczego – wszystkich, którzy mają dostęp do systemów i danych.

Dlaczego cyberbezpieczeństwo w edukacji zasługuje na szczególną uwagę

Instytucje edukacyjne są atrakcyjnym celem dla cyberprzestępców ze względu na połączenie cennych danych badawczych, ogromnych zbiorów danych osobowych oraz stosunkowo otwartej kultury informatycznej. Oto kilka konkretnych wyzwań:

• Duże grupy użytkowników — dziesiątki tysięcy studentów i pracowników o różnych uprawnieniach dostępu.
• Duża rotacja – co roku nowi studenci się zapisują, a inni kończą studia; trzeba aktywnie zarządzać kontami.
• Kultura otwartej sieci — wolność akademicka czasami koliduje z rygorystycznymi zasadami bezpieczeństwa.
• Ograniczone budżety na IT — zwłaszcza w mniejszych instytucjach możliwości inwestowania w bezpieczeństwo są ograniczone.
• Cenne dane badawcze – własność intelektualna i wyniki badań budzą zainteresowanie podmiotów państwowych.

Jak Guardey pomaga placówkom edukacyjnym

Guardey oferuje szkolenia z zakresu świadomości bezpieczeństwa, których treść jest dostosowana do potrzeb sektora edukacyjnego. Pracownicy uczą się rozpoznawać próby phishingu, bezpiecznie obchodzić się z danymi oraz wiedzą, jak postąpić, gdy zauważą coś podejrzanego. Wszystko to w krótkich, przystępnych modułach, które łatwo wpasować w napięty tydzień pracy.

Dzięki regularnym szkoleniom personelu instytucje edukacyjne wypełniają obowiązek podnoszenia świadomości w zakresie NIS2, a jednocześnie budują organizację mniej podatną na ataki, które codziennie dotykają tę branżę.

Chcesz wiedzieć, co dokładnie oznacza NIS2 dla Twojej instytucji? Zapoznaj się z przewodnikiem po NIS2 na rok 2026, w którym znajdziesz wszystkie obowiązki, progi oraz praktyczną listę kontrolną.

Nie każda placówka edukacyjna formalnie podlega przepisom NIS2, ale granica nie jest tak wyraźna, jak mogłoby się wydawać. Uniwersytety i duże uczelnie techniczne w większości przypadków podlegają przepisom NIS2. W przypadku szkół zawodowych, średnich i podstawowych zależy to od krajowego statusu, struktury organizacyjnej oraz partnerów, z którymi współpracują.

Zacznij od jasnego określenia zakresu, przeprowadź analizę ryzyka i upewnij się, że pracownicy przeszli odpowiednie szkolenia. To właśnie te kroki bezpośrednio odpowiadają na większość wymogów NIS2 i pokazują, że Twoja instytucja traktuje cyberbezpieczeństwo poważnie.

Szkolenie z zakresu świadomości bezpieczeństwa: przydatne nawet bez NIS2

NIS2 może nie dotyczyć wszystkich placówek edukacyjnych, ale zagrożenia, na które reaguje, dotyczą wszystkich. Szkolenia z zakresu świadomości bezpieczeństwa pomagają Twoim pracownikom rozpoznawać cyberataki i odpowiednio na nie reagować, niezależnie od tego, czy wymagana jest zgodność z przepisami.