Czego bałtyckie ustawy NIS2 naprawdę wymagają w zakresie MFA: Łotwa, Litwa, Estonia

Sama dyrektywa NIS2 mówi jedynie, że organizacja musi stosować „uwierzytelnianie wieloskładnikowe lub rozwiązania ciągłego uwierzytelniania … w stosownych przypadkach” (art. 21 ust. 2 lit. j, dyrektywa 2022/2555). Trzy państwa bałtyckie przekuły to jedno zdanie w trzy dość odmienne zestawy reguł. Jeśli prowadzą Państwo systemy w więcej niż jednym z nich albo próbują ustalić, o które z Państwa kont zapyta regulator, różnice mają znaczenie. Ten wpis cytuje poszczególne klauzule i wskazuje, gdzie każda z nich pozostawia pole manewru.

Najpierw wyjątek na poziomie unijnym: dostawcy infrastruktury cyfrowej, tacy jak dostawcy usług DNS, usług chmurowych i centrów danych, dostawcy usług zarządzanych oraz internetowe platformy handlowe, podlegają rozporządzeniu wykonawczemu Komisji, a nie przepisom krajowym. Punkt 11.7 jego załącznika wymaga MFA lub ciągłego uwierzytelniania przy dostępie do sieci i systemów informatycznych „zgodnie z klasyfikacją zasobu”, a punkt 11.3.2 wymaga silnego uwierzytelniania, „takiego jak uwierzytelnianie wieloskładnikowe”, dla kont uprzywilejowanych i kont administratorów systemów (rozporządzenie 2024/2690, obowiązujące od 7 listopada 2024 roku). Wszyscy pozostali podlegają opisanym poniżej przepisom krajowym.

Łotwa: rozporządzenie wskazuje konkretne konta

Przepisy łotewskie są najbardziej szczegółowe z całej trójki. Rozporządzenie Rady Ministrów nr 397 Minimālās kiberdrošības prasības (Minimalne wymagania cyberbezpieczeństwa) obowiązuje od 2 lipca 2025 roku (likumi.lv) na podstawie ustawy o cyberbezpieczeństwie narodowym (Nacionālās kiberdrošības likums, likumi.lv).

Punkt 52 wprowadza obowiązek MFA dla:

• 52.1 kont administratorów oraz kont zwykłych użytkowników systemów informatycznych klasy A;
• 52.2 kont administratorów systemów informatycznych klasy B;
• 52.3 kont zwykłych użytkowników systemów klasy B, gdy dostęp do nich następuje zdalnie z sieci zewnętrznej i nie odbywa się już przez szyfrowany VPN z MFA.

Klasa jest cechą każdego systemu informatycznego, a nie Państwa organizacji. Punkty 32–34 ustalają ją na podstawie klas bezpieczeństwa systemu w zakresie poufności, integralności i dostępności: wystarczy jedna ocena A, by system należał do klasy A; w przeciwnym razie jedna ocena B daje klasę B, a wszystko, co wchodzi w skład infrastruktury krytycznej, jest z definicji systemem klasy A. Zdarza się, że podmiot świadczący usługi kluczowe ma wyłącznie systemy klasy B i C, a rozporządzenie bierze to pod uwagę: przewidziany w nim trzyletni cykl samooceny obejmuje każdy podmiot, który nie ma systemu klasy A.

Punkt 55.8 dodaje regułę sieciową dla właścicieli infrastruktury krytycznej ICT oraz podmiotów świadczących usługi kluczowe: dostęp spoza sieci wewnętrznej do zasobów wewnętrznych „jest możliwy wyłącznie przez szyfrowane rozwiązanie VPN z uwierzytelnianiem wieloskładnikowym”. Zgodnie z punktem 56 do podmiotów świadczących usługi ważne stosuje się jedynie punkty 55.1–55.4, więc punkt 55.8 ich nie wiąże.

Z regułą MFA wiążą się obowiązki, które audytor sprawdzi podczas tej samej kontroli: kont administratorów nie wolno używać do codziennej pracy, a kont zwykłych do administrowania (punkty 51.5 i 51.4); dostęp do zasobów informacyjnych, łącznie z nieudanymi próbami, musi być rejestrowany (punkt 58.3), a zapisy przechowywane przez 18, 12 lub 6 miesięcy w zależności od klasy systemu (punkt 57). Sprawozdanie z samooceny na formularzu z załącznika 16 do rozporządzenia składa się do 1 października każdego roku w przypadku właścicieli infrastruktury krytycznej i każdego, kto ma co najmniej jeden system klasy A, a co trzy lata w przypadku pozostałych (punkty 141 i 142); trafia ono do Narodowego Centrum Cyberbezpieczeństwa (Nacionālais kiberdrošības centrs), a w przypadku infrastruktury krytycznej do Biura Ochrony Konstytucji (Satversmes aizsardzības birojs).

Czego rozporządzenie nie robi: nie wskazuje żadnej technologii. „Daudzfaktoru autentifikācija” (uwierzytelnianie wieloskładnikowe) to wszystko, co mówi; nie ma w nim mowy o SMS, kodach jednorazowych, FIDO ani odporności na phishing, nie ustala też żadnych reguł dotyczących haseł. Kary na podstawie ustawy sięgają 10 milionów euro dla podmiotów kluczowych lub 2% obrotu, jeśli obrót przekracza 500 milionów euro, oraz 7 milionów euro dla podmiotów ważnych lub 1,4% obrotu powyżej tego samego progu 500 milionów euro.

Litwa: wszyscy, łącznie z użytkownikami, i 24-miesięczny termin

Litwa przepisała na nowo swoją ustawę o cyberbezpieczeństwie (Kibernetinio saugumo įstatymas) w celu wdrożenia NIS2, ze skutkiem od 18 października 2024 roku. Artykuł 14 ust. 5 pkt 11 wymienia „rozwiązania uwierzytelniania wieloskładnikowego lub ciągłego” wśród wymaganych elementów, a uchwała rządu nr 945 z 6 listopada 2024 roku (obowiązująca od 12 listopada 2024 roku) zatwierdza szczegółowy Kibernetinio saugumo reikalavimų aprašas (opis wymagań cyberbezpieczeństwa) (e-seimas).

Reguła MFA znajduje się w tabeli 7 tego opisu, w wierszu 61, i jest najszersza w całej trójce: „użytkownik i administrator muszą potwierdzić swoją tożsamość hasłem oraz dodatkowym środkiem uwierzytelniania (uwierzytelnianie wieloskładnikowe)”. Jest zaznaczona zarówno dla podmiotów kluczowych, jak i ważnych, i nie zależy od tego, gdzie znajduje się użytkownik ani jak sklasyfikowano system. Towarzyszą jej: administrowanie wyłącznie z osobnego konta nieużywanego do codziennej pracy (wiersz 58), zawieszanie kont po trzech miesiącach bezczynności w przypadku użytkowników i po dwóch w przypadku administratorów, blokada stacji roboczej w ciągu 15 minut oraz zakaz zapisywania haseł w przeglądarkach poza dedykowanym menedżerem haseł. W przypadku stron trzecich MFA stosuje się „tam, gdzie to możliwe”. Część organizacyjna, w tym pisemna procedura zarządzania dostępem określająca, jak stosowane jest MFA (punkt 65.9), musi zostać wdrożona w ciągu 12 miesięcy od rejestracji w krajowym systemie informacyjnym cyberbezpieczeństwa, a wymagania techniczne z tabeli 7, łącznie z MFA, w ciągu 24 miesięcy od rejestracji (punkt 72).

Ustawa wymaga też audytu cyberbezpieczeństwa co najmniej raz na trzy lata według metodyki centrum oraz szkolenia kadry zarządzającej co najmniej raz na dwa lata. Obowiązki powstają dopiero z chwilą rejestracji podmiotu (art. 11 ust. 2), a nadzór sprawuje Narodowe Centrum Cyberbezpieczeństwa (Nacionalinis kibernetinio saugumo centras, NKSC). Naruszenie wymagań z art. 14 jest traktowane jako „niebezpieczne naruszenie”, co oznacza najwyższy próg kar: do 10 milionów euro lub 2% światowego obrotu dla podmiotów kluczowych oraz do 7 milionów euro lub 1,4% dla podmiotów ważnych, w obu przypadkach w zależności od tego, która kwota jest wyższa. Dla jednostek budżetowych górne granice kar są niższe. Ustawa została ponownie znowelizowana w czerwcu 2026 roku; nie mogliśmy zapoznać się z tym tekstem, dlatego należy sprawdzić, czy zmieniły się artykuły o karach i o rejestracji.

Estonia: ustawa milczy, standard nie

Znowelizowana estońska ustawa o cyberbezpieczeństwie (Küberturvalisuse seadus) weszła w życie 1 stycznia 2026 roku (Riigi Teataja). Podmioty kluczowe nazywa üliolulised üksused, a ważne olulised üksused, i nigdzie nie wspomina o uwierzytelnianiu wieloskładnikowym. Zamiast tego § 7 upoważnia rząd do określenia środków bezpieczeństwa w rozporządzeniu, a to rozporządzenie daje dostawcom wybór: wdrożyć estoński standard bezpieczeństwa informacji E-ITS albo wykazać, że ich środki spełniają ISO/IEC 27001, z audytem zgodności co trzy lata (rozporządzenie nr 121).

MFA pojawia się więc w dwóch miejscach. Załącznik do rozporządzenia określający środki podstawowe, który dotyczy wszystkich dostawców objętych ustawą, nakazuje im „preferować uwierzytelnianie wieloetapowe” (punkt 2.5). To miękkie sformułowanie, a sam środek dostawcy mogą zastąpić równoważnym. Katalog bazowy E-ITS jest bardziej stanowczy: tam, gdzie system na to pozwala, zamiast uwierzytelniania wyłącznie hasłem stosuje się MFA (ORP.4.M8); konta uprzywilejowane są chronione MFA przed zewnętrznymi napastnikami i eskalacją uprawnień (ORP.4.M10); przy wysokich wymaganiach ochrony stosuje się bezpieczne MFA „na przykład z użyciem karty ID lub tokena” (ORP.4.M21); a MFA obowiązuje przy dostępie do wrażliwych danych osobowych (CON.2.M18) (katalog E-ITS).

Terminy są długie. Podmioty, które spełniały kryteria już 1 stycznia 2026 roku, musiały zarejestrować się w Urzędzie ds. Systemów Informacyjnych (Riigi Infosüsteemi Amet, RIA) w ciągu trzech miesięcy, czyli do końca marca 2026 roku, i mają trzy lata, do początku 2029 roku, na osiągnięcie pełnej zgodności. Nowe podmioty mają trzy miesiące na rejestrację i trzy lata od chwili spełnienia kryteriów. Kary odpowiadają poziomom z NIS2: do 10 milionów euro lub 2% światowego obrotu dla podmiotów kluczowych i 7 milionów euro lub 1,4% dla ważnych, w każdym przypadku w zależności od tego, która kwota jest wyższa. RIA nadzoruje podmioty ważne wyłącznie ex post.

Zestawienie

Co to oznacza dla kont, które Państwo faktycznie mają

• VPN i dostęp zdalny. Na Łotwie punkt 55.8 wymaga od właścicieli infrastruktury krytycznej i podmiotów świadczących usługi kluczowe właśnie szyfrowanego VPN z RADIUS i drugim składnikiem, a taki VPN wyłącza zarazem użytkowników klasy B spod punktu 52.3; bez niego każdy zdalny użytkownik klasy B potrzebuje MFA w samej aplikacji. Na Litwie VPN nie zmienia reguły, bo MFA i tak potrzebuje każdy użytkownik. W Estonii w przypadku VPN obsługującego RADIUS należy się spodziewać pytania opartego na zapisie E-ITS „tam, gdzie system na to pozwala”.
• Administratorzy. W przypadku kont administratorów trzy regulacje pokrywają się najbardziej: Łotwa wymaga dla nich MFA w systemach klasy A i B, Litwa wszędzie, E-ITS dla wszystkich kont uprzywilejowanych. Łotwa i Litwa wymagają też osobnego konta administracyjnego nieużywanego do codziennej pracy. Konsole zapór sieciowych i serwerów, które wciąż przyjmują samo hasło, to najbardziej prawdopodobne ustalenie audytowe.
• Dowody. Łotwa chce, by nieudane logowania były rejestrowane i przechowywane; Litwa chce pisemnej procedury opisującej, jak stosowane jest MFA; Estonia chce audytu względem standardu. Metoda uwierzytelniania, która wytwarza podpisany, opatrzony znacznikiem czasu zapis każdego zatwierdzenia, daje Państwu materiał dla wszystkich trzech państw bez odtwarzania go po fakcie.
• Technologia. Żadna bałtycka ustawa nie narzuca metody i żadna nie używa słów „odporne na phishing”. Wytyczne wdrożeniowe ENISA zalecają MFA odporne na phishing „wszędzie, gdzie to możliwe” i wymieniają FIDO2 na pierwszym miejscu; teksty krajowe poprzestają na słowie „wieloskładnikowe”. To minimum, a nie cel. Wpis o uwierzytelnianiu w NIS2 wyjaśnia, co odróżnia składnik spełniający literę przepisu od takiego, który wytrzyma starcie z napastnikiem.

Notakey dodaje do sieci VPN z RADIUS, logowań do zapór sieciowych i serwerów, systemu Windows oraz aplikacji webowych zatwierdzenie w telefonie, które pokazuje usługę, konto i adres źródłowy, a każde zatwierdzenie zapisuje jako podpisany rekord na urządzeniu, które mogą Państwo uruchomić we własnym centrum danych. Przewodnik po 2FA w VPN pokazuje, jak Notakey wpisuje się w wymóg dostępu zdalnego dla klasy B na Łotwie lub w wiersz 61 tabeli 7 na Litwie. Poproś o prezentację, a przełożymy konta wskazane w Państwa przepisach krajowych na plan pilotażu, albo najpierw wypróbuj demo na żywo na własnym telefonie.

Ten artykuł cytuje teksty prawne w brzmieniu opublikowanym 29 października 2026 roku i stanowi informację ogólną, a nie poradę prawną. Obowiązki, klasy i terminy mające zastosowanie do Państwa organizacji należy potwierdzić z wykwalifikowanym doradcą prawnym oraz sprawdzić litewskie nowelizacje z czerwca 2026 roku, z którymi nie mogliśmy się zapoznać podczas pisania.