Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (UKSC) to jedna z najważniejszych reform regulacyjnych ostatnich lat. Jej głównym celem jest dostosowanie polskiego prawa do dyrektywy Parlamentu Europejskiego i Rady (UE) 2022/2555, znanej jako NIS2, która znacząco podnosi wymogi w zakresie bezpieczeństwa cyfrowego w całej Unii.
Polska ustawa o krajowym systemie cyberbezpieczeństwa została gruntownie przebudowana, obejmując więcej organizacji (szacunki mówią o blisko 40 000 podmiotach[1]), wprowadzając bardziej wymagające obowiązki, ustawową, osobistą odpowiedzialność zarządu i jeszcze bardziej rygorystyczne zasady wymierzania kar pieniężnych. W przypadku najpoważniejszych naruszeń może to być nawet do 100 mln złotych.
Podmioty kluczowe i ważne. I jeszcze więcej firm objętych nowymi obowiązkami
Jednym z fundamentalnych elementów nowelizacji jest rozszerzenie katalogu podmiotów podlegających obowiązkom związanym z cyberbezpieczeństwem. Dotychczasowy podział na operatorów usług kluczowych i dostawców usług cyfrowych został zastąpiony szerszym ujęciem, obejmującym podmioty kluczowe i podmioty ważne.
Znowelizowana UKSC obejmuje aż 18 sektorów i branż, które muszą przygotować się na spełnianie nowych wymogów. Należą do nich m.in. energetyka, transport, ochrona zdrowia, usługi pocztowe, gospodarka odpadami, przemysł chemiczny, sektor kosmiczny, produkcja urządzeń i maszyn, infrastruktura cyfrowa oraz produkcja i dystrybucja żywności.
Nowelizacja zobowiązuje przedsiębiorców do rzetelnej analizy pod kątem tego czy ich działalność spełnia kryteria kwalifikacji do jednej z kategorii podmiotów. Oznacza to, że firmy nie powinny biernie oczekiwać indywidualnej decyzji organów państwowych, lecz samodzielnie ocenić spełnienie kryteriów i przygotować się do obowiązkowego wpisu do wykazu.
Dla wielu organizacji, szczególnie z sektora MŚP, będzie to pierwsze zetknięcie z formalnymi procedurami cyberbezpieczeństwa. W konsekwencji konieczne może być opracowanie polityk, wdrożenie instrukcji i procedur, przeprowadzanie audytów oraz zapewnienie rzetelnego dokumentowania tych działań.
Obowiązek stworzenia kompleksowego systemu zarządzania bezpieczeństwem informacji
Jednym z najważniejszych obszarów nowelizacji jest obowiązek zorganizowania kompleksowego systemu zarządzania bezpieczeństwem informacji. System ten musi być adekwatny do poziomu oszacowanego ryzyka i obejmować przede wszystkim:
- Analizę i szacowanie ryzyka
- Środki techniczne i organizacyjne (w tym m.in. szyfrowanie, uwierzytelnianie wieloskładnikowe – MFA, kontrolę dostępu czy ochronę fizyczną systemów)
- Zapewnienie ciągłości działania i zarządzanie kryzysowe, w tym plany odtwarzania po awarii i testowanie kopii zapasowych
- Monitorowanie, raportowanie i reagowanie na incydenty
- Zarządzanie bezpieczeństwem łańcucha dostaw
W reagowaniu na zagrożenia, gromadzeniu wiedzy oraz edukacji podmiotów w danym sektorze kluczową rolę mają odgrywać zespoły CSIRT (Computer Security Incident Response Team).
Osobista odpowiedzialność członków zarządów za wdrożenie wymogów cyberbezpieczeństwa
Szczególną zmianą, która może mieć wpływ na sposób zarządzania organizacjami, jest wprowadzenie osobistej odpowiedzialności członków zarządów za zapewnienie zgodności działań firmy z przepisami ustawy.
Oznacza to, że w przypadku stwierdzenia rażących naruszeń lub zaniechań w obszarze cyberbezpieczeństwa konsekwencje prawne i finansowe mogą objąć nie tylko sam podmiot, ale również osoby wchodzące w skład jego organów zarządzających. Co istotne, odpowiedzialności za nadzór nad tym obszarem nie można w pełni delegować na niższe szczeble organizacyjne czy wyspecjalizowane komórki techniczne.
W sytuacji, gdy organizacja nie dokona precyzyjnego podziału kompetencji i nie wskaże osób odpowiedzialnych za realizację poszczególnych zadań, odpowiedzialność za ewentualne zaniedbania spocznie solidarnie na wszystkich członkach zarządu. Stanowi to sygnał dla rynku, że zarządzanie cyberbezpieczeństwem staje się jednym z fundamentów obowiązków w ramach ładu korporacyjnego.
Wzmocnienie całego systemu ochrony w państwie
Nowelizacja znacząco wzmacnia również kompetencje organów cyberbezpieczeństwa. Minister właściwy dla danego sektora, Komisja Nadzoru Finansowego czy Prezes Urzędu Komunikacji Elektronicznej, otrzymują narzędzia umożliwiające nadzorowanie, karanie, a nawet wydawanie decyzji nakazujących wstrzymanie świadczenia określonych usług. Mają też możliwość zażądania audytów, wydawania ostrzeżeń, monitorowania zgodności oraz podejmowania działań zarówno prewencyjnie przed wystąpieniem naruszenia, jak i po nim.
Z perspektywy rynkowej nowe przepisy inicjują kolejny etap budowy krajowej odporności cybernetycznej. Ustawa nie sprowadza się wyłącznie do nakładania wymogów formalnych na przedsiębiorstwa, lecz ma na celu wykreowanie dojrzałej kultury bezpieczeństwa w organizacjach. W efekcie nowelizacja staje się jednym z najważniejszych narzędzi modernizacji polskiej gospodarki cyfrowej.
Należy odnotować, że podpisując ustawę, Prezydent podjął decyzję o skierowaniu do Trybunału Konstytucyjnego w trybie kontroli następczej części przepisów dotyczących m.in. zasad oceny i dopuszczania dostawców wysokiego ryzyka. Tryb kontroli następczej oznacza jednak, że ustawa została ogłoszona i wchodzi w życie w pełnym brzmieniu, a przedsiębiorcy muszą realizować nakładane przez nią obowiązki.
Masz pytania? Skontaktuj się z nami
[1] https://edgp.gazetaprawna.pl/prawo/prawo-internetu-i-ochrony-danych/artykuly/10594833,czy-uksc-obejmie-najwieksza-liczbe-podmiotow-w-ue.html
