Zanim przystąpi się do realizacji noworocznych postanowień warto zacząć od chwili refleksji nad rokiem minionym. Rok 2022 był obfity, jeśli chodzi o regulacje na unijnym rynku nowych technologii, przychodzimy więc z jego krótkim podsumowaniem. Poniżej przedstawiamy wybrane przez nas najważniejsze wydarzenia oraz prawodawcze inicjatywy, które pojawiły się w 2022 roku, i które znacząco wpłyną na dalsze międzynarodowe i krajowe regulacje w dziedzinach IP/IT.
DORA – cyfrowa odporność operacyjna podmiotów finansowych
Specyficzna sytuacja geopolityczna sprawiła, że pojęcie cyberbezpieczeństwa zyskało w 2022 roku na znaczeniu. 27 grudnia w Dzienniku Urzędowym Unii Europejskiej opublikowane zostało rozporządzenie o cyfrowej odporności operacyjnej (DORA). Po pierwsze więc pojawia się DORA, która tworzy zharmonizowane ramy regulacyjne wzmacniające bezpieczeństwo teleinformatyczne (ICT) podmiotów finansowych. Jej celem jest osiągnięcie wysokiego wspólnego poziomu cyfrowej odporności operacyjnej we wszystkich państwach członkowskich UE.
DORA ma na celu zapobieganie zagrożeniom cybernetycznym i łagodzenie ich skutków oraz zapewnienie, że firmy są w stanie wytrzymać, reagować i przywracać sprawność po wszelkiego rodzaju zakłóceniach i zagrożeniach związanych z ICT. DORA wejdzie w życie 16 stycznia 2023 r. i będzie stosowana od 17 stycznia 2025 r. Europejskie organy nadzoru otrzymały zadanie opracowania standardów technicznych mających zastosowanie do wszystkich podmiotów finansowych objętych zakresem stosowania DORA.
Podmioty objęte zakresem DORA są zachęcane do rozpoczęcia przygotowań do jej stosowania poprzez identyfikację wszelkich luk w ich zarządzaniu i procesach ICT. Powinny również rozważyć, którzy z ich dostawców mogą zostać uznani za krytycznych oraz dokonać przeglądu swoich protokołów testowania i odzyskiwania danych pod kątem standardów określonych w nowym rozporządzeniu.
O głównych założeniach DORA piszemy w artykule pt. Czym jest rozporządzenie DORA, czyli o czekającej sektor finansowy zmianie w obszarze cyberbezpieczeństwa oraz tutaj.
NIS II – cyberbezpieczeństwo sieci i informacji
Po drugie, 27 grudnia 2022 r. w Dzienniku Urzędowym Unii Europejskiej została też opublikowana nowa dyrektywa w sprawie bezpieczeństwa sieci i informacji (NIS II). Wejdzie ona w życie 16 stycznia 2023 r. Przyjęcie NIS II nie tylko rozszerzyło zakres dyrektywy NIS, ale umożliwiło także harmonizację wymogów dotyczących cyberbezpieczeństwa i wdrażania środków cybernetycznych w różnych państwach członkowskich. Aby to osiągnąć, określono w niej minimalne zasady dotyczące ram regulacyjnych oraz ustanowiono mechanizmy współpracy między odpowiednimi organami w każdym państwie członkowskim. Transpozycja NIS II do prawa krajowego ma nastąpić do 17 października 2024 r., a państwa członkowskie UE mają stosować jej przepisy od 18 października 2024 r.
DSA / DMA – usługi i rynki cyfrowe w Unii Europejskiej
Po trzecie, w 2022 roku weszły w życie Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2065 z 19 października 2022 r. w sprawie jednolitego rynku usług cyfrowych czyli Akt o usługach cyfrowych (DSA) oraz Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/1925 z 14 września 2022 r. w sprawie kontestowalnych i uczciwych rynków w sektorze cyfrowym, czyli Akt o rynkach cyfrowych (DMA). Stanowią one kompleksowe uregulowanie usług cyfrowych, w tym mediów społecznościowych oraz internetowych platform działających w Unii Europejskiej.
Celem DMA jest zapewnienie, by sektor cyfrowy był uczciwy, a dostęp do usług cyfrowych dla użytkowników sprawiedliwy. Akt o rynkach cyfrowych będzie miał zastosowanie do przedsiębiorstw, które zostaną uznane za strażników dostępu (ang. gatekeepers), zgodnie z wymienionymi w tym rozporządzeniu przesłankami, tj. będą to podmioty, które wywierają znaczący wpływ na rynek wewnętrzny; świadczą podstawową usługę platformową będącą ważnym punktem dostępu, za pośrednictwem którego użytkownicy biznesowi docierają do użytkowników końcowych lub zajmują ugruntowaną i trwałą pozycję w zakresie prowadzonej przez siebie działalności lub można przewidzieć, że zajmą taką pozycję w niedalekiej przyszłości.
Natomiast głównym celem DSA jest zwalczanie nielegalnych usług, treści lub towarów w sieci internetowej. Akt reguluje w szczególności obowiązki usługodawców funkcjonujących w przestrzeni internetowej jako pośrednicy m.in. dostawców usług dostępu do Internetu, rejestratorów domen czy dostawców usług hostingowych.
Większość postanowień DSA wchodzi w życie 17 lutego 2024 r., ale operatorzy platform internetowych niebędący mikro lub małymi przedsiębiorcami będą zobowiązani opublikować informacje o liczbie aktywnych użytkowników już w 2023 roku. W przeważającej części DMA zacznie obowiązywać 2 maja 2023 roku.
Więcej informacji na temat DSA znajdziesz tu: Wszedł w życie Akt o usługach cyfrowych (DSA) nazywany „Konstytucją Internetu”
MiCA – odpowiedź na kryzys rynku kryptoaktywów
Nie można zapomnieć też o regulacjach dotyczących kryptowalut. Dla rynku kryptowalut rok 2022 nie był łaskawy – postępujący spadek wartości coinów, problemy giełdy FTX i załamanie zaufania powodują, że pojawiają się pytania o przyszłość krypto. Ogłoszenie upadłości przez trzecią co do wielkości giełdę kryptowalut FTX wywołało branżowe trzęsienie ziemi. Wnioski, jakie płyną z ostatnich wydarzeń, to przede wszystkim konieczność zwiększenia przejrzystości finansowej podmiotów świadczących usługi związane z kryptowalutami.
Odpowiedzią na te potrzeby ma być uregulowanie rynku. W szczególności warto się przyjrzeć rozporządzeniu Markets in Crypto Assets (MiCA). MiCA jest elementem większego pakietu finansów cyfrowych Unii Europejskiej. Celem MiCA jest m.in.
- Stworzenie jednolitych ram prawnych dla rynku kryptowalut w UE,
- Wprowadzenie jednolitych zasady dla dostawców usług w zakresie kryptoaktywów (w tym podmiotów prowadzących giełdy) i emitentów kryptoaktywów,
- Zapewnienie stabilności rynku i ochrona inwestorów przed ryzykiem.
MiCA stworzy zharmonizowany europejski rynek kryptoaktywów, który zagwarantuje pewność prawną w całej UE poprzez jasną klasyfikację aktywów i przejrzyste wytyczne dla dostawców usług i emitentów. Jeżeli regulacje spotkają się z powszechną akceptacją, można ostrożnie przewidywać, że na rynku pojawi się więcej inwestorów instytucjonalnych i więcej zasobów. To może pomóc w jego dalszym rozwoju.
Oprócz tego MiCA, ze względu na skalę wspólnego rynku europejskiego, może pójść w ślady rozporządzenia o ochronie danych (RODO) i również stać się przyczynkiem do kształtowania podobnych regulacji w innych częściach świata. Oczekuje się, że Parlament Europejski będzie głosował nad projektem w lutym tego roku. MiCA najprawdopodobniej wejdzie w życie w III kwartale 2024 r.
Więcej treści o MICA tutaj: MiCA, czyli jak Unia Europejska chce uregulować rynek kryptowalutowy.
Artificial Intelligence strategicznym obszarem zainteresowania Unii Europejskiej
W dziedzinie AI prawodawcze emocje również nie słabną. Wciąż czekamy na wejście w życie najważniejszego aktu prawnego w tym zakresie – AI Act – Rozporządzenia Parlamentu Europejskiego i Rady ustanawiającego zharmonizowane przepisy dotyczące sztucznej inteligencji. Celem rozporządzenia jest rozwój w Unii Europejskiej bezpiecznej, wiarygodnej i etycznej sztucznej inteligencji. AI Act podzieli systemy AI ze względu na kategorie ryzyka. Określono w nim w nim jakie zastosowania sztucznej inteligencji będą uznane za niedozwolone. Stworzono również kategorię systemów AI wysokiego ryzyka i to właśnie na tzw. operatorów AI tej kategorii rozporządzenie nałoży szereg obowiązków.
Rok 2022 przyniósł kolejne poprawki przybliżające do finalnego brzmienia dokumentu. Na początku grudnia Rada przyjęła wspólne stanowisko ws. aktu, kolejnym krokiem będzie przyjęcie wspólnego stanowiska również przez Parlament. Nie jest znany jeszcze dokładny termin, od kiedy AI Act zacznie obowiązywać, szacuje się, że może to nastąpić na początku 2024.
Sztuczna inteligencja zajmuje centralne miejsce w unijnej strategii tworzenia jednolitego rynku cyfrowego, równolegle więc do prac nad AI Act w UE toczą się również dyskusje nad innymi aspektami AI. We wrześniu 2022 r. Komisja Europejska przyjęła dwa wnioski prowadzące do uregulowania odpowiedzialności za działalność AI. Pierwszy dotyczy unowocześnienia obowiązujących przepisów dotyczących odpowiedzialności producentów na zasadzie ryzyka za produkty niebezpieczne. W drugim Komisja proponuje nową, odrębną dyrektywę dotyczących odpowiedzialności za sztuczną inteligencję. Wnioski Komisji muszą teraz zostać przyjęte przez Parlament Europejski i Radę.
Więcej o nowych projektach regulacji dotyczących odpowiedzialności za AI można przeczytać tutaj: Nowe zasady odpowiedzialności za sztuczną inteligencję w Unii Europejskiej.
Kończymy tutaj naszą regulacyjną refleksję i z zapałem patrzymy na 2023. Jeżeli opisane w artykule akty dotyczą usług świadczonych przez Twoją firmę, konieczne jest dostosowanie modelu jej działania do nowych obowiązków. Nawet jeśli terminy wejścia w życie aktów są jeszcze odległe lub nieznane – warto już dziś przeanalizować, jak regulacje mogą wpłynąć na funkcjonowanie biznesu.
W razie jakichkolwiek pytań – chętnie pomożemy.
Masz pytania? Skontaktuj się z autorami
Zobacz też:
Trudny czas kryptowalut
Wszedł w życie Akt o usługach cyfrowych (DSA) nazywany „Konstytucją Internetu”
Nowe zasady odpowiedzialności za sztuczną inteligencję w Unii Europejskiej