Przepisy o cyberbezpieczeństwie obowiązują w szczególności:

Operatorów usług kluczowych, czyli podmiotów, których usługi są istotne dla funkcjonowania państwa lub gospodarki, do których należą m.in.:

• dostawcy usług finansowych,
• dostawcy usług energii,
• dostawcy usług transportu,
• dostawcy usług telekomunikacyjnych,
• dostawcy usług pocztowych,
• dostawcy usług medycznych,
• dostawcy usług wodociągowych,
• dostawcy usług zarządzania kryzysowego.

Dostawców usług cyfrowych, czyli podmiotów oferujących usługi cyfrowe, które są powszechnie dostępne i wykorzystywane przez dużą liczbę osób, do których należą m.in.:

• platformy internetowe,
• sklepy internetowe,
• dostawcy usług chmurowych,
• dostawcy usług społecznościowych,
• dostawcy usług płatności elektronicznych.

Jakie zmiany może wprowadzić nowelizacja ustawy o KRC i dyrektywa NIS-2?

Planowana nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa oraz dyrektywa NIS-2 wprowadzają szereg nowych zmian w zakresie cyberbezpieczeństwa w Polsce.

Oto niektóre z nich:

1. Rozszerzenie zakresu podmiotów zobowiązanych do stosowania przepisów o cyberbezpieczeństwie.

Wraz z wejściem w życie nowych przepisów, obowiązkami w zakresie cyberbezpieczeństwa zostaną objęte nowe podmioty, takie jak:

• podmioty świadczące usługi w zakresie dostawy energii elektrycznej, gazu ziemnego, wody, ciepła lub chłodu,
• podmioty świadczące usługi w zakresie transportu publicznego,
• podmioty świadczące usługi finansowe,
• podmioty świadczące usługi w zakresie opieki zdrowotnej,
• podmioty świadczące usługi w zakresie edukacji,
• podmioty świadczące usługi w zakresie łączności elektronicznej,
• podmioty świadczące usługi w zakresie infrastruktury krytycznej.

2. Wprowadzenie nowych obowiązków dla podmiotów zobowiązanych.

Podmioty zobowiązane będą zobowiązane do:

• wdrożenia systemów zarządzania bezpieczeństwem informacji (ISMS),
• zgłaszania incydentów cybernetycznych do CSIRT-u,
• przeprowadzania regularnych audytów bezpieczeństwa,
• informowania pracowników o zagrożeniach cybernetycznych,
• zapewnienia ciągłości działania w przypadku wystąpienia incydentu cybernetycznego.

3. Wzmocnienie sankcji za naruszenie przepisów o cyberbezpieczeństwie.

Za naruszenie przepisów o cyberbezpieczeństwie grożą podmiotom zobowiązanym kary administracyjne, które mogą wynieść nawet do 10 mln euro.

4. Utworzenie nowego organu nadzorczego w zakresie cyberbezpieczeństwa.

Wraz z wejściem w życie nowych przepisów, powołany zostanie nowy organ nadzorczy w zakresie cyberbezpieczeństwa, którym będzie Prezes Urzędu Ochrony Danych Osobowych.

Jakie obowiązki się zmieniają i od kiedy?

Termin implementacji dyrektywy NIS2 na poziomie prawa krajowego upływa dopiero 17 października 2024 roku, a dokładny zakres implementacji regulacji w nowelizacji ustawy o KSC zależy od najbliższych decyzji rządu. Jednak już dziś można wyróżnić kluczowe obowiązki, które będą musieli wdrożyć zarówno operatorzy usług kluczowych oraz dostawcy usług cyfrowych, m. in.:

• zarządzanie ryzykiem cyberbezpieczeństwa,
• implementację odpowiednich środków technicznych i organizacyjnych,
• prowadzenie szkoleń dla pracowników,
• raportowanie incydentów cyberbezpieczeństwa.

Oprócz terminów na wdrożenie poszczególnych obowiązków, OUK muszą również przestrzegać następujących terminów:

• Obowiązek aktualizacji analizy ryzyka cyberbezpieczeństwa – co najmniej raz w roku;
• Obowiązek aktualizacji polityki bezpieczeństwa systemów informatycznych – co najmniej raz na dwa lata;
• Obowiązek aktualizacji Planu Ciągłości Działania – co najmniej raz na dwa lata;
• Obowiązek przeprowadzenia szkolenia z zakresu cyberbezpieczeństwa dla pracowników – co najmniej raz na dwa lata.

Dla DUC, którzy są również operatorami usług kluczowych, terminy na wdrożenie niektórych obowiązków są takie same jak dla OUK.

Nowe przepisy o cyberbezpieczeństwie mają na celu poprawę poziomu bezpieczeństwa systemów informatycznych i danych w Polsce.

Wprowadzenie nowych obowiązków dla podmiotów zobowiązanych ma przyczynić się do zwiększenia świadomości cyberbezpieczeństwa wśród pracowników oraz do wdrożenia odpowiednich środków bezpieczeństwa w organizacjach.