Polska wzmacnia krajowy system cyberbezpieczeństwa

Rada Ministrów przyjęła projekt nowelizacji ustawy o KSC, która wdraża unijną dyrektywę NIS2. Zmiany te wprowadzają kompleksową ochronę przed rosnącymi cyberzagrożeniami i obejmują swoim zasięgiem nowe sektory gospodarki.

Dlaczego nowelizacja jest konieczna?

Jak podkreśla wicepremier i minister cyfryzacji Krzysztof Gawkowski:

„Cyberzagrożenia rosną z każdym rokiem, dlatego musimy działać szybciej i skuteczniej niż ci, którzy próbują nas zaatakować. Naszym celem jest silna i bezpieczna cyfrowo Polska – nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa znacząco wzmacnia nasze możliwości obrony. Nowe przepisy pozwolą szybciej reagować na zagrożenia i lepiej chronić obywateli, instytucje i firmy. Dzięki nim Polska będzie bardziej odporna na cyberataki i przygotowana na wyzwania przyszłości”

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa ma przede wszystkim na celu:

• Skuteczniejszą ochronę przed cyberzagrożeniami
• Zwiększenie bezpieczeństwa kluczowych usług
• Lepszą ochronę danych osobowych i firmowych

Rozszerzenie katalogu podmiotów KSC o nowe sektory gospodarki

Jedną z najważniejszych zmian jest rozszerzenie katalogu podmiotów objętych krajowym systemem cyberbezpieczeństwa. Nowe sektory zostały podzielone na dwie kategorie:

Sektory kluczowe:

• Zbiorowe odprowadzanie ścieków – systemy kanalizacyjne i oczyszczalnie, które są niezbędne dla funkcjonowania miast i ochrony środowiska.
• Zarządzanie usługami ICT – przedsiębiorstwa świadczące zarządzane usługi informatyczne dla innych organizacji.
• Przestrzeń kosmiczna – operatorzy satelitów i infrastruktury kosmicznej.

Sektory ważne:

• Usługi pocztowe – operatorzy świadczący usługi przesyłek krajowych i międzynarodowych.
• Inwestycje energetyki jądrowej – przedsiębiorstwa zaangażowane w rozwój polskiej energetyki jądrowej.
• Produkcja i dystrybucja chemikaliów oraz żywności – zakłady produkcyjne i sieci dystrybucji produktów chemicznych i spożywczych.
• Produkcja ogólnie – szeroki zakres podmiotów produkcyjnych o znaczeniu dla gospodarki.
• Dostawcy usług cyfrowych – firmy oferujące usługi w chmurze, wyszukiwarki i marketplace’y.
• Badania naukowe – instytuty badawcze i uniwersytety prowadzące kluczowe projekty.
• Gospodarowanie odpadami – przedsiębiorstwa zajmujące się zbieraniem i przetwarzaniem odpadów.

Rozszerzenie tego katalogu oznacza, że znacznie więcej firm i instytucji będzie zobowiązanych do spełnienia wymogów w zakresie cyberbezpieczeństwa. Podmioty te odgrywają kluczową rolę w codziennym funkcjonowaniu państwa i gospodarki, dlatego ich cyfrowa odporność jest sprawą priorytetową.

Nowe obowiązki dla podmiotów kluczowych i ważnych

Dyrektywa NIS2 zastąpiła dotychczasowy podział na operatorów usług kluczowych i dostawców usług cyfrowych nową klasyfikacją. Podmioty zakwalifikowane jako kluczowe lub ważne będą musiały:

1. Wdrożyć system zarządzania bezpieczeństwem informacji, który obejmuje:

• Regularną ocenę ryzyka wystąpienia incydentów.
• Wprowadzenie rozwiązań technicznych i organizacyjnych odpowiednich do poziomu ryzyka.
• Zbieranie informacji o cyberzagrożeniach i podatnościach systemów
• Skuteczne zarządzanie incydentami.
• Stosowanie środków zapobiegających incydentom i ograniczających ich wpływ.

2. Wyznaczyć kierownika odpowiedzialnego za cyberbezpieczeństwo, który będzie zobowiązany do odbycia specjalistycznego szkolenia. Za niewywiązanie się z obowiązków kierownik będzie mógł ponieść kary finansowe.
3. Zgłaszać incydenty za pomocą systemu S46 bezpośrednio do odpowiednich zespołów CSIRT (Zespołów Reagowania na Incydenty Bezpieczeństwa Komputerowego).
4. Zarejestrować się w wykazie podmiotów objętych krajowym systemem cyberbezpieczeństwa.
   

⚠️ WAŻNE: Ustawa przewiduje nowe kary finansowe, m.in. za brak wdrożenia systemu zarządzania bezpieczeństwem informacji lub niezarejestrowanie podmiotów kluczowych i ważnych w odpowiednim wykazie.

Dostawcy wysokiego ryzyka – najważniejsze informacje

Nowelizacja wprowadza mechanizm identyfikacji dostawców wysokiego ryzyka, który ma wyeliminować niebezpieczny sprzęt i usługi z kluczowych systemów informatycznych państwa. Warto podkreślić kilka istotnych faktów:

• Dostawca spoza UE i NATO nie jest automatycznie uznawany za dostawcę wysokiego ryzyka.
• Procedura opiera się na przesłankach technicznych, nie na pochodzeniu dostawcy.
• Decyzję wydaje Minister Cyfryzacji po wieloetapowym postępowaniu.
• Nawet jeśli decyzja zostanie wydana, będzie dotyczyła konkretnego sprzętu lub oprogramowania, a nie całego asortymentu dostawcy.
• Sprzęt uznany za wysokiego ryzyka będzie musiał zostać wycofany z systemów podmiotów kluczowych i ważnych – standardowy termin realizacji to 7 lat, natomiast w szczególnych sytuacjach wynosi 4 lata.
• Dostawca może odwołać się do sądu administracyjnego od decyzji.

Na poniższej infografice przedstawiono szczegółowy przebieg postępowania w zakresie klasyfikacji dostawcy jako wysokiego ryzyka.

źródło: https://www.gov.pl/photo/fbd30e44-3b11-467f-8910-fe825e20b5fb

Wzmocnione kompetencje organów państwa

Nowelizacja wzmacnia również pozycję organów odpowiedzialnych za cyberbezpieczeństwo:

1. Organy właściwe do spraw cyberbezpieczeństwa (ministrowie sektorowi, KNF, Prezes UKE) będą mogły wydawać ostrzeżenia, wyznaczać urzędników monitorujących oraz nakazywać przeprowadzenie audytów bezpieczeństwa.
2. Minister Cyfryzacji zyska prawo do wydawania poleceń zabezpieczających w przypadku incydentów krytycznych oraz prowadzenia kampanii edukacyjnych.
3. Pełnomocnik Rządu do Spraw Cyberbezpieczeństwa będzie mógł wydawać rekomendacje, żądać informacji od organów administracji oraz zlecać niezbędne badania.
4. Zespoły CSIRT na poziomie krajowym, w tym CSIRT NASK, otrzymają rozszerzone uprawnienia, które umożliwią im skuteczniejsze wsparcie dla coraz większej liczby podmiotów kluczowych i ważnych.

📝 Jak Doradcy365 mogą pomóc?

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa wprowadza szereg nowych obowiązków, które mogą być wyzwaniem dla wielu organizacji. Czy Twoja firma lub instytucja została objęta nowymi przepisami? Nie wiesz, jak spełnić wymogi dyrektywy NIS2?

Oferujemy kompleksowe wsparcie:

• Analizę, czy Twoja organizacja podlega nowym przepisom
• Pomoc w przeprowadzeniu oceny ryzyka cyberbezpieczeństwa
• Wsparcie przy wdrażaniu systemu zarządzania bezpieczeństwem informacji
• Przygotowanie do rejestracji w wykazie podmiotów kluczowych i ważnych
• Doradztwo w zakresie wymogów organizacyjnych i technicznych

Chcesz dowiedzieć się więcej o nowych przepisach i możliwościach wsparcia?

Skorzystaj z naszej pomocy już dziś i uzyskaj wsparcie.

Masz więcej pytań? Zapraszamy do kontaktu!