Nowelizacja UKSC oczekuje na podpis Prezydenta RP

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa stanowi najistotniejszy krok w dostosowywaniu polskiego porządku prawnego do wymogów Dyrektywy 2022/2555 (NIS 2). Jej celem jest nie tylko formalna implementacja prawa unijnego, lecz także zasadnicza przebudowa krajowego modelu regulacyjnego w obszarze cyberbezpieczeństwa.

Na wcześniejszym etapie prac nad projektem ustawy Sejm skierował projekt do Komisji Cyfryzacji, Innowacyjności i Nowoczesnych Technologii. Komisja dokonała selekcji zgłoszonych wniosków i poprawek, wyraźnie opowiadając się za stabilizacją regulacyjną i wydłużeniem okresów dostosowawczych dla podmiotów objętych nowymi obowiązkami.

Do najważniejszych przyjętych poprawek należy zaliczyć przede wszystkim doprecyzowanie definicji „kierownika podmiotu kluczowego lub ważnego”, poprzez jednoznaczne odesłanie do przepisów ustawy o rachunkowości oraz – w przypadku sektora publicznego – do ustawy o finansach publicznych. Ma to istotne znaczenie praktyczne z perspektywy odpowiedzialności zarządczej i nadzorczej za system cyberbezpieczeństwa w organizacji.

Komisja opowiedziała się również za wydłużeniem terminów związanych z obowiązkami rejestrowymi i sprawozdawczymi – w szczególności w zakresie wpisu do wykazu podmiotów kluczowych i ważnych oraz uzupełniania danych.

Istotne znaczenie ma także przyjęcie przepisów czasowo odraczających możliwość nakładania kar pieniężnych – pierwsze będą mogły być stosowane dopiero po upływie 2 lat od wejścia w życie ustawy. Rozwiązanie to ma charakter ochronny i ma umożliwić realne wdrożenie wymaganych środków organizacyjnych i technicznych, bez natychmiastowego ryzyka związanego z odpowiedzialnością finansową podmiotów, które nie zdążą z dostosowaniem się do nowych przepisów.

Nowelizacja UKSC wprowadza szereg zmian związanych z podejściem do cyberbezpieczeństwa w Polsce. Najbardziej fundamentalną zmianą wprowadzaną przez nowelizację UKSC jest odejście od dotychczasowego podziału na operatorów usług kluczowych i dostawców usług cyfrowych, na rzecz nowej kategorii podmiotów kluczowych oraz podmiotów ważnych. Jednocześnie znacząco rozszerzono katalog sektorów objętych regulacją – nowymi obowiązkami objęto m.in. sektor ICT, przestrzeń kosmiczną, pocztę, produkcję (w tym chemiczną i spożywczą) oraz gospodarkę ściekową. Oznacza to objęcie reżimem KSC znacznie szerszego kręgu przedsiębiorców i instytucji niż dotychczas.

Nowelizacja wprowadza rozbudowany system zarządzania ryzykiem ICT, obejmujący obowiązek wdrożenia środków technicznych, organizacyjnych i operacyjnych, a także systemów zarządzania bezpieczeństwem informacji. Podmioty kluczowe będą dodatkowo zobowiązane do przeprowadzania cyklicznych audytów bezpieczeństwa (co do zasady co trzy lata), z możliwością zlecenia audytu doraźnego.

Istotnym novum są również zmiany w zakresie raportowania incydentów. Ustawa wprowadza dwuetapowy model zgłoszeń: wczesne ostrzeżenie w ciągu 24 godzin od wykrycia incydentu poważnego oraz właściwe zgłoszenie w terminie 72 godzin. Przewidziano także obowiązek składania sprawozdań okresowych i końcowych, co w praktyce wymusi sformalizowanie procedur reagowania na incydenty.

Znacznemu wzmocnieniu ulegają kompetencje organów nadzorczych. Nowe przepisy umożliwiają m.in. wydawanie ostrzeżeń, nakazów, decyzji administracyjnych, wyznaczanie urzędnika monitorującego oraz nakładanie dotkliwych kar pieniężnych. Szczególnie doniosłe są uprawnienia ministra właściwego ds. informatyzacji do uznania dostawcy ICT za dostawcę wysokiego ryzyka oraz do wydawania poleceń zabezpieczających w przypadku incydentów krytycznych.

Z perspektywy praktyki stosowania prawa nowa ustawa oznacza istotne zwiększenie obciążeń regulacyjnych dla podmiotów objętych KSC, ale jednocześnie tworzy bardziej spójne i przewidywalne ramy zarządzania cyberbezpieczeństwem. Kluczowym wyzwaniem pozostanie właściwe wdrożenie nowych obowiązków oraz zapewnienie proporcjonalności działań nadzorczych w realiach szybko zmieniającego się krajobrazu zagrożeń cyfrowych.

Kancelaria prawna KRWLegal / LegalWell zapewnia profesjonalne i fachowe doradztwo w wielu dziedzinach prawa, w tym świadczy usługi doradztwa w zakresie dyrektywy NIS 2, zgodności prawnej w zakresie cyberbezpieczeństwa oraz prowadzi szkolenia w tym obszarze dla pracowników instytucji obowiązanych.

Jeśli uważasz, że może mieć to wpływ na Twój biznes, zapraszamy do kontaktu: biuro@krwlegal.pl lub +48 22 29 50 940.