Co zmienia nowelizacja UKSC? Część 1
7 listopada tego roku do Sejmu wpłynął rządowy projekt nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa (UKSC). Jego celem jest wdrożenie do polskiego porządku dyrektywy NIS2. Ta unijna regulacja zastępuje swoją poprzedniczkę, wprowadzając szereg zmian służących zwiększeniu poziomu cyberbezpieczeństwa na terytorium Unii.
Tym wpisem inicjujemy cykl artykułów o planowanej nowelizacji UKSC, w ramach którego przeanalizujemy najważniejsze zmiany, jakie niesie za sobą procedowany projekt. W dzisiejszym wpisie skupimy się na nakreśleniu tła nowelizacji i przedstawieniu jej najważniejszych założeń.
Cel nowelizacji
Obecnie obowiązująca ustawa o krajowym systemie cyberbezpieczeństwa jest efektem implementacji dyrektywy z 6 lipca 2016 roku, obecnie – dla rozróżnienia – zwanej dyrektywą NIS1. Ta jednak, z uwagi na swój zbyt generalny charakter i brak zharmonizowanych sankcji, nie została jednolicie zaimplementowana przez państwa członkowskie. Trudność w zagwarantowaniu przez dyrektywę spójnego, odpowiedniego standardu cyberbezpieczeństwa na terenie całej UE stała się tym bardziej dotkliwa, im mocniej i szybciej rosła liczba zagrożeń i ataków w przestrzeni cyfrowej.
Odpowiedzią na to ma być dyrektywa NIS2, przyjęta w grudniu 2022 roku, wzmacniająca mechanizmy ochronne i rozszerzająca grono podmiotów objętych obowiązkami. Państwa członkowskie zostały zobowiązane do przyjęcia implementacji dyrektywy do 17 października 2024 roku. W Polsce prace nad implementacją dyrektywy NIS2 znacznie przeciągnęły się poza wyznaczony termin, ostatecznie jednak z początkiem listopada rządowy projekt nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa trafił do Sejmu. Na podstawie procedowanego projektu i przyjętych w nim rozwiązań będziemy chcieli krótko przedstawić proponowane zmiany w obszarze cyberbezpieczeństwa, w tym wskazać najważniejsze, praktyczne różnice między stanem obecnym a planowanym.
Zmodyfikowany zakres podmiotowy
Podstawową zmianą wynikającą z nowelizacji jest sformułowanie na nowo zakresu podmiotowego, czyli określenie jednostek, jakie są objęte regulacją. Obecny krąg podmiotów, w skład którego wchodziły przede wszystkim trzy grupy (operatorzy usług kluczowych, dostawcy usług cyfrowych i podmioty publiczne) zostanie zastąpiony prostszym podziałem: na podmioty kluczowe oraz podmioty ważne.
Kolejne sektory działalności
Podmioty kluczowe i ważne mają być wyłaniane w oparciu o kilka kryteriów. Podstawowym warunkiem jest prowadzenie działalności w określonych w ustawie sektorach działalności. W tym kontekście dyrektywa NIS2, a w ślad za nią nowelizacja UKSC, przewiduje objęcie wymogami nowych sektorów gospodarki, wśród których znalazły się m.in. sektory: produkcji, wytwarzania i dystrybucji chemikaliów, przestrzeni kosmicznej, czy produkcji i dystrybucji żywności.
Samoocena i zgłoszenie
Działania służące ustaleniu, czy dany podmiot będzie objęty obowiązkami z ustawy, musi podjąć on sam. Jest to istotna zmiana względem dotychczasowych przepisów. Po dokonaniu samooceny w świetle przepisów ustawy i samoidentyfikacji jako podmiotu kluczowego lub ważnego, organizacja będzie zobowiązana do dokonania rejestracji w wykazie podmiotów kluczowych i ważnych. Ta regulacja zastępuje dotychczasowe przepisy o wykazie operatorów usług kluczowych.
Środki nadzoru
W stosunku do podmiotów objętych ustawą będą mogły zostać zastosowane środki nadzoru. Będą one miały charakter prewencyjny i następczy w przypadku podmiotów kluczowych oraz wyłącznie następczy w przypadku podmiotów ważnych (w szczególności w przypadku uzasadnionego podejrzenia, że zachodzi możliwość naruszenia przepisów ustawy). Wzmocnione zostaną kompetencje organów właściwych do spraw cyberbezpieczeństwa, które – dla wykonywania swoich uprawnień i obowiązków z zakresu sprawowania nadzoru i kontroli – będą mogły żądać od podmiotów niezbędnych danych, informacji i dokumentów.
Wyższe kary
Nowelizacja UKSC istotnie zwiększa wysokość kar pieniężnych, jakie będą mogły zostać nałożone na podmiot nieprzestrzegający obowiązków z ustawy. W przypadku podmiotów ważnych będą one mogły sięgnąć 7 milionów euro lub 1,4% przychodów osiągniętych z działalności gospodarczej w roku obrotowym poprzedzającym wymierzenie kary. Podmioty kluczowe muszą liczyć się z surowszymi sankcjami: do 10 milionów euro lub 2% przychodów osiągniętych z działalności gospodarczej w roku obrotowym poprzedzającym wymierzenie kary. UKSC przewiduje także karę w razie kwalifikowanego naruszenia – a ta wynosić będzie do 100 milionów złotych. Ponadto nowością będzie wprowadzenie odpowiedzialności osób fizycznych piastujących stanowiska zarządcze w podmiocie niewywiązującym się z wymogów.
Kiedy nastąpią zmiany?
Omawiany projekt jest obecnie procedowany przez polski parlament, a 17 listopada skierowano go do pierwszego czytania na posiedzeniu Sejmu. Po zakończeniu prac ustawa zostanie ogłoszona, a wejdzie w życie po upływie miesiąca od momentu ogłoszenia. Wówczas rozpocznie się sześciomiesięczny okres, w trakcie którego podmioty (kwalifikujące się jako kluczowe lub ważne w dniu wejścia w życie ustawy) będą miały obowiązek przygotowania się do nowych wymagań.
Jak możemy pomóc?
Jeżeli poszukujesz wsparcia w procesie dostosowania Twojej organizacji do wymogów wynikających z nowelizacji UKSC – zapraszamy do kontaktu. Nasze wsparcie oferujemy na każdym etapie tego procesu: asystując nie tylko przy samoocenie, ale także przy wdrożeniu odpowiednich środków technicznych z zakresu cyberbezpieczeństwa, co jest możliwe dzięki współpracy z partnerem technologicznym kancelarii.
