Co zmienia nowelizacja UKSC? Część 2

To drugi wpis z cyklu artykułów o planowanej nowelizacji UKSC. Poprzednio nakreśliliśmy tło nowelizacji i przedstawiliśmy najważniejsze założenia, a dzisiaj skupimy się na omówieniu zakresu podmiotowego, zaznaczając największe zmiany w tym obszarze. Aby lepiej zrozumieć, na czym polegają zmiany, pokrótce przypomnimy też, jak na tę chwilę kształtują się regulacje z zakresu cyberbezpieczeństwa.

Jak jest teraz?

Zgodnie z obecnie obowiązującą ustawą, krajowy system cyberbezpieczeństwa obejmuje szereg podmiotów, wśród których najczęściej wymienia się operatorów usług kluczowych, dostawców usług cyfrowych oraz określone podmioty publiczne.

Operator usług kluczowych

Podmiot posiada jednostkę organizacyjną na terytorium RP i świadczy usługę kluczową w rozumieniu art. 5 ust. 1 UKSC. Świadczenie tej usługi jest uzależnione od funkcjonowania systemów informacyjnych, a ewentualny incydent ma mieć istotny skutek zakłócający dla świadczenia usługi przez tego operatora (art. 5 ust. 2 pkt 2-3 UKSC).

Usługi kluczowe łącznie z progiem istotności skutku, wymienione zostały w rozporządzeniu Rady Ministrów z 11 września 2018 roku.

Operator usług kluczowych działa w co najmniej jednym z sześciu sektorów wymienionych w załączniku nr 1 do ustawy (energia, transport, bankowość i infrastruktura rynków finansowych, ochrona zdrowia, zaopatrzenie w wodę pitną i jej dystrybucja, infrastruktura cyfrowa).

Aby podmiot uzyskał status operatora usługi kluczowej, konieczne jest wydanie decyzji o uznaniu go za takiego operatora. Do wydania decyzji uprawniony jest organ właściwy do spraw cyberbezpieczeństwa, którym co do zasady jest właściwy minister (art. 41 UKSC).

Dostawca usług cyfrowych

Posiada siedzibę lub zarząd na terytorium RP (albo przedstawiciela mającego na tym terytorium jednostkę organizacyjną) i świadczy usługę cyfrową. Rodzaje tych usług zostały wymienione w załączniku nr 2 do ustawy, a są nimi:

• internetowa platforma handlowa (tzw. marketplace);
• usługa przetwarzania w chmurze;
• wyszukiwarka internetowa.

Dostawcą usług cyfrowych nie będzie mikroprzedsiębiorca i mały przedsiębiorca (art. 17 ust. 1 UKSC).

Podmioty publiczne

Kategoria obejmuje podmioty takie, jak: Narodowy Bank Polski, Bank Gospodarstwa Krajowego, Urząd Dozoru Technicznego, Narodowy Fundusz Ochrony Środowiska i Gospodarki Wodnej, ale także zdefiniowane w odrębnych ustawach spółki prawa handlowego wykonujące zadania o charakterze użyteczności publicznej czy jednostki sektora finansów publicznych.

Jak będzie po nowelizacji? Kategorie podmiotów

Zgodnie z założeniami dyrektywy NIS2 i projektu nowelizacji UKSC, przedstawiony powyżej podział zostanie zastąpiony przez prostszy, obejmujący podmioty kluczowe i podmioty ważne.

Podmiot kluczowy

Podmiotem kluczowym będzie podmiot, który przewyższa wymogi dla średniego przedsiębiorstwa, działający w jednym z sektorów kluczowych, wymienionych w załączniku nr 1.

W grupie podmiotów kluczowych znajdzie się także:

• przedsiębiorca komunikacji elektronicznej, będący co najmniej średnim przedsiębiorcą oraz
• dostawca usług zarządzanych w zakresie cyberbezpieczeństwa, będący co najmniej małym albo średnim przedsiębiorcą.

W przypadku niektórych podmiotów status podmiotu kluczowego będzie przysługiwał niezależnie od ich wielkości. Będzie tak w przypadku:

• dostawcy usług DNS;
• kwalifikowanego dostawcy usług zaufania w rozumieniu art. 3 pkt 20 rozporządzenia 910/2014;
• podmiotu krytycznego (w rozumieniu dyrektywy CER);
• podmiotu publicznego wskazanego w załączniku nr 1;
• podmiotu zidentyfikowanego jako podmiot kluczowy na podstawie art. 7l ust. 2 pkt 1 UKSC;
• państwowej osoby prawnej zidentyfikowanej jako podmiot kluczowy na podstawie art. 7m UKSC;
• podmiotu, który nie jest przedsiębiorcą, a jest wskazany w załączniku nr 1 do ustawy z nazwy albo przez określenie jego rodzaju;
• podmiotu będącego operatorem obiektu energetyki jądrowej, o którym mowa w art. 2 pkt 2 ustawy z dnia 29 czerwca 2011 r. o przygotowaniu i realizacji inwestycji w zakresie obiektów energetyki jądrowej oraz inwestycji towarzyszących (Dz. U. z 2025 r. poz. 1156);
• rejestru nazw domen najwyższego poziomu (TLD);
• podmiotu świadczącego usługi rejestracji nazw domen.

Podmiot ważny

Za podmiot ważny uznany zostanie podmiot:

• spełniający wymogi dla średniego przedsiębiorcy, działający w jednym z sektorów kluczowych wymienionych w załączniku nr 1; lub
• spełniający wymogi dla średniego przedsiębiorcy lub przewyższający je, działający w jednym z sektorów ważnych wymienionych w załączniku nr 2, niebędący przy tym podmiotem kluczowym.

W tej kategorii będzie mieścić się także:

• mikro-, mały lub średni przedsiębiorca będący niekwalifikowanym dostawcą usług zaufania;
• mikro- lub mały przedsiębiorca będący przedsiębiorcą komunikacji elektronicznej.

Podmiotem ważnym będzie też podmiot będący inwestorem obiektu energetyki jądrowej, o którym mowa w art. 2 pkt 2 ustawy z dnia 29 czerwca 2011 r. o przygotowaniu i realizacji inwestycji w zakresie obiektów energetyki jądrowej oraz inwestycji towarzyszących, który uzyskał decyzję zasadniczą, o której mowa w art. 3a ust. 1 tej ustawy – bez względu na jego wielkość.

Status będzie przysługiwał również:

• podmiotowi zidentyfikowanemu jako podmiot ważny na podstawie 7l ust. 2 pkt 2;
• podmiotowi, który nie jest przedsiębiorcą, a jest wskazany w załączniku nr 2 do ustawy z nazwy albo przez określenie jego rodzaju; oraz
• podmiotowi publicznemu, który nie jest podmiotem kluczowym oraz jest samorządową jednostką budżetową, samorządowym zakładem budżetowym, samorządową instytucją kultury albo spółką wykonującą zadania o charakterze użyteczności publicznej w rozumieniu art. 1 ust. 2 ustawy z dnia 20 grudnia 1996 r. o gospodarce komunalnej (Dz. U. z 2021 r. poz. 679), jeżeli realizuje zadanie publiczne z wykorzystaniem systemów informacyjnych.

Jak będzie po nowelizacji? Nowe sektory

Jak będzie po nowelizacji? Obowiązek samooceny

Jak wskazano wyżej, operatorzy usług kluczowych uzyskują ten status po wydaniu decyzji przez właściwy organ. Ten etap został pominięty w ramach nowelizacji UKSC, w zamian za to przeniesiono ciężar oceny na same podmioty. W efekcie każda organizacja powinna samodzielnie zweryfikować, czy zostanie objęta wymogami na gruncie znowelizowanej UKSC i ustalić swój status jako podmiotu kluczowego lub ważnego.

Taka samoocena powinna, między innymi:

• brać pod uwagę całokształt działalności przedsiębiorstwa – nawet jeżeli działalność kluczowa podmiotu nie mieści się w ramach sektorów kluczowych i ważnych, to wciąż należy zbadać działalność poboczną;
• uwzględniać treść załącznika I do rozporządzenia Komisji (UE) nr 651/2014 z dnia 17 czerwca 2014 r. uznającego niektóre rodzaje pomocy za zgodne z rynkiem wewnętrznym w zastosowaniu art. 107 i 108 Traktatu – z niego wynikają przesłanki uznania za mikro-, małego, średniego czy dużego przedsiębiorcę;
• być dokonana na dzień sporządzenia sprawozdania finansowego – to dzień wskazany w projektowanym art. 5 ust. 5 UKSC).

W przypadku przedsiębiorstw powiązanych i partnerskich, którym przysługiwałby status podmiotu kluczowego lub ważnego konieczne jest ponadto uwzględnienie dodatkowych przesłanek dotyczących sposobu świadczenia usług przez taki podmiot czy niezależności jego systemów informacyjnych.

Wreszcie, dla uznania, że dana organizacja jest objęta regulacją, należy potwierdzić, że podlega ona pod polską jurysdykcję.

Praktyczne znaczenie nowelizacji

Zmiana zakresu podmiotowego w NIS2, a w ślad za nią w nowelizacji UKSC, ma konkretne skutki praktyczne.

Rozszerzenie listy sektorów objętych przepisami i rezygnacja z procedury wydawania decyzji administracyjnej przełoży się na większą liczbę podmiotów objętych wymogami. Pośrednio wpłynie to na szerokie grono organizacji znajdujących się w łańcuchu dostaw takich podmiotów: będą one konfrontowane z postulatem zmian zawartych umów i ich dostosowaniem w celu zapewnienia zgodności z obowiązkami UKSC. To wszystko z kolei przyczyni się do wzmocnienia standardów cyberbezpieczeństwa również w przedsiębiorstwach funkcjonującymi poza obszarami ujętymi w UKSC.

Jak możemy pomóc?

Jeżeli poszukujesz wsparcia w procesie dostosowania Twojej organizacji do wymogów wynikających z nowelizacji UKSC – zapraszamy do kontaktu. Nasze wsparcie oferujemy w każdym etapie tego procesu: asystując nie tylko przy samoocenie, ale także przy wdrożeniu odpowiednich środków technicznych z zakresu cyberbezpieczeństwa, co jest możliwe dzięki współpracy z partnerem technologicznym kancelarii.