Sejm przyjął nowelizację ustawy o Krajowym Systemie Cyberbezpieczeństwa, która dostosowuje polskie prawo do unijnej dyrektywy NIS2 i rozszerza zakres regulacji w obszarze cyberbezpieczeństwa, – informuje Sejm RP. Nowe przepisy obejmują kolejne sektory gospodarki i wprowadzają nowe obowiązki dla firm uznanych za najważniejsze lub ważne z punktu widzenia funkcjonowania państwa.
Co zmienia się w KSC i jaką rolę zyskują instytucje
Po nowelizacji Krajowy System Cyberbezpieczeństwa obejmie m.in. sektor wodno-ściekowy, usługi pocztowe, infrastrukturę kosmiczną oraz produkcję i dystrybucję chemikaliów i żywności. Nowe przepisy wprowadzają podział firm na podmioty najważniejsze i ważne, a zakres ich obowiązków zależy od skali działalności oraz znaczenia danego podmiotu.
Ustawa przewiduje powołanie sektorowych zespołów CSIRT odpowiedzialnych za obsługę incydentów w poszczególnych branżach. W praktyce oznacza to bardziej wyspecjalizowane reagowanie na zagrożenia oraz usprawnienie przepływu informacji w ramach konkretnych sektorów. Równolegle rozszerzone zostają kompetencje organów odpowiedzialnych za cyberbezpieczeństwo, w tym możliwość wydawania ostrzeżeń, nakładania obowiązku przeprowadzenia audytów bezpieczeństwa oraz stosowania poleceń zabezpieczających w przypadku incydentów krytycznych.
Jakie obowiązki czekają firmy i kiedy pojawią się sankcje
Firmy objęte regulacją będą zobowiązane do wdrożenia środków technicznych i organizacyjnych adekwatnych do charakteru prowadzonej działalności oraz skali świadczonych usług. Obejmuje to m.in. analizę zasobów, identyfikację ryzyk cybernetycznych, aktualizację procedur oraz szkolenia pracowników. Odpowiedzialność za realizację tych obowiązków została przypisana bezpośrednio kierownictwu podmiotów.
Nowe przepisy wprowadzają również procedurę uznania dostawcy za wysokiego ryzyka, co może skutkować zakazem stosowania jego produktów w kluczowych systemach oraz obowiązkiem ich wycofania w określonym terminie. Jednocześnie ustawodawca przewidział okres przejściowy — administracyjne kary pieniężne będą mogły być nakładane dopiero po upływie dwóch lat od dnia wejścia ustawy w życie, co ma umożliwić firmom przygotowanie się do nowych wymagań.
