Prezydent RP Karol Nawrocki podpisał nowelizację ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC), kończąc tym samym trwający blisko siedem lat proces legislacyjny. Jednocześnie zdecydował o skierowaniu wybranych przepisów do kontroli następczej przez Trybunał Konstytucyjny. Wątpliwości dotyczą regulacji odnoszących się do tzw. dostawców wysokiego ryzyka.
Nowelizacja wdraża do polskiego porządku prawnego unijną dyrektywę NIS 2 i znacząco rozszerza zakres obowiązków w obszarze cyberbezpieczeństwa. Nowe przepisy mają na celu zwiększenie odporności państwa oraz kluczowych sektorów gospodarki na rosnącą liczbę i skalę cyberzagrożeń.
Podpis Prezydenta i wniosek do Trybunału Konstytucyjnego
Podpis Prezydenta oznacza formalne zakończenie procesu legislacyjnego i otwiera drogę do publikacji ustawy w Dzienniku Ustaw. Jednocześnie głowa państwa zdecydowała o skierowaniu części przepisów do Trybunału Konstytucyjnego w trybie kontroli następczej.
Jak wskazano w komunikacie, wniosek do TK dotyczy regulacji związanych z mechanizmem identyfikacji dostawców wysokiego ryzyka. To jeden z najbardziej dyskutowanych elementów nowelizacji – zarówno w trakcie prac parlamentarnych, jak i w debacie publicznej. Kontrola konstytucyjna ma rozstrzygnąć ewentualne wątpliwości dotyczące zakresu kompetencji organów administracji oraz wpływu tych przepisów na swobodę działalności gospodarczej.
Co istotne, skierowanie ustawy do TK w tym trybie nie wstrzymuje jej wejścia w życie.
6 miesięcy na samorejestrację w systemie S46
Zgodnie z aktualnymi przepisami, po wejściu w życie nowelizacji, podmioty objęte ustawą będą miały 6 miesięcy na dokonanie samorejestracji w systemie S46. System ten będzie również służył do dwukierunkowej komunikacji dotyczącej incydentów bezpieczeństwa, w tym wysyłania wczesnych ostrzeżeń, zgłoszeń i raportów.
Samorejestracja to jeden z pierwszych formalnych obowiązków, od którego zależeć będzie dalsze monitorowanie zgodności z ustawą i egzekwowanie wymogów cyberbezpieczeństwa.
Kluczowe zmiany w systemie cyberbezpieczeństwa
Nowelizacja wprowadza szereg istotnych zmian, które znacząco przekształcą krajobraz regulacyjny w Polsce. Do najważniejszych należą:
- utworzenie CSIRT-ów sektorowych odpowiedzialnych za koordynację działań w ramach poszczególnych branż,
- rozszerzenie katalogu podmiotów objętych Krajowym Systemem Cyberbezpieczeństwa,
- możliwość identyfikacji i eliminacji dostawców wysokiego ryzyka z kluczowych systemów,
- doprecyzowanie podziału na podmioty kluczowe i podmioty ważne,
- wzmocnienie kompetencji organów nadzorczych oraz mechanizmów kontroli.
Nowe przepisy obejmą znacznie szersze grono organizacji niż dotychczas. Szacuje się, że nawet około 40 tysięcy podmiotów – zarówno z sektora publicznego, jak i prywatnego – będzie zobowiązanych do wdrożenia nowych wymagań.
Nowe obowiązki dla organizacji
W praktyce nowelizacja UoKSC oznacza dla wielu organizacji konieczność gruntownego uporządkowania systemu zarządzania bezpieczeństwem informacji.
Do kluczowych obowiązków należeć będą m.in.:
- wdrożenie i utrzymywanie Systemu Zarządzania Bezpieczeństwem Informacji (SZBI),
- systematyczna analiza ryzyka i dokumentowanie jej wyników,
- wdrożenie procedur zarządzania incydentami oraz ich raportowanie w określonych terminach,
- zapewnienie bezpieczeństwa w łańcuchu dostaw,
- zwiększenie odpowiedzialności kadry zarządzającej za poziom cyberbezpieczeństwa w organizacji.
Wprowadzone regulacje przewidują również administracyjne kary pieniężne za naruszenie obowiązków, przy czym część przepisów obejmie okres przejściowy.
Nowy etap dla NIS 2 w Polsce
Podpis Prezydenta oznacza, że Polska formalnie dołącza do grona państw wdrażających dyrektywę NIS2 do krajowego porządku prawnego. Dla wielu podmiotów to sygnał, że czas przygotowań do nowych wymogów dobiega końca.
Nadchodzące miesiące będą kluczowe dla organizacji objętych ustawą – zarówno pod kątem audytów zgodności, jak i budowania realnej odporności na incydenty cybernetyczne. Nowelizacja KSC nie jest jedynie zmianą formalną. To istotny krok w kierunku systemowego podejścia do cyberbezpieczeństwa jako elementu stabilności państwa i ciągłości działania biznesu.
