Wprowadzenie prawnego obowiązku utworzenia CSIRT sektorowych dla wszystkich sektorów określonych w załącznikach 1 i 2 do ustawy ma na celu usprawnienie funkcjonowania i zwiększenie skuteczności systemu reagowania na incydenty. W połączeniu z powstałą poprzez gromadzenie informacji bazą wiedzy o cyberzagrożeniach i podatnościach pozwoli skrócić czas obsługi incydentów oraz uwzględnić szczególne uwarunkowania danego sektora. Ważnym obowiązkiem dla CSIRT sektorowych w przypadku przyjęcia wczesnego ostrzeżenia o incydencie poważnym jest przekazanie podmiotowi zgłaszającemu wytycznych dotyczących wdrożenia odpowiednich środków lub udzielenie wsparcia technicznego.
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa – najważniejsze zmiany dla podmiotów
Informacja o ewentualnych zawartych porozumieniach w sprawie wymiany informacji o zdarzeniach z zakresu cyberbezpieczeństwa (m.in. porozumienie w sprawie inicjatyw typu ISAC) oraz informacja czy podmiot jest podmiotem krytycznym w rozumieniu dyrektywy CER. Oprócz tego, podmiot będzie musiał zadeklarować, czy wykonuje działalność w innych państwach członkowskich UE, co pozwoli określić m.in. Udostępniono projekt nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, która ma implementować do polskiego porządku prawnego dyrektywę NIS 21.
Środki egzekwowania przepisów
Dotyczy to także regulacji z zakresu ochrony danych osobowych, zwłaszcza jeśli brak jest porozumień z UE w tym przedmiocie. Do tego istotne jest przeanalizowanie struktury własnościowej dostawcy oraz zdolności ingerencji tego państwa w swobodę działalności gospodarczej takiego podmiotu. Decyzja o uznaniu za dostawcę wysokiego ryzyka jest wydawana przez ministra właściwego ds. Informatyzacji i zawiera w szczególności wskazanie produktów, rodzajów usług lub procesów ICT. Ogłasza się ją w Dzienniku Urzędowym Rzeczypospolitej Polskiej „Monitor Polski” oraz udostępnia w Biuletynie Informacji Publicznej ministra i na stronie internetowej urzędu go obsługującego.
Ministerstwo Cyfryzacji zaprezentowało projekt ustawy o Krajowym Systemie Cyberbezpieczeństwa
Teraz ulegnie to zmianie, ponieważ dyrektywa NIS 2 wprowadza o wiele szersze i bardziej konkretne wymagania w zakresie środków zarządzania ryzykiem w cyberbezpieczeństwie. „Obecnie z systemu aktywnie korzysta już ponad 430 kluczowych podmiotów. Będziemy ten system rozwijać po to, żeby był jeszcze bardziej zintegrowany i bliżej potrzeb użytkowników” – wyjaśnił Gawkowski. Dyrektywa NIS2 odeszła od sztywnych wymogów bezpieczeństwa na rzecz podejścia opartego na analizie ryzyka. Każdy podmiot objęty jej postanowieniami musi sam przeprowadzić taką analizę i dopasować zabezpieczenia do wykrytego ryzyka.
Ustawa o KSC na biurku prezydenta do końca roku?
- W przypadku uzasadnionego podejrzenia, że działania lub zaniechania podmiotu kluczowego lub ważnego mogą stanowić naruszenie przepisów ustawy, organ właściwy kieruje do tego podmiotu pismo w formie elektronicznej z ostrzeżeniem.
- W projektowanych zmianach nałożono obowiązki na podmioty kluczowe i ważne.
- Nowelizacja rozszerzy zakres Strategii Cyberbezpieczeństwa RP – będzie ona obejmować wszystkie sektory, w których znajdują się podmioty kluczowe i podmioty ważne.
- Świadczenie przez nią usług ma istotne znaczenie na poziomie krajowym lub województwa lub ma znaczenie dla dwóch lub więcej sektorów określonych w załączniku nr 1 lub nr 2 do ustawy.
- Tymczasowe blokowanie określonych adresów IP, segmentację sieci czy ograniczenie dostępu do zasobów krytycznych.
Co więcej, kara pieniężna może zostać nałożona na kierownika podmiotu kluczowego lub ważnego niezależnie od kary nałożonej na sam podmiot. Tak samo jak na gruncie przepisów obecnie obowiązującej ustawy, w jej znowelizowanej wersji przewidziano przyjęcie przez Radę Ministrów w formie uchwały Strategii Cyberbezpieczeństwa RP. Podmioty zobowiązane będą do złożenia wniosku o wpis do rejestru w terminie 2 miesięcy od spełnienia przesłanek uznania za podmiot kluczowy lub ważny. Nowelizacja rozszerzy zakres Strategii Cyberbezpieczeństwa RP – będzie ona obejmować wszystkie sektory, w których znajdują się podmioty kluczowe i podmioty ważne.
Toolbox 5G wymaga transponowania przez kraje członkowskie, które mają wiele swobody co do jego wdrożenia. W projektowanych zmianach nałożono obowiązki na podmioty kluczowe i ważne. 11) Przestępstwo, w którym sprawca nie będąc do tego uprawnionym, niszczy, uszkadza, usuwa, zmienia lub utrudnia dostęp do danych informatycznych albo w istotnym stopniu zakłóca lub uniemożliwia automatyczne przetwarzanie, gromadzenie lub przekazywanie takich danych.
Dostawcy wysokiego ryzyka
Kolejnym krokiem jest wdrożenie dyrektywy do krajowych porządków prawnych – państwa mają na to czas do 17 października 2024 r. Polski projekt nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa ma służyć realizacji tego wymogu. W związku z tym, rozszerza on krąg podmiotów objętych przepisami ustawy oraz katalog obowiązków, które powinny one spełniać. W nowelizacji przewidziano również utworzenie nowych struktur realizujących zadania z zakresu cyberbezpieczeństwa oraz wdrożenie nowych kanałów komunikacyjnych. Nowe przepisy uszczegóławiają także zasady w zakresie nadzoru i egzekwowania przepisów. Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa zawiera rozbudowany – w porównaniu do obecnej wersji – rozdział dotyczący nadzoru i kontroli.
W praktyce oznaczać to będzie wykorzystanie S46 do wymiany informacji zarówno o charakterze operacyjnym, jak i organizacyjnym przez wszystkie podmioty KSC. Przykładem tego drugiego typu danych będzie prowadzenie wykazu podmiotów kluczowych i ważnych (art. 46 ust. 1a projektu). Podmioty kluczowe i ważne będą korzystać z S46 w terminie 14 dni od dokonania wpisu do wykazu, a nieprzestrzeganie tego obowiązku narazi je (oraz organy zarządzające) na karę pienieżną.
Za brak systematycznego szacowania ryzyka, za niezarządzaniem ryzykiem wystąpienia incydentu, niezgłoszenie incydentu w wymaganym terminie czy za zaniechanie usuwania podatności. Po tych zmianach, organizacje objęte nowelizacją będą musiały świadomie podejść do kwestii cyberbezpieczeństwa – obejmujący m.in. Ocenę aktualnych zabezpieczeń, wdrożenie adekwatnych procedur (np. reagowania na incydenty). Istotne będzie także zapewnienie odpowiednich szkoleń czy wdrożenie podstawowych zasad cyberhigieny.
Wprowadza szerszy katalog uchybień, które mogą skutkować karami dla podmiotów kluczowych i ważnych, obejmując m.in. Brak wdrożenia systemu zarządzania bezpieczeństwem informacji, niewykonanie obowiązków audytowych czy niekorzystanie z systemu teleinformatycznego dedykowanego zgłaszaniu incydentów. Projektowana ustawa wprowadza nowe zasady dla dostawców usług cyfrowych oraz podmiotów administracji publicznej, które są objęte przepisami obecnej ustawy o krajowym systemie cyberbezpieczeństwa. Podmioty kluczowe i ważne, których w skali kraju będą tysiące, zostaną zobowiązane wprowadzić system zarządzania bezpieczeństwem informacji w procesach służących świadczeniu przez nie usług. Na stronie Rządowego Centrum Legislacji (RCL) opublikowano najprawdopodobniej ostateczny projekt nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa z dnia 7 lutego 2025 Futures Ameribor Term-90 aby rozpocząć handel na CBOE z końca stycznia r.
Podmioty kluczowe i ważne będą obowiązane korzystać z systemu S46 służącego wymianie informacji o incydentach, cyberzagrożeniach i podatnościach. Jednocześnie wprowadza się zmiany regulacyjne ułatwiające korzystanie z tego systemu. Ministerstwo Cyfryzacji zaprezentowało projekt ustawy o Krajowym Systemie Cyberbezpieczeństwa, który ma istotnie wzmocnić ochronę obywateli oraz instytucji przed rosnącymi zagrożeniami w cyberprzestrzeni. Uwzględnia także przepisy unijnej dyrektywy NIS2, do implementacji, której Polska jest zobowiązana.
Obecna ustawa o Krajowym Systemie Cyberbezpieczeństwa obowiązuje do 1 sierpnia 2018 r. Aby nadążyć za zmieniającymi się zagrożeniami potrzebna jest skuteczna i precyzyjna nowelizacja obowiązującego obecnie aktu, która ma znacznie wzmocnić system bezpieczeństwa teleinformatycznego na poziomie krajowym. O otwartych danych i ponownym wykorzystywaniu informacji sektora publicznego (Dz. U. z 2023 r. poz. 1524). Nałożona na podmiot lub jego kierownika kara pieniężna musi zostać uiszczona w terminie 14 dni od dnia, w którym decyzja o jej wymierzeniu stała się ostateczna lub od dnia doręczenia decyzji z klauzulą natychmiastowej wykonalności. Obecnie obowiązująca wersja ustawy przewiduje szereg kar pieniężnych za naruszenie jej przepisów.
Mogą one wynieść nawet do 7 mln euro lub 1,4% przychodu, przy czym dolna granica to 15 tys. W tej kwocie został ujęty także szacunkowy koszt zakupu nowych produktów, koszt deinstalacji starych i instalacji nowych urządzeń, koszt utylizacji zdemontowanego sprzętu oraz koszty pięcioletniej usługi serwisu i wsparcia technicznego. Według danych PTKOZ w Polsce jest obecnie około 800 szpitali publicznych, co po przemnożeniu przez wartość finansową skutku dla jednego podmiotu daje kwotę około 3,7 mld zł netto w pięcioletniej perspektywie. Kierownik podmiotu kluczowego lub ważnego będzie odpowiedzialny za realizację tych zadań przez dany podmiot i w przypadku niewywiązania się z zadań kierownika takiego podmiotu będą mogły być nałożone na niego kary.
- Każdy podmiot objęty jej postanowieniami musi sam przeprowadzić taką analizę i dopasować zabezpieczenia do wykrytego ryzyka.
- Po tych zmianach, organizacje objęte nowelizacją będą musiały świadomie podejść do kwestii cyberbezpieczeństwa – obejmujący m.in.
- Natomiast różni się w zakresie produktów, usług i procesów wykorzystywanych do wykonywania funkcji krytycznych dla bezpieczeństwa sieci i usług – wynosi on 5 lat.
- Podmioty kluczowe i ważne będą korzystać z S46 w terminie 14 dni od dokonania wpisu do wykazu, a nieprzestrzeganie tego obowiązku narazi je (oraz organy zarządzające) na karę pienieżną.
Znowelizowana ustawa wprowadza nowe zasady dla dostawców usług cyfrowych oraz podmiotów administracji publicznej, które są objęte przepisami obecnej ustawy o krajowym systemie cyberbezpieczeństwa. Podmioty kluczowe i ważne będą obowiązane wprowadzić system zarządzania bezpieczeństwem informacji w procesach służących świadczeniu usług przez te podmioty. Odpowiada to zakresowi wymogów, co do środków zarządzania ryzykiem wskazanych w art. 21 dyrektywy NIS2. Dyrektywa NIS 2 przekształca dotychczasowe ramy systemu cyberbezpieczeństwa w Unii Europejskiej. Nowe zadania dla państw członkowskich , rozszerza zakres podmiotów objętych obowiązkami z zakresu cyberbezpieczeństwa oraz redefiniuje kompetencje organów UE.
