Podsumowanie
- Nowe kategorie podmiotów objętych obowiązkami wynikającymi z Ustawy o KSC
- Obowiązek samorejestracji podmiotów kluczowych i ważnych
- Wdrożenie systemu zarządzania bezpieczeństwem informacji
- Zmiany w zakresie zgłaszania incydentów poważnych
- Znaczące podwyżki kar pieniężnych za nieprzestrzeganie przepisów o KSC
Nowe kategorie podmiotów objętych obowiązkami wynikającymi z Ustawy o KSC
Zamiast dotychczasowych „operatorów usług kluczowych” i „operatorów usług cyfrowych” zaproponowano wprowadzenie pojęcia „podmiotu kluczowego” oraz „podmiotu ważnego”, które mają być głównymi adresatami obowiązków wynikających z Ustawy o KSC. Różnica pomiędzy tymi kategoriami podmiotów dotyczy nadzoru nad nimi:
- Względem podmiotu ważnego czynności nadzorcze można prowadzić jedynie nadzór następczy (w razie podejrzenia nieprawidłowości),
- Względem podmiotu kluczowego również prewencyjny (również w braku podejrzenia nieprawidłowości).
Google news
Bądź na bieżąco ze zmianami w prawie, podatkach i księgowości! Zaobserwuj nas w Wiadomościach Google
Obowiązek samorejestracji podmiotów kluczowych i ważnych
Podmioty kluczowe i ważne zobowiązane będą do przeprowadzenia procesu samorejestracji w wykazie podmiotów kluczowych i ważnych, który będzie prowadzony przez ministra właściwego ds. informatyzacji. Proces ten będzie kluczowym krokiem w zapewnieniu transparentności oraz skutecznej kontroli nad istotnymi podmiotami działającymi w danej sferze. Poprzez samorejestrację, te podmioty będą w stanie udokumentować swoją rolę i znaczenie w kontekście dziedziny, w której działają, co pozwoli na lepsze monitorowanie ich działań oraz odpowiednią reakcję na ewentualne zmiany czy zagrożenia.
Wdrożenie systemu zarządzania bezpieczeństwem informacji
W podmiotach kluczowych i ważnych, obejmującego elementy wskazane w zmienionej Ustawie o KSC, w tym prowadzenie systematycznego szacowania ryzyka wystąpienia incydentu oraz zarządzanie tym ryzykiem, a także wdrożenie odpowiednich i proporcjonalnych technicznych i organizacyjnych środków bezpieczeństwa.
Ten system musi obejmować szereg elementów, w tym:
- Systematyczne szacowanie ryzyka: To proces identyfikacji, analizy i oceny potencjalnych zagrożeń dla bezpieczeństwa informacji w organizacji. Szacowanie ryzyka pozwala na zidentyfikowanie najbardziej krytycznych obszarów wymagających ochrony.
- Zarządzanie ryzykiem: Po dokonaniu oceny ryzyka konieczne jest podejmowanie działań mających na celu jego zarządzanie. Obejmuje to podejmowanie decyzji dotyczących akceptacji, zmniejszenia, unikania lub przeniesienia ryzyka.
- Wdrożenie odpowiednich środków bezpieczeństwa: Obejmuje to zarówno środki techniczne, jak i organizacyjne. Środki techniczne mogą obejmować stosowanie oprogramowania antywirusowego, firewalli, szyfrowania danych itp. Środki organizacyjne obejmują procedury dostępu do danych, szkolenia personelu w zakresie bezpieczeństwa informacji, audyty bezpieczeństwa itp.
- Proporcjonalność: Środki bezpieczeństwa muszą być proporcjonalne do ryzyka, jakie niesie ze sobą dana działalność. Oznacza to, że organizacje powinny dostosować swoje działania do rzeczywistych zagrożeń i potrzeb, unikając jednocześnie nadmiernego obciążenia związanego z bezpieczeństwem.
NIS-2 – czy moja firma podlega? [ANKIETA]
Przygotowaliśmy dla Państwa krótki kwestionariusz, który pozwoli zidentyfikować, czy i w jakim stopniu Państwa firma podlegać będzie pod wymagania Dyrektywy w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa w całej Unii Europejskiej (dyrektywa NIS2). NIS-2 zostanie implementowana do polskiego porządku prawnego poprzez nowelizację Ustawy o Krajowym Systemie Bezpieczeństwa, która ma wejść w życie na przełomie 2023 i 2024. Nowe regulacje wprowadzą znaczące zmiany dla polskich podmiotów: odpowiedzialność organów zarządzających oraz kary dochodzące do 10 000 000 euro lub aż 2% rocznego obrotu przedsiębiorstwa. Z przyjemnością pomożemy Państwu przygotować się do tych nowych wymagań. Aby wstępnie zbadać swoje nowe obowiązki w tym zakresie przygotowaliśmy kilka pytań. Po odpowiedzi na pytania otrzymają Państwo wynik, który odzwierciedli prawdopodobieństwo polegania pod nowe obowiązki nałożone przez Dyrektywę i projektowaną nowelizację Ustawy o Krajowym Systemie Bezpieczeństwa.
Zmiany w zakresie zgłaszania incydentów poważnych
Wprowadzone zostają zmiany w procedurze zgłaszania incydentów poważnych, mające na celu usprawnienie komunikacji i zapewnienie szybszej reakcji na tego typu zdarzenia. Celem zmian jest wczesne poinformowanie CSIRT sektorowego o potencjalnym zagrożeniu, co umożliwi szybsze podjęcie działań prewencyjnych i ograniczających skutki incydentu. Wczesne ostrzeżenie o incydencie poważnym, należy zgłosić w terminie 24 godzin od jego wykrycia, do CSIRT sektorowego (podczas gdy aktualnie konieczne jest zgłoszenie „incydentu”, a nie wczesnego ostrzeżenia, do CSIRT MON, CSIRT NASK lub CSIRT GOV). Zgłoszenie incydentu poważnego ma natomiast nastąpić w terminie 72 godzin od jego wykrycia.
Znaczące podwyżki kar pieniężnych za nieprzestrzeganie przepisów o KSC
Znacznemu podwyższeniu mają ulec również kary pieniężne za nieprzestrzeganie przepisów Ustawy (np. za niedokonanie obowiązkowego szacowania ryzyka, niezgłoszenie incydentu czy niedokonanie wpisu do rejestru). Proponuje się określenie minimalnego poziomu kary pieniężnej na kwotę 20 000 zł co do podmiotów kluczowych oraz 15 000 zł co do podmiotów ważnych.
- maksymalny wymiar kary wyniesie w przypadku podmiotów kluczowych równowartość 10 000 000 euro lub 2% przychodów osiągniętych w poprzednim roku obrotowym.
- podmioty ważne muszą liczyć się z karami wynoszącymi do 7 000 000 euro lub 1,4% przychodów zrealizowanych w poprzednim roku obrotowym.
Proponowane zmiany w Ustawie o Krajowym Systemie Cyberbezpieczeństwa (KSC) przynoszą istotne nowości w zakresie regulacji dotyczących podmiotów kluczowych i ważnych. Wprowadzenie nowych kategorii adresatów obowiązków, tj. podmiotów kluczowych i ważnych, oraz różnicowanie rodzaju nadzoru nad nimi stanowi istotny krok w kierunku skuteczniejszej ochrony cyfrowego krajobrazu.
Proces samorejestracji podmiotów kluczowych i ważnych umożliwi lepszą kontrolę nad tymi podmiotami, a wdrażanie systemów zarządzania bezpieczeństwem informacji pozwoli na skuteczną identyfikację, ocenę i zarządzanie ryzykiem. Zmiany w procedurze zgłaszania incydentów oraz zaostrzenie kar finansowych mają na celu zwiększenie skuteczności reakcji na potencjalne zagrożenia i promowanie bezpiecznych praktyk w obszarze cybernetycznym.
AUTORKA: Paulina Wójcik, Specjalistka ds. sprzedaży, Outsourcing IT
- 5 najważniejszych informacji dotyczących NIS2
- NIS2 a projekt nowelizacji uKSC
- Dyrektywa NIS2 – jakie znaczenie ma monitorowanie infrastruktury IT?
- Dyrektywa NIS-2: Czym jest, kogo dotyczy i kiedy wchodzi w życie?
- NIS2: obowiązkowe szkolenia dla zarządów z cyberbezpieczeństwa
- NIS vs. NIS2: Kluczowe zmiany w zakresie obowiązków i obszaru działań
- Produkcja pojazdów, rowerów, przyczep i naczep a NIS2
- Lekarze i opieka zdrowotna a NIS2
- Branża spożywcza a NIS2
- Produkcja sprzętów i maszyn a NIS2
- Apteki, producenci leków i wyrobów medycznych a NIS2
- Dyrektywa NIS2 – kopia zapasowa a ciągłość działania organizacji
- Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (NIS2)
- Obowiązki sektora chemicznego w kontekście NIS2
- Dyrektywa NIS2 – 10 najważniejszych zmian w projekcie nowelizacji ustawy o KSC
- NIS2: Ustawa o KSC najbardziej restrykcyjną ustawą w Europie?
- Najważniejsze zmiany w regulacjach dotyczących cyberbezpieczeństwa w 2025 r.
- Dyrektywa NIS-2 – sprawdź, czy podlegasz wymaganiom
- Od kartki papieru po kanapę. Czy NIS2 dotyczy prawie każdego producenta w Polsce?