Kluczowe zmiany wynikające z NIS2 i UKSC
Nowelizacja implementuje unijną dyrektywę NIS2 i wprowadza m.in.: nowy podział na podmioty kluczowe i podmioty ważne, zastępujący operatorów usług kluczowych i dostawców usług cyfrowych, a także rozszerzenie nadzoru i definicji odpowiedzialności, w tym osobistej odpowiedzialności zarządów za środki cyberbezpieczeństwa zgodnie z zasadami NIS2.
Terminy wdrożeniowe przewidziane w nowelizacji to:
- do 6 miesięcy na wpis do wykazu
- do 12 miesięcy na wdrożenie środków zarządzania ryzykiem
- do 12 miesięcy na obowiązkowe korzystanie z systemu S46
Zakłada również odroczenie kar pieniężnych o 2 lata od dnia wejścia ustawy w życie.
Kogo dotyczą nowe obowiązki? (NIS2 / UKSC)
Kryterium wielkościowe
Za podmioty kluczowe i ważne uznawane są co do zasady:
- średnie i duże przedsiębiorstwa (co najmniej 50 pracowników lub obrót ≥ 10 mln EUR / bilans ≥ 10 mln EUR) – z uwzględnieniem powiązań kapitałowych, które mogą „podciągnąć” mniejsze spółki pod regulację.
Kryterium sektorowe
Zakres sektorów jest szeroki i obejmuje m.in.:
- energetykę,
- transport (lotniczy, kolejowy, drogowy, wodny),
- bankowość i infrastrukturę rynków finansowych,
- ochronę zdrowia,
- wodociągi i kanalizację,
- infrastrukturę cyfrową i usługi ICT,
- pocztę i kurierskie,
- gospodarkę odpadami,
- produkcję żywności, chemikaliów, sprzętu elektronicznego,
- medycznego i pojazdów,
- badania naukowe (organizacje badawcze).
W praktyce oznacza to objęcie regulacją znacznie większej liczby firm niż dotychczas.
Samodzielna identyfikacja podmiotu
Każde przedsiębiorstwo jest zobowiązane samodzielnie ustalić, czy spełnia kryteria NIS-2 i dokonać wpisu do odpowiedniego rejestru podmiotów kluczowych lub ważnych.
NIS-2 – czy moja firma podlega? [ANKIETA]
Przygotowaliśmy dla Państwa krótki kwestionariusz, który pozwoli zidentyfikować, czy i w jakim stopniu Państwa firma podlegać będzie pod wymagania Dyrektywy w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa w całej Unii Europejskiej (dyrektywa NIS2). NIS-2 zostanie implementowana do polskiego porządku prawnego poprzez nowelizację Ustawy o Krajowym Systemie Bezpieczeństwa, która ma wejść w życie na przełomie 2023 i 2024. Nowe regulacje wprowadzą znaczące zmiany dla polskich podmiotów: odpowiedzialność organów zarządzających oraz kary dochodzące do 10 000 000 euro lub aż 2% rocznego obrotu przedsiębiorstwa. Z przyjemnością pomożemy Państwu przygotować się do tych nowych wymagań. Aby wstępnie zbadać swoje nowe obowiązki w tym zakresie przygotowaliśmy kilka pytań. Po odpowiedzi na pytania otrzymają Państwo wynik, który odzwierciedli prawdopodobieństwo polegania pod nowe obowiązki nałożone przez Dyrektywę i projektowaną nowelizację Ustawy o Krajowym Systemie Bezpieczeństwa.
Jakie obowiązki obejmą przedsiębiorców? Zakres przedmiotowy
Nowelizacja UKSC wymaga wdrożenia kompleksowego systemu cyberbezpieczeństwa obejmującego m.in.:
A. Środki zarządzania ryzykiem
Podmioty muszą wprowadzić zestaw środków technicznych i organizacyjnych zgodnych z katalogiem NIS2 (np. kontrola dostępu, zarządzanie podatnościami, bezpieczeństwo łańcucha dostaw).
B. Raportowanie incydentów cyberbezpieczeństwa
- Obowiązek zgłaszania incydentów przez system S46,
- Ścisła współpraca z CSIRT sektorowymi, również w kontekście nadzoru,
- Stopniowe wejście obowiązku – przesunięte do 12 miesięcy.
C. Weryfikacje, kontrole i audyty
Organ nadzoru może stosować:
- obligatoryjne oceny po 24 miesiącach,
- kontrole planowane i doraźne,
- audyty co 3 lata.
D. Odpowiedzialność Zarządu
Zarząd zatwierdza i nadzoruje środki zarządzania ryzykiem. Może ponosić osobistą odpowiedzialność za naruszenia obowiązków NIS2.
E. Kary finansowe
- Podmioty kluczowe – do 10 mln EUR lub 2% przychodu,
- Podmioty ważne – do 7 mln EUR lub 1,4% przychodu,
- Kierownictwo – do 300% wynagrodzenia miesięcznego.
Google news
Bądź na bieżąco ze zmianami w prawie, podatkach i księgowości! Zaobserwuj nas w Wiadomościach Google
Kluczowe terminy – od kiedy obowiązują zmiany wynikające z uKSC / NIS-2?
Ustawa wejdzie w życie 14 dni po ogłoszeniu (po podpisie Prezydenta). Kluczowe terminy:
- 6 miesięcy – czas na złożenie wniosku o wpis do wykazu podmiotów kluczowych i ważnych.
- 12 miesięcy – czas na wdrożenie środków zarządzania ryzykiem oraz na rozpoczęcie korzystania z systemu S46.
- 24 miesiące – najwcześniejszy termin przeprowadzenia pierwszego audytu zgodności.
- 2 lata od wejścia w życie ustawy – dopiero od tego momentu mogą być nakładane kary pieniężne.
Dlaczego nadzór nad wdrożeniem NIS2 najlepiej powierzyć vCISO?
Wdrożenie wymogów NIS2 oraz znowelizowanej ustawy o krajowym systemie cyberbezpieczeństwa wymaga połączenia kompetencji technicznych, prawnych, organizacyjnych i strategicznych. Dla wielu przedsiębiorstw najbardziej efektywnym rozwiązaniem może być vCISO (virtual Chief Information Security Officer), czyli wirtualny szef bezpieczeństwa informacji. W szczególności dlatego, że ustawa definiuje osobę odpowiedzialną za nadzór nad bezpieczeństwem.
vCISO to model współpracy, w którym doświadczony ekspert ds. bezpieczeństwa pełni funkcję strategicznego lidera cyberbezpieczeństwa w formule usługowej, bez konieczności tworzenia etatu na poziomie Clevel. Taki model niesie dla firm kilka kluczowych korzyści:
- Pełna odpowiedzialność za zgodność z NIS2 i UKSC – vCISO nadzoruje budowę systemu zarządzania ryzykiem, polityk, procedur, klasyfikację podmiotu (kluczowy/ważny), przygotowanie do audytów i raportowania incydentów.
- Dostęp do wiedzy i doświadczenia eksperckiego, które w modelu etatowym byłyby bardzo kosztowne lub trudno dostępne szczególnie dla firm średnich i szybko rosnących.
- Stały nadzór nad wdrażaniem wymagań, w tym technologicznych, organizacyjnych, łańcucha dostaw i środków minimalnych wymaganych przez NIS2.
- Oszczędność kosztów – zamiast zatrudniać pełnoetatowego CISO, firma korzysta z usług specjalisty „na żądanie” w wymiarze dostosowanym do swoich potrzeb.
- Zapewnienie ciągłości działań – vCISO pełni funkcję spójną i niezależną, eliminując ryzyka kadrowe i rotację, które często występują na rynku ekspertów ds. bezpieczeństwa.
- Przygotowanie zarządu do nowego reżimu odpowiedzialności osobistej – ekspert nadzoruje procesy, dokumentację i mechanizmy decyzyjne, które chronią kierownictwo przed ryzykiem sankcji przewidzianych w NIS2.
W efekcie vCISO pozwala firmie spełnić wymagania NIS2 szybciej, bezpieczniej i taniej, jednocześnie zapewniając, że wdrożenie nie ograniczy się do formalności, lecz realnie wzmocni odporność organizacji na cyberzagrożenia.
Podsumowanie
Nowelizacja UKSC wdrażająca dyrektywę NIS2 znacząco podniosła wymagania wobec firm w Polsce. Przedsiębiorcy muszą przygotować się na nowe obowiązki raportowe, wzmocnienie zabezpieczeń, konieczność przeprowadzania audytów i kontroli, osobistą odpowiedzialność kierownictwa oraz obowiązek samodzielnej identyfikacji statusu podmiotu. Wysokie kary za brak zgodności będą jednak mogły być nakładane dopiero po 24 miesiącach od wejścia w życie ustawy. Jest to największa od lat zmiana regulacyjna w obszarze cyberbezpieczeństwa, która obejmie tysiące polskich firm.