Spis treści
- Implementacja NIS2 w Polsce
- Produkcja pojazdów, produkcja przyczep i naczep, produkcja pozostałego sprzętu transportowego jako sektor ważny
- Czy Twoja firma podlega pod NIS2?
- Produkcja pojazdów samochodowych, przyczep i naczep – czyli co?
- Produkcja pozostałego sprzętu transportowego – czyli co?
- NIS2 – obowiązki i sankcje
Implementacja NIS2 w Polsce
Postanowienia NIS2 (a właściwie: Dyrektywy Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii, zmieniająca rozporządzenie (UE) nr 910/2014 i dyrektywę (UE) 2018/1972 oraz uchylająca dyrektywę (UE) 2016/1148 (dyrektywa NIS 2) (Dz. U. UE. L. z 2022 r. Nr 333, str. 80) nie wiążą bezpośrednio przedsiębiorców, a jedynie nakładają na kraje członkowskie obowiązek dostosowania przepisów krajowych do wytycznych wskazanych w dyrektywie. Implementacja NIS2 do polskiego porządku prawnego nastąpi poprzez nowelizację Ustawy o Krajowym Systemie Cyberbezpieczeństwa (dalej: Ustawy o KSC) i to zapisy tej ustawy będą wiązać polskich przedsiębiorców.
Zgodnie z projektem nowelizacji Ustawy o KSC podmioty objęte zakresem jej zastosowania będą miały – co do zasady – 6 miesięcy na wdrożenie nowych obowiązków w zakresie cyberbezpieczeństwa. Natomiast już w ciągu 3 miesięcy konieczne będzie zgłoszenie podmiotu do wykazu podmiotów kluczowych i podmiotów ważnych.
Ważny fragment
Co ważne – ustawa zakłada zasadę samoidentyfikacji, co oznacza, że każdy podmiot samodzielnie ocenia, czy jest objęty zakresem zastosowania ustawy czy nie.
Planowany termin implementacji NIS2 do polskiego porządku prawnego przypada na 2025 rok. Dokładna data wejścia w życie nowych przepisów nie jest jeszcze znana.
Produkcja pojazdów, produkcja przyczep i naczep, produkcja pozostałego sprzętu transportowego jako sektor ważny
Nowym regulacjom podlegają konkretnie określone podmioty. Można je podzielić na dwie kategorie:
- podmioty podlegające przepisom bez względu na wielkość (np. dostawca usług DNS, dostawca usług zaufania czy rejestr nazw domen najwyższego poziomu TLD),
- podmioty, podlegające przepisom tylko wówczas, gdy jednocześnie spełniają 2 warunki:
- są podmiotami określonej wielkości,
- działają we wskazanym w ustawie sektorze ważnym albo kluczowym.
Ważny fragment
Produkcja pojazdów samochodowych, przyczep i naczep, a także produkcja pozostałego sprzętu transportowego zostały uznane za sektor ważny w rozumieniu NIS2 i projektu nowelizacji Ustawy o KSC.
Podmioty działające w powyższym sektorze podlegają nowym regulacjom jeśli są co najmniej przedsiębiorstwem średnim w rozumieniu art. 2 ust. 1 załącznika I do rozporządzenia Komisji (UE) nr 651/2014 z dnia 17 czerwca 2014 r. uznającego niektóre rodzaje pomocy za zgodne z rynkiem wewnętrznym w zastosowaniu art. 107 i 108 Traktatu (Dz. Urz. UE L 187 z 26.06.2014, str. 1, z późn. zm.7.
Przedsiębiorca jest przedsiębiorcą średnim, jeśli
- zatrudnia więcej niż 50 osób (przez zatrudnionych należy rozumieć osoby na umowach o pracę, ale również osoby zatrudnione na podstawie umów cywilnoprawnych) lub
- ma obrót lub całkowity bilans roczny nieprzekraczający 10 mln EUR,
Przy czym wystarczy spełnianie jednej z powyższych przesłanek. Wynika to z tego, że przedsiębiorca mały musi jednocześnie spełnić dwa warunki: zatrudniać mniej niż 50 osób i nie przekraczać rocznego obrotu lub bilansu rocznego na poziomie 10 mln EUR. Jeśli przedsiębiorca nie spełnia choć jednego z powyższych warunków, jest podmiotem co najmniej średnim.
Ważny fragment
Przedsiębiorcy średni i duzi działający w sektorze ważnym, jakim jest produkcja pojazdów samochodowych, przyczep i naczep, a także produkcja pozostałego sprzętu transportowego są podmiotami ważnymi w rozumieniu NIS2 i projektu nowelizacji Ustawy o KSC.
NIS-2 – czy moja firma podlega? [ANKIETA]
Przygotowaliśmy dla Państwa krótki kwestionariusz, który pozwoli zidentyfikować, czy i w jakim stopniu Państwa firma podlegać będzie pod wymagania Dyrektywy w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa w całej Unii Europejskiej (dyrektywa NIS2). NIS-2 zostanie implementowana do polskiego porządku prawnego poprzez nowelizację Ustawy o Krajowym Systemie Bezpieczeństwa, która ma wejść w życie na przełomie 2023 i 2024. Nowe regulacje wprowadzą znaczące zmiany dla polskich podmiotów: odpowiedzialność organów zarządzających oraz kary dochodzące do 10 000 000 euro lub aż 2% rocznego obrotu przedsiębiorstwa. Z przyjemnością pomożemy Państwu przygotować się do tych nowych wymagań. Aby wstępnie zbadać swoje nowe obowiązki w tym zakresie przygotowaliśmy kilka pytań. Po odpowiedzi na pytania otrzymają Państwo wynik, który odzwierciedli prawdopodobieństwo polegania pod nowe obowiązki nałożone przez Dyrektywę i projektowaną nowelizację Ustawy o Krajowym Systemie Bezpieczeństwa.
Produkcja pojazdów samochodowych, przyczep i naczep – czyli co?
W opisie powyższego sektora w projekcie nowelizacji Ustawy o KSC znajduje się wyjaśnienie:
Przedsiębiorca prowadzący którykolwiek z rodzajów działalności gospodarczej, o których mowa w sekcji C dział 29 klasyfikacji NACE Rev. 2.
Są to zatem podmioty prowadzące następującą działalność:
- Produkcja pojazdów silnikowych z wyłączeniem motocykli
- Produkcja nadwozi do pojazdów silnikowych z wyłączeniem motocykli; produkcja przyczep i naczep
- Produkcja wyposażenia elektrycznego i elektronicznego do pojazdów silnikowych
- Produkcja pozostałych części i akcesoriów do pojazdów silnikowych z wyłączeniem motocykli
Produkcja pozostałego sprzętu transportowego – czyli co?
W opisie powyższego sektora w projekcie nowelizacji Ustawy o KSC znajduje się wyjaśnienie:
Przedsiębiorca prowadzący którykolwiek z rodzajów działalności gospodarczej, o których mowa w sekcji C dział 30 klasyfikacji NACE Rev. 2.
Są to zatem podmioty prowadzące następującą działalność:
- Produkcja cywilnych statków i konstrukcji pływających
- Produkcja łodzi wypoczynkowych i sportowych
- Produkcja wojskowych okrętów i jednostek pływających
- Produkcja lokomotyw kolejowych oraz taboru szynowego
- Produkcja cywilnych statków powietrznych, statków kosmicznych i podobnych maszyn
- Produkcja wojskowych statków powietrznych, statków kosmicznych i podobnych maszyn
- Produkcja wojskowych pojazdów bojowych
- Produkcja sprzętu transportowego, gdzie indziej niesklasyfikowana, w tym produkcja motocykli
- Produkcja rowerów i wózków inwalidzkich
- Produkcja pozostałego sprzętu transportowego, gdzie indziej niesklasyfikowana (Klasa ta obejmuje produkcję pojazdów napędzanych ręcznie: wózków bagażowych, wózków ręcznych, sań, wózków sklepowych , produkcję pojazdów ciągniętych przez zwierzęta: sulki, wozy zaprzężone w osły, karawany itp.)
google news
Bądź na bieżąco ze zmianami w prawie, podatkach i księgowości! Zaobserwuj nas w Wiadomościach Google
NIS2 – obowiązki i sankcje
Zgodnie z projektem nowelizacji Ustawy o KSC, podmioty objęte regulacjami będą zobowiązane między innymi:
- zapewnić ciągłość działania, na przykład zarządzania kopiami zapasowymi i przywracania normalnego działania po wystąpieniu sytuacji nadzwyczajnej, i zarządzania kryzysowego,
- zapewnić bezpieczeństwo łańcucha dostaw, w tym aspektów związanych z bezpieczeństwem dotyczącym stosunków między każdym podmiotem a jego bezpośrednimi dostawcami lub usługodawcami,
- zapewnić bezpieczeństwo w procesie nabywania, rozwoju i utrzymania sieci i systemów informatycznych, w tym postępowania w przypadku podatności i ich ujawniania,
- zapewnić polityki i procedury służące ocenie skuteczności środków zarządzania ryzykiem w cyberbezpieczeństwie,
- zapewnić podstawowe praktyki cyberhigieny i szkolenia w zakresie cyberbezpieczeństwa,
- zapewnić polityki i procedury stosowania kryptografii i, w stosownych przypadkach, szyfrowania,
- zapewnić bezpieczeństwo zasobów ludzkich, polityki kontroli dostępu i zarządzania aktywami,
- w stosownych przypadkach – zapewnić stosowanie uwierzytelniania wieloskładnikowego lub ciągłego, zabezpieczonych połączeń głosowych, tekstowych i wideo oraz zabezpieczonych systemów łączności wewnątrz podmiotu w sytuacjach nadzwyczajnych,
- zgłaszać osoby lub organy zarządzające w firmie, które zatwierdzają środki zarządzania ryzykiem w cyberbezpieczeństwie,
- zapewnić regularny audyt bezpieczeństwa na własny koszt.
Ważny fragment
W przypadku podmiotów ważnych, wysokość kary pieniężnej za niestosowanie nowych przepisów wynosi nie mniej niż 15 tys. zł i nie może przekroczyć 7 mln EUR. Karą pieniężną może zostać obciążony także kierownik jednostki (członek zarządu czy wspólnik).
Implementacja dyrektywy NIS2 wymaga od przedsiębiorców dostosowania się do nowych, bardziej rygorystycznych przepisów, co ma na celu ochronę kluczowych sektorów gospodarki przed zagrożeniami cybernetycznymi. Ustalenie, że dany przedsiębiorca podlega nowym regulacjom nie zawsze jest intuicyjne, zwłaszcza w przypadku tak nieoczywistych branż jak produkcja rowerów czy produkcja wózków inwalidzkich.
Czytaj więcej:
AUTORZY: Witold Chruszcz, stażysta w Kancelarii Prawnej Grant Thornton, Magdalena Bilicka, counsel w Kancelarii Prawnej Grant Thornton
