Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa zaczyna obowiązywać i zmienia sposób nadzoru nad cyberbezpieczeństwem w Polsce. Przepisy wdrażają dyrektywę NIS 2 i wprowadzają nowy podział na podmioty kluczowe oraz ważne.

Nowe sektory i szerszy zakres regulacji

Zmiany obejmują znacznie więcej niż dotychczasowe obszary kojarzone z cyberbezpieczeństwem. Wśród sektorów objętych regulacją znalazły się m.in. branża spożywcza, chemiczna, usługi pocztowe oraz gospodarka ściekowa. System ma też objąć sektor finansowy, infrastrukturę cyfrową, energię, transport, ochronę zdrowia i administrację publiczną.

W praktyce oznacza to, że nowe obowiązki mogą dotyczyć tysięcy podmiotów. Część z nich zyska status podmiotów kluczowych, a część podmiotów ważnych, zależnie od sektora działalności i wielkości przedsiębiorstwa.

Terminy i obowiązki po wejściu zmian

Podmioty objęte nowymi przepisami mają określony czas na dostosowanie się do wymogów. Wskazano 12 miesięcy na wdrożenie obowiązków oraz sześciomiesięczny termin na formalną samoocenę i złożenie wniosku o wpis do wykazu podmiotów kluczowych lub ważnych. W przypadku części nowych obowiązków przewidziano też dwuletni okres przejściowy bez administracyjnych kar pieniężnych.

Nowelizacja kładzie nacisk na systemowe zarządzanie ryzykiem, polityki i procedury bezpieczeństwa, środki techniczne i organizacyjne oraz ciągłość działania. Ważnym elementem jest także bezpieczeństwo łańcucha dostaw i zgłaszanie incydentów do właściwego CSIRT.

Większa odpowiedzialność kierownictwa

Zmiany wzmacniają też rolę zarządów i kierownictwa podmiotów. Osoby zarządzające mają być bezpośrednio zaangażowane w nadzór nad systemem cyberbezpieczeństwa, zatwierdzanie polityk i monitorowanie ich realizacji. Cyberbezpieczeństwo przestaje być wyłącznie zadaniem działów IT i staje się elementem zarządzania strategicznego.

Docelowo nowy model ma uporządkować procesy, raportowanie incydentów i odpowiedzialność w organizacjach objętych przepisami. Dla wielu firm i instytucji oznacza to konieczność szybkiego przygotowania procedur oraz dokumentacji zgodnej z nowymi wymogami.