Prezydent podpisał nowelizację ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC), implementującą dyrektywę NIS2. Jednocześnie ustawa została skierowana do kontroli następczej przez Trybunał Konstytucyjny.

Co to oznacza w praktyce dla organizacji?

Kontrola następcza nie wstrzymuje obowiązków

Skierowanie ustawy do TK nie wstrzymuje jej wejścia w życie.
Vacatio legis biegnie, a nowe obowiązki będą egzekwowane zgodnie z harmonogramem.

Dla wielu organizacji właśnie rozpoczął się sześciomiesięczny okres intensywnych działań dostosowawczych.

Znaczące rozszerzenie katalogu podmiotów

Nowelizacja implementująca dyrektywę NIS2 Directive znacząco rozszerza katalog podmiotów objętych regulacją.

W praktyce oznacza to, że wiele organizacji, które dotychczas nie były formalnie objęte ustawą o KSC, może obecnie kwalifikować się jako:

• podmiot kluczowy,
• podmiot ważny.

Zakres branż oraz kryteria kwalifikacyjne zostały istotnie poszerzone, a próg wejścia do systemu obniżony.

Obowiązek samoidentyfikacji – odpowiedzialność po stronie organizacji

Nowelizacja wprowadza jednoznaczny obowiązek samoidentyfikacji.

To organizacja – nie organ nadzorczy – ma obowiązek:

• ustalić swój status,
• dokonać kwalifikacji,
• złożyć wniosek o wpis do właściwego wykazu.

Brak przeprowadzenia rzetelnej samooceny nie zwalnia z odpowiedzialności.

Kluczowe ryzyka dla organizacji i zarządów

Nowe przepisy wprost wskazują na rolę organu zarządzającego w nadzorze nad zarządzaniem ryzykiem cyber.

Odpowiedzialność przestaje być wyłącznie operacyjna.
Staje się elementem ładu korporacyjnego i osobistej odpowiedzialności członków zarządu.

Brak działań w wymaganym terminie oznacza realne ryzyko:

• regulacyjne (kary administracyjne),
• finansowe,
• reputacyjne,
• kontraktowe.

Co należy zrobić w najbliższych 6 miesiącach?

Organizacje powinny niezwłocznie:

1. Ustalić swój status (podmiot kluczowy czy ważny).
2. Dokonać samoidentyfikacji i wpisu do rejestru.
3. Przeprowadzić analizę ryzyka ICT.
4. Zweryfikować łańcuchy dostaw ICT (w tym kwestie DWR).
5. Opracować i wdrożyć IRP / BCP / DRP.
6. Przygotować się do audytu zgodności.

W praktyce oznacza to konieczność przeprowadzenia kompleksowej analizy luki (gap analysis) względem nowych wymogów.

Skierowanie ustawy do TK – czy można poczekać?

Nie.

Postępowanie przed Trybunał Konstytucyjny może dotyczyć wybranych mechanizmów (np. zakresu kompetencji nadzorczych), ale nie wstrzymuje obowiązków wynikających z ustawy.

Z perspektywy praktycznej oznacza to jedno: działania należy rozpocząć już teraz.

Pytanie, które warto zadać dziś

Czy Państwa organizacja ma jednoznaczną odpowiedź, czy jest podmiotem kluczowym czy ważnym w rozumieniu nowych przepisów?

Jeżeli potrzebują Państwo wsparcia w zakresie:

• ustalenia statusu,
• przeprowadzenia analizy luki (gap analysis),
• zaprojektowania modelu nadzoru zarządczego nad cyberbezpieczeństwem,
• przygotowania do audytu zgodności,
• zapraszamy do kontaktu.

Nasz ekspert – Tomasz Janas – jest do Państwa dyspozycji.

W obecnej sytuacji czas jest kluczowym czynnikiem ograniczającym ryzyko, dlatego rekomendujemy nie zwlekać z decyzją i kontaktem.