Polska zaostrza prawo. Nowe regulacje w sprawie cyberbezpieczeństwa

Rada Ministrów ogłosiła reformę, która kompleksowo wzmacnia polski system cyberbezpieczeństwa. Przyjęto projekt wdrażający unijne standardy z dyrektywy NIS2, celem lepszej ochrony obywateli i instytucji przed narastającymi zagrożeniami w sieci. Nowelizacja obejmie więcej sektorów i wprowadzi nowe mechanizmy reagowania na cyfrowe incydenty.

Zgodnie z projektem, poszerzony zostanie katalog podmiotów objętych przepisami, obejmując m.in. usługi pocztowe, gospodarkę wodno-ściekową czy produkcję żywności. Utworzone zostaną specjalistyczne zespoły CSIRT, wyspecjalizowane w szybkim reagowaniu i wsparciu w razie ataków na infrastrukturę cyfrową w różnych sektorach gospodarki.

Minister Cyfryzacji otrzyma nowe uprawnienia, w tym możliwość wydawania decyzji o uznaniu dostawcy za tzw. wysokiego ryzyka. Będzie też odpowiedzialny za prowadzenie akcji edukacyjnych i wdrażanie programów informacyjnych dotyczących cyberbezpieczeństwa. Podobne uprawnienia zyska pełnomocnik rządu do spraw cyberbezpieczeństwa.

Ustawa przewiduje wyraźny podział podmiotów na kluczowe i ważne, zależnie od pełnionej roli dla państwa. Są to m.in. operatorzy infrastruktury krytycznej, banki czy firmy dostarczające wodę pitną. Od tych organizacji oczekuje się wdrożenia nowoczesnych środków zarządzania ryzykiem i systemów informatycznych. Kierownicy tych podmiotów będą mieli określone obowiązki szkoleniowe i grozi im odpowiedzialność finansowa w przypadku zaniedbań.

Jednym z istotnych elementów reformy są nowe obowiązki dotyczące zgłaszania incydentów do odpowiednich zespołów CSIRT oraz konieczność wdrożenia skutecznych systemów zarządzania informacjami. Nowe kary finansowe mają motywować do przestrzegania przepisów, a elastyczny model oparty na analizie ryzyka pozwoli lepiej dostosować zabezpieczenia do specyfiki działalności firm.

Nowe przepisy umożliwią szybkie eliminowanie rozwiązań i usług IT pochodzących od dostawców uznanych za niebezpiecznych dla państwa. Przewidziano również szczegółową ścieżkę odwoławczą dla firm, które nie zgodzą się z decyzją ministra cyfryzacji.