W stosunku do obecnie obowiązującej ustawy o krajowym systemie cyberbezpieczeństwa, katalog sektorów objętych przepisami uległ rozszerzeniu. Wynika to bezpośrednio z dyrektywy NIS 2, w której obok sektorów energii, transportu, zdrowia, bankowości, infrastruktury rynków finansowych, zaopatrzenia w wodę, infrastruktury cyfrowej, znalazły się także sektory: ścieków, zarządzania ICT, przestrzeni kosmicznej, poczty, produkcji, produkcji i dystrybucji chemikaliów, produkcji i dystrybucji żywności.

Wprowadzenie dyrektywy NIS 2 nakłada dodatkowe obowiązki na podmioty kluczowe i ważne, aby wzmocnić ochronę przed zagrożeniami cybernetycznymi i zapewnić zgodność z nowymi przepisami.

Kluczowe zagrożenia:

• Rosnące cyberzagrożęnia - sektory wymienione objęte ustawą KSC w ocenie regulatorów są bardziej narażone na ataki.
• Wysokie kary – podmioty kluczowe i ważne mogą być obciążone karami do 100 milionów zł za naruszenia.

Kluczowe możliwości:

• Wzmocnienie bezpieczeństwa – dyrektywa NIS 2 zapewnia nowe procedury i wytyczne, które pomagają lepiej chronić infrastrukturę cyfrową.
• Szeroki zasięg – ustawa obejmuje nowe sektory, które wcześniej nie były objęte regulacjami, zwiększając bezpieczeństwo gospodarki.

W ramach nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa, wprowadzono nowe mechanizmy kontroli mające na celu zwiększenie bezpieczeństwa systemów informacyjnych wykorzystywanych przez podmioty kluczowe i ważne.

Kluczowe zagrożenia:

• Nadzór organów kontrolnych – Podmioty muszą liczyć się z częstymi kontrolami, które mogą być przeprowadzane zarówno w siedzibach firm, jak i zdalnie. Niezastosowanie się do zaleceń może prowadzić do nałożenia wysokich kar.
• Ocena bezpieczeństwa systemów – Organy kontrolujące mają uprawnienia do przeprowadzania audytów systemów informacyjnych w przypadku podejrzeń o naruszenia lub wystąpienia incydentów.

Kluczowe możliwości:

• Wzmocnienie infrastruktury – Kontrole umożliwiają identyfikację podatności i wdrożenie lepszych środków ochrony systemów informacyjnych.
• Zgodność z przepisami – Regularne audyty i monitorowanie bezpieczeństwa pozwalają na bieżąco spełniać wymogi prawne i unikać potencjalnych sankcji.

W ramach nadzoru nad podmiotami kluczowymi i ważnymi organ właściwy może:

• prowadzić kontrole, w tym doraźne, w siedzibie podmiotu, miejscu wykonywania działalności gospodarczej lub zdalnie – w przypadku przedsiębiorców; czas takiej kontroli nie może przekroczyć 48 dni roboczych w jednym roku kalendarzowym,
• zobowiązać podmiot w drodze decyzji do przeprowadzenia audytu bezpieczeństwa systemu informacyjnego wykorzystywanego do świadczenia usługi (art. 15 ust. 1), w szczególności w sytuacji wystąpienia poważnego incydentu lub naruszenia przepisów ustawy przez podmiot,
• zlecić CSIRT: MON, NASK, GOV lub sektorowym dokonanie oceny bezpieczeństwa systemu informacyjnego podmiotu,
• wystąpić z wnioskiem o udzielenie informacji niezbędnych do oceny:

- wdrożonych środków technicznych i organizacyjnych, odpowiednich i proporcjonalnych do oszacowanego ryzyka (art. 8 ust. 1 pkt 2),
- stosowanych środków zapobiegających i ograniczających wpływ incydentów na bezpieczeństwo systemu informacyjnego wykorzystywanego do świadczenia usługi (art. 8 ust. 1 pkt 5),|
- stosowanych środków komunikacji elektronicznej w ramach krajowego systemu cyberbezpieczeństwa (art. 8 ust. 1 pkt 6),
- zgodności z obowiązkiem przedkładania informacji właściwym organom zgodnie z przepisami o wykazie podmiotów kluczowych i ważnych (art. 7),

• wystąpić z wnioskiem o udzielenie dostępu do danych, dokumentów i informacji koniecznych do wykonywania nadzoru;
• wystąpić z wnioskiem o przedstawienie dowodów realizacji wymogów dotyczących wdrażania systemu zarządzania bezpieczeństwem informacji w procesach wpływających na świadczenie usług przez podmiot (art. 8 ust. 1).

Nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC) wprowadza nowe obowiązki raportowania dla podmiotów kluczowych i ważnych. Raportowanie obejmuje wymianę informacji w systemie S46, który będzie podstawowym narzędziem przetwarzania informacji związanych z cyberbezpieczeństwem.

Kluczowe zagrożenia:

• Kary za opóźnienia – Niezastosowanie się do terminów raportowania może prowadzić do wysokich kar finansowych.
• Ścisłe terminy zgłaszania incydentów – Poważne incydenty muszą być zgłaszane w ciągu 72 godzin, co wymaga skutecznego systemu zarządzania cyberbezpieczeństwem.
• Podmioty kluczowe i ważne będą korzystać z S46 w terminie 14 dni od dokonania wpisu do wykazu, a nieprzestrzeganie tego obowiązku narazi je (oraz organy zarządzające) na karę pienieżną.

Kluczowe możliwości:

• Centralizacja wymiany danych – System S46 umożliwia sprawną wymianę informacji o cyberzagrożeniach, incydentach i podatnościach, co zwiększa efektywność ochrony.
• Zgodność z przepisami – Regularne raportowanie i zgłaszanie incydentów zapewnia spełnienie wymogów ustawowych i unika potencjalnych sankcji.

Polecenie zabezpieczające to nowy środek wprowadzony w ramach nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC). Może być wydane przez ministra właściwego do spraw informatyzacji w przypadku wystąpienia incydentu krytycznego. Dotyczy to nieokreślonej liczby podmiotów kluczowych i ważnych, a strony są informowane za pomocą Biuletynu Informacji Publicznej. Polecenie zabezpieczające jest ogłaszane w dzienniku urzędowym ministra i wchodzi w życie natychmiast po ogłoszeniu.

Kluczowe zagrożenia:

• Natychmiastowa wykonalność – Polecenie zabezpieczające ma natychmiastową wykonalność, co oznacza, że podmioty muszą niezwłocznie reagować na nałożone obowiązki, co może być wyzwaniem organizacyjnym.
• Brak czynnego udziału stron – W postępowaniu dotyczącym wydania polecenia nie stosuje się wielu zasad postępowania administracyjnego, co ogranicza możliwości podmiotów do obrony swojego stanowiska.

Kluczowe możliwości:

• Ochrona przed eskalacją incydentów – Polecenie zabezpieczające umożliwia szybkie wdrożenie środków zaradczych, co może zapobiec dalszemu rozprzestrzenianiu się incydentu krytycznego.
• Przejrzystość działań – Publiczne ogłoszenie w Biuletynie Informacji Publicznej i dostępność decyzji dla wszystkich zainteresowanych stron zwiększa transparentność działań w odpowiedzi na krytyczne zagrożenia cybernetyczne.

Nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC) wprowadza surowe kary pieniężne za naruszenia przepisów.

Kluczowe zagrożenia:

• Wysokie kary dla podmiotów kluczowych i ważnych – Za najcięższe naruszenia grożą kary do 100 milionów złotych. Mniejsze naruszenia mogą skutkować karami do 10 milionów euro (dla podmiotów kluczowych) oraz do 7 milionów euro (dla podmiotów ważnych).
• Osobista odpowiedzialność kierowników – Kierownicy podmiotów kluczowych i ważnych mogą być osobiście ukarani karą wynoszącą nawet do 600% ich miesięcznego wynagrodzenia.

Kluczowe możliwości:

• Zgodność z przepisami – Przestrzeganie obowiązków wynikających z ustawy eliminuje ryzyko nałożenia wysokich kar pieniężnych.
• Zapobieganie eskalacji – Możliwość unikania okresowych kar pieniężnych za opóźnienia, poprzez bieżące monitorowanie zgodności i szybkie działania naprawcze​