Ustawa o krajowym systemie cyberbezpieczeństwa

Podstawy i ewolucja ustawy o krajowym systemie cyberbezpieczeństwa

Ustawa o krajowym systemie cyberbezpieczeństwa (KSC) jest kluczowym aktem prawnym. Wprowadza ona kompleksowe ramy ochrony cyberprzestrzeni w Polsce. Jej geneza sięga potrzeby implementacji unijnych regulacji. Chodziło o zwiększenie odporności państwa na rosnące zagrożenia cyfrowe. Ustawa o krajowym systemie cyberbezpieczeństwa została podpisana przez Prezydenta RP 1 sierpnia 2018 roku. Weszła w życie niedługo później, 28 sierpnia 2018 roku. Prezydent RP podpisał ustawę, tworząc nową erę w polskim cyberbezpieczeństwie. Ministerstwo Cyfryzacji opracowało projekt ustawy, dbając o jej skuteczność. Ustawa implementuje Dyrektywę NIS, czyli dyrektywę Parlamentu Europejskiego i Rady (UE) 2016/1148. Jej celem było stworzenie efektywnego systemu bezpieczeństwa teleinformatycznego. System musi zapewnić odporność na wszelkie ataki.

Celem przygotowanej przez Ministerstwo Cyfryzacji ustawy o krajowym systemie cyberbezpieczeństwa było opracowanie uregulowań prawnych umożliwiających implementacje dyrektywy NIS oraz utworzenie efektywnego systemu bezpieczeństwa teleinformatycznego na poziomie krajowym.

Definicja cyberbezpieczeństwa jest centralnym punktem ustawy. Określa ona odporność systemów informacyjnych. Chodzi o ochronę przed działaniami naruszającymi poufność danych. Ważna jest także integralność, dostępność i autentyczność przetwarzanych informacji. Cyberbezpieczeństwo chroni dane, które są cennym zasobem. Ustawa o cyberbezpieczeństwie reguluje zasady identyfikacji. Dotyczy to również rejestracji kluczowych podmiotów. Wśród nich znajdują się operatorzy usług kluczowych oraz dostawcy usług cyfrowych. Są to podmioty działające w strategicznych sektorach gospodarki. Przykładem są sektory energii, transportu, bankowości czy infrastruktury cyfrowej. Narodowy Bank Polski jest jednym z takich operatorów. Bank Gospodarstwa Krajowego także należy do tej grupy. Urząd Dozoru Technicznego i Polska Agencja Żeglugi Powietrznej również. Obecnie trwają prace nad ewolucją regulacji. Projekt nowej ustawy ma wzmocnić ochronę obywateli. Uwzględnia on przepisy unijnej dyrektywy NIS2. Dyrektywa NIS2 rozszerza zakres podmiotów objętych ochroną. Jej przyjęcie planowane jest na 2024 rok. Nowe regulacje mają być dostosowane do współczesnych zagrożeń.

Zmiany w Krajowym Systemie Cyberbezpieczeństwa to dla nas priorytetowy projekt na ten rok. Przez ostatnie lata wiele zmieniło się w krajobrazie cyberprzestrzeni, a wyzwań jest coraz więcej biorąc pod uwagę liczbę incydentów i ich konsekwencje. Jesteśmy zdeterminowani, aby wprowadzić nowe prawo szybko, ale zachowując odpowiedni okres dla przedsiębiorców do dostosowania się do regulacji – podkreślił wicepremier, minister cyfryzacji Krzysztof Gawkowski.

Wicepremier Gawkowski jasno określił priorytety. Nowe prawo ma zapewnić większe bezpieczeństwo. Ma też chronić obywateli przed incydentami.
Pamiętaj, że nowe regulacje wynikające z Dyrektywy NIS2 znacząco rozszerzą zakres podmiotów objętych ustawą, w tym ustawą o cyberbezpieczeństwie. Kluczowe cele krajowego systemu cyberbezpieczeństwa:

• Wzmocnić odporność państwa na zagrożenia cyfrowe.
• Zapewnić stabilność systemów teleinformatycznych.
• Wspierać krajowy system cyberbezpieczeństwa poprzez współpracę instytucji.
• Chronić poufność, integralność, dostępność i autentyczność danych.
• Podnosić świadomość społeczną w zakresie cyberzagrożeń.

• Podmioty powinny śledzić prace legislacyjne dotyczące Dyrektywy NIS2. Zapewni to odpowiednie przygotowanie do nowych obowiązków.
• Zapoznaj się z pełnym tekstem ustawy o krajowym systemie cyberbezpieczeństwa. Przeczytaj również towarzyszące jej rozporządzenia.

Obowiązki i procedury dla podmiotów w krajowym systemie cyberbezpieczeństwa

Ustawa o krajowym systemie cyberbezpieczeństwa nakłada liczne obowiązki. Dotyczą one podmiotów kluczowych dla funkcjonowania państwa. Operatorzy usług kluczowych są zobowiązani do wdrożenia skutecznych zabezpieczeń. Muszą zapewnić wysoki poziom cyberbezpieczeństwa swoich systemów. Wśród tych operatorów znajdziemy między innymi Narodowy Bank Polski. Wymienić trzeba także Bank Gospodarstwa Krajowego. Do tej grupy należą również Urząd Dozoru Technicznego oraz Polska Agencja Żeglugi Powietrznej. Operatorzy usług kluczowych wdrażają zabezpieczenia. Dostawcy usług cyfrowych są objęci zharmonizowanym reżimem regulacyjnym na poziomie UE. Ustawa o cyberbezpieczeństwie precyzuje ich zadania. Operatorzy usług kluczowych powinni wyznaczyć osobę odpowiedzialną za cyberbezpieczeństwo. Są oni zobowiązani do identyfikacji incydentów. Muszą także odpowiednio na nie reagować. Audyt cyberbezpieczeństwa jest obowiązkowy dla operatorów usług kluczowych. Audyt bezpieczeństwa systemu informacyjnego musi być przeprowadzony raz na dwa lata. Ma on na celu ocenę skuteczności wdrożonych zabezpieczeń. Audyt może przeprowadzić jednostka oceniająca zgodność. Musi być ona akredytowana we właściwym zakresie. Polskie Centrum Akredytacji (PCA) jest jednostką akredytującą. Audytorzy powinni posiadać odpowiednie certyfikaty. Są one wymienione w załączniku do Rozporządzenia Ministra Cyfryzacji. Zespół audytorski musi składać się z co najmniej dwóch osób. Audytorzy posiadają certyfikaty potwierdzające ich kompetencje. Wymagana jest praktyka trzyletnia bez wykształcenia kierunkowego. Alternatywnie dwuletnia z dyplomem studiów podyplomowych.

Audyt może przeprowadzić: jednostka oceniająca zgodność, akredytowana we właściwym zakresie...

Zarządzanie dokumentacją jest kolejnym ważnym aspektem. Dokumentacja cyberbezpieczeństwa obejmuje szczegółowe informacje. Dotyczy to technicznych aspektów systemu informacyjnego. Dokumentacja techniczna systemu informacyjnego wykorzystywanego do świadczenia usługi kluczowej obejmuje dokumentację powykonawczą systemu teleinformatycznego. Dokumentacja obejmuje systemy teleinformatyczne. Nadzór nad dokumentacją może być realizowany w ramach SZBI. System Zarządzania Bezpieczeństwem Informacji to na przykład ISO 27001. Operator usługi kluczowej powinien przechowywać dokumentację z zakresu cyberbezpieczeństwa. Okres ten wynosi co najmniej dwa lata od chwili jej wycofania.

Operator usługi kluczowej powinien przechowywać dokumentację z zakresu cyberbezpieczeństwa przez co najmniej dwa lata od chwili jej wycofania.

Dokumentacja musi być aktualna i dostępna.
Brak zgodności z obowiązkami nałożonymi przez ustawę o krajowym systemie cyberbezpieczeństwa może prowadzić do poważnych konsekwencji prawnych i finansowych. Kluczowe obowiązki podmiotów w KSC:

1. Wdrożyć system zarządzania bezpieczeństwem informacji.
2. Zgłaszać incydenty bezpieczeństwa do właściwych CSIRT-ów.
3. Przeprowadzać regularne audyty bezpieczeństwa systemów.
4. Opracować i utrzymywać aktualną dokumentację cyberbezpieczeństwa.
5. Wdrożyć skuteczne zabezpieczenia techniczne.
6. Prowadzić analizę ryzyka dla świadczonych usług.
7. Szkolić personel z zakresu cyberbezpieczeństwa.

Terminy zgłaszania incydentów poważnych:

Typ incydentu/Ostrzeżenia	Podmiot	Termin
Wczesne ostrzeżenie o incydencie poważnym	Podmioty kluczowe i ważne	24 godziny
Wczesne ostrzeżenie o incydencie poważnym	Przedsiębiorcy telekomunikacyjni	12 godzin
Zgłoszenie incydentu poważnego	Podmioty kluczowe i ważne	72 godziny
Przekazanie ostrzeżenia o incydencie	CSIRT sektorowy	8 godzin

Szybkie zgłoszenia incydentów są kluczowe. Pozwalają na natychmiastową reakcję. Minimalizują potencjalne szkody. Niezgodność z terminami ustawy o cyberbezpieczeństwie może skutkować sankcjami. CSIRT przekazuje ostrzeżenia. Opóźnienia narażają na utratę danych. Mogą też prowadzić do zakłóceń usług. Częstotliwość audytów bezpieczeństwa oraz okres przechowywania dokumentacji.

• Zainwestuj w szkolenia dla pracowników odpowiedzialnych za cyberbezpieczeństwo.
• Regularnie aktualizuj procedury wewnętrzne. Opieraj je na bieżących wymaganiach ustawy o krajowym systemie cyberbezpieczeństwa.
• Rozważ wdrożenie systemu zarządzania bezpieczeństwem informacji zgodnego z normą ISO 27001.

Dokumenty dotyczące cyberbezpieczeństwa:

• Dokumentacja powykonawcza systemu teleinformatycznego
• Raporty z audytów bezpieczeństwa
• Polityka bezpieczeństwa informacji
• Rejestr incydentów bezpieczeństwa

Wyzwania, regulacje towarzyszące i przyszłość cyberbezpieczeństwa w Polsce

Implementacja ustawy o krajowym systemie cyberbezpieczeństwa wiąże się z wyzwaniami. Jednym z nich jest projekt Prawa komunikacji elektronicznej (PKE). Ministerstwo Cyfryzacji prowadziło konsultacje projektu tej ustawy. Projekt nie został przyjęty w poprzedniej kadencji parlamentu. Budzi on szereg krytycznych głosów. Konfederacja Lewiatan krytykuje PKE za niektóre zapisy.

Konfederacja Lewiatan uważa, że przedstawiony do konsultacji nowy projekt ustawy Prawa komunikacji elektronicznej wolny jest od najbardziej kontrowersyjnych i motywowanych politycznie rozwiązań typu tzw. lex pilot.

Główne zastrzeżenia dotyczą retencji danych. Fundacja Panoptykon krytykuje retencję danych. Okres przechowywania danych wynosi 12 miesięcy. Trybunał Sprawiedliwości UE potwierdza niezgodność retencji danych z prawem UE.

Zarówno obowiązujące dotychczas przepisy, jak i projektowany art. 47 PKE – poprzez nałożenie na przedsiębiorców bezwarunkowego obowiązku przechowywania informacji o wszystkich klientach – są niezgodne z prawem UE, co potwierdzają liczne wyroki Trybunału Sprawiedliwości UE.

Przepisy są niezgodne z prawem unijnym. To może prowadzić do postępowań naruszeniowych. Ustawa o cyberbezpieczeństwie musi być zgodna z prawem UE. Powiązane regulacje unijne również wpływają na polskie cyberbezpieczeństwo. Jedną z nich jest Data Act. To unijne rozporządzenie wpływające na prywatne firmy. Dotyczy ono także instytucji publicznych. Data wydania Data Act to 09 września 2025 roku. Regulacja ta wprowadza nowe zasady dostępu do danych. Określa również ich wykorzystanie. RODO a cyberbezpieczeństwo to kolejna kluczowa kwestia. RODO, czyli Ogólne Rozporządzenie o Ochronie Danych, nakłada nowe obowiązki. Wymaga ono odpowiednich środków technicznych i organizacyjnych. Chodzi o ochronę przed eksfiltracją danych. Eksfiltracja danych naraża przedsiębiorstwo na straty. Obejmuje to straty wizerunkowe i finansowe. Ważnym elementem systemu jest Fundusz Cyberbezpieczeństwa. Ustawa z dnia 2 grudnia 2021 r. reguluje jego funkcjonowanie. Określa ona zasady wynagradzania osób. Dotyczy to specjalistów realizujących zadania z zakresu cyberbezpieczeństwa. Są to pracownicy w CSIRT GOV, CSIRT MON, CSIRT NASK. Świadczenie teleinformatyczne może być przyznane tym osobom. Przyszłe kierunki rozwoju to dalsza harmonizacja z prawem UE. Rośnie także znaczenie odporności na zagrożenia. Polska musi stale wzmacniać swój system.
Niekompletna implementacja prawa unijnego, w tym dotyczącego retencji danych, może prowadzić do postępowań naruszeniowych wobec Polski ze strony Unii Europejskiej. Krytyczne aspekty Prawa komunikacji elektronicznej:

• Niezgodność z prawem UE w zakresie retencji danych.
• Podnoszenie administracyjnych kosztów prowadzenia działalności.
• Brak ścisłej implementacji przepisów europejskich.
• Obecność kontrowersyjnych rozwiązań, jak tzw. lex pilot.
• Ryzyko naruszenia prywatności obywateli.

Potencjalny wpływ incydentów cyberbezpieczeństwa na użytkowników i straty.

• Śledź na bieżąco rozwój Prawa komunikacji elektronicznej i Data Act. Zrozumiesz potencjalny wpływ na działalność.
• Wzmocnij wewnętrzne polityki ochrony danych osobowych. Zapewni to zgodność z RODO i nowymi regulacjami.
• Powstrzymaj się od podnoszenia administracyjnych kosztów prowadzenia działalności. Dotyczy to rynku telekomunikacyjnego, aby zachować konkurencyjność.