Nowe obowiązki dla części firm. Sejm uchwalił nowelizację ustawy o systemie cyberbezpieczeństwa

Firmy z sektorów kluczowych i ważnych będą miały nowe obowiązki związane z cyberbezpieczeństwem. Tak wynika z nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa.

Nowelizacja ustawy o KSC oznacza wdrożenie w Polsce unijnej dyrektywy NIS 2 ws. cyberbezpieczeństwa oraz dokumentu Toolbox 5G, dotyczącego bezpieczeństwa sieci 5G. Zgodnie z treścią pierwszego dokumentu dotychczasowy podział na operatorów usług kluczowych i dostawców usług cyfrowych został zastąpiony rozróżnieniem na „podmioty kluczowe” i „podmioty ważne”. W praktyce dla części firm może to oznaczać nowe obowiązki.

Podmioty kluczowe i ważne i ich nowe obowiązki

Do nowych grup zaliczać się mają firmy z sektorów, takich jak np.: energia, zdrowie, bankowość, produkcja, czy zaopatrzenie w wodę. Dla tego typu podmiotów obowiązkowe będzie między innymi wdrożenie systemu zarządzania bezpieczeństwem informacji, zapewnienie bezpieczeństwa łańcucha dostaw produktów, usług i procesów ICT oraz regularne ocenianie ryzyka wystąpienia incydentów.

Nieprzestrzeganie nowych przepisów związanych z cyberbezpieczeństwem będzie skutkować karami finansowymi. Ich wysokość dla podmiotów kluczowych to co najmniej 20 tys. zł, a maksymalnie nawet 10 mln euro. W przypadku podmiotów ważnych minimalna kara finansowa wyniesie 15 tys. zł, a maksymalna 7 mln euro. Kara może też wynieść 2 proc. przychodów firmy (w przypadku podmiotów kluczowych) lub 1,4 proc. przychodów (w przypadku podmiotów ważnych).

Termin na wdrożenie krajowych przepisów zgodnych z dyrektywą NIS 2 upłynął 18 października 2024 roku.