Do druku nr 1955 - opinia WRDS

Ten dokument to głos sprzeciwu, a nie sama ustawa. Wojewódzka Rada Dialogu Społecznego na Mazowszu - czyli wspólne ciało pracodawców, pracowników i samorządowców - ostrzega Marszałka Sejmu przed projektem zmiany przepisów o cyberbezpieczeństwie, który miał wdrożyć unijne wymogi, ale poszedł dużo dalej niż wymagała tego Unia Europejska. Autorzy stanowiska twierdzą, że rząd objął nowymi, kosztownymi obowiązkami znacznie więcej firm i urzędów, niż nakazywała dyrektywa, w tym gminy, powiaty, szpitale i uczelnie, które wcale nie musiały być tak potraktowane.

• Rozszerza listę firm i urzędów objętych obowiązkowymi zabezpieczeniami cybernetycznymi o samorządy, szpitale, uczelnie publiczne, apteki, hurtownie farmaceutyczne i firmy wydobywające surowce - sektory, których unijna dyrektywa nie traktowała jako najważniejsze.
• Wprowadza obowiązek cyklicznych audytów bezpieczeństwa co najmniej raz na dwa lata, z pierwszym audytem już w ciągu roku od wejścia przepisów w życie.
• Tworzy procedurę uznawania dostawcy sprzętu lub oprogramowania (np. producenta komputerów) za dostawcę wysokiego ryzyka - firma lub urząd musi wtedy wymienić cały jego sprzęt, co do zasady w ciągu 7 lat, na własny koszt i bez odszkodowania.
• Grozi karami do 10 milionów euro albo 2 procent rocznych przychodów firmy za niewykonanie nowych obowiązków, nawet przy jednorazowym uchybieniu.
• Przepisy mają wejść w życie miesiąc po ogłoszeniu, a na wykonanie części obowiązków firmy i urzędy dostaną 6 miesięcy.

Stanowisko nie pochodzi od rządu ani posłów, lecz od Wojewódzkiej Rady Dialogu Społecznego w województwie mazowieckim - wspólnie strona pracodawców, strona pracowników i strona samorządowa. Podpisał je przewodniczący rady Dariusz Paczuski, a motywacją był sprzeciw wobec zbyt szerokiego zakresu rządowego projektu w stosunku do unijnych wymogów.

Jeśli pracujesz w urzędzie gminy, powiatu albo na uczelni publicznej - twój pracodawca może zostać zaliczony do podmiotów objętych najsurowszym nadzorem, co oznacza nowe procedury, szkolenia i wydatki z budżetu samorządu, które mogłyby pójść na inne potrzeby mieszkańców. Jeśli prowadzisz aptekę, hurtownię farmaceutyczną albo firmę produkującą np. sprzęt elektroniczny czy pojazdy - możesz musieć wdrożyć drogie systemy zabezpieczeń i przechodzić regularne audyty, nawet jeśli twoja firma nigdy nie miała problemu z bezpieczeństwem danych. Jeśli korzystasz z usług publicznych - samorządowych, medycznych, edukacyjnych - koszty wdrożenia nowych obowiązków mogą, według autorów stanowiska, ostatecznie zostać przerzucone na ceny towarów i usług, które kupujesz.

Ten dokument w całości JEST opinią - w dostępnej treści nie towarzyszą mu inne stanowiska. Wojewódzka Rada Dialogu Społecznego na Mazowszu, reprezentująca jednocześnie pracodawców, pracowników i samorządy, ocenia projekt krytycznie: uznaje go za nadregulację wobec unijnej dyrektywy o cyberbezpieczeństwie (NIS2) i wnioskuje m.in. o wykreślenie samorządów z grona najbardziej kontrolowanych podmiotów, rezygnację z procedury „dostawcy wysokiego ryzyka” oraz o policzenie w rządowej ocenie skutków, ile to wszystko będzie kosztować. Do stanowiska nie dołączono opinii innych instytucji, takich jak Prokurator Generalny czy Sąd Najwyższy.

Rządowa Ocena Skutków Regulacji (OSR) - jak twierdzą autorzy stanowiska - nie szacuje kosztów wdrożenia audytów ani kosztów wymiany sprzętu po uznaniu dostawcy za „wysokiego ryzyka”. Sama OSR liczy jednak, że nowymi przepisami zostanie objętych ok. 27 905 urzędów i instytucji publicznych - w większości samorządów i podległych im jednostek - a łącznie we wszystkich 18 objętych branżach ma to być ponad 38 000 podmiotów. Autorzy stanowiska podkreślają, że sama OSR przyznaje (na stronach 29-30), że koszty wymiany sprzętu ostatecznie doliczą do cen swoich towarów i usług firmy objęte przepisami - czyli zapłacą za to również klienci i mieszkańcy. Kierownicy samorządów mają też ponosić osobistą odpowiedzialność za niedopełnienie obowiązków.

Dokument to opinia dołączona do rządowego projektu zmiany ustawy o krajowym systemie cyberbezpieczeństwa, który miał wdrożyć unijną dyrektywę NIS2 do 17 października 2024 r. Stanowisko wpłynęło do Sejmu 22 maja 2024 r., na wczesnym etapie prac. Ostatecznie projekt przeszedł całą ścieżkę legislacyjną - ustawę podpisał już Prezydent.

Spór dotyczy tego, jak szeroko wdrożyć unijne przepisy o cyberbezpieczeństwie. Autorzy stanowiska - pracodawcy, pracownicy i samorządy z Mazowsza - twierdzą, że rząd poszedł znacznie dalej niż wymagała Unia Europejska, obciążając kosztami tysiące gmin, szpitali, uczelni i firm bez oszacowania, ile to będzie kosztować, i bez konsultacji ze wszystkimi objętymi branżami. Z drugiej strony projekt miał pilnie dostosować polskie prawo do unijnego terminu i podnieść poziom ochrony przed atakami, które mogłyby sparaliżować usługi publiczne i infrastrukturę krytyczną.