Sprawozdanie Komisji Cyfryzacji, Innowacyjności i Nowoczesnych Technologii o rządowym projekcie ustawy o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw.

Ten dokument to sprawozdanie sejmowej Komisji Cyfryzacji, Innowacyjności i Nowoczesnych Technologii z prac nad rządowym projektem, który wdraża do polskiego prawa unijną dyrektywę o cyberbezpieczeństwie znaną jako NIS 2. Komisja rekomenduje Sejmowi przyjęcie zmienionej ustawy o krajowym systemie cyberbezpieczeństwa, która znacznie rozszerza krąg firm i instytucji objętych obowiązkiem ochrony przed cyberatakami - od banków, szpitali i elektrowni, przez dostawców chmury obliczeniowej, po sklepy internetowe i wyszukiwarki - oraz wprowadza nowy rejestr takich podmiotów wraz z surowszymi zasadami zgłaszania awarii i włamań.

• Znika pojęcie „operatora usługi kluczowej” - zastępują je „podmiot kluczowy” i „podmiot ważny”, obejmujące dużo szerszą grupę firm, w tym dostawców chmury, DNS, centrów danych, platform handlowych i wyszukiwarek.
• Powstaje nowy, obowiązkowy rejestr (wykaz) takich podmiotów prowadzony elektronicznie, z terminem 3 miesięcy na zgłoszenie się i karami pieniężnymi za spóźnienie.
• Firmy muszą wdrożyć system zarządzania bezpieczeństwem informacji, przechodzić audyt co 3 lata i zgłaszać poważne incydenty w ciągu 24-72 godzin.
• Powstaje nowa usługa NASK, w której obywatel sprawdzi, czy jego dane osobowe wyciekły do sieci.
• Rejestry domen internetowych (np. .pl) muszą zbierać i częściowo publikować dokładne dane o właścicielach domen.

Projekt złożyła Rada Ministrów (rząd), a sprawozdanie z prac nad nim przygotowała Komisja Cyfryzacji, Innowacyjności i Nowoczesnych Technologii. Celem jest wdrożenie unijnej dyrektywy o cyberbezpieczeństwie, której termin wdrożenia już minął.

Jeśli prowadzisz średnią lub dużą firmę w energetyce, bankowości, ochronie zdrowia, transporcie, telekomunikacji, chmurze obliczeniowej albo sklepie internetowym - ustawa nakłada na ciebie nowe obowiązki: rejestrację w wykazie, audyty bezpieczeństwa, dokumentację i zgłaszanie awarii pod groźbą kar pieniężnych. Jeśli jesteś zwykłym użytkownikiem internetu, bankowości czy usług publicznych - nie masz nowych obowiązków, ale zyskujesz nowe narzędzie NASK do sprawdzenia, czy twoje dane wyciekły, oraz teoretycznie lepiej chronione usługi, z których korzystasz na co dzień.

Dostarczona treść dokumentu nie zawiera Oceny Skutków Regulacji (OSR) z konkretnymi kwotami, więc nie da się podać, ile ustawa będzie kosztować budżet ani ile firm dokładnie obejmie. Z treści projektu wynika jednak, że firmy i instytucje uznane za „podmiot kluczowy” lub „podmiot ważny” poniosą koszty audytów, dokumentacji i szkoleń personelu, a administracja publiczna - koszty budowy i utrzymania nowego rejestru oraz systemu teleinformatycznego do zgłaszania incydentów.

Projekt przeszedł prace w Komisji Cyfryzacji, Innowacyjności i Nowoczesnych Technologii, która rekomenduje Sejmowi przyjęcie go w zmienionym brzmieniu. Ustawa wdraża unijną dyrektywę NIS 2, której termin transpozycji do prawa krajowego już minął.