Cyberustawa coraz bliżej
Zwiększanie poziomu cyberbezpieczeństwa to jeden z priorytetów Ministerstwa Cyfryzacji, realizowany już od listopada 2015 roku. Po konsultacjach publicznych, opiniowaniu przez inne resorty, a także zorganizowanej konferencji uzgodnieniowej, projekt ustawy o krajowym systemie cyberbezpieczeństwa został rozpatrzony przez Komitet do Spraw Europejskich Rady Ministrów.
Zakres regulacji
Projekt ustawy zapewnia wdrożenie do polskiego porządku prawnego dyrektywy w sprawie środków na rzecz wysokiego wspólnego poziomu bezpieczeństwa sieci i systemów informatycznych na terytorium Unii (dyrektywa 2016/1148).
Stworzenie podstaw prawnych funkcjonowania krajowego systemu cyberbezpieczeństwa oraz jego rozbudowa ma umożliwić niezakłócone świadczenie usług kluczowych z punktu widzenia państwa i gospodarki oraz usług cyfrowych, zwiększenie poziomu zabezpieczeń systemów informacyjnych służących do ich świadczenia oraz ograniczyć potencjalne skutki incydentów, w tym straty finansowe.
Efektem wprowadzonych regulacji ma być podniesienie odporności kluczowych usług świadczonych z wykorzystaniem technologii informatycznych na ataki pochodzące z cyberprzestrzeni. Tym samym projektowana regulacja przyczyni się do lepszego zapewnienia ciągłości działania tych usług, tak aby zarówno obywatele, jak i przedsiębiorstwa miały do nich stały dostęp.
Cele zmian
Celem ustawy jest w szczególności:- ustanowienie na szczeblu krajowym architektury ochrony systemów teleinformatycznych z uwzględnieniem regulacji międzynarodowych, oraz wskazanie organów władzy publicznej odpowiedzialnych za zarządzanie bezpieczeństwem informacji;
- ustanowienie krajowego systemu reagowania na zagrożenia dla bezpieczeństwa informacji przetwarzanych w systemach teleinformatycznych, pochodzące z cyberprzestrzeni;
- ustalenie zasad współpracy podmiotów zobowiązanych do wykrywania incydentów spowodowanych zagrożeniami cyberprzestrzeni i sposobów postępowania w okresie trwania tych incydentów;
- prawne umocowanie dokumentu ustanawiającego krajową strategię bezpieczeństwa sieci i informacji mającą na celu osiągnięcie akceptowalnego poziomu cyberbezpieczeństwa Rzeczpospolitej Polskiej;
- wskazanie sektorów gospodarki narodowej, dla których zastosowanie będą miały przepisy ustawy oraz określenie kryteriów kwalifikacji podmiotów objętych regulacją;
- ustalenie poziomu istotności incydentu z zakresu bezpieczeństwa oraz wprowadzenie obowiązku notyfikowania incydentów wskazanemu organowi władzy publicznej;
- ustalenie ustawowych wymagań i powinności z zakresu cyberbezpieczeństwa dla jednostek organizacyjnych z zakresu podmiotowego w obszarze organizacyjnym i technologicznym oraz delegowanie do aktów wykonawczych ustalenia szczegółów tych wymagań.
Wprowadzane zmiany
Ustawa doprecyzowuje kategorie incydentów, które różnią się w zależności rodzaju podmiotu, który je zgłasza i stopnia jego oddziaływania (progów). Wyróżnia incydenty poważne, istotne, zgłaszane przez podmioty publiczne i incydenty krytyczne.
Jako novum w stosunku do poprzedniej wersji ustawa umożliwia ustanawianie sektorowych zespołów cyberbezpieczeństwa, które będą miały możliwość wsparcia obsługi poważnych incydentów we współpracy z właściwym CSIRT poziomu krajowego.
Jednym z podstawowych zamierzeń projektodawcy było też zapewnienie pełnej wykonalności przepisów dotyczących audytów bezpieczeństwa systemów informacyjnych, przy jednoczesnym zapewnieniu konkurencyjności rynku audytu, dlatego ustawa przewiduje wiele sposobów realizacji tego obowiązku.
Wyodrębnione zostały zasady udostępniania informacji i przetwarzania danych osobowych.Wychodząc naprzeciw potrzebie wzmocnienia koordynacji działań i wymiany informacji pomiędzy instytucjami odpowiedzialnymi za cyberbezpieczeństwo projektodawca zakłada powołanie instytucji Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa oraz Kolegium do Spraw Cyberbezpieczeństwa.
Zwiększono również wysokość możliwych kar pieniężnych nakładanych na podmioty zobowiązane.
Uzgodnienia międzyresortowe, opiniowanie i konsultacje publiczne
Konsultacje publiczne, proces uzgodnień międzyresortowych oraz opiniowania trwał od 31 października do 21 listopada 2017 r. W dniu 8 grudnia br. odbyła się konferencja podsumowująca proces uzgodnień i opiniowania, a w dniach 11 i 13 grudnia br. odbyły się odpowiednio posiedzenia Zespołu i Komisji Wspólnej Rządu i Samorządu Terytorialnego. Projekt spotkał się z dużym zainteresowaniem opiniujących, a Ministerstwo Cyfryzacji odniosło się do wszystkich zgłoszonych uwag oraz zastrzeżeń.
Zob. projekt ustawy o krajowym systemie cyberbezpieczeństwa
A.J.
Zespół e-prawnik.pl
Skomentuj artykuł - Twoje zdanie jest ważne
Czy uważasz, że artykuł zawiera wszystkie istotne informacje? Czy jest coś, co powinniśmy uzupełnić? A może masz własne doświadczenia związane z tematem artykułu?