Zakres regulacji

Projekt ustawy zapewnia wdrożenie do polskiego porządku prawnego dyrektywy w sprawie środków na rzecz wysokiego wspólnego poziomu bezpieczeństwa sieci i systemów informatycznych na terytorium Unii (dyrektywa 2016/1148).

Stworzenie podstaw prawnych funkcjonowania krajowego systemu cyberbezpieczeństwa oraz jego rozbudowa ma umożliwić niezakłócone świadczenie usług kluczowych z punktu widzenia państwa i gospodarki oraz usług cyfrowych, zwiększenie poziomu zabezpieczeń systemów informacyjnych służących do ich świadczenia oraz ograniczyć potencjalne skutki incydentów, w tym straty finansowe.

Efektem wprowadzonych regulacji ma być podniesienie odporności kluczowych usług świadczonych z wykorzystaniem technologii informatycznych na ataki pochodzące z cyberprzestrzeni. Tym samym projektowana regulacja przyczyni się do lepszego zapewnienia ciągłości działania tych usług, tak aby zarówno obywatele, jak i przedsiębiorstwa miały do nich stały dostęp.

Cele zmian

1. ustanowienie na szczeblu krajowym architektury ochrony systemów teleinformatycznych z uwzględnieniem regulacji międzynarodowych, oraz wskazanie organów władzy publicznej odpowiedzialnych za zarządzanie bezpieczeństwem informacji;
2. ustanowienie krajowego systemu reagowania na zagrożenia dla bezpieczeństwa informacji przetwarzanych w systemach teleinformatycznych, pochodzące z cyberprzestrzeni;
3. ustalenie zasad współpracy podmiotów zobowiązanych do wykrywania incydentów spowodowanych zagrożeniami cyberprzestrzeni i sposobów postępowania w okresie trwania tych incydentów;
4. prawne umocowanie dokumentu ustanawiającego krajową strategię bezpieczeństwa sieci i informacji mającą na celu osiągnięcie akceptowalnego poziomu cyberbezpieczeństwa Rzeczpospolitej Polskiej;
5. wskazanie sektorów gospodarki narodowej, dla których zastosowanie będą miały przepisy ustawy oraz określenie kryteriów kwalifikacji podmiotów objętych regulacją;
6. ustalenie poziomu istotności incydentu z zakresu bezpieczeństwa oraz wprowadzenie obowiązku notyfikowania incydentów wskazanemu organowi władzy publicznej;
7. ustalenie ustawowych wymagań i powinności z zakresu cyberbezpieczeństwa dla jednostek organizacyjnych z zakresu podmiotowego w obszarze organizacyjnym i technologicznym oraz delegowanie do aktów wykonawczych ustalenia szczegółów tych wymagań.

Wprowadzane zmiany

Ustawa doprecyzowuje kategorie incydentów, które różnią się w zależności rodzaju podmiotu, który je zgłasza i stopnia jego oddziaływania (progów). Wyróżnia incydenty poważne, istotne, zgłaszane przez podmioty publiczne i incydenty krytyczne.

Jako novum w stosunku do poprzedniej wersji ustawa umożliwia ustanawianie sektorowych zespołów cyberbezpieczeństwa, które będą miały możliwość wsparcia obsługi poważnych incydentów we współpracy z właściwym CSIRT poziomu krajowego. 

Jednym z podstawowych zamierzeń projektodawcy było też zapewnienie pełnej wykonalności przepisów dotyczących audytów bezpieczeństwa systemów informacyjnych, przy jednoczesnym zapewnieniu konkurencyjności rynku audytu, dlatego ustawa przewiduje wiele sposobów realizacji tego obowiązku.

 Wyodrębnione zostały zasady udostępniania informacji i przetwarzania danych osobowych.Wychodząc naprzeciw potrzebie wzmocnienia koordynacji działań i wymiany informacji pomiędzy instytucjami odpowiedzialnymi za cyberbezpieczeństwo projektodawca zakłada powołanie instytucji Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa oraz Kolegium do Spraw Cyberbezpieczeństwa. 

Zwiększono również wysokość możliwych kar pieniężnych nakładanych na podmioty zobowiązane.