Cyberbezpieczeństwo narodowe to ważny temat, szczególnie w świetle nieustannych ataków, dezinformacji i innych zagrożeń. 24 kwietnia 2024 r., minister cyfryzacji Krzysztof Gawkowski upublicznił projekt nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC). Kluczowa inicjatywa ma wzmocnić bezpieczeństwo polskiej cyberprzestrzeni, zapewnić lepszą ochronę obywateli oraz przeformułować podejście państwa do obrony infrastruktury krytycznej i szeroko rozumianej sieci. Ustawa ma być przyjęta jeszcze w tym roku.
Spis treści
Publikacja projektu ustawy o Krajowym Systemie Cyberbezpieczeństwa – ruszają konsultacje
Podczas spotkania z przedstawicielami mediów minister Gawkowski zapowiedział, że liczący 130 stron projekt nowelizacji ustawy o KSC właśnie ukazał się w Biuletynie Informacji Publicznej (BIP, numer projektu UC32), co automatycznie rozpoczęło miesięczny proces konsultacji, które potrwają do 24 maja 2024 r.
To kluczowy dla resortu projekt, więc minister liczy na ostateczne zatwierdzenie zapisów jeszcze w tym roku, po czym nastąpi miesięczny okres vacatio legis, a przedsiębiorcy i instytucje będą miały pół roku na dostosowanie się do nowego prawa. W sumie oznacza to, że przepisy zaczną obowiązywać „w połowie przyszłego roku”, choć minister cyfryzacji podkreślił, że konkretny miesiąc może zależeć od wielu czynników, w tym szybkości procedowania ustawy czy liczby uwag i poprawek do niej.
Należy podkreślić, że nowelizacja ustawy o KSC jest długo wyczekiwanym projektem, który mimo swojej dużej wagi borykał się z wieloletnimi opóźnieniami. Jeszcze poprzedni rząd parokrotnie zmieniał zakres i koncepcje wprowadzenia nowelizacji, a ostatecznie nie doszło do jej przyjęcia.
Gdybyśmy szukali odpowiedzi, która jest to nowelizacja [ustawy o KSC – przyp. red.], która pojawiła się w ministerstwie – jest to nowelizacja numer 18. Uważam to za element skandaliczny. Jeśli coś przedstawiało się 17 razy i nigdy nie przeprocedowało się tego przez Sejm, powinno to być obszarem krytyki i pytania „jak to było możliwe?”
Minister cyfryzacji Krzysztof Gawkowski
Cyberbezpieczeństwo Polski – nowelizacja ustawy to aż 70% nowych przepisów
Czym jest nowelizacja ustawa o KSC i jakie zmiany wprowadza? Mówiąc najogólniej, usprawnia ona wiele aspektów związanych z ochroną polskiej cyberprzestrzeni, dostosowuje obecne prawo do najnowszych standardów i zagrożeń w sieci (Ustawa o KSC obowiązuje bowiem od połowy 2018 r.), wprowadza tzw. Toolbox 5G, a także dostosowuje nasze prawo do unijnej dyrektywy NIS2. Na ostatni z wymienionych kroków czas kończy się już 17 października 2024 r.
Najnowszy projekt ma w 70% składać się z nowych zapisów, a pozostałe 30% stanowić mają rozwiązania z poprzednich inicjatyw nowelizacyjnych.
Wśród najważniejszych zmian znalazły się te określające rozszerzone grono podmiotów kluczowych i ważnych. Instytucje te zobowiązane będą do wprowadzenia wysokiego poziomu zabezpieczeń sieciowych, ochrony przed zagrożeniami ze strony hakerów czy wywiadów innych państw, a także raportowania incydentów w swojej sieci. Wśród nowych sektorów z podmiotami kluczowymi znajdą się m.in. usługi pocztowe, branża kosmiczna, badania naukowe czy instytucje związane z produkcją, zarządzaniem odpadami lub ściekami.
Innym aspektem jest stworzenie wielu nowych zespołów CSIRT (Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego) odpowiadających za określone sektory gospodarki. Sieć specjalistów CSIRT-ów sektorowych zapewni szybką reakcję na incydenty i przepływ komunikacji na poziomie całego kraju (w tym do CSIRT MON, CSIRT NASK oraz CSIRT GOV).
Nowelizacja KSC i dostawcy wysokiego ryzyka
Języczkiem u wagi będzie też system rozpoznawania przez państwo dostawców wysokiego ryzyka (HRV). Był to jeden z najbardziej newralgicznych punktów poprzednich prób nowelizacji ustawy o KSC. W myśl pokazanego właśnie projektu podmiot HRV będzie wskazywany decyzją administracyjną ministra cyfryzacji, lecz cały proces będzie odbywał się z szerokimi konsultacjami, m.in. z prokuratorem generalnym, ministerstwem sprawiedliwości, ministerstwem spraw wewnętrznych, UOKiK, ABW i innymi służbami.
W razie wprowadzenia dostawcy na listę wysokiego ryzyka inne firmy będą musiały wycofać się z używania urządzeń bądź usług podmiotu HRV standardowo w okresie 7 lat, a w trybie przyśpieszonym – w ciągu 4 lat. Proces ten nie będzie współfinansowany przez państwo, a podmiot rozważany w kategoriach HRV będzie mógł składać wyjaśnienia czy odwoływać się od decyzji ministerstwa cyfryzacji.
Dokąd to wszystko prowadzi? Wierzymy, że ustawa przyjęta w tym roku doprowadzi nas do kolejnego kroku, czyli znowelizowania i przyjęcia Strategii Cyberbezpieczeństwa RP, która ma być elementem wyprzedzającym przyszłość.
Minister cyfryzacji Krzysztof Gawkowski
Zdjęcie otwierające: Krzysztof Sobiepan / Android.com.pl
Część odnośników to linki afiliacyjne lub linki do ofert naszych partnerów. Po kliknięciu możesz zapoznać się z ceną i dostępnością wybranego przez nas produktu – nie ponosisz żadnych kosztów, a jednocześnie wspierasz niezależność zespołu redakcyjnego.