Ustawa o krajowym systemie cyberbezpieczeństwa czeka już tylko na decyzję prezydenta Karola Nawrockiego. Senat przyjął nowe regulacje dla firm – przede wszystkim kluczowych dostawców usług cyfrowych. Przepisy budziły kontrowersje. Organizacje przedsiębiorców zwracały uwagę między innymi na wysokie kary za opóźnienia.
- Senat przyjął ustawę wprowadzającą nowe przepisy w zakresie cyberbezpieczeństwa.
- Dodatkowe obowiązki będą dotyczyć ponad 40 tys. podmiotów.
- Ustawę przyjęto mimo krytycznych głosów organizacji przedsiębiorców, które ostrzegały przed – w ich ocenie – nadmierną biurokracją i zbyt wysokimi karami.
Prace nad wprowadzeniem unijnych przepisów trwały kilka lat, a na końcu spektakularnie przyspieszyły. Sejm uchwalił ustawę 23 stycznia, a cztery dni później trafiła ona do Senatu.
Chodzi o dostosowanie polskiego prawa do zaktualizowanych wymogów unijnych w zakresie cyberbezpieczeństwa i wzmocnienie odporności infrastruktury krytycznej.
Jakich firm dotyczy ustawa o krajowym systemie bezpieczeństwa?
Przepisy obejmą przede wszystkim operatorów kluczowych usług cyfrowych i innych firm istotnych dla krajowego systemu cyberbezpieczeństwa. Dotychczas lista podmiotów wchodzących w skład systemu liczyła 400 pozycji. Nowe przepisy zwiększają ją do ok. 42 tys.
Największe kontrowersje dotyczą nowych kompetencji ministra cyfryzacji. To on będzie miał prawo wskazywania dostawców wysokiego ryzyka.
Dotychczas przepisy dotyczyły m.in. sektorów energii, transportu czy bankowości. Teraz mogą objąć również produkcję żywności czy doprowadzenie wody.
Nowe obowiązki to przede wszystkim:
- wdrożenie systemu zarządzania bezpieczeństwem informacji,
- zapewnienie bezpieczeństwa łańcucha dostaw,
- regularny audyt ryzyka wystąpienia incydentów.
Nawet 100 mln złotych kary za najpoważniejsze naruszenia. Przedsiębiorcy o „nieproporcjonalnie” wysokich karach
Niedostosowanie się do przepisów może grozić wysokimi karami. Dla podmiotów określonych w ustawie jako kluczowe: od 20 tys. zł do 10 mln euro. Dla podmiotów ważnych: od 15 tys. zł do 7 mln euro. Nawet 100 mln zł może zaś zapłacić organizacja, która wywoła bezpośrednie i poważne zagrożenie cyberbezpieczeństwa dla bezpieczeństwa państwa.
Poprawka przyjęta w ubiegłym tygodniu podczas prac legislacyjnych w Sejmie zagwarantowała jednak, że ewentualne kary będą nakładane dopiero dwa lata po wejściu w życie ustawy.
Na posiedzeniu 28 stycznia Senat przyjął ustawę bez poprawek mimo krytycznych uwag organizacji przedsiębiorców. Ostrzegały one przed potencjalnie nadmiernym obciążeniem formalnościami i nieproporcjonalnie wysokimi karami za opóźnienia czy błędy.
Eksperci biura legislacyjnego Senatu zwracali z kolei uwagę na konieczność dostosowania niektórych pojęć, które mogą uczynić przepisy martwymi. Chodzi o błędne odesłania i niespójności w tekście ustawy.
Krajowy system cyberbezpieczeństwa. Co zrobi prezydent?
Ustawa trafi teraz na biurko Karola Nawrockiego. Prezydent nie wypowiadał się publicznie na jej temat.
Jeszcze w 2025 r. przedstawiciele branży cyberbezpieczeństwa i bezpieczeństwa informacji wyrażali obawy, że prezydent może odrzucić nowelizację, na przykład argumentując to brakiem jasnych wytycznych oceny dostawców usług cyber.
Pełen optymizmu jest za to minister cyfryzacji Krzysztof Gawkowski.
– Uważam, że bardzo dużym sukcesem było to, że ustawa została przyjęta w parlamencie zdecydowaną większością głosów; że posłowie i koalicji i opozycji za nią zagłosowali. Podczas prac sejmowych zostały przyjęte poprawki PiS. Podczas konsultacji z panem prezydentem uzgodniliśmy te elementy, które były ważne z perspektywy Pałacu Prezydenckiego, więc jestem dobrej myśli – przekazał Gawkowski Polskiej Agencji Prasowej.