Zmiany proponowane w nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC) nie są w pełni zgodne z prawem unijnym, ocenia Federacja Przedsiębiorców Polskich (FPP). Jeśli te zapisy nie zostaną poprawione, nowelizowaną właśnie ustawę za chwilę trzeba będzie zmieniać jeszcze raz. Koszt wielokrotnych wdrożeń jak zwykle poniosą przedsiębiorcy, podkreślono.
Na stronie Ministerstwa Cyfryzacji kolejna wersja nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC) pojawiła się 17 stycznia br. Dzień wcześniej weszła w życie NIS 2 – unijna dyrektywa dotycząca cyberbezpieczeństwa. Choć Polska ma obowiązek niedługo wdrożyć ją do polskich przepisów, projekt nowelizacji KSC w kilku istotnych kwestiach jest niezgodny z tą dyrektywą. Różni się w zakresie pojęć, obowiązków i ogólnego podejścia do zarządzania cyberbezpieczeństwem. Jak podkreśla Federacja, będzie to miało poważne negatywne konsekwencje.
„NIS 2 nakłada na przedsiębiorców szereg obowiązków dotyczących obsługi incydentów. Nowelizacja KSC niezależnie od NIS 2 modyfikuje zakres tych obowiązków i robi to niespójnie z założeniami NIS 2. Już tylko z tego powodu przedsiębiorcy będą musieli ponieść koszty podwójnego wdrożenia. Najpierw dostosować się do przepisów KSC, a następnie – po wdrożeniu NIS 2 – powtórzyć prace. KSC odnosi się do ograniczonego grona podmiotów z sektora energetycznego, transportowego, bankowego, finansowego i zdrowotnego. NIS 2 znacząco rozszerzy to grono i obejmie tysiące nowych podmiotów. Oba dokumenty są na tyle niespójne, że niektóre podmioty będą częścią krajowego systemu bezpieczeństwa w rozumieniu NIS 2, ale już nie nowelizacji KSC” – powiedział wiceprzewodniczący FPP Arkadiusz Pączka, cytowany w komunikacie.
Wyjaśnił, że chodzi m.in. o operatorów usług pocztowych, dostawców usług kurierskich czy producentów żywności.
„Już teraz można by się zastanowić, jak rozwiązać ten problem, szczególnie że dotyczy on nawet niektórych małych i mikroprzedsiębiorców. Najwięcej obaw mają przedsiębiorcy telekomunikacyjni, którzy wcześniej nie byli objęci KSC. Projekt nakłada na nich wiele zupełnie nowych obowiązków. Nawet mali przedsiębiorcy będą musieli spełniać wymogi bezpieczeństwa i zgłaszania incydentów. Zgodnie z projektem powinni też zrezygnować z dostawców sprzętu i oprogramowania, których organ uzna za dostawców wysokiego ryzyka” – dodał.
FPP wskazuje ponadto, że zamiast skoordynowanej oceny ryzyka na poziomie UE i aktywnego zarządzania ryzykiem przez przedsiębiorcę, co jest ważnym założeniem unijnych przepisów, nowelizacja KSC uwzględnia odgórną decyzję organu.
„Kryteria takiej decyzji pozostają niejasne i są sprzeczne z NIS 2. Dają też organowi większą władzę niż przewiduje DORA – dyrektywa dotycząca wspólnego poziomu cyberbezpieczeństwa w UE. Obecne zapisy projektu pozwalają uznać za dostawcę wysokiego ryzyka praktycznie każdy podmiot spoza UE. Ocena nie dotyczy konkretnych usług czy systemów IT, ale całych ich kategorii” – czytamy w komunikacie.
„Zakaz korzystania z usług oraz sprzętu ICT określonych dostawców będzie dotyczyć tysięcy podmiotów objętych KSC. Ograniczenie rynku odbije się na wszystkich jego uczestnikach, zmniejszy konkurencyjność i będzie miało negatywne skutki gospodarcze. Podmioty objęte KSC będą musiały usunąć ze swojej sieci wszystkie produkty, usługi lub procesy ICT wskazane w decyzji. Nie będzie już można wprowadzać do użytku rozwiązań tego typu. Podmioty objęte KSC będą musiały stale monitorować decyzje organów i utrzymywać ciągłą gotowość do zmiany stosowanych rozwiązań w narzuconym terminie. Może się to okazać ogromnie kosztowne lub wręcz niewykonalne, szczególnie w przypadku mniejszych podmiotów” – napisała też Federacja.
Źródło: ISBnews
