Zakres regulacji

Projekt ustawy zapewnia wdrożenie do polskiego porządku prawnego dyrektywy w sprawie środków na rzecz wysokiego wspólnego poziomu bezpieczeństwa sieci i systemów informatycznych na terytorium Unii (dyrektywa 2016/1148).

Stworzenie podstaw prawnych funkcjonowania krajowego systemu cyberbezpieczeństwa oraz jego rozbudowa ma umożliwić niezakłócone świadczenie usług kluczowych z punktu widzenia państwa i gospodarki oraz usług cyfrowych, zwiększenie poziomu zabezpieczeń systemów informacyjnych służących do ich świadczenia oraz ograniczyć potencjalne skutki incydentów, w tym straty finansowe.

Uzgodnienia międzyresortowe, opiniowanie i konsultacje publiczne

Konsultacje publiczne, proces uzgodnień międzyresortowych oraz opiniowania trwał od 31 października do 21 listopada 2017 r. W dniu 8 grudnia br. odbyła się konferencja podsumowująca proces uzgodnień i opiniowania, a w dniach 11 i 13 grudnia br. odbyły się odpowiednio posiedzenia Zespołu i Komisji Wspólnej Rządu i Samorządu Terytorialnego. Projekt spotkał się z dużym zainteresowaniem opiniujących, a Ministerstwo Cyfryzacji odniosło się do wszystkich zgłoszonych uwag oraz zastrzeżeń. 

Wprowadzone zmiany

Ustawa doprecyzowuje kategorie incydentów, które różnią się w zależności rodzaju podmiotu, który je zgłasza i stopnia jego oddziaływania (progów). Wyróżnia incydenty poważne, istotne, zgłaszane przez podmioty publiczne i incydenty krytyczne. Jako novum w stosunku do poprzedniej wersji ustawa umożliwia ustanawianie sektorowych zespołów cyberbezpieczeństwa, które będą miały możliwość wsparcia obsługi poważnych incydentów we współpracy z właściwym CSIRT poziomu krajowego.  Jednym z podstawowych zamierzeń projektodawcy było również zapewnienie pełnej wykonalności przepisów dotyczących audytów bezpieczeństwa systemów informacyjnych, przy jednoczesnym zapewnieniu konkurencyjności rynku audytu, dlatego ustawa przewiduje wiele sposobów realizacji tego obowiązku. Wyodrębnione zostały zasady udostępniania informacji i przetwarzania danych osobowych. Wychodząc naprzeciw potrzebie wzmocnienia koordynacji działań i wymiany informacji pomiędzy instytucjami odpowiedzialnymi za cyberbezpieczeństwo projektodawca zakłada powołanie instytucji Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa oraz Kolegium do Spraw Cyberbezpieczeństwa. Zwiększono również wysokość możliwych kar pieniężnych nakładanych na podmioty zobowiązane.