Ustawa o krajowym systemie cyberbezpieczeństwa nakłada na operatorów usług kluczowych obowiązki dotyczące m.in. szacowania ryzyka wystąpienia incydentu, stosowania właściwych środków bezpieczeństwa oraz obsługi i zarządzania incydentami.

O uznaniu danego podmiotu za operatora usługi kluczowej zdecydują, kompetentne dla danego sektora, organy właściwe (w drodze decyzji administracyjnej). Podpisane rozporządzenie ma kluczowe znaczenie dla przebiegu procesu identyfikacji operatorów usług kluczowych.

Zgodnie z ustawą, operatorem jest podmiot, który spełnia (łącznie) poniższe wymagania:

• został wskazany (jako rodzaj podmiotu) w załączniku do ustawy;
• świadczy usługę kluczową określoną w rozporządzeniu;
• świadczenie tej usługi zależy od systemów informacyjnych;
• usługa jest świadczona powyżej określonego progu istotności – najczęściej jest to wielkość produkcji, zasięg geograficzny świadczenia usługi albo liczba odbiorców.

Usługi kluczowe wymienione w rozporządzeniu obejmują następujące sektory:

• energia (m.in. energia elektryczna, ciepło, ropa i gaz);
• transport (z podziałem na wodny, lądowy i powietrzny);
• bankowość i infrastruktura rynków finansowych;
• uzdatnianie wody i odprowadzanie ścieków;
• ochrona zdrowia (w tym szpitale i przemysł farmaceutyczny);
• infrastruktura cyfrowa (DNS, IXP i TLD).

Wydanie rozporządzenia oznacza, że organy właściwe mogą się przygotowywać do wydawania decyzji administracyjnych przedsiębiorcom. Zgodnie z dyrektywą NIS, pierwsi operatorzy powinni być wskazani do 9 listopada 2018 r.

Z treścią rozporządzenia można zapoznać się na stronie Dziennika Ustaw.

Więcej o ustawie, operatorach usług kluczowych i organach właściwych.