W dniu 12 lutego 2025 r. Rządowe Centrum Legislacji opublikowało już piąty projekt nowelizujący ustawę o Krajowym Systemie Cyberbezpieczeństwa (dalej: Projekt), która ma dostosować polskie prawo do dyrektywy NIS-2. Dyrektywa NIS2 ustanawia jednolite ramy prawne w celu utrzymania cyberbezpieczeństwa w 18 sektorach krytycznych w całej UE. Dyrektywa unijna ustanawia. szerszy zakres i silniejsze narzędzia nadzoru, niż jej poprzedniczka Dyrektywa NIS z 2018 r.
Pierwotnie ustawa o KSC stanowiła, że Krajowy system cyberbezpieczeństwa obejmował m.in. operatorów usług kluczowych, dostawców usług cyfrowych, NBP, BGK czy też podmioty świadczące usługi z zakresu cyberbezpieczeństwa. Nowy Projekt ustawy znacznie rozszerza zakres podmiotowy ustawy wprowadzając pojęcia „podmiotów kluczowych” oraz „podmiotów ważnych”.
Kim jest podmiot kluczowy?
| Podmiotem kluczowym wg Projektu jest: | Wielkość przedsiębiorstwa |
| Osoba fizyczna, osoba prawna albo jednostka organizacyjna nieposiadająca osobowości prawnej wskazana w załączniku nr 1 do ustawy | Co najmniej średni przedsiębiorca (zatrudniający 50-250 pracowników i osiągający roczny obrót o wartości 50 mln euro) |
| przedsiębiorca komunikacji elektronicznej | Co najmniej średni przedsiębiorca |
| dostawca usług zarządzanych w zakresie cyberbezpieczeństwa | Co najmniej średni przedsiębiorca |
| dostawca usług DNS i podmiot świadczący usługi rejestracji domen | Niezależnie od wielkości |
| kwalifikowany dostawca usług zaufania | Niezależnie od wielkości |
| część podmiotów publicznych | Niezależnie od wielkości |
| podmiot krytyczny | Niezależnie od wielkości |
| podmiot zidentyfikowany jako podmiot kluczowy | Niezależnie od wielkości |
Jakie sektory zostały uznane za sektory kluczowe?
Do sektorów kluczowych zaliczono sektory związane z:
- Energią – tj. kopalnie, dostawców energii, przedsiębiorstwa energetyczne, zajmujące się ropą, paliwami, gazem
- Transportem – lotniczy, kolejowy, wodny, drogowy
- Bankowością i infrastrukturą rynków finansowych – instytucje kredytowe, banki, SKOK
- Ochroną zdrowia – podmioty lecznicze, laboratoria referencyjne UE, producenci leków i wyrobów medycznych
- Zaopatrzeniem w wodę pitną i jej dystrybucją – w tym przedsiębiorstwa wodociągowo–kanalizacyjne
- Dostarczaniem usług cyfrowych - dostawców punktu wymiany ruchu internetowego, dostawców usług DNS, z wyłączeniem operatorów głównych serwerów nazw, rejestr nazw domen najwyższego poziomu (TLD), dostawców chmury obliczeniowej, dostawców usług centrum przetwarzania danych, dostawców sieci dostarczania treści, dostawców usług zaufania, podmioty świadczące usługę rejestracji nazw domen, przedsiębiorców komunikacji elektronicznej oraz dostawców usług zarządzanych w zakresie cyberbezpieczeństwa
Kim jest podmiot ważny?
| Podmiotem ważnym wg Projektu jest: | Wielkość przedsiębiorstwa |
| Osoba fizyczna, osoba prawna albo jednostka organizacyjna nieposiadająca osobowości prawnej wskazana w załączniku nr 1 lub 2 do ustawy, która nie jest podmiotem kluczowym | Co najmniej średni przedsiębiorca (zatrudniający 50-250 pracowników i osiągający roczny obrót o wartości 50 mln euro) |
| Niekwalifikowany dostawca usług zaufania | Mikro, mały lub średni przedsiębiorca |
| Przedsiębiorca komunikacji elektronicznej | Mikro, mały lub średni przedsiębiorca |
| Podmiot zidentyfikowany jako podmiot ważny na podstawie poszczególnych przepisów ustawy | |
| Podmiot, który nie jest przedsiębiorcą, a jest wskazany w załączniku nr 2 | |
| Część podmiotów publicznych |
Jakie sektory zostały uznane za sektory ważne?
Do sektorów ważnych zaliczono:
- usługi pocztowe
- gospodarowanie odpadami – zbieranie, transport, przetwarzanie odpadów
- produkcję wytwarzanie i dystrybucja chemikaliów
- produkcję, przetwarzanie i dystrybucję żywności
- produkcję wyrobów medycznych
- produkcję komputerów, wyrobów elektronicznych i optycznych
- dostawców internetowych platform handlowych
- dostawców wyszukiwarek internetowych
- dostawców platformy sieci usług społecznościowych
Projekt ustawy w dalszym ciągu jest procedowany, jednak spotyka się on z krytyką m.in. organizacji zrzeszających przedsiębiorców. Podnosi się bowiem, że Projekt w przyjętej formie stanowi zagrożenie dla konkurencyjności polskich przedsiębiorców. W ocenie niektórych organizacji Projekt obejmuje nie tylko sferę związaną bezpośrednio z usługami świadczonymi przez podmioty kluczowe i ważne, lecz także całość działalności przedsiębiorstwa, co znacząco wykracza poza ramy wytyczone w prawie unijnym. Konsekwencją proponowanych zmian może być konieczność wymiany sprzętu i oprogramowania, co może stanowić znaczące obciążenie dla części przedsiębiorców.
