Nowa ustawa o KSC (NIS2) wchodzi w życie. Kogo dotyczy i jakie są realne konsekwencje?

Od miesiąca w Polsce obowiązuje nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa, wdrażająca unijną dyrektywę NIS2. Nowe przepisy oznaczają istotne zmiany dla tysięcy firm – rozszerzają krąg podmiotów zobowiązanych do wdrożenia środków bezpieczeństwa oraz precyzują zasady zgłaszania incydentów. Co ważne, odpowiedzialność za zaniedbania spoczywa nie tylko na zarządzie, ale również na kadrze kierowniczej średniego szczebla. Eksperci ostrzegają, że konsekwencje mogą być dotkliwe, ale nie ma powodu do paniki – kluczowe jest systematyczne działanie.

Kogo dokładnie obejmują nowe obowiązki?

Zakres podmiotowy NIS2 jest znacznie szerszy niż w poprzedniej wersji ustawy. Obowiązki dotyczą nie tylko dużych operatorów usług kluczowych, ale także średnich i małych firm z wybranych sektorów, takich jak energetyka, transport, ochrona zdrowia, cyfryzacja, a także dostawcy usług cyfrowych (np. platformy zakupowe, wyszukiwarki, chmura obliczeniowa). Jak wskazują eksperci z Niebezpiecznika, wiele firm, które do tej pory nie musiały myśleć o cyberbezpieczeństwie w kategoriach prawnych, teraz musi dostosować się do nowych wymogów.

Ustawa wyróżnia dwie kategorie podmiotów: kluczowe i ważne. Dla każdej z nich przewidziano nieco inny reżim nadzoru i wysokość potencjalnych kar. Ważne, aby każda organizacja jak najszybciej zweryfikowała, czy podlega pod nowe przepisy – im wcześniej rozpocznie się proces wdrożenia, tym łatwiej uniknąć kosztownych błędów.

Osobista odpowiedzialność kadry kierowniczej

Przepisy wyraźnie wskazują, że odpowiedzialność za wdrożenie i utrzymanie systemu cyberbezpieczeństwa spoczywa na osobach zarządzających. Nie tylko o członków zarządu, ale też o dyrektorów (także spoza IT), kierowników i menedżerów, którzy podejmują decyzje dotyczące bezpieczeństwa. Odpowiedzialność ma charakter osobisty i finansowy – kary mogą być nakładane bezpośrednio na te osoby, co oznacza ryzyko uszczuplenia prywatnego majątku.

Osobista odpowiedzialność dotyczy również takich osób jak DPO, CISO, audytorzy wewnętrzni, a nawet pracownicy działu HR, jeśli to oni odpowiadają za szkolenia z zakresu cyberbezpieczeństwa. Jak komentują eksperci Niebezpiecznika, nowe przepisy „wymuszają realne zaangażowanie kadry kierowniczej w tematykę cyberbezpieczeństwa”.

Jakie kary grożą za zaniedbania?

Nowa ustawa przewiduje surowe sankcje finansowe. Maksymalna wysokość kary dla podmiotu kluczowego może wynieść do 10 milionów euro lub 2% rocznego obrotu. Dla podmiotów ważnych górna granica to 7 milionów euro lub 1,4% obrotu. W porównaniu do poprzednich regulacji to znaczący wzrost.

Eksperci podkreślają jednak, że samo ryzyko kary nie powinno paraliżować organizacji. Ważniejsze jest skupienie się na praktycznych krokach wdrożeniowych: identyfikacji aktywów, ocenie ryzyka, wdrożeniu polityk bezpieczeństwa i regularnym szkoleniu pracowników. Jak czytamy w artykule Niebezpiecznika, pierwszym krokiem powinno być „sprawdzenie, czy Twoja firma podlega pod nowe przepisy” – dopiero potem można planować konkretne działania.

Co już teraz powinna zrobić kadra kierownicza?

Eksperci rekomendują kilka priorytetowych działań:

• Identyfikacja zakresu podległości – sprawdzenie, czy firma jest podmiotem kluczowym czy ważnym.
• Audyt obecnego stanu bezpieczeństwa – ocena, które wymogi są już spełnione, a które wymagają pilnych zmian.
• Uzupełnienie kompetencji – osoby zarządzające powinny odbyć szkolenie z zakresu NIS2, by zrozumieć swoje obowiązki i ryzyka.
• Aktualizacja dokumentacji – polityki bezpieczeństwa, procedury zgłaszania incydentów i plany reagowania muszą być zgodne z nowymi przepisami.

Wdrożenie nowych przepisów to proces, a nie jednorazowe działanie. Kluczowe, aby nie odkładać go na ostatnią chwilę. Im więcej czasu poświęci się na przygotowanie, tym mniejsze ryzyko kar i incydentów, które mogą zaszkodzić reputacji i finansom firmy.

Podsumowanie i dalsze kroki

Nowelizacja ustawy o KSC to nie kolejna biurokratyczna zmiana, którą można zignorować. Osobista odpowiedzialność kadry kierowniczej i wysokie kary wymagają realnego zaangażowania. Dobra wiadomość: większość firm ma jeszcze czas na dostosowanie się – pod warunkiem, że podejdzie do tego systematycznie. Warto śledzić oficjalne komunikaty organów nadzoru oraz praktyczne poradniki, które pomogą we wdrożeniu wymogów bez zbędnego stresu. Przede wszystkim jednak – nie czekać, aż pierwsza kontrola wykaże brak zgodności.

Jeśli firma jeszcze nie rozpoczęła analizy swojego stanu bezpieczeństwa, teraz najlepszy moment, by to zrobić. Nawet podstawowe działania, jak audyt i szkolenia, znacznie zmniejszają ryzyko przykrych konsekwencji.