Wprowadzona w Polsce w kwietniu ustawa o krajowym systemie cyberbezpieczeństwa (UKSC) obciążyła nowymi obowiązkami nie tylko podmioty publiczne, ale także firmy z 18 sektorów. Problem w tym, że wielu przedsiębiorców może o tym nie wiedzieć. Przepisy objęły ok. 11 tys. jednostek niepublicznych – i wciąż większość z nich nie wpisała się bo obowiązkowego wykazu. Do kiedy muszą to zrobić?
Ten obowiązek wielu przedsiębiorcom umknął lub wciąż o nim nie wiedzą. 3 kwietnia została w Polsce wprowadzona nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa (UKSC). Zgodnie z jej zapisami wiele firm zostało określonych jako podmioty kluczowe lub ważne w kontekście cyberbezpieczeństwa. Wymienione zostały w niej również szczególnie ważne pod tym względem sektory – o nich piszemy niżej.
KSC: czy wiesz o obowiązkowym wpisie?
Przedsiębiorcy działający w ważnych sektorach zostali obarczeni nowymi obowiązkami związanymi z cyberochroną. Jednak w pierwszej kolejności właściciele firm muszą się upewnić, czy spełniają kryteria podmiotu kluczowego lub podmiotu ważnego. A to wymaga od nich przeprowadzenia tzw. samoidentyfikacji.
ReklamaZobacz także
W przypadku, gdy spełniają wspomniane wymogi, muszą zarejestrować się w wykazie podmiotów Krajowego Systemu Cyberbezpieczeństwa (KSC). Termin na to mija 3 października, zostało zatem już tylko kilka tygodni.
W wykazie brakuje tysięcy firm
Według danych Ministerstwa Cyfryzacji nowe regulacje mogą objąć około 38 tys. podmiotów, w tym około 11 tys. niepublicznych, czyli firm. Jak przekazał resort, w ciągu dwóch miesięcy od uruchomienia wpisów obowiązek spełniło tylko 200 firm.
Nie oznacza to jednak, że wszystkie przedsiębiorstwa z listu 11 tys. podmiotów są zobowiązane do samodzielnej rejestracji, ponieważ część z nich mogła zostać wpisana do wykazu z urzędu – są to m.in. przedsiębiorcy telekomunikacyjni, dostawcy usług zaufania, podmioty krytyczne. Jednak pozostałe muszą złożyć wniosek o wpis do wykazu.
Które branże objęła ustawa?
Nowa ustawa obejmuje 18 sektorów istotnych dla funkcjonowania państwa i gospodarki. Na tej liście są m.in.: energia, transport, bankowość, infrastruktura rynków finansowych, ochrona zdrowia, zaopatrzenie w wodę pitną i jej dystrybucja, zbiorowe odprowadzanie ścieków, infrastruktura cyfrowa, zarządzanie usługami ICT oraz przestrzeń kosmiczna.
– Co do zasady regulacje dotyczą średnich i dużych podmiotów. W niektórych przypadkach ustawa obejmuje jednak organizacje niezależnie od ich wielkości lub ze względu na szczególne znaczenie świadczonej usługi. Sama obecność branży na liście nie przesądza więc jeszcze o obowiązku wpisu, ale powinna być sygnałem do szybkiej weryfikacji statusu firmy – zwraca uwagę Maciej Ostaszewski z firmy eFaktor.
Ustawowymi obowiązkami objęte zostały także niektóre firmy handlowe, a więc m.in. przedsiębiorstwa zajmujące się hurtową dystrybucją żywności, firmy produkujące lub dystrybuujące chemikalia oraz operatorzy internetowych platform handlowych.
Co powinni teraz zrobić przedsiębiorcy?
Właściciele firm powinni zrealizować następujące działania:
- 1. Weryfikacja statusu firmy – sprawdzenie profilu działalności, kodu PKD, wielkości przedsiębiorstwa oraz danych podmiotów partnerskich i powiązanych.
- 2. Sprawdzenie trybu wpisu – ustalenie, czy organizacja została wpisana z urzędu czy musi złożyć wniosek samodzielnie.
- 3. Dopełnienie formalności o wpisie – jeżeli firma spełniała kryteria 3 kwietnia 2026 r. i nie została wpisana z urzędu, może złożyć wniosek najpóźniej 3 października.
- 4. Przygotowanie wdrożenia – wyznaczenie osób odpowiedzialnych, przeprowadzenie analizy ryzyka, zaplanowanie działań technicznych i organizacyjnych oraz uwzględnienie ich kosztów w budżecie i planie płynności finansowej.
To dopiero początek obowiązków
Obowiązkowy wpis do wykazu to dopiero pierwsza z wielu powinności, które czekają na przedsiębiorców. Firmy będą musiały m.in. rozpocząć korzystanie z systemu S46, który służy do zgłaszania incydentów i komunikacji w ramach KSC.
Podmioty kluczowe i ważne, które miały spełnione ustawowe kryteria w kwietniu tego roku, muszą do 3 kwietnia 2027 r. rozpocząć korzystanie z KSC systemu oraz wdrożyć inne obowiązki wynikające z nowych przepisów. Chodzi m.in. o analizę ryzyka, przygotowanie zasad reagowania na incydenty oraz zapewnienie ciągłości działania i wykonywanie kopii zapasowych.
Ich obowiązkami są również: weryfikacja bezpieczeństwa dostawców, bezpieczne nabywanie i utrzymywanie systemów, stosowanie kryptografii i szyfrowania, a w uzasadnionych przypadkach także uwierzytelniania wieloskładnikowego.
– Wzmocnienie cyberbezpieczeństwa jest potrzebne, ale dla przedsiębiorców wiąże się z dodatkowymi obowiązkami i kosztami. Firma musi przeanalizować regulacje, ustalić zakres odpowiedzialności, przeszkolić pracowników, zweryfikować dostawców oraz sfinansować niezbędne zmiany. Koszty obejmują nie tylko usługi i narzędzia, lecz także czas pracy zespołu. Im później rozpoczną się przygotowania, tym większe będzie ryzyko spiętrzenia wydatków w krótkim okresie – mówi Maciej Ostaszewski.
Złożenie wniosku nie oznacza wykonania wszystkich obowiązków – pozostają jeszcze przygotowania organizacyjne, techniczne i finansowe. Nie można czekać z nimi do ostatniej chwili.
