KSC już obowiązuje. Co teraz musi zrobić przedsiębiorca?

Nowelizacja wdraża do polskiego prawa unijną dyrektywę NIS2 i znacząco rozszerza grupę organizacji objętych wymaganiami dotyczącymi cyberbezpieczeństwa, wprowadzając podział na podmioty kluczowe i ważne.

Co istotne, nowe obowiązki nie dotyczą już wyłącznie największych gigantów technologicznych. Mogą objąć także przedsiębiorstwa działające m.in. w sektorze produkcyjnym, logistyce, branży chemicznej, spożywczej, usługach cyfrowych (ICT) czy sektorze kosmicznym.

O tym, czy konkretna firma podlega nowym przepisom, nie decyduje wyłącznie jej branża czy kod PKD. Kluczowe znaczenie mają również rzeczywisty zakres działalności, wielkość przedsiębiorstwa, powiązania z innymi podmiotami oraz charakter oferowanych produktów i usług. Dlatego mniejsze firmy w żadnym wypadku nie powinny z góry zakładać, że KSC ich nie dotyczy.

Nie masz pewności? Zacznij od Pre-weryfikacji

Jeżeli jako przedsiębiorca nadal nie masz pewności, czy podlegasz nowym przepisom, powinieneś dokładnie przeanalizować swój profil działalności. Sam kod PKD często nie wystarczy do prawidłowej oceny sytuacji.

W uporządkowaniu tej analizy pomaga bezpłatna usługa Pre-weryfikacja zgodności z zaleceniami NIS2, dostępna na portalu Biznes.gov.pl. Formularz krok po kroku prowadzi przedsiębiorcę przez pytania dotyczące miejsca prowadzenia działalności, sektora, kodów PKD, wielkości firmy, powiązań z innymi podmiotami oraz szczególnych podstaw kwalifikacji. Na końcu użytkownik otrzymuje podsumowanie, które porządkuje najważniejsze informacje i wskazuje rekomendowane dalsze kroki.

– Pre-weryfikację warto potraktować jako pierwszy krok do świadomej oceny, czy nowe przepisy dotyczą danej organizacji. Im wcześniej firma to sprawdzi, tym więcej czasu zyska na przygotowanie danych i spokojne złożenie wniosku, jeśli okaże się to konieczne. Nawet jeśli przedsiębiorstwo nie jest bezpośrednio zobowiązane do wpisu do Wykazu KSC, nowe wymagania mogą wpłynąć na jego relacje z klientami i partnerami, którzy coraz częściej zwracają uwagę na bezpieczeństwo dostawców. Cyberbezpieczeństwo staje się więc także elementem wiarygodności firmy w relacjach B2B – komentuje Maria Magdoń, Zastępca Dyrektora Departamentu Gospodarki Cyfrowej w Ministerstwie Rozwoju i Technologii.

Dodatkowe informacje i odpowiedzi na najważniejsze pytania dotyczące nowych przepisów znajdziesz w Q&A dotyczącego KSC i NIS2.

Co firma powinna zrobić teraz?

Dla firm objętych ustawą, samodzielny wpis do Wykazu KSC nie kończy obowiązków, a jedynie otwiera kolejny etap. Podmioty kluczowe i ważne muszą wdrożyć realne zmiany organizacyjne i techniczne.

W praktyce oznacza to konieczność przygotowania firmy m.in. do:

• wdrożenia Systemu Zarządzania Bezpieczeństwem Informacji (SZBI),
• systematycznego szacowania ryzyka i zarządzania nim,
• wdrożenia odpowiednich środków technicznych i organizacyjnych,
• zbierania informacji o cyberzagrożeniach i podatnościach,
• przygotowania procedur zarządzania incydentami i ich zgłaszania,
• wyznaczenia osób odpowiedzialnych za utrzymywanie kontaktów z podmiotami KSC,
• weryfikacji niekaralności osób wykonujących określone zadania związane z cyberbezpieczeństwem,
• uwzględnienia bezpieczeństwa i ciągłości działania łańcucha dostaw.

Nowe obowiązki wymuszają więc uporządkowanie nie tylko kwestii infrastruktury IT, ale także wewnętrznych procesów, odpowiedzialności i procedur funkcjonujących w całej organizacji.

Co, jeśli firma spełni kryteria dopiero teraz?

3 października nie był ostateczną datą zamknięcia rejestru dla wszystkich podmiotów. Jeżeli Twoje przedsiębiorstwo urośnie lub rozszerzy działalność i zacznie spełniać przesłanki uznania za podmiot kluczowy lub ważny dopiero w przyszłości, nadal podlegasz obowiązkowi samodzielnej rejestracji. W takim przypadku wniosek o wpis do Wykazu KSC należy złożyć w terminie sześciu miesięcy od dnia spełnienia tych przesłanek.

Ważne terminy na horyzoncie

Najbliższe miesiące to dla wielu firm czas intensywnych prac wdrożeniowych. Przedsiębiorstwa objęte KSC powinny już teraz wpisać w swoje kalendarze kolejne, kluczowe daty:

• 3 kwietnia 2027 r. – to zakończenie pierwszego terminu dla podmiotów, które zostały uznane za kluczowe lub ważne w momencie wejścia w życie nowelizacji. Do tego czasu firmy te muszą wdrożyć obowiązki wynikające z ustawy oraz rozpocząć korzystanie z systemu wymiany informacji (S46).
• 3 kwietnia 2028 r. – kolejny kluczowy termin dla podmiotów kluczowych objętych obowiązkiem audytu. Pierwszy audyt powinien zostać przeprowadzony maksymalnie w terminie 24 miesięcy od dnia spełnienia przesłanek uznania za podmiot kluczowy, a kolejne – co najmniej raz na trzy lata.

Artykuł został przygotowany w ramach kampanii edukacyjno-informacyjnej dla przedsiębiorców "Cyfrowy Biznes", upowszechniającej korzyści płynące z technologii cyfrowych i cyberbezpieczeństwa. Projekt jest dofinansowany z Funduszy Europejskich w ramach programu Fundusze Europejskie na Rozwój Cyfrowy.

Materiał sponsorowany przez Ministerstwo Rozwoju i Technologii