Kiedy zgłosić cyberatak? Rząd doprecyzuje zasady dla 15 sektorów, w tym energetyki
Rada Ministrów pracuje nad rozporządzeniem, które określi progi uznania incydentu cyberbezpieczeństwa za „poważny” w piętnastu sektorach gospodarki – od energetyki, przez transport, po ochronę zdrowia i gospodarkę odpadami.
Projekt numer RD326 , przygotowany przez Ministerstwo Cyfryzacji, ma zastąpić przepisy obowiązujące od 2018 r. i dostosować krajowy system zgłaszania incydentów do unijnej dyrektywy NIS2. Przyjęcie dokumentu przez rząd planowane jest na trzeci lub czwarty kwartał 2026 r.
Czym jest incydent poważny i dlaczego trzeba go zgłaszać?
Obowiązek zgłaszania incydentów poważnych wynika z ustawy o krajowym systemie cyberbezpieczeństwa z 5 lipca 2018 r. Zgodnie z nią podmioty kluczowe oraz podmioty ważne, czyli firmy i instytucje działające w sektorach uznanych za strategiczne dla funkcjonowania państwa, mają 72 godziny od wykrycia incydentu na zgłoszenie go do właściwego zespołu CSIRT sektorowego za pośrednictwem dedykowanego systemu teleinformatycznego.
Ustawa definiuje incydent poważny jako zdarzenie, które powoduje lub może spowodować poważne obniżenie jakości bądź przerwanie ciągłości świadczenia usługi, generuje straty finansowe dla samego podmiotu, albo wywołuje poważną szkodę materialną lub niematerialną u innych osób fizycznych, prawnych czy jednostek organizacyjnych.
To, gdzie dokładnie przebiega granica między incydentem zwykłym a poważnym, ustawa pozostawia jednak do doprecyzowania w rozporządzeniu wykonawczym – i właśnie to rozporządzenie jest teraz aktualizowane.
Nowe progi dla piętnastu sektorów
Projekt zastępuje dotychczasowe rozporządzenie Rady Ministrów z 31 października 2018 r., które nie obejmowało wszystkich sektorów dodanych nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa z 23 stycznia 2026 r. Nowe przepisy określają progi klasyfikacji incydentu jako poważnego – uwzględniające m.in. liczbę użytkowników dotkniętych zakłóceniem, czas oddziaływania incydentu na usługę, zasięg geograficzny zdarzenia oraz inne czynniki charakterystyczne dla danego sektora.
Obejmują one energię (z podsektorami: wydobywanie kopalin, energia elektryczna, ciepło, ropa i paliwa, gaz, energetyka jądrowa, wodór), transport (lotniczy, kolejowy, wodny i drogowy), ochronę zdrowia (świadczenia zdrowotne i zdrowie publiczne, produkcję i dystrybucję substancji czynnych, produktów leczniczych i wyrobów medycznych), zaopatrzenie w wodę pitną i jej dystrybucję, zbiorowe odprowadzanie ścieków, infrastrukturę cyfrową (z podziałem na infrastrukturę bez komunikacji elektronicznej oraz komunikację elektroniczną), przestrzeń kosmiczną, podmioty publiczne, usługi pocztowe, inwestycje energetyki jądrowej, gospodarowanie odpadami (zbieranie, transport, przetwarzanie, sortowanie oraz obrót odpadami), produkcję, wytwarzanie i dystrybucję chemikaliów, produkcję, przetwarzanie i dystrybucję żywności, produkcję przemysłową (m.in. wyrobów medycznych, komputerów, wyrobów elektronicznych i optycznych, urządzeń elektrycznych, maszyn, pojazdów samochodowych i pozostałego sprzętu transportowego) oraz badania naukowe.
Dla sektorów obowiązujących już wcześniej projekt bazuje na dotychczasowych progach z rozporządzenia z 2018 roku. Nowość dotyczy przede wszystkim sektorów dodanych nowelizacją – dla nich progi zostały określone od podstaw.
Skąd zmiany? Dyrektywa NIS2 i unijny obowiązek implementacji
Projektowane rozporządzenie ma dostosować polskie progi do wymagań dyrektywy Parlamentu Europejskiego i Rady (UE) 2022/2555 z 14 grudnia 2022 r. w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii, znanej jako dyrektywa NIS2. To ona rozszerzyła katalog sektorów objętych unijnymi wymogami cyberbezpieczeństwa, co w Polsce znalazło odzwierciedlenie w nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa z 23 stycznia 2026 r.
Dotychczasowe rozporządzenie z 2018 r. zostało utrzymane w mocy tymczasowo – nie dłużej niż przez 12 miesięcy od wejścia w życie tegorocznej nowelizacji. Rozwiązanie to ma zapewnić ciągłość obowiązków zgłoszeniowych na czas prac nad nowymi przepisami. Harmonogram jest też spójny z okresem dostosowawczym dla podmiotów kluczowych i ważnych, które do 3 kwietnia 2027 r. mają wdrożyć niezbędne rozwiązania techniczne i organizacyjne wymagane nową ustawą.
Kary administracyjne
Niedopełnienie obowiązku zgłoszenia incydentu poważnego przez podmiot kluczowy lub podmiot ważny ma skutkować nałożeniem kary pieniężnej. Ustawodawca argumentuje to tym, że incydenty poważne oddziałują nie tylko na sam podmiot, w którym wystąpiły, lecz również na użytkowników jego usług oraz szerzej – na społeczeństwo i gospodarkę.
Informacje zgłaszane do CSIRT sektorowych trafiają też do CSIRT poziomu krajowego, które na bieżąco szacują ryzyko cyberbezpieczeństwa w skali całego państwa.
Patrycja Rapacka
patrycja.rapacka@gramwzielone.pl
© Materiał chroniony prawem autorskim. Wszelkie prawa zastrzeżone. Dalsze rozpowszechnianie artykułu tylko za zgodą wydawcy E-Magazyny Sp. z o.o.
