Projekt ustawy o Krajowym Systemie Cyberbezpieczeństwa. Takie mają być jego założenia

Wzmocnienie ochrony obywateli, firm oraz instytucji przed ewentualnymi atakami w cyberprzestrzeni stanowi główny cel powstającej ustawy o Krajowym Systemie Cyberbezpieczeństwa.

W zakresie bezpiecznego korzystania z sieci Polska ma sporo do zrobienia dla swoich obywateli. Aż 66 procent ankietowanych wskazało zagrożenia cyberatakami jako największe zagrożenie - tak wynika z badania, przeprowadzonego przez SonicWall. Przedstawiciele Konfederacji Lewiatan wskazują natomiast: - W związku ze stałym wzrostem liczby aktywnych cyberataków i integralną rolą infrastruktury cyfrowej w nowoczesnych systemach obronnych, istnieje pilna potrzeba koordynacji i zwiększonych inwestycji w cyberbezpieczeństwo i infrastrukturę.

Biorąc pod uwagę, że prywatni dostawcy znajdują się na czele ochrony infrastruktury krytycznej, konieczne są bliskie partnerstwa publiczno-prywatne, szkolenia i współpraca operacyjna w celu zharmonizowania działań i wzmocnienia wzajemnej obrony cybernetycznej.

Nasze bezpieczeństwo w internecie (czy w chmurze) ma się poprawić. Rząd przygotowuje bowiem nowe przepisy w tym zakresie. Obecna ustawa o Krajowym Systemie Cyberbezpieczeństwa obowiązuje do sierpnia 2018 roku, lecz w ciągu sześciu lat internet i technologia mocno się zmieniły, więc tamte przepisy muszą zostać dopasowane do dzisiejszego wirtualnego świata i zagwarantować rozwiązania dotyczące eliminacji zagrożeń z nim związanych. W kwietniu 2024 roku rząd zaprezentował projekt ustawy o zmianie ustawy o Krajowym Systemie Cyberbezpieczeństwa oraz niektórych innych ustaw. Obecnie tenże projekt znajduje się w fazie opiniowania. Nowe regulacje mają zostać przyjęte jeszcze w tym roku.

- Jesteśmy zdeterminowani, aby wprowadzić nowe prawo szybko, ale zachowując odpowiedni okres dla przedsiębiorców do dostosowania się do regulacji - mówił Krzysztof Gawkowski, wicepremier, minister cyfryzacji, podczas prezentacji projektu ustawy.

Firmy będą miały pół roku, licząc od dnia wejścia w życie nowego prawa, na wdrożenie u siebie nowych przepisów.

Nowości będą generalnie dotyczyły dużych (zatrudniających 250 lub więcej pracowników) i średnich przedsiębiorstw (w których pracuje maksymalnie 249 osób) oraz firm, które są mniejsze, ale np. świadczą usługi z zakresu komunikacji elektronicznej. Zmiany dotkną przede wszystkim dostawców usług cyfrowych i podmiotów administracji publicznej, które są objęte przepisami obecnej ustawy o Krajowym Systemie Cyberbezpieczeństwa. Chodzi m.in. o lepsze zabezpieczenie systemów teleinformatycznych służących do świadczenia np. usług bankowych, sektora energetycznego, branży transportowej i służby zdrowia, zaopatrzenia w wodę pitną, ale też obejmą m.in. administrację publiczną oraz producentów żywności.

Operatorzy usług kluczowych to firmy i instytucje prowadzące usługi ważne z punktu widzenia konsumentów i gospodarki. Ci operatorzy, w ramach tzw. wczesnego ostrzegania o incydentach, będą zobowiązani do wdrożenia zabezpieczeń, oceny wystąpienia ryzyka związanego z cyberbezpieczeństwem oraz zgłaszania poważnych zdarzeń w ciągu 24 godzin od momentu ich wykrycia do Zespołu Reagowania na Incydenty Bezpieczeństwa Komputerowego CSIRT GOV (Zespół ten jest kierowany przez Szefa Agencji Bezpieczeństwa Wewnętrznego). Jeżeli będzie to firma telekomunikacyjna, która zauważy coś podejrzanego, będzie miała 12 godzin od momentu wykrycia incydentu na powiadomienie Zespołu. Z każdego zgłoszenia zostanie sporządzone sprawozdanie.

CSIRT tzw. sektorowy będzie przekazywał wczesne ostrzeżenia oraz zgłoszenia nie później niż osiem godzin od jego otrzymania, do właściwego CSIRT Ministerstwa Obrony Narodowej, CSIRT NASK albo CSIRT GOV. Z ich poziomu natomiast, w skrócie mówiąc, będzie rozpoznawany i rozwiązywany problem.