Bezpieczeństwo w wirtualnej Europie, czyli nowe obowiązki wprowadzone dyrektywą NIS2

Nowe przepisy ustawy o krajowym systemie cyberbezpieczeństwa prawdopodobnie zaczną obowiązywać w 2025 r. Oznacza to, że polskie firmy powinny jak najszybciej podjąć działania dostosowawcze.

W styczniu 2023 r. w życie weszła dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (dalej: dyrektywa NIS2). Unijny prawodawca pokazał tym samym, że nie utracił zainteresowania odnośnie do cyberbezpieczeństwa. Od dnia wejścia w życie dyrektywy NIS2 państwa członkowskie Unii Europejskiej miały 21 miesięcy na implementację jej postanowień do krajowych porządków prawnych. Termin ten upłynął 18 października 2024 r., ale nie został dotrzymany. Projekt nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa (implementującej dyrektywę NIS2) dalej jest procedowany. Jak można przeczytać na stronie https://legislacja.gov.pl/projekt/12384504, projekt trafił 19 grudnia 2024 r. do Komisji ds. europejskich. Z tzw. doniesień medialnych wynika, że projekt ma być przyjęty przez Radę Ministrów do końca 2024 r., a następnie skierowany do prac parlamentarnych, tak aby ustawę uchwalono z początkiem roku 2025.

Zakres podmiotowy

Podstawowa zmiana w porównaniu z obowiązującą wcześniej dyrektywą Parlamentu Europejskiego i Rady (UE) 2016/1148 (dalej: dyrektywa NIS1) dotyczy płaszczyzny podmiotowej. Prawodawca unijny zdecydował się na zastąpienie dotychczasowej grupy podmiotów w postaci: operatorów usług kluczowych, dostawców usług cyfrowych oraz podmiotów publicznych, nowym podziałem na podmioty kluczowe i ważne....