Włoska lekcja cyberbezpieczeństwa

Zamiast korzystać z doświadczeń innych państw, powielamy błędy zaobserwowane już w nich podczas wdrażania dyrektywy NIS2.

Polska znajduje się w uprzywilejowanej pozycji, mogąc obserwować błędy i wyzwania, z jakimi mierzą się inne kraje, które już wcześniej wdrożyły dyrektywę NIS2. Analiza jej transpozycji we Włoszech pokazuje, że brak precyzyjnych przepisów oraz jasnych wytycznych ze strony ustawodawcy prowadzi do chaosu i wielu praktycznych problemów. Niestety polski projekt nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa (UKSC) powiela szereg błędów włoskiego ustawodawcy.

10 tys. asekurantów

Włochy wdrożyły dyrektywę NIS2 w ramach Dekretu Legislacyjnego nr 138/2024. Rząd włoski szacował, że nowym obowiązkom podlegać będzie około 50 tys. podmiotów. Rzeczywistość okazała się zupełnie inna.

Ponad 30 tys. organizacji zarejestrowało się, deklarując status podmiotu kluczowego lub ważnego. Jednak po weryfikacji okazało się, że status taki posiada jedynie około 20 tys. z nich. Aż 1/3 firm zarejestrowała się niepotrzebnie.

Dlaczego tak się stało? Prawdopodobnymi przyczynami były błędna klasyfikacja wielkości podmiotu oraz niewłaściwa identyfikacja sektora działalności (szczególnie w usługach cyfrowych).

Wystąpił zatem klasyczny efekt mrożący – gdy przepisy są niejasne, a kary wysokie (we Włoszech za brak rejestracji przewidziano karę w wysokości 0,1 proc. lub 0,07 proc. obrotu), zarządy firm wolą „dmuchać na zimne” i zarejestrować...