Cyberbezpieczeństwo: obowiązki podmiotów kluczowych i ważnych

Nowe przepisy z zakresu cyberbezpieczeństwa znacząco rozszerzają katalog obowiązków podmiotów kluczowych i ważnych. Po uzyskaniu wpisu do właściwego wykazu, zaczyna się faktyczny etap przygotowań do ich wdrożenia.

Podmioty, które dokonały samoidentyfikacji oraz dopełniły formalności związanych z wpisem do wykazu podmiotów kluczowych i ważnych, wejdą w zasadniczy etap –wdrażania pozostałych obowiązków wynikających z nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa, wdrażającej NIS2 i Toolbox 5G. Moment wpisu do wskazanego wykazu zamyka fazę formalną i jednocześnie otwiera etap praktycznych działań organizacyjnych, technicznych i prawnych, ukierunkowanych na podniesienie poziomu cyberbezpieczeństwa w przedsiębiorstwie. Choć działania te mogą być podejmowane jeszcze przed złożeniem wniosku lub równolegle z procedurą wpisu, ustawodawca wyraźnie rozdzielił terminy na wykonanie poszczególnych obowiązków.

Przepisy przewidują bowiem odrębny termin dla złożenia wniosku o wpis do wykazu podmiotów kluczowych i ważnych (6 miesięcy) oraz dla wypełnienia reszty obowiązków (12 miesięcy, a w przypadku pierwszego audytu 24 miesiące). Oznacza to, że pierwsze terminy będą upływać odpowiednio 3 października 2026 r., następnie 3 kwietnia 2027 r. i 3 kwietnia 2028 r. Brak terminowego złożenia wniosku o wpis nie zwalnia podmiotów kluczowych i ważnych z wdrożenia nowych obowiązków. Podmioty te mogą zostać pociągnięte do odpowiedzialności zarówno z powodu braku wpisu – i jednocześnie zostać wpisane do wykazu z urzędu - jak również niedochowania...