Część 1. Odpowiedzialność, nowe zasady kwalifikacji, rejestracja w nowym KSC, SZBI – pełne wdrożenie czy wersja uproszczona?

Celem dyrektywy NIS 2 jest zapewnienie wysokiego poziomu cyberbezpieczeństwa na terytorium całej Unii Europejskiej. Od tego momentu cyberbezpieczeństwo przestaje być wyłącznym problemem informatyków, staje się realną odpowiedzialnością prezydentów miast, starostów, burmistrzów i wójtów.

Cyfrowa transformacja JST w świetle dyrektywy NIS 2 i nowej odpowiedzialności prawnej

Dziś sprawnie działający samorząd to samorząd cyfrowy. Każdego roku coraz większa liczba jednostek samorządu terytorialnego poszerza katalog e-usług, przenosząc wiele kluczowych procesów do sieci oraz cyfryzując obieg dokumentów. Tak szybko postępująca transformacja cyfrowa, podyktowana rosnącym uzależnieniem społeczeństwa od sieci i systemów informatycznych, sprawiła, iż stały się one ważnym elementem codziennego życia. Wygoda ta generuje jednak wiele problemów. Cyberzagrożenia nieustannie ewoluują, o czym świadczą nowe metody ataków czy też nowoczesne sposoby włamań do systemów informatycznych. Skala, liczba i częstotliwość takich ataków, a w szczególności ich poziom zaawansowania oraz lawinowy wzrost, stanowią bardzo poważne zagrożenie dla funkcjonowania państwa i gospodarki. Administracja samorządowa, dysponująca ogromnymi bazami danych osobowych i nadzorująca infrastrukturę publiczną, stała się dla cyberprzestępców niezwykle atrakcyjnym celem, o czym świadczą coraz częstsze paraliżujące ataki z użyciem oprogramowania wymuszającego okup.

W obliczu wskazanych wyzwań prawodawca unijny powiedział stanowcze „dość” dobrowolnemu i nieskoordynowanemu podejściu do cyfrowego bezpieczeństwa. W odpowiedzi na szereg skomplikowanych zagrożeń uchwalono Dyrektywę Parlamentu Europejskiego i Rady (UE) 2022/2555, znaną powszechnie jako Dyrektywa NIS 2. Dyrektywę, której nadrzędnym celem jest zniwelowanie rozbieżności między państwami i zapewnienie wysokiego, wspólnego poziomu cyberbezpieczeństwa na całym terytorium Unii Europejskiej. Na polskim gruncie przepisy tej dyrektywy są rygorystycznie wdrażane poprzez gruntowną, lekko opóźnioną już we wdrażaniu, nowelizację Ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (dalej: uksc.).

Ustawa ta stanowi prawdziwą rewolucję organizacyjną i prawną w stosunku do jednostek samorządu terytorialnego. Od tego momentu cyberbezpieczeństwo przestaje być wyłącznym problemem informatyków z lokalnego działu IT, a staje się realnym problemem rezydentów miast, starostów, burmistrzów i wójtów. Nowe regulacje nie pozostawiają w tej kwestii żadnych złudzeń. Zgodnie z art. 20 Dyrektywy NIS 2 organy zarządzające podmiotów objętych ustawą muszą zatwierdzać środki zarządzania ryzykiem w cyberbezpieczeństwie i mogą zostać pociągnięte do odpowiedzialności za ich naruszanie. Ten unijny przepis znalazł swoje oczywiste odzwierciedlenie w polskim prawie, gdyż – jak stanowi art. 8c znowelizowanej Ustawy o krajowym systemie cyberbezpieczeństwa – to kierownik podmiotu publicznego ponosi odpowiedzialność za wykonywanie obowiązków w zakresie cyberbezpieczeństwa przez podmiot, którym kieruje. I co najważniejsze, ustawodawca wskazuje wprost, że odpowiedzialność ta obowiązuje nawet wtedy, gdy obowiązki te powierzono innym osobom w organizacji.

Od tej chwili na włodarzach jednostek samorządu terytorialnego ciąży obowiązek podejmowania kluczowych decyzji, m.in. w zakresie przygotowania i wdrożenia Systemu Zarządzania Bezpieczeństwem Informacji, przydzielenia personelowi stosownych zadań czy planowania adekwatnych środków finansowych na realizację obowiązków z zakresu cyberbezpieczeństwa.

Nowe zasady kwalifikacji JST. Kiedy urząd i spółka komunalna stają się podmiotem kluczowym?

Nowelizacja Ustawy o krajowym systemie cyberbezpieczeństwa