Reforma systemu cyberbezpieczeństwa UE. KPRM zaprasza do konsultacji

16 grudnia 2020 r. Komisja Europejska ogłosiła tzw. Pakiet cyberbezpieczeństwa. W jego skład, oprócz nowej Strategii Cyberbezpieczeństwa UE, wchodzi także projekt zmiany dyrektywy NIS, czyli podstawowego unijnego dokumentu regulującego cyberbezpieczeństwo na poziomie europejskim. Jej pełna nazwa to: Dyrektywa Parlamentu Europejskiego i Rady w sprawie środków na rzecz wysokiego wspólnego poziomu bezpieczeństwa sieci i systemów informatycznych na terytorium Unii.

Główne założenia NIS

Ponad dwa lata zbierania doświadczeń, zarówno na poziomie europejskim, jak i krajowym, zweryfikowało wiele założeń i mechanizmów utworzonych na bazie Dyrektywy NIS.

Jedną z kluczowych zmian w dyrektywie NIS jest wprowadzenie nowych sektorów gospodarki, takich jak: administracja publiczna, sektor kosmiczny, usługi pocztowe i kurierskie, zarządzanie odpadami, sektor chemiczny, czy sektor produkcji żywności.

Sektory, a zatem i usługi, zostały podzielone na dwie kategorie: kluczowych i ważnych. Wśród usług kluczowych znalazły się m.in. usługi przetwarzania w chmurze, czy dostawcy treści internetowych, którzy zostaną objęci silniejszym nadzorem oraz będą musieli wdrożyć adekwatne środki bezpieczeństwa, w celu zapewnienia niezakłóconego świadczenia usług. Natomiast podmioty z sektorów ważnych, m.in. producenci żywności, czy dostawcy usług cyfrowych, zostaną zobowiązani przede wszystkim do raportowania incydentów bezpieczeństwa. Co istotne, Komisja Europejska zaproponowała, aby wśród podmiotów objętych regulacją (jako podmioty ważne) znalazły się także platformy społecznościowe.  

Projekt przewiduje wzmocnienie wymogów bezpieczeństwa nakładanych na przedsiębiorstwa - w tym poprzez zapewnienie bezpieczeństwa łańcuchów dostaw - oraz wprowadza bardziej rygorystyczne środki nadzoru, w tym zharmonizowany na poziomie UE system sankcyjny za nieprzestrzeganie obowiązków. 

Objęcie administracji publicznej wymogami dyrektywy NIS2 ma dwa aspekty. Po pierwsze znacznie wzmocni to ich poziom cyberbezpieczeństwa. Z drugiej strony - zapewni bezpieczniejszy dostęp obywateli do świadczonych przez te podmioty usług.