Podpisana przez Prezydenta. Czy to czas na dostosowanie się do ustawy implementujące NIS2?

W końcu uruchomiłem swoją stronę internetową! Na razie znajdziecie tam przegląd moich usług i produktów, zapisy do newslettera oraz możliwość umówienia się przez Calendly. Jest też platforma blogowa, którą będę z pewnością rozwijał. Zachęcam do przejrzenia.

Z felietonu dowiesz się:

- na jakim etapie znajduje się obecnie ustawa o krajowym systemie cyberbezpieczeństwa wdrażająca NIS2,

- jakie terminy będą nas obowiązywały,

- dlaczego należy zacząć od samooceny i czy trzeba ją udokumentować.

Gotowi? To zaczynamy!

Droga do wdrożenia NIS2 w Polsce była wyboista. Szczęśliwie dobrnęliśmy (prawie) do końca, bo choć Prezydent przekazał ustawę do Trybunału Konstytucyjnego w ramach kontroli następczej, to faktem jest, że po publikacji ustawy w Dzienniku Urzędowym zaczynamy walkę z czasem. Czy jest go dużo? To rzecz jasna zależy.

Nie będę się dzisiaj skupiał na tym czego od nas wymaga ustawa, bo to już robiłem w poprzednich wpisach (choć jeszcze będziemy do tego wracać), ale skupimy się na realnych scenariuszach i spróbujemy sobie coś zaplanować.

Zacznijmy od tego, że ustawa przewiduje tzw. SAMOOCENĘ, a więc wymaga od POTENCJALNYCH adresatów, aby Ci zweryfikowali czy rzeczywiście będą musieli zrobić coś więcej. I tutaj ważna uwaga - jeżeli jesteśmy operatorem usługi kluczowej (np. bankiem) w rozumieniu zmienianej (nie zastępowanej!) ustawy, to stajemy się podmiotem kluczowym (to te o wyższych wymaganiach) niejako z automatu [art. 22].

Sama ustawa wejdzie w życie po upływie miesiąca od chwili publikacji (ogłoszenia). Załóżmy więc, że publikacja nastąpi 5 marca. Od tego momentu będziemy liczyli miesiąc na wejście w życie. Ustawa może więc "zacząć obowiązywać" od 5 kwietnia. Czy to jednak oznacza, że już musimy się dostosować?

Rzecz jasna - nie ✋🏻.

Niestety, poruszanie się po ustawie nie należy do najłatwiejszych zadań. Musimy krążyć po przepisach, żeby stworzyć sobie pewien plan. Zacznijmy więc od tego co powinno być pierwszym krokiem, czyli dokonanie samooceny i wypełnienie formalności z tym związanych.

No dobra, to zacznijmy od [art. 7c]. Ten zobowiązuje podmiot kluczowy lub ważny do złożenia wniosku o wpis do wykazu (takiego rejestru prowadzonego przez ministra ds. informatyzacji) w terminie 6 MIESIĘCY od chwili spełnienia przesłanek do uznania ich za ten podmiot. Co to oznacza?

Cóż, spełnienie przesłanek odnosi się zarówno do kryteriów ilościowych (finansowych, liczba zatrudnionych osób) oraz jakościowych (określony przedmiot działalności). I tu pojawia się pierwszy "zgrzyt" jak ustalić te moment i czy da się pogodzić te kryteria?

Można przyjąć, że „posiadanie” zatwierdzonego sprawozdania finansowego wykazującego spełnienie kryteriów „finansowych” może być wystarczające, ale co w przypadku przedmiotu działalności? Czy wskazanie w PKD określonej działalności wypełnia już tę przesłankę? A może potrzeba posiadania stosownego zezwolenia lub licencji. Na marginesie zostawiamy przypadek wydania decyzji „uznającej” podmiot za ważny lub kluczowy, choć te przypadki chyba też nie będą wcale rzadkie.

Sprawa jest dość niejednoznaczna, ale spróbujmy to rozstrzygnąć.

Wszystko zależy od tego jak skonstruowany jest zapis w załączniku. Spójrzmy na przykład:

Pierwszy odnosi się do (faktycznego) prowadzenia działalności w danym zakresie. W drugim mówimy o fakcie posiadania koncesji. To sprowadza nas do stwierdzenia, że taki podmiot [opcja druga] nie musi prowadzić działalności. Wystarczy sam fakt, że jesteśmy do tego uprawnieni.

Idźmy dalej:

Tu musimy zwrócić uwagę, że choć w załączniku mowa o „podmiocie” (dostawcy) bez wymogu prowadzenia działalności, to sięgając do definicji [słowniczek ustawy] widzimy wyraźnie, że warunkiem jest świadczenie usług – znowu więc mówimy o kwestii faktycznego wykonywania działalności, a nie hipotetycznej sytuacji, która nie znajduje odzwierciedlenia w działalności operacyjnej.

Możemy więc powiedzieć, że samo wpisanie działalności w PKD nie jest wystarczające, abyśmy uznali, że dany podmiot jest adresatem ustawy. Nie jest też konieczne, abyśmy „zawieszali” działalność, aby z tej przesłanki się „zwolnić”. Oczywiście sytuacja, w której podmiot nie prowadzi działalności, bo zawiesił działalność, o ile prawo dopuszcza taką możliwość, z pewnością wzmacnia argumentację.

Pojawia się jednak pytanie jak wykazać fakt, że działalności faktycznie nie prowadzimy. Czy wystarczy brak przychodów z danej kategorii działalności? To akurat dość istotne w kontekście działalności hybrydowej, bo przecież może być tak, że PKD swoje (a na przyszłość) a realia rynkowe swoje. Czy w takiej sytuacji faktycznie nie prowadzimy działalności?

Nie można jednak wykluczyć, że w tym zakresie pojawia się odmienne interpretacje, więc warto w tym zakresie zachować ostrożność i pamiętać o konieczności uzasadnienia i udokumentowania tego faktu. No bo co w przypadku, gdyby właściwy organ zażądał wykazania argumentów „na naszą obronę”?

Dla uproszczenia przyjmijmy, że tak jest. No więc co my musimy zrobić?

Podmiot kluczowy lub podmiot ważny ma obowiązek złożenia wniosku o wpis do wykazu w terminie 6 miesięcy od dnia spełnienia przesłanek uznania za podmiot kluczowy lub podmiot ważny. To wymusza więc na nas zrealizowanie samooceny w terminie de facto do 7 miesięcy od publikacji ustawy, ale…

… minister od informatyzacji ma jeszcze ogłosić w swoim dzienniku urzędowym harmonogram składania wniosków. I ten harmonogram może wyglądać nieco inaczej (szczegóły w art. 34 ustawy) – terminy na wydanie harmonogramu są rzecz jasna krótsze.

No, ale czekanie do końca jest dość ryzykowne, bo dochodzimy do kolejnego terminu – tego, o którym mowa w art. 33 – na realizację obowiązków z rozdziału 3, czyli m.in. systemu zarządzania bezpieczeństwem informacji. I tu zaczyna się zabawa. To 12 miesięcy (z pewnymi wyłączeniami).

Te 12 miesięcy powinno zapewnić nam solidne przygotowanie normatywne i operacyjne w zakresie bezpieczeństwa informacji i umożliwić wykazanie się zgodnością. Jest to więc właściwy moment, aby poważnie zacząć myśleć o #compliance. Wprawdzie pojawia się jeszcze kwestia moratorium (odroczenia) kar, ale nie warto na tym polegać.

Poza tym żadna kara nie jest w stanie równać się ze skutkami utraty reputacji i zaufania klientów. A przecież o to właśnie w NIS2 również chodzi – utrzymanie zaufania.

Jeżeli więc dzisiaj zastanawiacie się czy jesteście adresatami ustawy, to warto poszukać wsparcia lub samodzielnie dokonać weryfikacji. Ale nawet jeżeli wyjdzie nam z badania, że nie musimy się przejmować NIS2, to czy powinniśmy tę materię zignorować?

Oczywiście, że nie... ale to temat na inne "spotkanie".