RODO to pikuś. Unia bez rozgłosu wprowadziła kolejne prawo, za które polskie firmy słono zapłacą
Zamieszanie w związku z RODO jeszcze nie opadło, a na polskie firmy spadają właśnie kolejne unijne regulacje. Wczoraj weszła w życie ustawa o krajowym systemie cyberbezpieczeństwa. Jeżeli przedsiębiorstwa się zagapią, czekają je wysokie kary finansowe.
Młodsza córka RODO
W cieniu RODO w życie weszła jednak kolejna regulacja, nazwana zresztą przez Dziennik Gazetę Prawną, „młodszą córką RODO”. O co chodzi? W 2016 roku Unia Europejska uchwaliła dyrektywę NIS w sprawie środków na rzecz wysokiego wspólnego poziomu bezpieczeństwa sieci i systemów informatycznych. 28 sierpnia do polskiego prawodawstwa jej zapisy wprowadziła natomiast ustawa o krajowym systemie cyberbezpieczeństwa.
O nowym prawie jest cicho, bo kary nie są tak spektakularne, jak w przypadku RODO. Co nie oznacza, że nie mogą okazać się dotkliwe dla polskich firm.
Kto musi wdrożyć NIS?
Ustawa ma nieco węższy zakres niż RODO. Podpadają pod nią firmy co najmniej średniej wielkości, które zostaną uznane za „operatorów usług kluczowych”. Na swojej stronie internetowej Ministerstwo Cyfryzacji pisze w ich kontekście o firmach m.in. z sektora energetycznego, transportowego, zdrowotnego i bankowego. Do tego dochodzą również dostawcy usług internetowych, czyli np. platformy handlowe, wyszukiwarki internetowe czy firmy zajmujące się przetrzymywaniem danych w chmurze.
O tym, kto konkretnie znajdzie się w katalogu zadecyduje jednak resort cyfryzacji za pomocą decyzji administracyjnej.
– Wiele podmiotów może być zaskoczonych otrzymaniem decyzji o uznaniu za operatora usługi kluczowej – opowiada DGP dr Marek Porzeżyński, ekspert ds. cyberbezpieczeństwa w kancelarii WKB Wierciński, Kwieciński, Baehr.
NIS - wymogi
Firmy wskazane przez ministerstwo będą musiały monitorować swoje systemy i sprawdzać, czy nie dochodzi do prób ataków. Muszą również opracować procedury, stosowane w przypadku zagrożenia wyciekiem informacji. Za kontakt w tej sprawie z urzędnikami odpowiedzialna powinna być konkretna osoba. Jeżeli firma takowej nie wskaże już na wstępie naraża się na karę do 15 tys. złotych.
Ale to nie wszystko. Raz na dwa lata wyznaczeni przez ministerstwo przedsiębiorcy będą musieli przeprowadzić audyt bezpieczeństwa. Resort szacuje jego koszt na 50 tys. złotych.