Nowelizacja polskiej ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC), implementująca unijną dyrektywę NIS2, drastycznie zmienia podejście do egzekwowania prawa w obszarze IT i OT. Przepisy przestają być wyłącznie zbiorem ogólnych wytycznych, a stają się twardym wymogiem obwarowanym rygorystycznymi sankcjami. Dla firm z sektora B2B, które znalazły się w zasięgu nowych regulacji, oznacza to konieczność przygotowania się na bezpośrednie, wnikliwe interwencje organów państwowych.
W poniższym artykule przeanalizujemy, jak w świetle znowelizowanych przepisów wygląda proces kontroli cyberbezpieczeństwa, jakimi uprawnieniami dysponują inspektorzy oraz z jakimi karami finansowymi muszą liczyć się organizacje, które zaniedbają wdrożenie odpowiednich środków organizacyjno-technicznych.
Zmiana paradygmatu nadzoru: Od rekomendacji do twardej egzekucji
Dotychczasowe regulacje z 2018 roku często opierały się na zaufaniu i wyrywkowych działaniach nadzorczych, przez co wiele firm operowało poniżej radaru regulatora. Nowe KSC wprowadza ustrukturyzowany, agresywniejszy reżim nadzorczy, mający na celu realną ochronę rynku wewnętrznego. Organ właściwy do spraw cyberbezpieczeństwa (którym w zależności od sektora może być ministerstwo lub dedykowany urząd) otrzymuje kompetencje pozwalające nie tylko na powierzchowną weryfikację papierowej dokumentacji, ale przede wszystkim na głębokie badanie faktycznego stanu infrastruktury technicznej podmiotu.
Dwa tryby kontroli: Podmioty kluczowe a podmioty ważne
Zgodnie z unijnymi wytycznymi NIS2, przeniesionymi na grunt polskiego prawa, tryb przeprowadzania i inicjowania kontroli zależy od kwalifikacji danej organizacji w ekosystemie KSC:
- Podmioty kluczowe podlegają nadzorowi o charakterze ex-ante (zapobiegawczemu) oraz ex-post (reaktywnemu). Oznacza to, że organ nadzorczy może wszcząć kontrolę w dowolnym momencie, opierając się na rutynowym harmonogramie, bez konieczności zaistnienia incydentu czy zewnętrznej skargi.
- Podmioty ważne objęte są lżejszym reżimem – nadzorem ex-post. Kontrola w ich przypadku zostaje zainicjowana, gdy organ poweźmie uzasadnione podejrzenie naruszenia przepisów ustawy. Wyzwalaczem może być tutaj zgłoszenie poważnego incydentu do CSIRT, skarga sygnalisty, zidentyfikowana publicznie podatność lub informacje przekazane przez inne instytucje nadzorcze.
Należy jednak pamiętać, że niezależnie od przypisanego statusu, każdy podmiot objęty ustawą musi być w permanentnej gotowości do wykazania zgodności (tzw. zasada rozliczalności).
Jakie uprawnienia mają kontrolerzy KSC?
Kiedy w firmie pojawiają się kontrolerzy, ich kompetencje przypominają te, którymi dysponują inspektorzy Urzędu Ochrony Danych Osobowych (UODO), a nierzadko idą o krok dalej w kwestiach czysto technicznych. Zgodnie z przepisami ustawy o KSC, podmioty kontrolujące mają prawo do:
- Swobodnego wstępu do pomieszczeń, obiektów i infrastruktury IT/OT w godzinach pracy kontrolowanego podmiotu (a w sytuacjach krytycznych – nawet poza nimi).
- Żądania pisemnych i ustnych wyjaśnień nie tylko od kadry zarządzającej, ale od każdego pracownika czy podwykonawcy zaangażowanego w utrzymanie systemów informacyjnych.
- Pełnego wglądu do dokumentacji Systemu Zarządzania Bezpieczeństwem Informacji (SZBI), polityk bezpieczeństwa, architektury sieciowej oraz surowych logów systemowych.
- Przeprowadzania fizycznych oględzin sprzętu, nośników danych oraz systemów informatycznych wykorzystywanych do świadczenia usług.
Niezwykle istotnym i ryzykownym finansowo narzędziem w rękach organu nadzorczego jest prawo wydania wiążącego polecenia przeprowadzenia niezależnego, celowanego audytu bezpieczeństwa przez zewnętrznego, wykwalifikowanego audytora. Koszty takiego wymuszonego audytu ponosi w całości kontrolowana firma B2B, co już samo w sobie może stanowić znaczące obciążenie budżetowe.
Kary administracyjne i finansowe – ile realnie grozi za brak compliance?
Samo stwierdzenie naruszenia przez kontrolerów nie musi od razu oznaczać nałożenia maksymalnej kary. Organy dysponują szerokim wachlarzem środków naprawczych. W pierwszej kolejności wydawane są zazwyczaj ostrzeżenia oraz nakazy usunięcia stwierdzonych uchybień w ściśle określonym, nieprzekraczalnym terminie (tzw. wystąpienie pokontrolne). Jeśli jednak organizacja zignoruje zalecenia lub dopuści się rażących zaniedbań, organ sięga po ostateczne narzędzie: administracyjne kary pieniężne.
Sankcje za niedopełnienie obowiązków wynikających z KSC bezpośrednio odzwierciedlają surowość dyrektywy NIS2:
- Dla podmiotów kluczowych maksymalna kara wynosi do 10 milionów euro lub do 2% łącznego, światowego obrotu przedsiębiorstwa w poprzednim roku obrotowym (zastosowanie ma kwota wyższa).
- Dla podmiotów ważnych sankcje mogą sięgnąć do 7 milionów euro lub do 1,4% całkowitego, światowego rocznego obrotu.
Wymierzając karę, organ nadzorczy bierze pod uwagę szereg czynników łagodzących i obciążających. Należą do nich m.in.: czas trwania i powaga naruszenia, skala wyrządzonych szkód w gospodarce lub społeczeństwie, fakt zatajenia incydentu, ewentualne wcześniejsze uchybienia, a także stopień współpracy firmy z kontrolerami. Utrudnianie audytu, ukrywanie dokumentów lub modyfikowanie logów systemowych to najprostsza droga do nałożenia maksymalnego wymiaru kary.
Jak przygotować organizację na wizytę organu nadzorczego?
Pomyślne przejście kontroli organu właściwego ds. cyberbezpieczeństwa opiera się na twardych dowodach. Deklaracje ustne i obietnice poprawy nie mają przed inspektorami żadnej mocy prawnej. Organizacja musi zbudować kulturę rozliczalności.
Przede wszystkim firma powinna zadbać o spójność dokumentacji z rzeczywistością. Papierowe polityki bezpieczeństwa, które nie są egzekwowane w systemach (np. martwe zapisy o rotacji haseł), zostaną natychmiast obnażone podczas weryfikacji technicznej. Ważne jest wdrożenie niezawodnych systemów logowania i monitorowania (np. klasy SIEM), które pozwolą udowodnić inspektorom, że organizacja aktywnie wykrywa anomalie i reaguje na nie zgodnie z procedurą.
Zalecaną praktyką w środowisku B2B jest organizowanie tzw. mock-audits (kontroli próbnych). Pozwalają one na przetestowanie procedur na wypadek wizyty państwowego inspektora, przeszkolenie kluczowego personelu z zakresu udzielania informacji oraz wyznaczenie sztabu kryzysowego (obejmującego CISO oraz radców prawnych), który przejmie komunikację z organem kontrolnym w dniu jego pojawienia się w siedzibie firmy.
Najważniejsze wnioski
- Nowe przepisy KSC przyznają organom nadzorczym kompetencje do głębokiej weryfikacji zarówno dokumentacji, jak i fizycznej infrastruktury technicznej firm.
- Podmioty kluczowe mogą zostać skontrolowane prewencyjnie w dowolnym momencie (ex-ante), natomiast podmioty ważne kontrolowane są najczęściej w następstwie incydentów lub podejrzeń naruszeń (ex-post).
- Sankcje finansowe za naruszenie obowiązków KSC są niezwykle dotkliwe i mogą sięgać od 7 mln EUR (1,4% obrotu) do 10 mln EUR (2% obrotu) w zależności od kategorii podmiotu.
- Wymuszony audyt zewnętrzny zalecony w ramach wiążącego polecenia organu kontrolnego jest w całości finansowany z budżetu kontrolowanej firmy.
- Fundamentem skutecznej obrony przed karami jest posiadanie twardych dowodów cyfrowych (logów, raportów ze skanowań, zapisów z przeglądów uprawnień), udowadniających ciągłe utrzymywanie cyberhigieny.
Treść ma charakter informacyjny i edukacyjny — nie stanowi porady prawnej. Przy wyniku granicznym skonsultuj się z radcą prawnym lub adwokatem.