Ustawa o KSC dzieli firmy objęte regulacją na dwie kategorie: podmioty kluczowe i podmioty ważne. Obie mają obowiązki — różnica dotyczy przede wszystkim intensywności nadzoru i sankcji.
Kto jest kluczowy, a kto ważny?
- Podmiot kluczowy — najczęściej duże firmy z sektorów o wysokiej krytyczności (załącznik nr 1), a także wybrane kategorie szczególne niezależnie od wielkości.
- Podmiot ważny — najczęściej średnie firmy oraz podmioty z sektorów z załącznika nr 2.
Czym różnią się obowiązki?
Zakres podstawowych obowiązków jest podobny dla obu kategorii:
- wpis do wykazu podmiotów,
- system zarządzania bezpieczeństwem informacji (środki adekwatne do ryzyka),
- zgłaszanie poważnych incydentów do CSIRT,
- szkolenia i odpowiedzialność kierownictwa.
Różnica jest głównie w nadzorze: podmioty kluczowe podlegają bardziej rygorystycznemu, z góry zaplanowanemu nadzorowi; podmioty ważne — nadzorowi następczemu (reaktywnemu). To przekłada się też na maksymalny wymiar kar.
Dlaczego to ważne dla Ciebie?
Kategoria wyznacza, jak dużo formalności Cię czeka i jak wysokie jest ryzyko sankcji. Zacznij od ustalenia, którą kategorią jest Twoja firma.
Treść ma charakter informacyjny i edukacyjny — nie stanowi porady prawnej. Przy wyniku granicznym skonsultuj się z radcą prawnym lub adwokatem.