NIS2 i ustawa o krajowym systemie cyberbezpieczeństwa (UKSC)

Nie. Zakres podmiotów objętych przepisami został znacząco rozszerzony. W praktyce regulacja może dotyczyć także wielu przedsiębiorstw prywatnych działających w sektorach produkcyjnych, logistycznych, cyfrowych, spożywczych czy chemicznych, a także w branży IT.

Tak. Co do zasady organizacja samodzielnie dokonuje kwalifikacji swojego statusu oraz rejestracji do wykazu KSC.

Tak. W wielu przypadkach przy ocenie wielkości przedsiębiorstwa należy uwzględnić także podmioty powiązane i partnerskie, co może wpływać na objęcie przepisami UKSC. Istotne może okazać się także wspólne korzystanie z systemów teleinformatycznych w ramach grupy kapitałowej.

Nie. Certyfikacja może wspierać spełnienie części wymagań, jednak nie zastępuje analizy obowiązków wynikających bezpośrednio z UKSC.

Nie. UKSC przewiduje bezpośrednią i osobistą odpowiedzialność kierownictwa za nadzór nad wykonywaniem obowiązków cyberbezpieczeństwa. Zarząd powinien aktywnie uczestniczyć w zarządzaniu ryzykiem oraz nadzorować wdrożenie odpowiednich środków bezpieczeństwa, a także zapewnić alokację dostatecznych środków na wdrożenie zabezpieczeń.

Tak. Część obowiązków może być wykonywana przy wsparciu podmiotów zewnętrznych, jednak odpowiedzialność za zgodność z regulacją pozostaje po stronie przedsiębiorcy.

Nie zawsze. W wielu sektorach sama skala działalności nie ma znaczenia – pomimo marginalnego charakteru prowadzonej działalności dla przedsiębiorstwa, będzie to działalność podlegająca pod UKSC. Przykładowo, przedsiębiorstwo posiadające koncesję na dystrybucję energii lub gazu może podlegać UKSC nawet wtedy, gdy działalność ta odpowiada za mniej niż 1% przychodów spółki lub jest działalnością poboczną względem podstawowego biznesu.

Tak. W odniesieniu do wielu sektorów przepisy UKSC nie rozróżniają działalności głównej i pomocniczej. Jeżeli działalność wskazana w ustawie jest faktycznie wykonywana, może ona stanowić podstawę objęcia organizacji reżimem UKSC, nawet gdy jest pobocznym elementem działalności przedsiębiorstwa.

Tak. Przepisy nie przewidują ogólnego wyłączenia dla usług świadczonych wewnątrz grupy kapitałowej. Jeżeli spółka wykonuje aktywną administrację systemami informacyjnymi, bazami danych, kopiami zapasowymi lub innymi systemami ICT na rzecz innego podmiotu z grupy, może zostać uznana za dostawcę usług zarządzanych objętego UKSC.

Niekoniecznie. Znaczenie może mieć nie tylko faktyczne wykonywanie działalności, ale również posiadane zezwolenia, koncesje lub sposób organizacji działalności. W niektórych przypadkach zaprzestanie wykonywania działalności oraz odpowiednie działania formalne mogą ograniczać ryzyko kwalifikacji, jednak wymaga to indywidualnej analizy.

Co do zasady - nie. Przepisy nie różnicują sytuacji przedsiębiorców świadczących usługi dla konsumentów i dla innych przedsiębiorców. Relacja B2B nie stanowi podstawy wyłączenia z zakresu stosowania UKSC.