Czy Polska zostaje w tyle? - status implementacji dyrektywy NIS 2 w Polsce i Europie

Transpozycja NIS 2 w Polsce

Zgodnie z obecnymi, wczesnymi szacunkami NIS 2 obejmie zakresem kilkanaście tysięcy podmiotów w Polsce (18 sektorów). Skala implementacji będzie zatem znacząca. Dostępne modele wdrożenia dyrektywy uwarunkowane są sposobem transpozycji poprzednio obowiązującej dyrektywy NIS. Funkcjonowanie w obrocie prawnym polskiej ustawy o krajowym systemie cyberbezpieczeństwa z 13 sierpnia 2018 r. sprawia, że akt prawny transponujący NIS 2 będzie musiał ustawę tę zmienić, lub uchylić zastępując ją całkowicie nową regulacją. Obecne cele w ramach Krajowego Planu Odbudowy (KPO) nie uwzględniają wdrożenia dyrektywy NIS 2, które powinno być traktowane priorytetowo. Przykładowo przygotowana rewizja KPO w reformie C3.1. wskazuje na wdrożenie dyrektywy NIS 1, jednak pomija kwestię NIS 2.

Ze względu na skalę zmian wynikających z NIS 2 jedynym racjonalnym rozwiązaniem jest przyjęcie nowej ustawy transponującej przepisy europejskie. Proces legislacyjny będzie bez wątpienia czasochłonny, mając na uwadze, że NIS 2 istotnie rozszerza liczbę sektorów objętych wymogami w zakresie cyberbezpieczeństwa. Koszty wdrożenia nowych przepisów, dla podmiotów nie objętych wcześniej dyrektywą NIS będą znacznie wyższe niż dla tych podmiotów, które miały czas wdrożyć poprzednio obowiązujące wymogi. W tym kontekście, konieczne są szerokie konsultacje sektorowe. Ryzyka dotyczące bezpieczeństwa różnią się diametralnie w zależności od tego, czy mówimy o sektorze energetycznym, finansowym, czy np. wytwórczym. Ustawodawca zdecydowanie powinien uwzględniać te różnice w procesie legislacyjnym. Na takie rozróżnienie wskazuje sama dyrektywa NIS 2.

Warto pamiętać, że NIS 2 nie stanowi tylko aktualizacji dyrektywy NIS. Wraz z transpozycją dyrektywy do porządku krajowego nastąpią bardzo duże zmiany w zakresie obowiązków przewidzianych przez prawo. W szczególności zmiany dotyczą podejścia do zarzadzania ryzykiem, gdzie w NIS nie było ono szeroko omówione, zaś w NIS 2 przedstawiono rozbudowany katalog wymogów w tym zakresie w art. 21 NIS 2.

Również wielkość podmiotu, w zakresie wyznaczonych przez NIS 2 obowiązków będzie miała szczególne znaczenie w praktyce krajowej. Pomiędzy dużymi firmami, a SME występują ogromne różnice w dojrzałości w zakresie cyberbezpieczeństwa. Konieczne jest więc takie zaprojektowanie krajowych przepisów, które pozwolą tym średnim podmiotom zrealizować wymogi stawiane przez nadchodzące zmiany w prawie. SME różnią się od dużych podmiotów nie tylko dojrzałością, ale przede wszystkim dostępnymi zasobami. Niektóre wymogi, szczególnie w nowych sektorach, mogą być niemożliwe do zrealizowania jeszcze przez jakiś czas. Dojrzałość w zakresie cyberbezpieczeństwa wymaga czasu.

Warto zatem wykorzystać szansę, na stworzenie krajowej regulacji, która realnie podniesie ogólny poziom cyberbezpieczeństwa, a nie stworzy wymogi, których część podmiotów nie będzie w stanie zrealizować. Podobne wnioski nasuwają się po analizie projektów transpozycji NIS 2 w innych państwach członkowskich.

Transpozycja NIS 2 w innych państwach UE

Zgodnie z publicznie dostępnymi informacjami, wyłącznie na Węgrzech przyjęto akt prawny bezpośrednio nawiązujący do NIS 2 [1]. Nie jest to jednak pełna implementacja dyrektywy. Pozostałe kraje pozostają na razie w fazie projektów, na różnych szczeblach administracji państwowej. Oficjalnego tekstu transpozycji NIS 2 nie przedstawiły także takie państwa jak m.in. Francja, Szwecja, Bułgaria, Irlandia, Estonia, czy Słowenia. W pozostałych państwach sprawa również nie jest prosta. Fakt złożenia projektu aktu, który w założeniach stanowić ma transpozycję dyrektywy, nie oznacza jeszcze, że w momencie przyjęcia go, transpozycja NIS 2 zostanie zakończona. Konieczna w tym celu jest szczegółowa analiza postanowień danego aktu prawnego. Przykładowo Łotwa, pomimo zgłoszenia projektu nowelizującego szereg ustaw dotyczących bezpieczeństwa ICT i telekomunikacji, dokona w ten sposób tylko częściowej transpozycji NIS 2 [2]. Dobrym przykładem jest również Portugalia, która na ten moment przedstawiła jedynie projekt zmian obowiązujących jedynie sektor administracji publicznej [3].

Widać zatem, że Polska pomimo braku oficjalnego projektu nie pozostaje wcale w tyle za pozostałymi państwami UE, jeśli chodzi o transpozycję NIS 2. Jednak we wszystkich analizowanych krajach prowadzone są, lub będą szerokie konsultacje społeczne, co powinno stanowić wyznacznik standardu również dla polskiego ustawodawcy. Niektóre kraje zaś proponują podejście sektorowe, co również może stanowić dla Polski inspirację w nadchodzącym procesie transpozycji.