EY oznacza globalną organizację i może odnosić się do jednej lub więcej firm członkowskich Ernst & Young Global Limited, z których każda stanowi odrębny podmiot prawny. Ernst & Young Global Limited, brytyjska spółka z ograniczoną odpowiedzialnością, nie świadczy usług na rzecz klientów.
Jak EY może pomóc
-
Istotność bezpieczeństwa infrastruktury krytycznej rośnie wraz ze wzrostem zagrożeń atakami hybrydowymi i terrorystycznymi. Jak zapewnić ochronę infrastruktury krytycznej i zgodność z ustawą o zarządzaniu kryzysowym?
Przeczytaj więcej -
Zapewnij ochronę sygnalistów zgodnie z prawem. Wdrożenie kanałów zgłaszania, ochrony i procedur. Skontaktuj się z nami, aby dowiedzieć się więcej o whistleblowing!
Przeczytaj więcej -
Dowiedz się jak EY Virtual Compliance Officer może wesprzeć pracę działu compliance w Twojej organizacji.
Przeczytaj więcej -
Etyka i compliance to fundamenty zdrowych relacji biznesowych. Poznaj nasze rozwiązania wspierające zarządzanie zgodnością i budowanie etycznej kultury organizacyjnej.
Przeczytaj więcej
Po przyjęciu projektu nowelizacji Ustawy o Zarządzaniu Kryzysowym (UZK) przez Sejm, swoje prace nad projektem przeprowadził Senat.
Nowelizacja Ustawy o Zarządzaniu Kryzysowym ma na celu implementację Dyrektywy Unii Europejskiej dotyczącej odporności podmiotów kluczowych (Dyrektywa CER). Celem jest zapewnienie ciągłości kluczowych usług niezbędnych dla podstawowych funkcji społecznych i działalności gospodarczej w Unii Europejskiej. Państwa członkowskie miały czas na dostosowanie swoich przepisów krajowych do wymagań CER do 17 października 2024 roku.
O pracach i zmianach wprowadzonych w poprzednim kroku procesu legislacyjnego w Sejmie pisaliśmy tutaj. W ramach swoich prac Senat skierował projekt do rozpatrzenia przez Komisję Samorządu Terytorialnego i Administracji Państwowej. Ta zaproponowała kilka poprawek o charakterze legislacyjnym i redakcyjnym. 21 maja Senat podjął uchwałę o przyjęciu tych poprawek.
W konsekwencji projekt wrócił do Sejmu celem przegłosowania poprawek przyjętych przez Senat. 22 maja dokument trafił do Sejmowej Komisji Administracji i Spraw Wewnętrznych. Jeśli Sejm przyjmie poprawki Senatu, projekt UZK trafi do podpisu prezydenta.
Poniżej przypominamy główne założenia projektu nowelizacji UZK:
1. Wprowadzenie kategorii Operatora Infrastruktury Krytycznej (dalej „OIK”) oraz Podmiotu Krytycznego (dalej „PK”). Status Podmiotu Krytycznego uzyskuje OIK, który świadczy usługę kluczową. O uzyskaniu statusu OIK/PK podmioty zostaną zawiadomione przez odpowiednie organy.
2. Wprowadzane rozwiązania powinny być adekwatne do systematycznie przeprowadzanej Analizy zagrożeń (OIK) i Oceny ryzyka (PK).
3. Obowiązek zapewnienia ochrony infrastruktury krytycznej (OIK) / wdrożenia zintegrowanego systemu zarządzania bezpieczeństwem świadczenia usługi kluczowej (PK) poprzez zastosowanie rozwiązań w obszarach:
- bezpieczeństwa fizycznego,
- bezpieczeństwa technicznego,
- bezpieczeństwa osobowego,
- cyberbezpieczeństwa,
- bezpieczeństwa prawnego,
- ciągłości działania i odtwarzania,
- ochrony informacji niejawnych,
- polityk zarządzania ryzykiem,
- szkoleń i ćwiczeń personelu oraz testów ciągłości działania,
- certyfikacji.
W ramach ostatnich prac w Sejmie dodano rozdział nakładający na PK obowiązki z zakresu zapewnienia bezpieczeństwa łańcucha dostaw w kontekście dostawców krytycznych.
4. Obowiązek sporządzania w terminie do dnia 31 marca każdego roku raportu o stanie ochrony infrastruktury krytycznej za rok ubiegły (OIK). W ramach prac sejmowych doprecyzowano, że pierwszy raport o stanie infrastruktury krytycznej operatorzy będą zobowiązani sporządzić za 2027 rok.
5. Obowiązek przeprowadzania audytów systemu zarządzania bezpieczeństwem świadczenia usługi kluczowej (PK).
6. Utrzymywanie odpowiedniej dokumentacji, której zakres i wymogi określa ustawa.
7. Wyznaczenie urzędników łącznikowych w terminie 30 dni od dnia otrzymania informacji o ujęciu w odpowiednim wykazie:
- koordynatora ochrony infrastruktury krytycznej oraz jego zastępcy w celu realizacji zadań operatora infrastruktury krytycznej,
- pełnomocnika bezpieczeństwa usługi kluczowej oraz jego zastępcy w celu realizacji zadań podmiotu krytycznego.
8. Obowiązki z zakresu zgłaszania i zarządzania incydentami.
9. Obowiązki z zakresu współpracy i wymiany informacji.
Poza nowelizacją UZK wraz z załącznikiem dotyczącym sektorów objętych ustawą, system ochrony infrastruktury krytycznej oraz zapewnienia ciągłości świadczenia usługi kluczowej uzupełnią akty wykonawcze uchwalone przez Radę Ministrów. Rozporządzenia te obejmą m.in. Minimalne wymagania w zakresie bezpieczeństwa fizycznego, technicznego, osobowego, cyberbezpieczeństwa, prawnego oraz ciągłości działania infrastruktury krytycznej pełniące rolę wytycznych przy wdrażaniu rozwiązań z zakresu zapewnienia ochrony infrastruktury krytycznej czy Wykaz norm, które PK uwzględnia przy wdrażaniu rozwiązań organizacyjno-technicznych.
O dalszych aktualizacjach będziemy Państwa informować na bieżąco.