Czy Polska zostaje w tyle? - status implementacji dyrektywy NIS2 w Polsce i Europie

Transpozycja NIS2 w Polsce

Zgodnie z obecnymi, wczesnymi szacunkami NIS2 obejmie zakresem kilkanaście tysięcy podmiotów w Polsce (18 sektorów). Skala implementacji będzie zatem znacząca. Dostępne modele wdrożenia dyrektywy uwarunkowane są sposobem transpozycji poprzednio obowiązującej dyrektywy NIS. Funkcjonowanie w obrocie prawnym polskiej ustawy o krajowym systemie cyberbezpieczeństwa z 13 sierpnia 2018 r. sprawia, że akt prawny transponujący NIS2 będzie musiał ustawę tę zmienić, lub uchylić zastępując ją całkowicie nową regulacją. Obecne cele w ramach Krajowego Planu Odbudowy (KPO) nie uwzględniają wdrożenia dyrektywy NIS2, które powinno być traktowane priorytetowo. Przykładowo przygotowana rewizja KPO w reformie C3.1. wskazuje na wdrożenie dyrektywy NIS1, jednak pomija kwestię NIS2.

Ze względu na skalę zmian wynikających z NIS2 jedynym racjonalnym rozwiązaniem jest przyjęcie nowej ustawy transponującej przepisy europejskie. Proces legislacyjny będzie bez wątpienia czasochłonny, mając na uwadze, że NIS2 istotnie rozszerza liczbę sektorów objętych wymogami w zakresie cyberbezpieczeństwa. Koszty wdrożenia nowych przepisów, dla podmiotów nie objętych wcześniej dyrektywą NIS będą znacznie wyższe niż dla tych podmiotów, które miały czas wdrożyć poprzednio obowiązujące wymogi. W tym kontekście, konieczne są szerokie konsultacje sektorowe. Ryzyka dotyczące bezpieczeństwa różnią się diametralnie w zależności od tego, czy mówimy o sektorze energetycznym, finansowym, czy np. wytwórczym. Ustawodawca zdecydowanie powinien uwzględniać te różnice w procesie legislacyjnym. Na takie rozróżnienie wskazuje sama dyrektywa NIS2.

Warto pamiętać, że NIS2 nie stanowi tylko aktualizacji dyrektywy NIS. Wraz z transpozycją dyrektywy do porządku krajowego nastąpią bardzo duże zmiany w zakresie obowiązków przewidzianych przez prawo. W szczególności zmiany dotyczą podejścia do zarzadzania ryzykiem, gdzie w NIS nie było ono szeroko omówione, zaś w NIS2 przedstawiono rozbudowany katalog wymogów w tym zakresie w art. 21 NIS2.

Również wielkość podmiotu, w zakresie wyznaczonych przez NIS2 obowiązków będzie miała szczególne znaczenie w praktyce krajowej. Pomiędzy dużymi firmami, a SME występują ogromne różnice w dojrzałości w zakresie cyberbezpieczeństwa. Konieczne jest więc takie zaprojektowanie krajowych przepisów, które pozwolą tym średnim podmiotom zrealizować wymogi stawiane przez nadchodzące zmiany w prawie. SME różnią się od dużych podmiotów nie tylko dojrzałością, ale przede wszystkim dostępnymi zasobami. Niektóre wymogi, szczególnie w nowych sektorach, mogą być niemożliwe do zrealizowania jeszcze przez jakiś czas. Dojrzałość w zakresie cyberbezpieczeństwa wymaga czasu.

Warto zatem wykorzystać szansę, na stworzenie krajowej regulacji, która realnie podniesie ogólny poziom cyberbezpieczeństwa, a nie stworzy wymogi, których część podmiotów nie będzie w stanie zrealizować. Podobne wnioski nasuwają się po analizie projektów transpozycji NIS2 w innych państwach członkowskich.

Transpozycja NIS2 w innych państwach UE

Zgodnie z publicznie dostępnymi informacjami, wyłącznie na Węgrzech przyjęto akt prawny bezpośrednio nawiązujący do NIS2 [1]. Nie jest to jednak pełna implementacja dyrektywy. Pozostałe kraje pozostają na razie w fazie projektów, na różnych szczeblach administracji państwowej. Oficjalnego tekstu transpozycji NIS2 nie przedstawiły także takie państwa jak m.in. Francja, Szwecja, Bułgaria, Irlandia, Estonia, czy Słowenia. W pozostałych państwach sprawa również nie jest prosta. Fakt złożenia projektu aktu, który w założeniach stanowić ma transpozycję dyrektywy, nie oznacza jeszcze, że w momencie przyjęcia go, transpozycja NIS2 zostanie zakończona. Konieczna w tym celu jest szczegółowa analiza postanowień danego aktu prawnego. Przykładowo Łotwa, pomimo zgłoszenia projektu nowelizującego szereg ustaw dotyczących bezpieczeństwa ICT i telekomunikacji, dokona w ten sposób tylko częściowej transpozycji NIS2 [2]. Dobrym przykładem jest również Portugalia, która na ten moment przedstawiła jedynie projekt zmian obowiązujących jedynie sektor administracji publicznej [3].

Widać zatem, że Polska pomimo braku oficjalnego projektu nie pozostaje wcale w tyle za pozostałymi państwami UE, jeśli chodzi o transpozycję NIS2. Jednak we wszystkich analizowanych krajach prowadzone są, lub będą szerokie konsultacje społeczne, co powinno stanowić wyznacznik standardu również dla polskiego ustawodawcy. Niektóre kraje zaś proponują podejście sektorowe, co również może stanowić dla Polski inspirację w nadchodzącym procesie transpozycji.