Artykuł pochodzi z wydania: Lipiec-Sierpień 2026
Minęło już sześć miesięcy od podpisania nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa przez Prezydenta RP. Warto więc się przyjrzeć, jak idzie wdrażanie przepisów aktu prawnego w życie – czy firmy są już na niego gotowe, jakie pojawiły się problemy, a także co przyniesie przyszłość.
Kiedy w styczniu tego roku pojawiła się informacja o podpisaniu ustawy o krajowym systemie cyberbezpieczeństwa (dalej: uoksc) przez Prezydenta RP, dla wielu było to zaskoczenie. To trochę paradoks, bo przecież wiedzieliśmy, że unijne terminy związane z implementacją NIS 2 rodzimy ustawodawca zdążył już przekroczyć. Jednocześnie jednak prace nad kolejnymi projektami, nowelizacjami, propozycjami, zmianami, poprawkami poprawek trwały tak długo i wydawały się na tyle ślamazarne, że łatwo było odsunąć od siebie problem umocowanego prawnie cyberbezpieczeństwa na nieokreśloną przyszłość. Ta jednak nadeszła, powiedziała „sprawdzam” i okazało się, że zdecydowana większość przedsiębiorstw nie jest gotowa na nową rzeczywistość.
Samo uoksc weszło w życie 3 kwietnia tego roku, jego zapisy obowiązujące więc już od mniej więcej kwartału. Choć wiele firm postarało się dostosować swoje cyfrowe bezpieczeństwo do wymogów ustawy, to wciąż dla sporego odsetka jest to odległa perspektywa. Czy tak daleka jak potencjalne kary za niespełnienie wymogów rodzimej implementacji NIS 2? To pytanie, na które muszą sobie samodzielnie odpowiedzieć osoby decyzyjne w każdej organizacji. My z kolei w temacie numeru wakacyjnego „IT Professional” pochylimy się nad obrazem polskiego cyberbezpieczeństwa po wejściu w życie uoksc. Zaczniemy, niniejszym artykułem, od spojrzenia ogólnego i całościowego, a w kolejnych zajmiemy się konkretami, które omówią praktycy, mający za sobą audyty związane z oceną gotowości na „nowy, wspaniały świat” cyfrowej obronności.
Cyberunia
Zacznijmy jednak od początku, a dokładniej prowodyra całego zamieszania, czyli Unii Europejskiej. Od momentu, gdy projekt NIS 2 został opublikowany 16 grudnia 2020 r., dyrektywa UE zdominowała tematykę w dziale prawnym naszego magazynu. Nic dziwnego, skoro to bodaj jeden z najważniejszych aktów dla szeroko pojmowanego IT od lat. NIS 2 miało uregulować kwestie cyberbezpieczeństwa w obrębie państw członkowskich i zapewnić wspólną, spójną ramę prawną, którą następnie kraje miały implementować do własnego porządku prawnego.
Tekst dyrektywy został ustalony dwa lata po pierwszej publikacji – 16 lutego 2022 r., a tym samym roku Rada Unii Europejskiej formalnie przyjęła NIS 2, które weszło w życie 16 stycznia 2023 r. Co zmieniało dla członków UE? Nakładało na nich szereg wymogów, z których kluczowym było wdrożenie unijnego aktu do prawa krajowego przed 17 października 2024 r. Jak wiemy, w Polsce (ale również wielu innych krajach) ta sztuka się nie powiodła. Nie był to jednak jedyny obowiązek, który należało spełnić. Należało bowiem stworzyć krajową strategię cyberbezpieczeństwa, a także utworzyć lub wyznaczyć zespoły reagowania na incydenty bezpieczeństwa komputerowego (CSIRT), jak również wskazać punkt kontaktowy odpowiedzialny za współpracę z państwami UE w zakresie cyberbezpieczeństwa. Wielokrotnie pisaliśmy również na łamach naszego czasopisma o konieczności identyfikacji oraz stworzenia wykazu podmiotów kluczowych i ważnych, które będą objęte NIS 2. Aby krajowa ustawa nie okazała się jedynie wydmuszką, a firmy nie spełniały jej wymagań jedynie na papierze, unijny ustawodawca wymagał również zaprojektowania mechanizmu również i egzekwowania – mowa oczywiście o systemie kontroli i inspekcji, a także wymogów audytowych wobec podmiotów.
Polski problem
W naszym kraju kwestia NIS 2 okazała się bardziej złożona niż w wielu innych państwach członkowskich UE. Z jednej strony byliśmy w awangardzie – wszak pierwsza wersja uoksc pojawiła się jeszcze w 2018 r. jako odpowiedź na wymogi dyrektywy NIS 1. Do życia powołano krajowy system cyberbezpieczeństwa, a operatorzy kluczowych doczekali się wykazu obowiązków. Wszystko wydawało się się w mniejszym lub w większym porządku. Problemy pojawiły się gdy zdecydowaliśmy się implementować NIS 2 w ramach nowelizacji uoksc, a nie wprowadzić jego zapisy za pomocą odrębnej ustawy. Doprowadziło to do tego, że Polska nie tylko spóźniała się z wdrożeniem NIS 2, ale przy tym była „jedynym państwem, które próbuje zrobić to razem z zaleceniami 5G Toolbox ” – jak zauważyła na łamach „Rzeczpospolitej” adwokatka i partnerka EY, Justyna Wilczyńska-Baraniak. Wspomniany Toolbox jako taki nie ma mocy prawnej – to jedynie wskazówki dotyczące bezpieczeństwa sieci 5G. I choć chęć wdrożenia go do polskiego prawa na papierze może się wydawać dobrym pomysłem, to czy powinno się to odbywać kosztem opóźnienia implementacji NIS 2? Chyba nie, szczególnie, że Unia Europejska pozostawiła dowolność krajom członkowskim – wymagała minimum prawnego wynikającego z zapisów dyrektywy. Niektóre państwa, które nie spóźniły się z przyjęciem przepisów na rodzimy grunt, postawiły więc na minimalizm, z kolei inne, w tym Polska, poszły w kierunku nadregulacji, co wywołało opóźnienia.
Tomasz Lubczyński-Wojtasz
Autor jest dziennikarzem z wieloletnim stażem, zajmuje się szeroko pojmowanymi nowymi technologiami. Redaktor prowadzący „IT Professional”.
