NIS-2 i polska implementacja (#73 - Prawo Nowych Technologii)

Gościem Mec. Aleksandry Kraśnickiej oraz Mec. Wojciecha Lamika jest Iwona Jarosz - radczyni prawna, od 2012 roku w Dziale Prawnym Naukowej i Akademickiej Sieci Komputerowej - Państwowego Instytutu Badawczego, gdzie zajmuje się bieżącą obsługą prawną przede wszystkim CSIRT NASK, czyli jednego z Zespołów Reagowania na Incydenty Bezpieczeństwa Komputerowego działających na poziomie krajowym, Rejestru domeny najwyższego poziomu .PL oraz szeregu projektów dotyczących cyberbezpieczeństwa i nowych technologii realizowanych przez NASK, zarówno polskich, jak i europejskich, publicznych i komercyjnych, jak również współpracą z organami administracji publicznej i organami ścigania.Tematem odcinka jest ponownie Dyrektywa NIS-2 oraz stan jest wdrożenia w polskim porządku prawnym. Porozmawiamy o tym, co w najbliższym czasie czeka podmioty sektora prywatnego i publicznego w związku z wyzwaniami związanymi z cyberbezpieczeństwem.Podczas tej rozmowy poruszyliśmy m.in. następujące kwestie:1) Dyrektywa NIS 2 już obowiązuje, a polskiej ustawy wdrażającej wciąż nie ma. Jakie realne skutki ta luka prawna ma dziś dla przedsiębiorców i organów publicznych?2) Czy firmy powinny już teraz wdrażać wymagania NIS 2, mimo braku nowelizacji KSC, czy raczej czekać na ostateczny kształt ustawy? Gdzie kończy się rozsądne przygotowanie, a zaczyna nadmiarowe compliance?3) Projekt nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa ma wdrażać NIS 2, ale dla wielu podmiotów jest trudny w odbiorze. Jakie są jego kluczowe założenia i które elementy mogą sprawiać firmom największe trudności interpretacyjne?4) Projekt nowelizacji KSC był już kilkukrotnie zmieniany i szeroko krytykowany w toku konsultacji. Na ile ten sposób prowadzenia procesu legislacyjnego wpływa na brak zaufania firm do przyszłych przepisów i utrudnia im realne przygotowanie się na NIS 2?5) Jednym z największych wyzwań jest dziś ustalenie, kogo nowe przepisy w ogóle obejmą. Dlaczego określenie, czy dana organizacja będzie podmiotem „kluczowym” albo „ważnym”, jest tak problematyczne w obecnym stanie prawnym?6) Jak ocenia Pani Mecenas rozwiązania dotyczące odpowiedzialności kadry zarządzającej oraz systemu sankcji? Czy projekt KSC daje menedżerom realne narzędzia do zarządzania ryzykiem, czy raczej przerzuca na nich odpowiedzialność za niejasne regulacje?7) Czy opóźnienie we wdrożeniu NIS 2 może osłabić skuteczność całego systemu cyberbezpieczeństwa w Polsce już na starcie? Czy grozi nam chaos regulacyjny zamiast realnej cyberodporności?8) Na koniec pytanie najbardziej praktyczne: co dziś, już teraz, powinny robić firmy, skoro NIS 2 obowiązuje na poziomie UE, a nowelizacja KSC wciąż nie została uchwalona?