Tak wygląda rzeczywistość większości organizacji, które lada moment uderzą czołowo w znowelizowaną ustawę o krajowym systemie cyberbezpieczeństwa. Fakt, że projekt UC72 wciąż mieli się w rządowych młynach, daje nam tylko złudne poczucie bezpieczeństwa. Zegar tyka, a Q1 2026 to termin, w którym kary przestaną być teoretycznym straszakiem, a staną się elementem arkusza Excel w dziale finansowym.
Ostatnie posiedzenie Sejmowej Komisji Cyfryzacji, Innowacyjności i Nowoczesnych Technologii pokazało, że nikt nie zamierza brać jeńców. Przemielono 74 poprawki, z czego większość to czysta kosmetyka, ale merytoryczne spory o terminy i dostawców wysokiego ryzyka obnażyły potężny rozjazd między ambicjami rządu a możliwościami biznesu. Jeśli myślisz, że kolejne przesunięcie prac nad ustawą to czas na odpoczynek, to prawdopodobnie jesteś pierwszym kandydatem do spektakularnej wpadki podczas kontroli.
Sejmowa przepychanka i widmo 2026 roku
Prace legislacyjne mają być kontynuowane dopiero w styczniu, po przerwie świątecznej. Ministerstwo Cyfryzacji wciąż dopieszcza projekt UC72, czyli nowelizację UKSC. Choć Unia wymagała gotowych przepisów w październiku 2024, realny scenariusz dla Polski to przyjęcie ustawy w połowie 2025 roku. Biorąc pod uwagę zapowiadane sześciomiesięczne vacatio legis, pełna moc przepisów uderzy w rynek na początku 2026 roku. Największe emocje wzbudził właśnie ten sześciomiesięczny termin na realizację obowiązków. Organizacje biznesowe domagają się wydłużenia go do co najmniej roku, wskazując na przykłady innych państw unijnych, które dają swoim firmom więcej oddechu. Rząd niby zadeklarował gotowość do ustępstw i zapowiedział własną poprawkę, ale na razie punkt ten został zawieszony w próżni.
Czekanie na ostateczną decyzję Sejmu to strategia samobójcza. Widziałem dziesiątki projektów, które wyłożyły się na ostatniej prostej, bo zarząd uznał, że ma jeszcze czas. Wdrożenie wymagań NIS2 to nie jest instalacja antywirusa, to operacja na żywym organizmie firmy. Jeśli nagle okaże się, że masz tylko 180 dni na certyfikację systemów i audyt wszystkich dostawców, to żadne pieniądze nie kupią Ci brakujących rąk do pracy. Specjaliści, którzy potrafią odróżnić incydent od szumu w logach, już teraz są towarem deficytowym, a w 2026 roku ich stawki wystrzelą w kosmos.
Dostawcy wysokiego ryzyka czyli polityka w serwerowni
Mechanizm dostawcy wysokiego ryzyka (HRV) to punkt, w którym rząd nie zamierza ustąpić ani o milimetr. To rozwiązanie ma być potężnym młotem na vendorów z krajów, które niekoniecznie życzą nam dobrze. Jeśli Twój główny dostawca infrastruktury trafi na taką listę, będziesz musiał pozbyć się jego sprzętu i softu w określonym czasie. To nie jest teoria. To realna groźba wymiany całych stosów technologicznych pod presją regulatora. Stanowisko rządu jest tu jasne: bezpieczeństwo narodowe wygrywa z Twoją optymalizacją kosztową.
Technicznie sprawa jest jeszcze gorsza. Atak na systemy Ivanti z początku 2025 roku (CVE-2024-3400) pokazał, jak łatwo grupy pokroju UTA0178 potrafią wykorzystać luki typu zero-day w sprzęcie sieciowym do przejęcia pełnej kontroli nad ruchem w organizacji. Mechanizm HRV ma ograniczyć takie ryzyko na poziomie państwowym, ale dla przeciętnego dyrektora IT oznacza to konieczność posiadania planu awaryjnej migracji do innych dostawców. Jeśli Twoja strategia opiera się na jednym chińskim vendorze, bo był tani, to właśnie budujesz domek z kart na krawędzi wulkanu.
Pułapka grup kapitałowych i małych firm
Podczas obrad komisji mocno wybrzmiał problem małych i średnich przedsiębiorstw, które funkcjonują w ramach dużych grup kapitałowych. Branża alarmuje, że obecne progi uznawania podmiotów za ważne lub kluczowe są zbyt restrykcyjne. Może dojść do sytuacji, w której mała spółka logistyczna, zatrudniająca 50 osób, zostanie objęta takimi samymi rygorami jak wielka elektrownia, tylko dlatego, że należy do tego samego holdingu. To prosta droga do zasypania małych firm papierologią, której nie będą w stanie udźwignąć.
Ministerstwo zapowiedziało przygotowanie oficjalnego dokumentu Q&A, który ma wyjaśnić definicje systemów informacyjnych i kryteria klasyfikacji podmiotów. To ma być koło ratunkowe dla tych, którzy nie wiedzą, czy już muszą kupować systemy SIEM, czy jeszcze mogą poczekać. Z mojego doświadczenia wynika jednak, że takie wyjaśnienia często rodzą więcej pytań niż odpowiedzi. Zanim urzędnicy sprecyzują, co mieli na myśli, Ty musisz wiedzieć, gdzie kończy się Twoja sieć, a zaczyna infrastruktura dostawcy. Większość organizacji, które odwiedzam, polega na tym etapie: nie mają nawet aktualnej mapy sieci, o inwentaryzacji zasobów nie wspominając.
Odpowiedzialność osobista i bat na zarząd
Koniec z chowaniem się za plecami dyrektora IT. Nowelizacja UKSC wprowadza mechanizm, który sprawia, że cyberbezpieczeństwo staje się problemem osobistym prezesa. Za rażące zaniedbania w obowiązkach rejestracyjnych czy zgłaszaniu incydentów, członek zarządu może zostać ukarany grzywną do 600% swojego miesięcznego wynagrodzenia. To rewolucja w polskim prawie, która przenosi odpowiedzialność z abstrakcyjnej spółki na konkretnego człowieka. Kary administracyjne dla samej firmy też nie są małe – sięgają 10 milionów euro lub 2% globalnego obrotu.
Widziałem przypadek firmy transportowej, która po wycieku danych z bazy loginów (tzw. RockYou2024, gdzie wyciekło 10 miliardów haseł) udawała, że nic się nie stało. Pod reżimem NIS2 takie zachowanie to finansowe samobójstwo. Masz 24 godziny na wysłanie wczesnego ostrzeżenia do CSIRT i 72 godziny na pełne zgłoszenie incydentu. Jeśli nie masz wyćwiczonych procedur, w których technicy wiedzą, kogo obudzić o 3 rano, nie masz szans zmieścić się w tych widełkach. Zarząd musi zrozumieć, że bezpieczny system to nie koszt, tylko polisa ubezpieczeniowa na ich własne pensje.
Co musisz zrobić przed końcem 2025 roku
Zacznij od inwentaryzacji zasobów. Nie da się chronić czegoś, o czym nie wiesz, że istnieje w Twojej sieci. Większość organizacji znajduje podczas głębokiego skanowania zapomniane serwery testowe z otwartym dostępem przez RDP – to idealne "wjazdy" dla grup ransomware. Wdróż dwuskładnikowe uwierzytelnianie (MFA) wszędzie, gdzie to możliwe. To najtańsza i najskuteczniejsza metoda walki z kradzieżą poświadczeń. To podstawa, bez której audytor UKSC nawet nie zacznie z Tobą rozmawiać.
Kolejnym krokiem jest przegląd umów z podwykonawcami. Musisz zagwarantować sobie prawo do audytu ich zabezpieczeń. Jeśli Twój dostawca usług HR w chmurze nie potrafi udowodnić, jak zarządza podatnościami, to Ty poniesiesz za to odpowiedzialność. Zorganizuj też szkolenia dla kadry zarządzającej. Nie o tym, jak nie klikać w linki, ale o tym, jakie konsekwencje prawne i finansowe niesie ze sobą każda decyzja o cięciu budżetu na security. Bez świadomego lidera każda techniczna zapora zostanie w końcu obejściem przez "czynnik ludzki".
Prace komisji sejmowej pokazują jedno: lekko nie będzie, a taryfa ulgowa właśnie się kończy. Rząd nie odpuści w kwestiach strategicznych, a walka o dodatkowe sześć miesięcy to tylko próba kupienia czasu, którego i tak już brakuje. Gdy w 2026 roku wejdą pierwsze kontrole, rynek podzieli się na tych, którzy potraktowali UKSC jak realne wyzwanie inżynieryjne, i na tych, którzy będą wyprzedawać aktywa, by pokryć kary administracyjne. Lepiej wydać budżet na lepsze logowanie i segmentację sieci teraz, niż na prawników i grzywny później.
Bibliografia:
Biuletyn z posiedzenia Komisji Cyfryzacji, Innowacyjności i Nowoczesnych Technologii (nr 32/2024).
Projekt ustawy o zmianie ustawy o krajowym systemie cyberbezpieczeństwa (UC72) – wersja grudzień 2025.
Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (NIS2).
Raport CERT Polska: Krajobraz bezpieczeństwa polskiego internetu 2024.
