Starostwa powiatowe i urzędy gmin zatrudniające co najmniej 50 osób na pełnych etatach staną się podmiotami kluczowymi – wymagają pełnego wdrożenia obowiązków z art. 8 ust. 1, w tym systemu zarządzania bezpieczeństwem informacji, analizy ryzyka i raportowania incydentów do CSIRT w ciągu 24 godzin. Mniejsze gminy poniżej 50 etatów, a także jednostki budżetowe, zakłady budżetowe, instytucje kultury i spółki realizujące zadania użyteczności publicznej trafią do kategorii podmiotów ważnych publicznych – z uproszczonym systemem z załącznika nr 4, ale z obowiązkiem wdrożenia podstawowego systemu zarządzania bezpieczeństwem informacji.
Kary finansowe i osobiste – stawki i adresaci
Dla podmiotów kluczowych maksymalna kara to 10 mln euro lub 2 proc. rocznego przychodu z poprzedniego roku, w zależności od tego, co jest wyższe – minimum 20 tys. zł za naruszenia takie jak brak systemu zarządzania bezpieczeństwem informacji czy opóźnione zgłoszenie incydentu. Podmioty ważne płacą do 7 mln euro lub 1,4 proc. przychodu, z minimum 15 tys. zł. W przypadkach zagrażających obronności, zdrowiu publicznemu czy porządkowi publicznemu kara wzrasta do 100 mln zł, bez względu na rozmiar jednostki. Kierownicy jednostek, w tym wójtowie i skarbnicy, ryzykują grzywnę do 600 proc. ich rocznego wynagrodzenia, liczonego jako ekwiwalent urlopowy – nawet bez kary na samą jednostkę.
Dlaczego samorządy muszą działać natychmiast
Nowa ustawa nakłada rejestrację w wykazie podmiotów w ciągu trzech miesięcy od wejścia w życie oraz wdrożenie systemu zarządzania bezpieczeństwem informacji w sześć miesięcy. Obejmuje to ocenę ryzyka incydentów, monitorowanie podatności, zarządzanie łańcuchem dostaw ICT i coroczne szkolenia dla kierownictwa. Incydent jak w przypadku SolarWinds w 2020 roku, gdzie słaby łańcuch dostaw umożliwił atak na kluczowe instytucje, pokazuje skalę ryzyka – samorządy obsługują dane milionów mieszkańców w systemach eWUŚ czy mObywatel. Koszty wdrożenia dla średniej gminy to 200-800 tys. zł rocznie na audyty, usługi zewnętrzne i szkolenia, ale brak przygotowania grozi nie tylko karami, lecz także przerwami w usługach publicznych i postępowaniami przed TSUE.
Nadzór i brak miejsca na błędy
CSIRT GOV, NASK i MON zyskują szersze uprawnienia do inspekcji, w tym żądania dokumentów i nakazów audytów. Polska wyróżnia się surowszymi karami niż minima NIS2 – ministerstwo cyfryzacji szacuje 38 tys. podmiotów pod ustawą, w tym tysiące JST. Samorządy apelują o wsparcie finansowe, ale projekt nie przewiduje wyjątków.
Jeśli nie rozpoczniecie inwentaryzacji systemów i wyboru dostawcy usług cyberbezpieczeństwa przed końcem kwartału, pierwszy audyt CSIRT przyniesie rachunek. Atakujący nie czekają na fundusze – biorą dane teraz.
Żródło:
https://www.gov.pl/web/cyfryzacja/nowe-przepisy-wzmocnia-ochrone-przed-cyberzagrozeniami
