Opinia: EY
Opublikowany pod koniec kwietnia projekt nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa (KSC)1) jest odpowiedzią na wymóg wdrożenia NIS22), stanowiącej europejski fundament dla zwiększenia odporności infrastruktury krytycznej i poprawy ogólnego poziomu cyberbezpieczeństwa.
Podejmowane działania zmierzają nie tylko do zabezpieczenia przedsiębiorstw przed cyberatakami, ale również zapewnienia bezpieczeństwa danych obywateli i instytucji państwowych. Nowe regulacje są niezbędne w dynamicznie zmieniającym się świecie cyfrowym, lecz niosą ze sobą wyzwania finansowe i organizacyjne dla biznesu. Z tego względu istotne jest, aby w pracach nad regulacją uwzględniono nie tylko potrzeby bezpieczeństwa, ale również wpływ na gospodarkę i konkurencyjność polskich przedsiębiorstw. Już na etapie procesu legislacyjnego należy zważyć potrzebę ochrony z interesami gospodarczymi, zapewniając, że nowe przepisy będą zarówno skuteczne, jak i proporcjonalne do zagrożeń, które mają zwalczać, i rozmiaru podmiotów, które mają je wdrożyć.
Kosztowne obowiązki ustawowe
Projekt wprowadza szereg nowych rozwiązań i obowiązków, rozszerzając katalog podmiotów na nowe sektory i usługi cyfrowe. Wśród najważniejszych zmian można wymienić obowiązek raportowania incydentów cybernetycznych, przeprowadzania regularnych audytów bezpieczeństwa, ocen ryzyka czy wdrożenie zaawansowanych środków ochronnych. Wysokie koszty związane ze zmianą oraz długotrwały proces mogą być barierą dla mniejszych firm. Z tego względu kluczowe jest przeanalizowanie kosztów związanych z wdrożeniem regulacji.
Bezpośrednie koszty zmian będą zróżnicowane w zależności od wielkości oraz specyfiki działalności przedsiębiorstwa. Podstawowym wydatkiem, z którym będą musieli się liczyć przedsiębiorcy, będzie zakup lub aktualizacja systemów IT (w tym zaawansowanych rozwiązań zabezpieczających). Koszty te mogą się wahać od kilkudziesięciu tysięcy złotych dla małych firm po kwoty liczone w milionach dla dużych korporacji, przetwarzających znaczący wolumen danych. Inwestycje w szkolenia pracowników z zakresu cyberbezpieczeństwa są kolejnym istotnym elementem kosztów nadchodzących zmian. Szkolenia będą niezbędne, aby personel mógł skutecznie zarządzać systemami i reagować na incydenty. Również nowy obowiązek związany z cyklicznym prowadzeniem audytów bezpieczeństwa będzie dodatkowym wydatkiem.
