Z tego artykułu dowiesz się:
- Dlaczego lista firm objętych nowymi regulacjami cyberbezpieczeństwa jest dwukrotnie dłuższa, niż pierwotnie szacowano?
- W jaki sposób odpowiedzialność za cyberbezpieczeństwo przenosi się z działów IT wprost na zarządy firm?
- Jakie wyzwania stoją przed organizacjami w związku z identyfikacją i nadzorem nad systemami sztucznej inteligencji?
- Jakie kluczowe terminy i obowiązki czekają przedsiębiorców?
Październik to kluczowy miesiąc dla firm, które zobligowane są do zapewnienia odpowiednich poziomów cyfrowej ochrony i tych korzystających z technologii AI. Z początkiem miesiąca minął czas na wpisanie się do tzw. wykazu KSC (Krajowy System Cyberbezpieczeństwa) przez firmy, które zgodnie z ustawą kwalifikują się do podmiotów określonych jako „ważne” lub „kluczowe”, a już 28 października zaczną obowiązywać kolejne przepisy polskiej ustawy o systemach sztucznej inteligencji, dotyczące m.in. kontroli i administracyjnych kar pieniężnych.
Ustawa o KSC: 70,5 tys. firm w wykazie cyberbezpieczeństwa
Podział na podmioty „kluczowe” i „ważne” to unijna hierarchia ryzyka: do pierwszej grupy trafia infrastruktura krytyczna i duże firmy strategiczne (np. energetyka, banki, szpitale), a do drugiej – średnie i duże przedsiębiorstwa z sektorów wspierających (np. produkcja żywności, chemia, usługi cyfrowe). Firmy miały czas do 3 października na wpis do specjalnego Wykazu KSC. Jak się dowiedzieliśmy, w ustawowym terminie na listę trafiło ponad 70,4 tys. podmiotów, przy czym przeszło 8,1 tys. dokonało tzw. samorejestracji, zaś 62,3 tys. zostało wpisanych z urzędu. Co ciekawe, liczba podmiotów ujętych w wykazie przekracza wcześniejsze szacunki z Oceny Skutków Regulacji. Spodziewano się, że nowe regulacje KSC obejmą 35-38 tys. podmiotów.
– Należy jednak podkreślić, że dane zawarte w OSR miały charakter orientacyjny i nie stanowiły prognozy – zastrzega Jan Ziętara z biura komunikacji Ministerstwa Cyfryzacji. – Szacunki odnosiły się do przewidywanej liczby podmiotów „kluczowych” i „ważnych” objętych regulacją, natomiast dane dotyczące Wykazu odzwierciedlają rzeczywisty stan rejestracji podmiotów oraz wpisów dokonywanych z urzędu – wyjaśnia.
Co istotne, ponad 88 proc. podmiotów trafiło na listę z urzędu. Resort „przeczesał” rejestry publiczne (katalog podmiotów publicznych, KRS, CEIDG po kodach PKD), ale to szerokie sito ma swoje wady. W MC tłumaczą nam, że pozyskiwane dane mogą charakteryzować się „niepełnością lub nieaktualnością, a także zawierać nieścisłości i rozbieżności, w tym w zakresie np. kwalifikacji oraz oznaczenia statusu prawnego podmiotów”.
Również typy podmiotów („kluczowy”, „ważny”) ulegają zmianie i podlegają bieżącym aktualizacjom. Status podmiotu „kluczowego” posiada 13 proc. firm w wykazie, a pozostałe to „ważne”. Ale i tu mogą zachodzić zmiany.
– Zawartość wykazu jest weryfikowana i aktualizowana na podstawie wniosków o wpis, zmianę danych i wykreślenie. Liczba wpisów, jak również kwalifikacja podmiotów jako kluczowych lub ważnych są wartościami zmiennymi w czasie – podkreśla Ziętara.
Czytaj więcej:
Choć część przepisów ustawy wdrażającej dyrektywę NIS2 trafiło do Trybunału Konstytucyjnego, eksperci ostrzegają: biznes nie może czekać. Nowe, ryg...
Pro
KSC i NIS2: obowiązki firm do kwietnia 2027 r. i milionowe kary
Choć ustawowy termin na wpis minął, proces rejestracji trwa. – Podmioty, które nie dokonały jeszcze rejestracji, nadal mogą składać wnioski o wpis. Ministerstwo Cyfryzacji oraz właściwe organy ds. cyberbezpieczeństwa będą jednocześnie kontynuować działania informacyjne i identyfikację podmiotów objętych przepisami – informuje biuro prasowe MC.
Sam wpis do Wykazu KSC to dopiero początek. Firmy objęte regulacjami muszą przygotować się m.in. do systematycznego zarządzania ryzykiem, wdrożenia odpowiednich środków technicznych i organizacyjnych, reagowania na incydenty oraz zadbania o bezpieczeństwo łańcucha dostaw.
Dla podmiotów, które spełniały kryteria już w momencie wejścia w życie nowych przepisów, kolejną ważną datą będzie 3 kwietnia 2027 r. – do tego czasu powinny m.in. wdrożyć wymagane rozwiązania w zakresie cyberbezpieczeństwa i podłączyć się do systemu S46. A stawka jest wysoka, bo nowe regulacje przewidują wielomilionowe sankcje (najwyższe pułapy dotyczą największych przedsiębiorstw – w przypadku podmiotów „kluczowych” maksymalna kara może sięgać 10 mln euro lub 2 proc. przychodów, a „ważnych” – 7 mln euro lub 1,4 proc. przychodów), plus odpowiedzialność osób kierujących organizacją.
Przemysław Jaworski z kancelarii Legally.Smart wskazuje, że NIS2 (to tę dyrektywę wdraża ustawa o KSC) zmienia sposób myślenia o odpowiedzialności za cyberbezpieczeństwo. – To nie jest już temat, który zarząd może po prostu przekazać działowi IT. Kierownictwo powinno wiedzieć, jakie są najważniejsze ryzyka organizacji, kto odpowiada za ich ograniczanie i czy firma jest przygotowana na sytuację, w której rzeczywiście dochodzi do poważnego incydentu – komentuje mec. Jaworski.
Joanna Chmielak z Fortinetu podkreśla, że przepisy wyznaczają organizacjom tylko kierunek i minimalny poziom wymaganej ochrony, ale sama zgodność formalna z nimi nie tworzy cyberodporności.
Czytaj więcej
W 2025 r. obsłużono w Polsce blisko 273 tys. cyberincydentów. Na szczęście rośnie nie tylko liczba ataków, ale także świadomość przedsiębiorstw i i...
– Polityka bezpieczeństwa, której firma nie stosuje, albo procedura reagowania, której nikt wcześniej nie przetestował, nie zadziałają tylko dlatego, że zostały zapisane w dokumentacji. Najbliższe miesiące powinny więc służyć przede wszystkim sprawdzeniu, czy wymagania KSC faktycznie działają w praktyce – przekonuje Joanna Chmielak. I dodaje, że warto ten czas poświęcić na identyfikację luk i ich stopniowe usuwanie.
AI Act i nowe przepisy o sztucznej inteligencji. Co muszą zrobić firmy?
Firmy w najbliższych dniach muszą pamiętać o jeszcze jednym terminie – 28 października zaczną obowiązywać kolejne przepisy polskiej ustawy o systemach sztucznej inteligencji. Dotyczą m.in. kontroli, postępowań i administracyjnych kar pieniężnych. Adrianna Fiedler, ekspertka ds. prawa nowych technologii i radczyni prawna w Symfonii, zauważa, że o ile termin dotyczący wymogów KSC zmuszał przedsiębiorców do formalnych działań, to w tym przypadku nie ma powszechnego obowiązku zgłaszania firm ani systemów AI. Zapisy wprowadzają jednak nowe narzędzia krajowego nadzoru.
– Pojawi się powszechny obowiązek rejestracji przedsiębiorców korzystających z AI. To nie jest jedna data, od której zaczną obowiązywać wszystkie wymagania wynikające z unijnego AI Act, ponieważ rozporządzenie wchodzi w życie etapami. Firma, która oferuje własną funkcję AI, może mieć inne obowiązki, inne ma organizacja, która używa gotowego asystenta. Ten sam przedsiębiorca może być dostawcą jednego systemu, może też być podmiotem stosującym wobec innego.
– Sporządzenie takiej mapy bywa trudne – wylicza Fiedler. – AI nie zawsze pojawia się jako osobny produkt, a może być funkcją narzędzia rekrutacyjnego, systemu obsługi klienta, aplikacji marketingowej, modułu oceniającego rozmowy lub programu analizującego dokumenty. Organizacja powinna wiedzieć, kto zatwierdza nowe zastosowanie, kiedy ocenia się ryzyko, jakie informacje wolno przekazać do systemu, kiedy poinformować człowieka o kontakcie z AI i jak zgłosić błędny wynik – kontynuuje ekspertka.
Czytaj więcej
Tylko wąska grupa przedsiębiorstw notuje dzięki sztucznej inteligencji skok EBITDA nawet o 25 proc. Wiele firm przekonuje się, że sama technologia...
Specjaliści radzą opracowanie firmowych regulaminów AI, ale zaznaczają, że – poza wewnętrznymi regulacjami – kluczem jest podnoszenie kwalifikacji pracowników w obszarze pracy ze sztuczną inteligencją.
– Jesteśmy przyzwyczajeni do cyklicznych szkoleń BHP, odnawianych co jakiś czas certyfikatów bezpieczeństwa, kursów dotyczących np. polityki antykorupcyjnej albo pracy z poufnymi danymi, dlatego sens mają również cykliczne szkolenia z pracy z AI – zaznacza Marcin Mika, dyrektor w ADP Polska.
