Reklama

Bogusław Chrabota: Dyrektywa NIS2. Tak, ale w sposób bezpieczny dla biznesu

Kiedy przed niemal rokiem pisaliśmy na tych łamach o konieczności szybkiej i racjonalnej implementacji do polskiego prawa dyrektywy NIS2, jako podstawowy argument podawałem liczbę cyberataków na polskie państwo i firmy.

Publikacja: 14.10.2025 12:13

Bogusław Chrabota: Dyrektywa NIS2. Tak, ale w sposób bezpieczny dla biznesu

Foto: Adobe Stock

Skala wydawała się porażająca. Według danych jednego z liderów cyberbezpieczeństwa,  amerykańsko-izraelskiej firmy Check Point Software, Polska w 2023 r. doświadczyła 80 tysięcy cyberataków. To było niemal 220 ataków dziennie. Na infrastrukturę krytyczną państwa, systemy informacyjne wojska, banków, energetyki czy instytucji ochrony zdrowia. Wniosek z raportu był prosty: ryzyko ataków ciągle się zwiększa, a szacunek CPS dla Polski na 2024 r. wynosił ponad sto tysięcy ataków.

Czytaj więcej

NIS2: Czy UE wymusza nadregulację?

Tysiące cyberataków na Polskę w 2024 r. Jak sobie z nimi radziliśmy?

Po roku okazało się, że wskazania nie były zaniżone. W 2024 r. doświadczyliśmy jako Polska co najmniej 100-110 tysięcy cyberataków, a CERT Polska (Computer Emergency Response Team – zespół reagowania na incydenty bezpieczeństwa cybernetycznego) odnotował rekordową liczbę zgłoszeń przekraczającą 600 tysięcy.

Warto przy tym odnotować, że przy 2-4 tysiącach ataków dziennie, według oficjalnych danych, 99 proc. było neutralizowanych. Nie mamy jeszcze danych za bieżący rok, ale bez ryzyka przesady można założyć, że tych ataków będzie nie mniej niż 200 tysięcy.

Trend wzrostowy jest tu naturalny. Eksperci tłumaczą, że to naturalny skutek rozwoju technologii internetowych, rozwijającego się know-how cyberprzestępców, a do tego dynamiki światowych konfliktów, takich jak wojna w Ukrainie. Dziś cyberprzestępstwami trudzą się już nie tylko zawodowi hakerzy, ale toczące wojnę hybrydową państwa. Dlatego liczba cyberataków będzie rosła. A my jako ludzkość, wspólnoty, państwa narodowe, w końcu indywidualne firmy czy pojedynczy ludzie musimy nauczyć się bronić. To z jednej strony technologia, z drugiej regulacje.

Reklama
Reklama

W tej ostatniej sprawie Polska jest podwójnie upośledzona. Nie wprowadziliśmy dotąd do polskiego prawa regulacji unijnej dyrektywy NIS2, integrując jej przepisy z ustawą o Krajowym Systemie Cyberbezpieczeństwa. A przygotowywana legislacja w sposób jednostronny i ryzykowny dla biznesu zaostrza europejskie regulacje.

Czytaj więcej

Dyrektywa o cyberbezpieczeństwie: idziemy znacznie dalej na tle Europy

Nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa, a wymogi dyrektywy NIS2. Czy rząd posłucha biznesu?

Paradoksem jest, że prace nad nowelizacją trwają już sześć lat. Kolejnym jest, że w projekcie nowelizacji (ostatni został przyjęty przez Komitet Stały Rady Ministrów 4 września) znajdują się daleko idące poszerzenia regulacji europejskich. Mam na myśli min. rozszerzenie jej zakresu o postanowienia 5G Toolbox  (to unijny pakiet narzędzi na rzecz bezpieczeństwa 5G), oraz zbyt szeroką uznaniowość w operowaniu kategorią dostawcy wysokiego ryzyka (DWR). Kategoria DWR według Ministerstwa Cyfryzacji jest instytucją służebną. Ma „eliminować z użycia niebezpieczny sprzęt i usługi z kluczowych dla funkcjonowania państwa systemów informatycznych”. Intencja jasna, tyle że czysto uznaniowa kwestia kwalifikacji zarówno podmiotu, jak i tego, które systemy są „kluczowe”, jest przez biznes wyjątkowo mocno kwestionowana. W krańcowych przypadkach podejmowane przez organy państwa decyzje mogą doprowadzić do bankructw czy poważnych kłopotów instytucji, firm czy całych branż, zmuszonych do szybkiej wymiany technologii albo usługodawcy.

Co więcej, tego typu zapis w polskim prawie, uderzając w unijną regułę konkurencyjności, może narazić nasz kraj na długoletnie procedury arbitrażowe. Z jednej strony należy więc skrytykować władze za to, że dyrektywa NIS2 nie została jeszcze zintegrowana z polskim prawem. Z drugiej, właśnie dzięki temu jest jeszcze czas, by pójść za głosem biznesu i złagodzić kwestionowane regulacje. Bo bezpieczeństwo państwa to nie tylko kagańcowe zapisy dotyczące odporności cyfrowej jego instytucji. To także bezpieczeństwo rynkowe polskich firm tworzących PKB. Bez nich państwo nie da sobie rady.

Czytaj więcej

Niepokojący raport. Nowe przepisy wpłyną na konkurencyjność polskiej gospodarki

Skala wydawała się porażająca. Według danych jednego z liderów cyberbezpieczeństwa,  amerykańsko-izraelskiej firmy Check Point Software, Polska w 2023 r. doświadczyła 80 tysięcy cyberataków. To było niemal 220 ataków dziennie. Na infrastrukturę krytyczną państwa, systemy informacyjne wojska, banków, energetyki czy instytucji ochrony zdrowia. Wniosek z raportu był prosty: ryzyko ataków ciągle się zwiększa, a szacunek CPS dla Polski na 2024 r. wynosił ponad sto tysięcy ataków.

Pozostało jeszcze 88% artykułu
/
artykułów
Czytaj dalej. Subskrybuj
Reklama
Opinie Prawne
Grzegorz Rychwalski: Niebezpieczne majstrowanie przy kodeksie postępowania cywilnego
Opinie Prawne
Piotr Mgłosiek: Nielegalne prawybory do KRS to pułapka na sędziów
Opinie Prawne
Michał Romanowski, Julia Juźko: Państwo nie może zarabiać na własnym bezprawiu
Opinie Prawne
Robert Gwiazdowski: Naród nie ma żadnej władzy
Opinie Prawne
Piotr Szymaniak: Problem neosędziów łatwiej rozwiązać „ustawką” niż ustawą
Reklama
Reklama