Tomasz Zalewski: Włoska lekcja cyberbezpieczeństwa

Polska znajduje się w uprzywilejowanej pozycji, mogąc obserwować błędy i wyzwania, z jakimi mierzą się inne kraje, które już wcześniej wdrożyły dyrektywę NIS2. Analiza jej transpozycji we Włoszech pokazuje, że brak precyzyjnych przepisów oraz jasnych wytycznych ze strony ustawodawcy prowadzi do chaosu i wielu praktycznych problemów. Niestety polski projekt nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa (UKSC) powiela szereg błędów włoskiego ustawodawcy.

10 tysięcy asekurantów

Włochy wdrożyły dyrektywę NIS2 w ramach Dekretu Legislacyjnego nr 138/2024. Rząd włoski szacował, że nowym obowiązkom podlegać będzie około 50 tys. podmiotów. Rzeczywistość okazała się zupełnie inna.

Ponad 30 tys. organizacji zarejestrowało się, deklarując status podmiotu kluczowego lub ważnego. Jednak po weryfikacji okazało się, że status taki posiada jedynie około 20 tys. z nich. Aż 1/3 firm zarejestrowała się niepotrzebnie.

Dlaczego tak się stało? Prawdopodobnymi przyczynami były błędna klasyfikacja wielkości podmiotu oraz niewłaściwa identyfikacja sektora działalności (szczególnie w usługach cyfrowych).

Czytaj więcej

Opinie Ekonomiczne

Katarzyna Kucharczyk: Przepisy widmo, ale ryzyko realne

Cyberbezpieczeństwo przestało być opcją. Stało się obowiązkiem. W ślad za nim idzie regulacyjne t...

Wystąpił zatem klasyczny efekt mrożący – gdy przepisy są niejasne, a kary wysokie (we Włoszech za brak rejestracji przewidziano karę w wysokości 0,1 proc. lub 0,07 proc. obrotu), zarządy firm wolą „dmuchać na zimne” i zarejestrować się, nawet jeśli nie są pewne, czy mają taki obowiązek.

Miliony euro kary dla polskiego przedsiębiorcy

W Polsce projekt nowelizacji UKSC nie wskazuje wysokości kary za brak rejestracji, a jedynie górną granicę kar. Dla podmiotów kluczowych to 10 mln euro lub 2 proc. przychodów. Na dodatek polski projekt idzie o krok dalej, wprowadzając karę pieniężną nakładaną na kierownika jednostki za niewykonanie obowiązków (np. brak zgłoszenia do wykazu). Wysokość takiej kary może wynieść do 300 proc. wynagrodzenia.

W rezultacie zarządy, w obawie zarówno przed karami dla spółek jak i przed osobistą odpowiedzialnością majątkową, będą skłonne do „nadmiernego compliance”, zgłaszając swoje podmioty do wykazu nawet w sytuacjach wątpliwych.

Czytaj więcej

Opinie Prawne

NIS2: Czy UE wymusza nadregulację?

Dlaczego Polska wciąż nie wdrożyła dyrektywy NIS2 i jest jedynym państwem, które próbuje zrobić t...

Mechanizm rejestracji w polskim projekcie nowelizacji jest bardzo podobny do włoskiego, gdyż oparty jest na samoocenie. Każdy musi sam ocenić, czy powinien się zarejestrować jako podmiot kluczowy lub ważny w oparciu o analizę swojej działalności. Brak jest informacji na temat jakichkolwiek mechanizmów wstępnej walidacji (np. automatycznego kreatora w systemie teleinformatycznym), które mogłyby ograniczyć ryzyko zalewu wniosków podmiotów zgłaszających się „na wszelki wypadek” z obawy przed karami.

Niejasne kryteria dla dostawców usług IT

Jednym z największych problemów interpretacyjnych, z którym zmagają się Włochy – i który ma wszelkie szanse być aktualny także dla polskich przedsiębiorców – jest definicja „dostawcy chmury obliczeniowej”.

Zgodnie z projektem UKSC, dostawcą chmury jest podmiot świadczący usługę umożliwiającą dostęp do skalowalnego i elastycznego zbioru zasobów obliczeniowych do wspólnego wykorzystywania przez wielu użytkowników. We Włoszech identyczna definicja (przepisana z dyrektywy) doprowadziła do dyskusji: czy dostawcy prostych usług SaaS, takich jak systemy CRM czy aplikacje webowe, podlegają pod NIS2? Teoretycznie dyrektywa powinna obejmować usługi wspierające kluczowe funkcje istotne dla cyberbezpieczeństwa, ale brak jasnej linii demarkacyjnej tworzy niepewność. Problem jest niezwykle istotny, gdyż żyjemy w czasach, gdy można dosłownie w kilka minut stworzyć prostą aplikację SaaS przy pomocy narzędzi AI, z czego korzysta wiele firm.

Czytaj więcej:

Nawigator prawny Poradnik

Wdrożenie Dyrektywy NIS 2 i planowane zmiany w Ustawie o Krajowym Systemie Cyberbezpieczeństwa

W związku z rosnącą liczbą cyberzagro...

Pro

Na tle projektu nowelizacji UKSC podobne wątpliwości również mogą się pojawić. Bez doprecyzowania lub jasnych wytycznych można się spodziewać, że w polskim wykazie zarejestrują się nie tylko średnie lub duże firmy świadczące usługi chmurowe, ale także wielu przedsiębiorców spoza sektorów objętych NIS2, którzy na swoich stronach mają proste i zazwyczaj bezpłatne aplikacje webowe przeznaczone dla swoich kontrahentów.

Wystarczy nawet jeden informatyk

Kolejnym obszarem, który we Włoszech wygenerował ogromne problemy, jest kategoria „dostawców usług zarządzanych”. Jednym z sektorów wskazanych w NIS2 jest sektor zarządzania usługami ICT między przedsiębiorstwami. Dostawcą takich usług jest każdy podmiot, który świadczy usługi związane z instalacją lub eksploatacją systemów ICT. Regulacji poddani są jednak tylko dostawcy takich usług, którzy są co najmniej średnimi przedsiębiorcami.

Problem pojawia się w grupach kapitałowych. W ich przypadku dane dotyczące zatrudnienia oraz obrotu sumuje się, co sprawia, że mała spółka, która oprócz swojej głównej działalności świadczy także usługi IT wyłącznie dla innych spółek z grupy, staje się dostawcą usług zarządzanych zobowiązanym do stosowania regulacji, choćby działalność taka miała charakter poboczny. W praktyce może to być nawet przysłowiowy jeden informatyk oddelegowany do zarządzania sprawami IT w innej spółce.

We Włoszech próbowano to rozwiązać tzw. „klauzulą zabezpieczającą”, pozwalającą na wyłączenie pewnych podmiotów wewnątrzgrupowych na podstawie motywu 16 dyrektywy NIS2. Klauzula ta pozwala na niestosowanie przepisów NIS2 do podmiotu, który spełnia kryterium wielkości z uwagi na przynależność do grupy kapitałowej, ale jego system informacyjny jest niezależny od systemów informacyjnych innych spółek z grupy. W praktyce jednak okazało się, że wobec braku jasnych wytycznych nie wiadomo było, jak rozumieć ową niezależność systemu informacyjnego (np. czy wspólna poczta e-mail przekreśla niezależność).

W polskim projekcie nowelizacji UKSC mamy bliźniacze rozwiązanie i podobnie jak we Włoszech brak jasnych wskazówek, jak skorzystać ze wspomnianego wyłączenia.

Jaki przedsiębiorca jest średni – problemy z interpretacją

We Włoszech problemy sprawiało również ustalenie – wydawałoby się prostej kwestii – czy dany podmiot jest przedsiębiorstwem średniej wielkości, co jest w większości przypadków decydujące dla jego kwalifikacji jako podmiot podlegający regulacji NIS2. Przepisy odsyłają do unijnego rozporządzenia 651/2014/UE. Teoretycznie sprawa jest prosta: zatrudnienie 50-250 pracowników oraz obrót 10-50 mln euro lub suma bilansowa 10-43 mln euro.

O tym, że przepisy są skomplikowane, świadczy chociażby to, że w uzasadnieniu projektu nowelizacji UKSC unika się podania wyraźnych wytycznych dotyczących sposobu ich rozumienia, a w zamian proponuje się jedynie skorzystanie z poradnika Komisji Europejskiej liczącego aż 60 stron. Zamiast odsyłać do skomplikowanych dokumentów unijnych, lepiej zadbać o proste przykłady obliczania statusu (średni/duży przedsiębiorca), zwłaszcza w kontekście grup kapitałowych.

Niejasna podstawa wymiaru kary: jednostka czy grupa kapitałowa?

Artykuł 73 ust. 3 polskiego projektu przewiduje kary do 10 mln euro lub 2 proc. przychodów dla podmiotów kluczowych. Kluczowe jest sformułowanie: „przychodów osiągniętych przez podmiot [...] z działalności gospodarczej”. Stanowi to różnicę w porównaniu do dyrektywy NIS2, gdzie w art. 34 ust. 4 mowa jest o 2 proc. „łącznego rocznego światowego obrotu w poprzednim roku obrotowym przedsiębiorstwa, do którego należy podmiot kluczowy”.

We Włoszech wywiązała się otwarta dyskusja, czy podstawę kary należy obliczać w oparciu o przychód danej jednostki czy też o globalny obrót grupy kapitałowej, analogicznie do kar na gruncie prawa konkurencji UE czy RODO. W polskim projekcie brak wyraźnego doprecyzowania, że chodzi o przychód podmiotu w znaczeniu jednostkowym, a nie grupy kapitałowej (o ile dany podmiot do niej należy). Pomijając tu kwestię zgodności takiego rozwiązania z NIS2, stwarza to kolejne ryzyko prawne polegające na możliwości przyjęcia przez organ nadzorczy interpretacji prounijnej mimo odmiennego brzmienia polskich przepisów.