Niewątpliwie najważniejsza dla polskiego cyberbezpieczeństwa ustawa uzyskała podpis Prezydenta. Została jednak wysłana do Trybunału Konstytucyjnego co oznacza, że niektóre jej przepisy z czasem mogą być uchylone. Tak czy owak trzeba się szykować na wdrażanie NIS2.
Tydzień temu pisaliśmy o ustawie o Krajowym Systemie Cyberbezpieczeństwa, która ma wdrażać w Polsce unijną dyrektywę NIS2. Wówczas ustawa wyszła z Senatu (bez poprawek) i czekała na podpis Prezydenta. Złożenie tego podpisu wielu osobom wydawało się formalnością (naprawdę tej ustawy podpisujemy), ale ten akt prawny miał swoich przeciwników. Protestowali przeciwko niemu niektórzy przedsiębiorcy, na których mają zostać nałożone nowe obowiązki (otwarcie przeciwko ustawie opowiedziała się Krajowa Izba Komunikacji Ethernetowej – KIKE). Byli też prawnicy z wątpliwościami. Prof. Ryszard Piotrkowski przekonywał, że bezpieczeństwo państwa nie uzasadnia tworzenia prawa, które trwale godziłoby we własność i swobodę działalności gospodarczej. W Sejmie odbyło się nawet zamknięte posiedzenie komisji cyfryzacji poświęcone lobbingowi wokół nowelizacji.
Wczoraj Prezydent ustawę podpisał, ale odesłał ją do Trybunału Konstytucyjnego w ramach kontroli następczej. Trybunał może uchylić część przepisów.
Z informacji wystosowanej przez Kancelarię Prezydenta wynika, że zastrzeżenia Prezydenta wobec ustawy są następujące:
- Wątpliwości budzi objęcie ustawą 18 branż gospodarki pogrupowanych w podmioty kluczowe i ważne. Przy czym – zdaniem Prezydenta – rozszerzenie to nie wynika z przepisów europejskich, a jest samodzielną inicjatywą rządu.
- Przepisy dotyczące uznawania firm za Dostawców Wysokiego Ryzyka (DWR) ingerują w samodzielność funkcjonowania przedsiębiorców poprzez nakładanie obowiązku wymiany sprzętu oraz
oprogramowania bez odszkodowania i bez zabezpieczenia środków finansowych na ten cel. - Przewidziany ustawą system kar administracyjnych jest restrykcyjny, a wysokość możliwych do nałożenia kar ma charakter samodzielnych środków karnych.
- System podejmowania decyzji przez organy ds. cyberbezpieczeństwa wobec podmiotów kluczowych i ważnych jest wadliwy m.in. pozbawiony odpowiedniej kontroli sądowej.
Warto w tym momencie przypomnieć, że w trakcie prac nad ustawą wprowadzono przepis, który pozwala nakładać kary za naruszenia dopiero po upływie 2 lat od dnia wejścia w życie ustawy (art. 35 nowelizacji). Sama ustawa wchodzi w życie po upływie miesiąca od ogłoszenia, ale podmioty, które z dniem wejścia w życie niniejszej ustawy spełniają przesłanki uznania ich za podmiot kluczowy albo za podmiot ważny, realizują obowiązki w brzmieniu nadanym ustawą w terminie 12 miesięcy od dnia wejścia w życie. Wdrażanie przepisów będzie tak czy owak nieco rozciągnięte w czasie np. minister ds. cyfryzacji będzie musiał przygotować harmonogram, według którego firmy będą zobowiazane składać wniosek o wpis do wykazu podmiotów kluczowych.
Niemniej ustawa już jest i trzeba zacząć ją wdrażać. Więcej o ustawie artykule pt. Najważniejsza dla cyberbezpieczeństwa ustawa wdrażająca NIS2 czeka na podpis Prezydenta