Kontrowersyjna ustawa (po raz kolejny) na finiszu. O cyberbezpieczeństwie na EEC 2025

Polska wciąż nie doczekała się implementacji dyrektywy NIS2. Tymczasem cyberbezpieczeństwo to dla państwa fundamentalna kwestia. Jak na EEC przekonywał przedstawiciel resortu cyfryzacji, rządowy etap prac nad ustawą o Krajowym Systemie Cyberbezpieczeństwa ma się zakończyć do czerwca. Później czeka ją droga przez parlament.

• Cyberbezpieczeństwo nadal postrzegane jest jako koszt, a nie inwestycja w bezpieczeństwo i rozwój gospodarczy - uważają goście panelu "Bezpieczeństwo cyfrowe państwa" na EEC 2025. 
• Eksperci wskazują na potrzebę pilnej aktualizacji prawa. Kluczowe znaczenie ma nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa. 
• Ta jednak wciąż budzi kontrowersje. Chodzi m.in. o kwestię wykluczania dostawców wysokiego ryzyka z infrastruktury krytycznej. 

Polska (i UE) stoi przed koniecznością przedefiniowania podejścia do cyberbezpieczeństwa poprzez lepsze regulacje, partnerską współpracę sektora publicznego i prywatnego oraz zmianę podejścia do tego obszaru – z kosztu na strategiczną inwestycję w przyszłość – takie wnioski płyną z dyskusji w sesji „Bezpieczeństwo cyfrowe państwa” w czasie EEC 2025 w Katowicach.

Kontrowersyjna ustawa na finiszu (po raz kolejny)

W centrum rozmowy znalazła się zapowiadana nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC), która – jak zapowiedział Łukasz Wojewoda z Ministerstwa Cyfryzacji – ma opuścić rządowy etap prac do końca drugiego kwartału 2025. Takie są nadzieje resortu, ale – jak przyznał urzędnik – wiele może zmienić się jeszcze na etapie prac legislacyjnych. Kiedy należy spodziewać się gotowej i podpisanej przez prezydenta ustawy? Tego nie wiadomo.

Szczególnie dużo kontrowersji cały czas budzi w niej kwestia określania dostawców wysokiego ryzyka, których produkty będzie można wykluczać z budowy kluczowych usług.

Jak zapowiedział Łukasz Wojewoda z Ministerstwa Cyfryzacji, KSC ma opuścić rządowy etap prac do końca drugiego kwartału 2025. Fot. PTWP

Tymczasem przepisy są potrzebne, bo - jak przekonywali paneliści - pomimo wielu prób regulacji wciąż brakuje spójnych, obowiązkowych standardów i certyfikacji urządzeń wykorzystywanych np. w infrastrukturze krytycznej. - Nie kontrolujemy dostawców, nie ma transparentności pochodzenia - mówił Maciej Wyczesany, prezes zarządu i dyrektor generalny Apator SA.

Maciej Wyczesany, prezes zarządu i dyrektor generalny Apator SA. Fot. PTWP

Paneliści zgodnie wskazywali na rosnącą skalę zagrożeń, szczególnie po wybuchu wojny w Ukrainie, oraz konieczność dostosowania przepisów do nowej rzeczywistości cyfrowej. Zwracano uwagę na nadmierną szczegółowość przetargów publicznych oraz potrzebę traktowania cyberbezpieczeństwa nie jako kosztu, lecz jako strategicznej inwestycji.

Wielokrotnie powracał także temat nieskutecznej współpracy między sektorami oraz potrzeby większej przejrzystości i stabilności prawa. Eksperci podkreślali, że bez realnego partnerstwa między administracją publiczną a biznesem trudno będzie zbudować skuteczny system odporny na zagrożenia cyfrowe.

Cyberbezpieczeństwo jako silnik rozwoju gospodarczego

Wnioskiem płynącym z debaty była konieczność pilnych, systemowych zmian – nie tylko regulacyjnych, ale również mentalnych i organizacyjnych, które pozwolą traktować cyberbezpieczeństwo jako filar rozwoju i bezpieczeństwa państwa.

- Regulacje, wokół których orientują się nasze działania w UE, nie mogą być jedynym punktem działań w obszarze cyber. Potrzebujemy rozbudowania naszych zdolności. Musimy zacząć postrzegać cyberbezpieczeństwo jako silnik rozwoju gospodarczego - mówiła Joanna Świątkowska, zastępca sekretarza generalnego Europejskiej Organizacji ds. Cyberbezpieczeństwa (ECSO).

Musimy zacząć postrzegać cyberbezpieczeństwo jako silnik rozwoju gospodarczego - mówiła Joanna Świątkowska. Fot. PTWP

Paweł Nogowicz, prezes zarządu Evercom, zwrócił z kolei uwagę, że w regulacjach brakuje spójności. - Niektóre obszary są przeregulowane, inne zupełnie pomijane – mówił.

Wspólnym mianownikiem wszystkich wypowiedzi jest przekonanie, że obecne podejście do cyberbezpieczeństwa w Polsce (i szerzej – w UE) wymaga poważnej aktualizacji i urealnienia wobec współczesnych zagrożeń.