NIS2 в Польше: на кого распространяется новый Закон о KSC

NIS2 — это общеевропейская система кибербезопасности, установленная Директивой (ЕС) 2022/2555. Она обязывает государства-члены ЕС вводить для организаций, работающих в критически важных и цифровых секторах, требования по управлению рисками, сообщению об инцидентах и корпоративному управлению.[1] В Польше эти требования должны быть реализованы главным образом посредством поправок к Закону от 5 июля 2018 года о национальной системе кибербезопасности, обычно называемому Законом о KSC.[2]

Для бизнеса ключевой вопрос заключается не в том, является ли компания технологической. NIS2 в Польше может распространяться на организации в сфере энергетики, производства, транспорта, здравоохранения, цифровых услуг, государственного управления, обращения с отходами, производства пищевых продуктов и других секторах, указанных в Директиве. Окончательная национальная классификация, порядок регистрации и механизмы контроля будут определяться польскими имплементирующими нормами.

Поправки к Закону о KSC: какова текущая правовая ситуация?

Директива NIS2 должна была быть транспонирована в национальное законодательство до 17 октября 2024 года. Польша не завершила имплементацию к этому сроку. Поэтому текущую правовую ситуацию следует оценивать с учетом положений действующего законодательства, включая любые переходные нормы и исполнительные акты.

Тем не менее Директива уже предоставляет надежную основу для определения компаний, которые с высокой вероятностью подпадут под ее действие. Компаниям не следует ждать окончательного польского порядка регистрации, прежде чем пересматривать систему управления кибербезопасностью, договоры с IT-поставщиками, процедуры реагирования на инциденты и надзор со стороны руководства.

Польские нормы могут содержать национальные решения в отношении определений секторов, надзорных органов, сроков регистрации и санкций. Поэтому компания, ведущая деятельность в Польше, должна проверить предполагаемое применение к ней Директивы и свой статус в соответствии с Законом о KSC после внесения в него изменений.

Существенные и важные организации в Польше: основной критерий применения NIS2

NIS2 в целом распространяется на государственные и частные организации, работающие в секторах, перечисленных в приложениях I и II к Директиве, при условии, что они являются средними предприятиями или превышают этот порог. На практике это обычно означает организацию, в которой занято не менее 50 человек либо годовой оборот или годовая сумма баланса которой превышает 10 млн евро.[1]

Однако некоторые организации подпадают под действие NIS2 независимо от размера. К ним относятся поставщики публичных электронных коммуникационных сетей или общедоступных электронных коммуникационных услуг, поставщики DNS-услуг, реестры доменных имен верхнего уровня и поставщики квалифицированных доверительных услуг. В предусмотренных Директивой обстоятельствах государства-члены также могут признавать отдельные дополнительные организации существенными независимо от их размера.[1]

Директива разграничивает существенные и важные организации. Это различие имеет значение, поскольку существенные организации могут подлежать проактивному надзору, тогда как важные организации, как правило, проверяются после появления доказательств несоблюдения требований или после инцидента.

Организации, которые могут быть отнесены к существенным

К существенным организациям относятся средние и крупные предприятия, работающие в секторах высокой критичности, перечисленных в приложении I, включая:

• энергетику, транспорт, банковский сектор и инфраструктуру финансовых рынков;
• здравоохранение, снабжение питьевой водой и водоотведение;
• цифровую инфраструктуру, включая поставщиков облачных вычислений, центров обработки данных, управляемых услуг и управляемых услуг безопасности;
• управление ICT-услугами для поставщиков услуг для бизнеса;
• государственное управление на уровне центральных органов власти; а также
• организации космического сектора.

Поставщики публичных электронных коммуникационных сетей или общедоступных электронных коммуникационных услуг, поставщики DNS-услуг, реестры доменных имен верхнего уровня и поставщики квалифицированных доверительных услуг могут быть отнесены к существенным организациям независимо от размера. Окончательная классификация в Польше может зависеть от деятельности организации, структуры группы, лицензий и детальных положений обновленного Закона о KSC.

Организации, которые могут быть отнесены к важным

К важным организациям обычно относятся средние и крупные компании из секторов, перечисленных в приложении II. В их число входят почтовые и курьерские услуги, управление отходами, производство определенных критически важных товаров, химическая промышленность, производство продуктов питания, отдельные поставщики цифровых услуг, исследовательские организации и некоторые производители продукции, связанной со здравоохранением.

Производственный сектор особенно важен для международных инвесторов. NIS2 может распространяться на производителей медицинских изделий, компьютерной и электронной продукции, электрического оборудования, машин, автотранспортных средств и другого транспортного оборудования. Компания может подпадать под действие требований, даже если кибербезопасность не является основным направлением ее коммерческой деятельности.

Институциональные исключения и исключения по характеру деятельности из сферы действия NIS2

Директива не применяется к парламентам и центральным банкам государств-членов.[1] Эти институциональные исключения не следует толковать расширительно, освобождая от требований коммерческие организации, сотрудничающие с такими учреждениями.

Кроме того, NIS2 не применяется к организациям государственного управления, осуществляющим деятельность в сферах национальной безопасности, общественной безопасности, обороны или правоохранительной деятельности, включая предупреждение, расследование, выявление и уголовное преследование преступлений. Вопрос о том, подпадает ли деятельность под указанные исключения, зависит от ее фактической функции, а не только от личности акционера, клиента или государственного заказчика. Частный поставщик для государственного сектора не исключается автоматически.

Срок регистрации NIS2 в Польше и сообщение об инцидентах в CSIRT Poland

Директива обязывала государства-члены сформировать перечень существенных и важных организаций до 17 апреля 2025 года.[1] Однако она не устанавливает единый универсальный срок, в который все компании должны предоставить регистрационную информацию. Соответствующий срок и процедура определяются польским законодательством, имплементирующим Директиву, и могут различаться в зависимости от категории организации. Компании, которые могут подпадать под действие NIS2, должны подготовить данные, необходимые для регистрации, включая корпоративные сведения, информацию о секторе, ключевых услугах, контактных лицах и соответствующей цифровой инфраструктуре.

Для значительных инцидентов NIS2 устанавливает строгую модель отчетности. Организация должна направить предварительное предупреждение в течение 24 часов с момента, когда ей стало известно о значительном инциденте, уведомление об инциденте — в течение 72 часов, а окончательный отчет — не позднее одного месяца после подачи уведомления.[1] Если обработка инцидента еще продолжается, организация должна вместо окончательного отчета предоставить отчет о ходе работ, а окончательный отчет представить в течение одного месяца после завершения обработки инцидента. Польский режим определяет точный канал сообщения и компетентный орган.

В рамках действующей системы KSC национальная система CSIRT Польши включает CSIRT NASK, CSIRT GOV и CSIRT MON.[2] Выбор надлежащего порядка сообщения об инциденте зависит от типа организации, характера инцидента и окончательного законодательного распределения надзорных полномочий.

Обязанности в области кибербезопасности и ответственность правления

Статья 21 NIS2 требует от подпадающих под ее действие организаций внедрения соразмерных технических, операционных и организационных мер кибербезопасности. К ним относятся анализ рисков, обработка инцидентов, обеспечение непрерывности деятельности, безопасность цепочки поставок, управление уязвимостями, контроль доступа, шифрование в надлежащих случаях, обучение персонала и оценка эффективности мер кибербезопасности.[1]

Статья 20 требует, чтобы органы управления утверждали меры по управлению рисками кибербезопасности, контролировали их применение и проходили обучение, позволяющее выявлять киберриски.[1] Это обязанность в сфере корпоративного управления, а не только задача IT-отдела.

Обязанности в области кибербезопасности и ответственность членов правления должны тщательно оцениваться с учетом польского корпоративного и гражданского права. NIS2 требует от государств-членов обеспечить возможность привлечения органов управления к ответственности за нарушения, допущенные организациями, которыми они управляют, в соответствии с национальным правом. Директива не создает автоматически личную уголовную ответственность каждого члена правления после любого инцидента. Риски могут возникать, если управленческие недостатки нарушают установленные законом обязанности, причиняют ущерб, препятствуют действиям регулирующих органов или пересекаются с составами преступлений, предусмотренными польским уголовным законодательством. Каждая оценка зависит от конкретных обстоятельств.

Штрафы NIS2 в Польше и последствия для бизнеса

Согласно статье 34 NIS2, государства-члены должны предусмотреть административные штрафы в размере не менее 10 млн евро или 2% общемирового годового оборота — в зависимости от того, какая сумма выше, — для существенных организаций, а также не менее 7 млн евро или 1,4% общемирового годового оборота для важных организаций.[1] Окончательный размер штрафов NIS2 в Польше будет зависеть от принятой поправки к Закону о KSC.

Финансовые санкции — лишь один из рисков. Сбой в сфере кибербезопасности может нарушить операционную деятельность, повлечь договорные претензии, привести к раскрытию конфиденциальных данных, задержке сделок и ущербу для репутации компании. Поэтому ранний анализ применимости требований NIS2 является практической мерой по обеспечению соответствия требованиям и непрерывности деятельности.

Этот материал носит информационный характер и не является юридической консультацией. Для индивидуальной оценки рисков, связанных с NIS2, корпоративным управлением и обязанностями по Закону о KSC, свяжитесь с Lawyersinpoland.com by Kopeć & Zaborowski.

FAQ — NIS2 в Польше

Распространяется ли NIS2 в Польше только на IT-компании?

Нет. NIS2 охватывает широкий круг критически важных и значимых секторов, включая энергетику, здравоохранение, транспорт, производство, пищевую промышленность, управление отходами и определенные цифровые услуги.

Когда вступят в силу поправки к Закону о KSC?

Дата вступления в силу зависит от принятого польского законодательства и его переходных положений. Компании должны отслеживать текст, опубликованный в «Законодательном вестнике» (Dziennik Ustaw), а не полагаться исключительно на сроки, указанные в законопроектах.

Каков срок регистрации NIS2 в Польше?

Директива требовала, чтобы государства-члены сформировали списки существенных и важных организаций до 17 апреля 2025 года, но не устанавливает единый срок предоставления регистрационной информации для всех компаний. Срок и процедура регистрации должны быть подтверждены на основании обновленного Закона о KSC и исполнительных норм.

О каких инцидентах необходимо сообщать согласно NIS2?

Сообщению подлежат значительные инциденты. Это инциденты, которые вызвали или могут вызвать серьезное нарушение операционной деятельности либо финансовые убытки для соответствующей организации, а также те, которые затронули или могут затронуть других физических или юридических лиц, причинив им значительный материальный или нематериальный ущерб.

Может ли правление нести ответственность за нарушения в области кибербезопасности?

Органы управления должны утверждать меры кибербезопасности и контролировать их реализацию. Личная ответственность по польскому праву зависит от фактических обстоятельств, применимых корпоративных обязанностей, наличия ущерба, выводов регулирующих органов и возможных элементов уголовного права.

Каковы максимальные штрафы NIS2 в Польше?

NIS2 требует, чтобы государства-члены предусмотрели штрафы в размере не менее 10 млн евро или 2% общемирового годового оборота — в зависимости от того, какая сумма выше, — для существенных организаций, а также 7 млн евро или 1,4% общемирового годового оборота для важных организаций. Окончательный польский режим санкций устанавливается национальным законодательством.

Библиография

[1] Директива (ЕС) 2022/2555 Европейского парламента и Совета от 14 декабря 2022 года о мерах по обеспечению высокого общего уровня кибербезопасности на территории Союза, вносящая изменения в Регламент (ЕС) № 910/2014 и Директиву (ЕС) 2018/1972 и отменяющая Директиву (ЕС) 2016/1148, Официальный журнал Европейского союза L 333, 27 декабря 2022 года, стр. 80–152.

[2] Закон от 5 июля 2018 года о национальной системе кибербезопасности, сводный текст: Законодательный вестник за 2024 год, поз. 1077, с изменениями.

[3] EUR-Lex, Директива (ЕС) 2022/2555, включая консолидированную и официальные языковые версии акта.