ustawa o cyberbezpieczeństwie

1. Zgłaszanie incydentów RODO i KSC powinno opierać się na jednej, spójnej procedurze, która pozwala szybko ustalić, czy zdarzenie stanowi naruszenie ochrony danych osobowych, incydent w rozumieniu uKSC, czy zdarzenie hybrydowe podlegające obu regulacjom.
2. Procedura reagowania na incydenty powinna uwzględniać współpracę inspektora ochrony danych, działu IT i innych odpowiedzialnych osób, a także terminy zgłoszeniowe: 24 godziny na wczesne ostrzeżenie o incydencie poważnym oraz 72 godziny na zgłoszenia wymagane przez RODO i przepisy o Krajowym Systemie Cyberbezpieczeństwa.
3. Dokumentacja incydentu przygotowywana dla Prezesa UODO i właściwego CSIRT musi być spójna pod względem opisu zdarzenia, czasu jego wystąpienia, skutków oraz podjętych działań naprawczych, nawet jeżeli zakres informacji wymaganych przez RODO i uKSC jest różny.

• Rozszerzony katalog podmiotów KSC: Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa wdraża dyrektywę NIS 2, obejmując sektory jak energia, transport, bankowość, ochrona zdrowia, ICT i produkcja; podział na podmioty kluczowe (duży wpływ systemowy) i ważne wymaga samoidentyfikacji na podstawie skali działalności i roli w łańcuchach dostaw.
• Obowiązki i samoidentyfikacja: Podmioty objęte KSC muszą wdrożyć zarządzanie ryzykiem cyberbezpieczeństwa, raportowanie incydentów do CSIRT, polityki bezpieczeństwa i ciągłości działania; kierownictwo ponosi odpowiedzialność, a brak samooceny grozi sankcjami podczas kontroli.
• Zasada proporcjonalności i praktyka biznesowa: Obowiązki dostosowane do skali (rygorystyczne dla kluczowych), analogia do RODO; przedsiębiorcy powinni weryfikować status dynamicznie, zwłaszcza w ochronie zdrowia i ICT, przygotowując SZBI i relacje z dostawcami.

Ewa Lewańska

radca prawny specjalizujący się w przepisach dot. ochrony danych osobowych