Cyberbezpieczeństwo w nowym wydaniu – konsekwencje braku zgodności

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa wprowadza szereg nowych obowiązków i wymagań dla podmiotów kluczowych oraz ważnych. Co więcej, obowiązki te częściowo dotkną również podmiotów spoza kręgu objętego bezpośrednio nowymi przepisami. W przypadku tych drugich, konsekwencje braku zapewnienia minimalnego poziomu cyberbezpieczeństwa będą ograniczały się w zasadzie do utraty potencjalnego kontrahenta, który jako podmiot kluczowy albo ważny będzie zobowiązany do utrzymania bezpieczeństwa łańcucha dostaw ICT (tj. technologii informacyjno-komunikacyjnej). Inaczej prezentuje się sytuacja samych podmiotów kluczowych i ważnych, w stosunku do których właściwe organy mają szeroki wachlarz środków egzekwujących przestrzeganie nowych przepisów. Ustawodawca w nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa przewidział kary sięgające, w skrajnych przypadkach, nawet stu milionów złotych. Ponadto, wprowadzona została odpowiedzialność osobista kierowników podmiotów kluczowych i ważnych oraz możliwość zastosowania środków pozafinansowych wobec podmiotów kluczowych. Nowe przepisy pozwalają również na częściową eliminację określonych typów produktów, rodzajów usług lub konkretnych procesów z zakresu ICT pochodzących od dostawców wysokiego ryzyka.