Cyberpolisa to nie wszystko. W jaki sposób chronić firmę i zarząd po ataku

Od 3 kwietnia br. obowiązuje nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC), wdrażająca dyrektywę NIS2. Nowe przepisy przenoszą odpowiedzialność za cyberbezpieczeństwo wprost na kierowników podmiotów kluczowych i ważnych, a w spółkach – w praktyce często na członków zarządu. Znowelizowana ustawa z 5 lipca 2028 r. o KSC objęła rygorystycznymi obowiązkami kilkanaście sektorów gospodarki, dzieląc adresatów przepisów na podmioty kluczowe i ważne. Organizacje musiały dokonać wpisu do wykazu prowadzonego przez ministra cyfryzacji do 3 października 2026 r., a na pełne wdrożenie systemu zarządzania bezpieczeństwem informacji mają czas do 3 kwietnia 2027 r. Do tego dochodzi obowiązek podłączenia do systemu S46 oraz w przypadku części podmiotów kluczowych pierwszy obowiązkowy audyt cyberbezpieczeństwa do 3 kwietnia 2028 r. Sankcje ukształtowano na wzór RODO: Dla podmiotu kluczowego kara może sięgnąć 10 mln euro albo 2 proc. przychodów z działalności gospodarczej w roku obrotowym poprzedzającym wymierzenie kary, a dla podmiotu ważnego 7 mln euro albo 1,4 proc. takich przychodów.