Cyberbezpieczeństwo na nowych zasadach

2 godzin temu

Cel zmian

Celem ustawy z 25.6.2025 r. o krajowym systemie certyfikacji cyberbezpieczeństwa (Dz.U. z 2025 r. poz. 1017; dalej: SystCertCyberbU) jest dostosowanie polskiego porządku prawnego do obowiązków wynikających z rozporządzenia Parlamentu Europejskiego i Rady (UE) 2019/881 z 17.4.2019 r. w sprawie ENISA (Agencji Unii Europejskiej do spraw Cyberbezpieczeństwa) oraz certyfikacji cyberbezpieczeństwa w zakresie technologii informacyjno-komunikacyjnych oraz uchylenia rozporządzenia (UE) nr 526/2013 (akt o cyberbezpieczeństwie) (Dz.U. UE L z 7.6.2019 r. Nr 151, s. 15).

Zakres wprowadzonych rozwiązań

SystCertCyberbU określa:

organizację krajowego systemu certyfikacji cyberbezpieczeństwa,
zadania i obowiązki podmiotów wchodzących w skład tego systemu,
sposób sprawowania nadzoru nad działalnością podmiotów tego systemu, kontroli działalności tych podmiotów oraz koordynacji ich działalności.

Co więcej, SystCertCyberbU zmierza do podniesienia poziomu odporności systemów informacyjnych administracji publicznej i sektora prywatnego oraz osiągnięcia umiejętności skutecznego zapobiegania i reagowania na incydenty. Ponadto wprowadza ona szereg definicji odwołujących się do Rozporządzenia 2019/881/UE oraz innych aktów prawa unijnego, co ma zapewnić niezbędną precyzję wykorzystywanych sformułowań oraz zapobiegać powstaniu ewentualnych wątpliwości interpretacyjnych.

Krajowy System Certyfikacji Cyberbezpieczeństwa

Zgodnie z art. 3 ust. 1 SystCertCyberbU krajowy system certyfikacji cyberbezpieczeństwa będzie stanowił zbiór podmiotów, o których mowa w art. 3 ust. 2 SystCertCyberbU, tj.:

minister adekwatny do spraw informatyzacji,
Polskie Centrum Akredytacji (dalej: PCA),
jednostki oceniające zgodność,
dostawcy, którzy poddają swoje produkty ICT, usługi ICT, procesy ICT lub usługi zarządzane w zakresie bezpieczeństwa ocenie zgodności w ramach danego europejskiego programu certyfikacji cyberbezpieczeństwa albo danego krajowego schematu certyfikacji cyberbezpieczeństwa,
osoby fizyczne, które poddają swoją wiedzę i umiejętności praktyczne ocenie zgodności w ramach danego krajowego schematu certyfikacji cyberbezpieczeństwa,
podmioty, które poddają wykorzystywane przez siebie systemy zarządzania cyberbezpieczeństwem ocenie zgodności w ramach danego krajowego schematu certyfikacji cyberbezpieczeństwa

oraz procedur związanych z certyfikacją produktów ICT, usług ICT, procesów ICT lub usług zarządzanych w zakresie bezpieczeństwa, w ramach europejskich programów certyfikacji cyberbezpieczeństwa albo krajowych schematów certyfikacji cyberbezpieczeństwa i procedur w zakresie certyfikacji systemów certyfikacji cyberbezpieczeństwa lub osób fizycznych w ramach krajowych schematów certyfikacji cyberbezpieczeństwa.

Podmioty, działające w ramach ww. systemu będą – jak wskazuje ustawodawca w uzasadnieniu do SystCertCyberbU, dostępnym na stronie internetowej Sejmu RP (druk sejmowy nr 1238) – wspólnie przyczyniać się do poprawy standardów cyberbezpieczeństwa produktów i usług dostępnych na rynku oraz rozwiązań takich jak security by design.

Krajowy system certyfikacji cyberbezpieczeństwa będzie uzupełnieniem europejskiego systemu cyberbezpieczeństwa. Stworzy precyzyjny system oceny produktów ICT, usług ICT, procesów ICT oraz usług zarządzanych w zakresie bezpieczeństwa, dzięki czemu identyfikowane będą produkty spełniające najlepsze standardy w dziedzinie cyberbezpieczeństwa.

Krajowy schemat certyfikacji cyberbezpieczeństwa

Art. 2 pkt 13 SystCertCyberbU definiuje i pozwala również tworzyć krajowe schematy certyfikacji cyberbezpieczeństwa (w obszarach nieobjętych europejskimi programami certyfikacji cyberbezpieczeństwa). Krajowe schematy certyfikacji cyberbezpieczeństwa będą mogły dotyczyć również systemów zarządzania cyberbezpieczeństwem oraz osób fizycznych.

Art. 5 SystCertCyberbU przewiduje, iż certyfikacja produktów ICT, usług ICT, procesów ICT i usług zarządzanych w zakresie bezpieczeństwa będzie odbywać się dobrowolnie, na podstawie umowy zawartej między dostawcą a jednostką oceniającą zgodność. Przedmiotowa umowa będzie podstawą wzajemnych zobowiązań między jednostką oceniającą zgodność a jej klientami. Art. 5 ust. 3 SystCertCyberbU wskazuje minimalne elementy, jakie będzie musiała określać umowa o certyfikację.

Cyberbezpieczeństwo przedsiębiorców

Co warto podkreślić, SystCertCyberbU nie nakłada żadnych dodatkowych obowiązków na podmioty niezainteresowane uczestnictwem w tym systemie. Przyjęty model nie tworzy też barier dostępu do rynku. Przyjęcie przepisów o krajowym systemie certyfikacji cyberbezpieczeństwa będzie – zdaniem ustawodawcy – miało korzystne skutki dla całego sektora przedsiębiorstw, z uwagi choćby na tę okoliczność, iż w tej chwili firmy ponoszą coraz większe straty w wyniku działalności cyberprzestępców. Wprowadzenie certyfikacji w dziedzinie cyberbezpieczeństwa sprawi, iż firmy uzyskają lepszy dostęp do rozwiązań gwarantujących najwyższy poziom bezpieczeństwa, a tym samym zapobiegnie ww. stratom. Ponadto samo zbudowanie systemu certyfikacji cyberbezpieczeństwa przyczyni się do wzrostu świadomości w omawianym obszarze. W efekcie straty ponoszone przez sektor przedsiębiorstw powinny ulec zmniejszeniu.

Rola Polskiego Centrum Akredytacji

Zgodnie z wolą ustawodawcy, wyrażoną w art. 17 ust. 1 SystCertCyberbU, istotną rolę w krajowym systemie certyfikacji cyberbezpieczeństwa będzie odgrywało Polskie Centrum Akredytacji. PCA będzie bowiem sprawowało nadzór w zakresie udzielonej akredytacji nad jednostkami oceniającymi zgodność w obszarze objętym danym europejskim programem certyfikacji cyberbezpieczeństwa albo danym krajowym schematem certyfikacji cyberbezpieczeństwa. Podstawą działania PCA w tym zakresie będzie rozdział 4 ustawy z 13.4.2016 r. o systemach oceny zgodności i nadzoru rynku (t.j. Dz.U. z 2025 r. poz. 568). Jednostki oceniające zgodność będą mogły prowadzić ocenę zgodności i wydawać certyfikaty w ramach krajowych schematów certyfikacji cyberbezpieczeństwa oraz europejskich programów certyfikacji cyberbezpieczeństwa. Przyjęty model zakłada, iż będą one mogły wydawać certyfikaty odnoszące się do wszystkich poziomów zaufania, o których mowa w Rozporządzeniu 2019/881/UE. Minister będzie natomiast wyrażał zgodę na wydanie certyfikatów odwołujących się do poziomu zaufania „wysoki”.