Firmy objęte ustawą o krajowym systemie cyberbezpieczeństwa mają czas do 3 października, żeby wpisać się do wykazu podmiotów ważnych i kluczowych. O obowiązku może przesądzić niewielki wycinek działalności, z którego właściciel nawet nie zdaje sobie sprawy.
Nikt nie przyśle zawiadomienia
Ustawa o KSC wprowadza do polskiego prawa unijną dyrektywę NIS2. Nakłada obowiązki na podmioty zaliczane do ważnych albo kluczowych, ale nie rozsyła wezwań. Firma musi sama ocenić, czy do takiej grupy należy, i sama się zarejestrować.
To mechanizm, który nazywa się samoidentyfikacją i samorejestracją. Całe ryzyko pomyłki leży po stronie przedsiębiorcy. Termin jest jeden: 3 października.
Główny kod PKD to za mało
Tu właśnie firmy najczęściej się mylą. Sprawdzają, czym zajmują się na co dzień, widzą, że ich branża nie kojarzy się z infrastrukturą krytyczną, i zamykają temat.
„Przy samoidentyfikacji nie wystarczy sprawdzić głównego kodu PKD, trzeba przeanalizować rzeczywisty zakres całej działalności organizacji, w tym działalność poboczną i usługi wewnątrzgrupowe, bo właśnie tam często kryje się haczyk”, wyjaśnia radca prawny Aleksander Elmerych, senior associate w kancelarii Traple Konarski Podrecki i Wspólnicy, cytowany przez serwis Prawo.pl.
Usługi wewnątrzgrupowe to sytuacja, o której łatwo zapomnieć. Jedna spółka w grupie obsługuje informatycznie pozostałe, prowadzi im serwerownię albo utrzymuje system. Na papierze zajmuje się czymś zupełnie innym.
Przeoczenie niczego nie załatwia
Brak wpisu nie zwalnia z przestrzegania wymogów ustawy. Firma, która przegapi termin, i tak podlega obowiązkom, tylko dowiaduje się o tym w gorszym momencie.
Właściwy organ może wpisać podmiot do wykazu z urzędu. Może też nałożyć karę pieniężną. Różnica między samodzielnym zgłoszeniem a wpisem z urzędu jest więc całkiem konkretna.
Skala okazała się większa od szacunków
W wykazie figuruje już ponad 80 tys. podmiotów. Ponad połowa z nich to podmioty publiczne, czyli urzędy, szpitale, jednostki samorządowe. Reszta to firmy.
Ta liczba mówi sama za siebie. Regulacja objęła znacznie szerszy krąg niż zakładano, gdy przepisy powstawały, a lista wciąż rośnie.
Co zrobić w tym tygodniu
Jeżeli do tej pory nie sprawdzałeś tematu, zostało kilka dni. Warto przejść przez cztery rzeczy.
- Wypisz pełny zakres działalności firmy, nie tylko główny kod PKD. Liczy się to, co robicie naprawdę.
- Sprawdź działalność poboczną, nawet taką, która daje ułamek przychodu.
- Przejrzyj usługi świadczone innym spółkom w grupie, jeśli działasz w strukturze powiązanych podmiotów.
- Przy wątpliwościach skonsultuj się z prawnikiem. Koszt opinii jest niższy niż kara.
Analiza zajmuje zwykle jedno popołudnie. Wniosek bywa taki, że obowiązku nie ma, i wtedy sprawa jest zamknięta. Gorszy scenariusz to dowiedzieć się o obowiązku od organu.
Źródło: PAP MediaRoom, za serwisem Prawo.pl
