Ustawa o cyberbezpieczeństwie: kogo dotyczy i do kiedy

Kogo dotyczy ustawa?

W przypadku większości regulowanych usług decyduje połączenie dwóch rzeczy: co firma świadczy i jak jest duża. Zazwyczaj musi to być co najmniej średnie przedsiębiorstwo w rozumieniu zalecenia Komisji Europejskiej 2003/361/WE, więc ani sama wielkość, ani sama branża nie wystarczą.

Wielkość nie jest jednak warunkiem uniwersalnym i to najczęstszy powód, dla którego firma mówi sobie „nas to nie dotyczy” i przestaje czytać. W przypadku niektórych usług decydują inne kryteria istotności, a wielkość nie odgrywa żadnej roli: dotyczy to na przykład dostawców usług DNS, rejestru domeny najwyższego poziomu i administracji publicznej.

Liczbę firm można po raz pierwszy oprzeć na danych. NÚKIB spodziewał się, że ustawą zostanie objętych około sześciu tysięcy organizacji; do 8 lutego 2026 r. zgłoszenia dokonało 4 825 z nich (otwiera się w nowym oknie), choć termin upłynął z końcem 2025 roku. Owe sześć tysięcy to szacunek wielkości regulowanej populacji, a nie lista konkretnych firm, więc tych dwóch liczb nie można po prostu od siebie odjąć. Urząd sam jednak wyciąga z nich wniosek, że część podmiotów spełniających kryteria nie dokonała jeszcze zgłoszenia.

Jakie terminy biegną dla firmy?

Trzy, a każdy liczy się od innego zdarzenia. To w nich najczęściej się przeocza: nie uruchamia ich data wejścia ustawy w życie, lecz to, co wydarzy się w Państwa firmie.

• Zgłoszenie do NÚKIB w ciągu 60 dni od dnia, w którym firma spełni warunki (§ 6 ust. 1). Kto spełniał je w dniu wejścia ustawy w życie, miał dokonać zgłoszenia do końca 2025 roku.
• Wdrożenie środków bezpieczeństwa w ciągu roku od dnia doręczenia firmie decyzji o rejestracji (§ 13 ust. 4). Rok nie biegnie więc od listopada 2025, lecz od decyzji urzędu.
• Zgłoszenie incydentu, który podlega zgłoszeniu: wstępne zgłoszenie bez zbędnej zwłoki, najpóźniej w ciągu 24 godzin od wykrycia (§ 16). W przypadku incydentu o istotnym wpływie następuje potem powiadomienie ze wstępną oceną w ciągu 72 godzin i raport końcowy w ciągu 30 dni.

Najostrzejszy z nich to owe 24 godziny, ponieważ nie liczy się ich od chwili, gdy firma ma jasność, lecz od wykrycia incydentu. W praktyce oznacza to, że trzeba z góry wiedzieć, kto wyśle zgłoszenie, skąd weźmie dane i kto może go w tym momencie zastąpić. To, które incydenty w ogóle się zgłasza, różni się przy tym w zależności od reżimu (§ 15), więc i to pytanie zaczyna się od kwalifikacji. Pełne brzmienie terminów i obowiązków znajduje się w ustawie nr 264/2025 Sb. (otwiera się w nowym oknie), która w Czechach zastąpiła regulację z 2014 roku i którą transponowano europejską dyrektywę NIS2.

Co oznacza reżim wyższych i niższych obowiązków?

Ustawa nie dzieli firm na regulowane i nieregulowane, lecz na dwie grupy w ramach regulacji. Zakres obowiązków różni się w zależności od tego, jak istotna jest usługa i jak duża firma ją świadczy, a dla każdego reżimu obowiązuje własne rozporządzenie wykonawcze: 409/2025 Sb. dla wyższych obowiązków i 410/2025 Sb. dla niższych.

Obowiązuje przy tym zasada, która zaskakuje firmy świadczące kilka usług: jedna organizacja ma jeden reżim. Gdy choć jedna z Państwa regulowanych usług trafi do reżimu wyższego, reżim wyższy obowiązuje dla wszystkich pozostałych. Do reżimu niższego NÚKIB wydał podręcznik z praktycznymi przykładami (otwiera się w nowym oknie) wdrażania środków.

Co rozumie się przez środki bezpieczeństwa?

Nie zakup narzędzia. Oba rozporządzenia opisują środki organizacyjne i techniczne, więc oprócz zabezpieczenia sprzętu chodzi o to, kto w firmie odpowiada za bezpieczeństwo, jak zarządza się ryzykiem, jak pracuje się z dostawcami i jak szkoli się ludzi.

Konkretna dokumentacja zależy od reżimu i to kolejny powód, dla którego zaczyna się od kwalifikacji. Rozporządzenie dla reżimu wyższego wymaga między innymi raportu z oceny ryzyka, planu postępowania z ryzykiem, planów ciągłości działania i odtwarzania, zapisów z audytów oraz deklaracji stosowania, czyli zestawienia, które środki firma wdrożyła, których nie i dlaczego (§ 8). W reżimie niższym zakres jest mniejszy.

Wspólne dla obu reżimów jest to, że dokumentuje się również pracę z ludźmi. Szkolenie pracowników jest środkiem jak każdy inny i podczas kontroli wykazuje się je tak samo jak konfigurację sprzętu, więc ze szkolenia musi pozostać zapis, który da się poddać audytowi.

Jak wysokie są kary?

W przypadku najpoważniejszych wykroczeń kara może sięgnąć 250 milionów CZK lub 2% całkowitego światowego rocznego obrotu w reżimie wyższych obowiązków oraz 175 milionów CZK lub 1,4% obrotu w reżimie niższym. W obu przypadkach decyduje ta z dwóch kwot, która okaże się wyższa, więc w dużej firmie górnej granicy sankcji nie wyznacza stała kwota, lecz procent obrotu. W przypadku mniej poważnych uchybień granice są niższe. To jest pułap, a nie taryfikator: ustawa nie mówi, ile płaci się za konkretne uchybienie, a kto twierdzi inaczej, wylicza to sobie sam.

Bardziej praktyczne spojrzenie jest takie, że kara to dopiero druga szkoda. Pierwsza przychodzi z samego incydentu i z tego, że firma się na niego nie przygotowała: z przestoju, z danych, których nie da się odtworzyć, i ze zgłoszenia pisanego pod presją 24 godzin.

Od czego zacząć, gdy nie wiedzą Państwo, czy to Państwa dotyczy?

Pierwszym krokiem jest ustalenie kwalifikacji, a nie zakup technologii. Od tego zaczyna się analiza GAP od Securent: ocenia, czy i w jakim reżimie ustawa dotyczy Państwa firmy, oraz sprawdza stan procesów i dokumentacji, środki organizacyjne i techniczne, środowisko ICT, łańcuch dostaw, RODO, szkolenia i ochronę fizyczną. Wynikiem są trzy dokumenty: raport menedżerski dla zarządu, uzasadnienie z analizą luk i roadmapa z kolejnością kroków.

Drugie częste pytanie brzmi, czy z powodu regulacji trzeba kogoś zatrudnić. Nie trzeba: menedżera, architekta i audytora cyberbezpieczeństwa oraz IOD można wynająć, co na rynku, na którym takich ludzi jest mało, jest zwykle szybszą drogą niż rekrutacja. Czego wynająć nie można, to odpowiedzialność. Obowiązki ustawowe pozostają po stronie Państwa organizacji, niezależnie od tego, kto je wykonuje.

Kto zajmuje się jednocześnie eksploatacją sieci i urządzeń końcowych, znajdzie jedno i drugie w kategorii Cyberbezpieczeństwo, gdzie Securent stoi obok usług ICT.