Nowe przepisy o cyberbezpieczeństwie

1. Obowiązki samoidentyfikacji – nieznajomość prawa nie usprawiedliwia

Przedsiębiorcy często nie zdają sobie sprawy, że regulacje cybernetyczne już dawno nie dotyczą wyłącznie dużych graczy z infrastruktury krytycznej. Nowa czeska ustawa o cyberbezpieczeństwie (ustawa nr 264/2025 Sb., dalej „ZKB”) obejmuje znacznie szersze spektrum przedsiębiorstw, od dostawców usług cyfrowych po zakłady produkcyjne, a tym bardziej spółki będące częścią strategicznych łańcuchów dostaw.

Przeprowadzenie samoidentyfikacji i rejestracja usługi regulowanej to podstawowy obowiązek wynikający z nowych przepisów. Urząd nie przyjdzie do Państwa ani nie wyśle wiadomości do skrzynki danych: „Dzień dobry, nowe przepisy Państwa dotyczą, muszą Państwo zrobić dokładnie to (…).” Kompleksową identyfikację skutków zupełnie nowej regulacji spółki muszą przeprowadzić samodzielnie – i muszą to zrobić prawidłowo.

2. Ocena usług regulowanych: nie zapominajcie o działalności dodatkowej

Jednym z najczęstszych błędów przy samoidentyfikacji jest nieprawidłowa ocena, czy Państwa spółka świadczy usługi regulowane. ZKB obejmuje całą gamę działalności w obszarach, które mają znaczenie strategiczne lub są krytyczne dla funkcjonowania społeczeństwa.

W procesie samoidentyfikacji spółki często oceniają jedynie swoją działalność podstawową i pomijają działalność poboczną lub pomocniczą, która może różnić się od podstawowej, a mimo to podlegać regulacji. Zawsze konieczne jest ocenienie każdej faktycznie wykonywanej działalności pod kątem tego, czy stanowi ona usługę regulowaną w rozumieniu nowych przepisów.

3. Prawidłowa ocena wielkości przedsiębiorstwa: pamiętajcie o całej strukturze

Wielkość spółki to kolejne kryterium decydujące o tym, czy nowa ustawa ma do Państwa zastosowanie. Wiele firm błędnie interpretuje przepisy, na przykład zaniżając liczbę swoich pracowników lub nieprawidłowo oceniając wskaźniki finansowe.

Ustawa uwzględnia również przedsiębiorstwa powiązane – jeśli są Państwo częścią większej grupy, regulacja może Państwa dotyczyć, nawet jeśli na pierwszy rzut oka nie spełniają Państwo wymogów co do liczby pracowników czy obrotu. Przykładowo mała spółka zależna dużej korporacji może podlegać regulacji ze względu na swoje powiązania.

Prawidłowa ocena wielkości przedsiębiorstwa jest kluczowym krokiem, który pozwoli jasno określić, jakie obowiązki na Państwa spoczywają.

Kluczowe kroki do zapewnienia zgodności z regulacją. Jeśli chcą Państwo mieć pewność, że spełnią wszystkie wymogi nowej ustawy o cyberbezpieczeństwie, warto skupić się na następujących krokach:

1. Weryfikacja sektora: Należy ustalić, czy działają Państwo w sektorach regulowanych, takich jak produkcja, energetyka czy infrastruktura cyfrowa.
2. Analiza wielkości spółki: Należy ocenić wszystkie parametry wielkości przedsiębiorstwa, w tym powiązania ze spółkami dominującymi.
3. Reżim środków: Po przeprowadzeniu samoidentyfikacji należy ustalić, czy przepisy w ogóle Państwa nie dotyczą, czy też będą Państwo musieli wypełniać obowiązki reżimu niższego lub wyższego.
4. Analiza luk: Należy ustalić, jaka jest różnica między obecnymi środkami a środkami, które będą Państwo zobowiązani wdrożyć.
5. Zapewnienie zasobów: Z wyprzedzeniem warto zabezpieczyć finanse, ekspertów i czas na wdrożenie. Po wejściu ustawy w życie zasoby te będą prawdopodobnie deficytowe. Warto współpracować z ekspertami, którzy pomogą zidentyfikować luki i usunąć je na czas.
6. Śledzenie rozwoju sytuacji: Należy regularnie śledzić zmiany legislacyjne i weryfikować swoje wstępne wnioski.

Nowa ustawa o cyberbezpieczeństwie wprowadza zasadnicze zmiany, które wymagają starannego przygotowania. Przeprowadzając samoidentyfikację na czas, zyskają Państwo przewagę konkurencyjną na rynku, zapewnią sobie wystarczające zasoby i zminimalizują ryzyka.

Jeśli potrzebują Państwo pomocy przy wstępnej samoidentyfikacji lub chcą zweryfikować poprawność swoich wniosków, zapraszamy do kontaktu.