Producenci lodów i gum do żucia pod ochroną? Wątpliwości wokół dyrektywy UE

Unijna dyrektywa NIS2 o cyberbezpieczeństwie została uchwalona w 2022 r. W Polsce nowe przepisy obowiązują od 3 kwietnia 2026 r., ale są wdrażane etapami. Dotyczą cyberbezpieczeństwa firm działających w kluczowych i ważnych sektorach gospodarki. Ich celem jest zwiększenie odporności państwa i przedsiębiorstw na cyberzagrożenia oraz zapewnienie ciągłości działania usług.

Unijne prawo nakłada obowiązki w zakresie zarządzania ryzykiem, zgłaszania incydentów i organizacji bezpieczeństwa IT. W Polsce przepisy te zostały wdrożone przez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa. Od 7 maja przedsiębiorcy wnioskują o wpisanie do Krajowego Systemu Cyberbezpieczeństwa. Mają na to czas do końca października. Obowiązek ten dotyczy firm działających w 18 sektorach uznanych za kluczowe dla gospodarki oraz zatrudniających co najmniej 50 pracowników lub osiągających roczne przychody na poziomie co najmniej 10 mln euro.

Lody, gumy i lampki pod specjalną ochroną?

Niektóre zapisy dyrektywy NIS2 budzą poważne wątpliwości. Prawnicy, na których powołał się serwis Politico, wskazali, że sposób interpretacji przepisów pozwala na zaliczenie do nich zaskakujących sektorów. W niektórych krajach Unii Europejskiej regulacje mogą objąć nietypowe firmy.

Przykładowo producenci lodów i hurtownie gum do żucia mogą zostać zaliczeni do sektora produkcji, przetwórstwa i dystrybucji żywności. Uzasadnienie jest następujące: skuteczny cyberatak na łańcuch dostaw mógłby zagrozić bezpieczeństwu zaopatrzenia ludności. To jednak nie wszystko.

Do kategorii usług pocztowych i produkcji chemikaliów mogą trafić producenci lampek bożonarodzeniowych. Szkoły wyposażone w instalacje fotowoltaiczne mogą zaliczać się do producentów energii. Natomiast w Niemczech właściciele dużej liczby mieszkań, którzy udostępniają najemcom łączę kablowe lub internetowe w ramach opłat eksploatacyjnych, mogą zostać uznani za dostawców usług telekomunikacyjnych.

Zakwalifikowanie do infrastruktury krytycznej nakłada na dany podmiot dodatkowe obowiązki i koszty. Anonimowy urzędnik Komisji Europejskiej, cytowany przez portal Politico, zapewnił, że istnieją mechanizmy, które pozwolą na zwolnienie z nowych regulacji małych przedsiębiorstw.