Od początku roku tylko do września 2018 w polskiej sieci doszło do ponad 2,5 tysiąca incydentów związanych z naruszeniem bezpieczeństwa (dane NASK). Teraz atak cyberprzestępcy będzie kosztował przedsiębiorców jeszcze więcej.
Zgodnie z ustawą o krajowym systemie cyberbezpieczeństwa, która weszła w życie 28.08.2018 r., sankcje finansowe grożą OUK – objętym ustawą operatorom usług kluczowych oraz osobom zajmującym kierownicze stanowiska, którzy nie dopełnili swoich obowiązków.
Problemy z interpretacją przepisów ustawy o krajowym systemie cyberbezpieczeństwa oraz bardzo krótki czas na wypełnienie zadań nałożonych przez ustawodawcę przysporzą przedsiębiorcom sporo problemów. Kary finansowe za niewykonanie obowiązków wynikających z ustawy grożą zarówno firmom objętym legislacją, jak i osobom zajmującym kierownicze stanowiska.
Najbardziej zagrożone sektory
Oczywiście zdecydowana większość firm objętych ustawą już posiada odpowiednie wdrożenia oraz własne zespoły ludzi czuwających nad ochroną infrastruktury – to przede wszystkim sektor bankowości, finansów i operatorzy sieci. Natomiast brakuje rzetelnych danych, które pokazywałyby na ile bezpieczne są systemy wykorzystywane przez urzędy i jak często jednostki administracji publicznej stykają się z zagrożeniami.
– Publicznie niewiele wiadomo o stanie bezpieczeństwa w przedsiębiorstwach energetycznych, transportowych i z sektora zdrowotnego. Ukrywanie tych informacji przez organizacje zazwyczaj sugeruje, że poziom bezpieczeństwa jest niższy niż byśmy sobie życzyli. Zachowują takie informacje dla siebie w obawie o negatywną krytykę społeczeństwa oraz ściągniecie na siebie większej uwagi cyberprzestępców. Dlatego mierzymy się dzisiaj także z wyzwaniem kulturowym, wymagającym zrozumienia i zaakceptowania tego, że choć cyberbezpieczeństwo nie generuje bezpośrednich zysków, służy do minimalizowania strat finansowych oraz reputacyjnych w przypadku skutecznego ataku hakerskiego – komentuje Dawid Bałut, CEO TestArmy CyberForces.
Trzy miesiące na wdrożenie przepisów
Do tej pory brakowało regulacji państwowych w kwestii cyberbezpieczeństwa. Dlatego, choć dla części przedsiębiorców jest to temat nowy, jego realizacja nie może być rozciągnięta w czasie. Wdrożenia rozwiązań poprawiających stan bezpieczeństwa oczekuje się już teraz. Za niewykonanie obowiązków – grożą kary finansowe.
Odliczanie czasu rozpoczyna się w momencie otrzymania decyzji administracyjnej o uznaniu podmiotu za operatora usług kluczowych (OUK) i wpisania go do wykazu – organy państwowe miały na to czas do 9 listopada 2018 r. Od tego dnia przedsiębiorstwo ma zaledwie trzy miesiące na wdrożenie rozwiązań, które będą umożliwiać dokonywanie szacunku ryzyka dla usług kluczowych. Musi też być w stanie sprawnie zarządzać, zgłaszać i usuwać wszystkie incydenty związane z bezpieczeństwem, posiadać osobę odpowiedzialną na cyberbezpieczeństwo i prowadzić aktywne działania edukacyjne wobec użytkowników.
- Na tym nie koniec obowiązków. Ustawa daje podmiotom sześć miesięcy na wdrożenie adekwatnych do oszacowanego ryzyka środków technicznych i organizacyjnych pozwalających zbierać dane o zagrożeniach i podatnościach. Organizacja musi też już stosować środki, które będą zapobiegać incydentom i minimalizować skutki potencjalnego nadużycia systemów.
- Po dwunastu miesiącach od otrzymania decyzji, podmiot musi przygotować i przekazać pierwszy kompletny audyt.
Posypią się kary?
Obowiązków jest sporo, a proces ich wdrożenia trudny, wysoce niestandardowy, wymagający specjalistycznej wiedzy i doświadczenia. Tymczasem kary finansowe za niedopełnienie obowiązków wynikających z ustawy wynoszą od tysiąca do nawet miliona złotych.
- 200 tys. zł zapłacą firmy, które nie przeprowadziły audytu lub nie wykonały zaleceń pokontrolnych w wyznaczonym terminie.
- 150 tys. zł – gdy OUK nie będzie systematycznie przeprowadzał zarządzania ryzykiem wystąpienia incydentu i szacowania takiego ryzyka.
- 100 tys. zł grozi w momencie niewdrożenia środków technicznych i organizacyjnych uwzględniających wymagania ustawy.
- Karami finansowymi objęte są również osoby zajmujące kierownicze stanowiska, które nie dopełnili swoich obowiązków – do 200% miesięcznego wynagrodzenia.
- Minimalna kara finansowa wynosi tysiąc złotych. Maksymalna – 1 milion złotych! Taka sankcja grozi w przypadku stwierdzenia uporczywego naruszania przepisów ustawy.
