„Jesteśmy za mali, więc przepisy o cyberbezpieczeństwie nas nie dotyczą” – takie podejście może okazać się ryzykowne w przypadku przedsiębiorców działających w sektorach objętych ustawą o krajowym systemie cyberbezpieczeństwa. Sama liczba pracowników, wysokość przychodów czy wielkość bilansu nie zawsze wystarczą do zakończenia analizy. Kluczowe znaczenie ma prawidłowa samoidentyfikacja, czyli samodzielne ustalenie przez przedsiębiorcę, czy spełnia przesłanki objęcia obowiązkami wynikającymi z ustawy.

Najpierw samoidentyfikacja

Nowy model opiera się na samoidentyfikacji. To sam podmiot powinien ustalić, czy spełnia przesłanki uznania go za podmiot kluczowy albo ważny. Przede wszystkim należy ustalić rzeczywiście prowadzoną działalność pod kątem zakwalifikowania do sektorów wskazanych w ustawie. Kody PKD mogą być pomocne, ale nie zastąpią oceny tego, czym przedsiębiorstwo faktycznie się zajmuje.

Jeżeli rodzaj działalności mieści się w sektorze objętym ustawą, ale przedsiębiorca nie spełnia kryterium wielkości, wnioskiem z przeprowadzonej analizy może być stwierdzenie braku obowiązku wpisu do wykazu. Taki wniosek należy jednak uzasadnić i udokumentować. Wewnętrzna analiza pozwala wykazać, jakie dane i przepisy zostały uwzględnione oraz dlaczego spółka przyjęła, że na dany moment nie jest podmiotem kluczowym ani ważnym.

Przyjęty model samoidentyfikacji zakłada, że to sami przedsiębiorcy mają obowiązek przeanalizowania, czy muszą wypełnić obowiązki związane z cyberbezpieczeństwem. Regulator może kontrolować, czy samoidentyfikacja została przeprowadzona prawidłowo. Jeżeli dojdzie do przeciwnego wniosku i uzna, że podmiot powinien zgłosić się do wykazu, przedsiębiorcy grożą wysokie kary administracyjne.

Przeprowadzenie dogłębnej analizy ma znaczenie także dlatego, że od kryterium wielkości istnieją wyjątki. Niektóre podmioty są objęte ustawą niezależnie od swojej skali. W określonych przypadkach organ właściwy do spraw cyberbezpieczeństwa może uznać podmiot za kluczowy albo ważny w drodze decyzji. Samo stwierdzenie, że przedsiębiorstwo jest małe, nie wystarcza więc do zakończenia analizy.

Jedna analiza nie wystarczy na zawsze

Zgodnie z art. 5 ust. 5 uKSC, jeżeli status podmiotu zależy od jego wielkości, przesłanki uznania go za podmiot kluczowy albo ważny bada się według stanu na dzień sporządzenia sprawozdania finansowego. W praktyce oznacza to, że po sporządzeniu kolejnego sprawozdania trzeba wrócić do samoidentyfikacji i sprawdzić, czy wynik pozostaje aktualny.

Zmienić mogą się przychody, suma bilansowa, zatrudnienie, struktura grupy kapitałowej albo zakres działalności. Znaczenie mogą mieć również dane przedsiębiorstw partnerskich i powiązanych. Przedsiębiorstwo, które w jednym roku pozostawało poza zakresem uKSC, po sporządzeniu kolejnego sprawozdania może już spełniać przesłanki zakwalifikowania jako podmiot ważny albo kluczowy.

Praktyczna rekomendacja

Analizę warto traktować jako dokument okresowo aktualizowany, a nie jednorazową notatkę przygotowaną przy wejściu przepisów w życie. Kolejne wersje należy przechowywać wraz z dokumentami i danymi, na których oparto ocenę. Pozwala to odtworzyć tok rozumowania spółki. Dzięki temu będzie można wykazać przed organem nadzorczym, że obowiązku wpisu do wykazu nie pominięto, lecz świadomie zweryfikowano.

Małe przedsiębiorstwo musi spełnić oczekiwania ze strony rynku

Jest jeszcze drugi powód, dla którego mniejsi przedsiębiorcy z sektorów objętych uKSC nie powinni pomijać cyberbezpieczeństwa. Podmioty kluczowe i ważne mają obowiązek zarządzania ryzykiem związanym z bezpieczeństwem i ciągłością łańcucha dostaw, w szczególności w odniesieniu do produktów, usług i procesów ICT, od których zależy świadczenie ich usług.

W praktyce część tych wymagań zostanie przeniesiona do umów z dostawcami i kontrahentami. Podmiot kluczowy albo ważny może oczekiwać od mniejszego partnera określonych zabezpieczeń, procedur reagowania na incydenty, zasad korzystania z podwykonawców, udziału w audytach albo potwierdzenia zgodności z przyjętymi standardami. Zakres wymagań będzie zależał od rodzaju współpracy i od tego, jakie ryzyko dany dostawca stwarza dla działalności podmiotu objętego uKSC.

Mniejsza firma może zatem nie podlegać bezpośrednio obowiązkom podmiotu kluczowego lub ważnego, a mimo to odczuć skutki nowych regulacji jako uczestnik łańcucha dostaw.

Konsekwencje

Brak podstawowych procedur i zabezpieczeń może utrudnić zawarcie nowej umowy, przedłużenie współpracy albo pozytywne przejście oceny dostawcy. Brak przestrzegania standardów cyberbezpieczeństwa może doprowadzić nawet do utraty klientów i zamówień, szczególnie z sektora publicznego.

Co wynika z tego dla mniejszych przedsiębiorstw?

Jeżeli sektor działalności się zgadza, ale wielkość przedsiębiorstwa nie, prawidłowym wnioskiem nie jest: „uKSC nas nie dotyczy”. Trafniejsze będzie ustalenie, że na podstawie aktualnych danych nie ma obowiązku wpisu do wykazu, a następnie określenie, kiedy analiza ma zostać ponowiona i jakie wymagania mogą wynikać z umów zawieranych z podmiotami objętymi ustawą.

Dobrze przygotowana samoidentyfikacja powinna dawać jasną odpowiedź na trzy pytania:

• czy podmiot podlega obecnie uKSC,
• jakie okoliczności mogą zmienić tę ocenę
• oraz czego mogą oczekiwać od niego klienci i kontrahenci?

Dopiero taka analiza pozwala rozsądnie zaplanować dalsze działania. Dzięki temu przedsiębiorca uniknie wdrażania wszystkich obowiązków na zapas, ale jednocześnie nie pozostawi kwestii cyberbezpieczeństwa poza obszarem swojego zainteresowania.

radczyni prawna dr Martyna Komarowska – Horosz