Rządowy projekt ustawy o zmianie niektórych ustaw w związku z zapewnieniem operacyjnej odporności cyfrowej sektora finansowego oraz emitowaniem europejskich zielonych obligacji

Ta ustawa wprowadza dwa główne tematy: cyberbezpieczeństwo firm finansowych oraz zasady dla "zielonych obligacji". Poniżej najważniejsze zmiany w prostym języku.

### Część 1: Cyberbezpieczeństwo w bankach, ubezpieczeniach i funduszach

Ustawa nakazuje, aby wszystkie instytucje finansowe (banki, SKOK-i, fundusze inwestycyjne, zakłady ubezpieczeń, domy maklerskie itp.) lepiej chroniły swoje systemy komputerowe przed atakami hakerskimi i awariami.

• Obowiązek zgłaszania poważnych awarii i ataków: Jeśli u takiej firmy dojdzie do poważnego cyberataku lub awarii systemów, musi to niezwłocznie zgłosić do Komisji Nadzoru Finansowego (KNF). KNF przekaże te informacje dalej do zespołów reagujących na cyberzagrożenia (CSIRT).
• Kary za brak zabezpieczeń: Jeśli firma finansowa nie zadba o bezpieczeństwo swoich systemów, KNF może nałożyć na nią karę pieniężną do 20 869 500 zł lub do 10% rocznego przychodu (w zależności, która kwota jest wyższa). Na osoby odpowiedzialne (np. członków zarządu) może nałożyć karę do 3 042 410 zł.
• Kontrola firm zewnętrznych: KNF może kontrolować nie tylko bank, ale też zewnętrzne firmy, którym bank zlecił obsługę swoich systemów IT.
• Nowe uprawnienia KNF: KNF może zażądać od operatora telekomunikacyjnego danych o połączeniach (np. kto i kiedy dzwonił), jeśli podejrzewa naruszenie przepisów o cyberbezpieczeństwie. Może też zakazać danej osobie pełnienia funkcji kierowniczych w firmie finansowej na okres od 1 miesiąca do 1 roku.
• Wyjątek dla małych funduszy: Przepisów o planach awaryjnych nie stosuje się do pracowniczych programów emerytalnych, które mają łącznie nie więcej niż 15 uczestników.

### Część 2: Europejskie Zielone Obligacje (EuGB)

Ustawa wprowadza nadzór nad tzw. "zielonymi obligacjami", czyli papierami wartościowymi, z których pieniądze mają iść na cele ekologiczne.

• Kontrola prawdziwości "zieloności": KNF będzie sprawdzać, czy firmy, które emitują obligacje z oznaczeniem "europejska zielona obligacja" (EuGB), rzeczywiście spełniają unijne wymogi i nie oszukują inwestorów (tzw. greenwashing).
• Kary za nieprawdziwe informacje: Jeśli emitent takich obligacji nie opublikuje wymaganych raportów (np. na co wydał pieniądze) lub poda nieprawdziwe informacje, KNF może:
• nakazać wstrzymanie reklamy lub sprzedaży takich obligacji na okres do 10 dni roboczych,
• zakazać prowadzenia reklamy lub sprzedaży,
• nałożyć **karę pieniężną do