Rządowy projekt ustawy o krajowym systemie certyfikacji cyberbezpieczeństwa

Ustawa wprowadza w Polsce oficjalny system potwierdzania, że produkty cyfrowe (np. programy, sprzęt), usługi internetowe, a także wiedza specjalistów i procedury w firmach są bezpieczne i odporne na cyberataki. Dotyczy to firm, które chcą udowodnić bezpieczeństwo swoich produktów, oraz specjalistów, którzy chcą potwierdzić swoje kwalifikacje.

Co to oznacza w praktyce?

• Dobrowolność i nowy standard: Certyfikacja (czyli uzyskanie oficjalnego poświadczenia bezpieczeństwa) jest całkowicie dobrowolna. Ustawa tworzy jednak jasne, państwowe zasady, według których można taki certyfikat zdobyć. Dzięki temu klienci i kontrahenci będą mieli pewność, że certyfikat coś znaczy, a nie jest tylko prywatnym znaczkiem.
• Kto może się starać o certyfikat:
• Firmy – dla swoich produktów (np. oprogramowania, routera), usług (np. chmury obliczeniowej) i procesów.
• Organizacje – dla swojego systemu zarządzania bezpieczeństwem (czyli procedur, które chronią firmę przed cyberatakami).
• Specjaliści – dla potwierdzenia swojej wiedzy i umiejętności praktycznych z cyberbezpieczeństwa.
• Kto wydaje certyfikaty: Robią to wyspecjalizowane, prywatne lub publiczne jednostki, które muszą dostać na to oficjalne upoważnienie (akredytację) od Polskiego Centrum Akredytacji.
• Nadzór państwa: Minister ds. informatyzacji będzie nadzorował cały system. Może kontrolować jednostki wydające certyfikaty, a w razie wykrycia nieprawidłowości – cofnąć certyfikat lub nałożyć karę finansową.
• Kary za łamanie zasad: Za poważne naruszenia (np. wydawanie certyfikatów bez uprawnień, utrudnianie kontroli) grożą wysokie kary pieniężne – do dwudziestokrotności przeciętnego wynagrodzenia (czyli kilkaset tysięcy złotych). Wpływy z kar zasilają Fundusz Cyberbezpieczeństwa.
• Ważność certyfikatu: Krajowy certyfikat wydawany jest na okres od 2 do 5 lat. Można go przedłużyć, ale trzeba udowodnić, że produkt lub wiedza nadal spełniają wymogi.
• Co z dotychczasowymi certyfikatami? Certyfikaty wydane przed wejściem ustawy w życie zachowują ważność do końca swojego terminu, ale będą podlegać starym zasadom.