Kolejny wymóg wstrząsa rynkiem teleinformatycznym. Dlaczego małe firmy hostingowe zwlekają z rejestracją w wykazie KSC?

Z raportu opublikowanego przez Dział Analiz serwisu nazwa.pl wynika, że w państwowym Systemie S46 wciąż brakuje około 50 procent przedsiębiorstw, które podlegały prawnemu obowiązkowi samorejestracji.

Problem dotyka w szczególności branży technologicznej i dostawców usług cyfrowych, w tym operatorów chmurowych i firm hostingowych. Zgodnie z zaktualizowanymi przepisami, praktycznie wszystkie podmioty świadczące usługi rejestracji domen, hostingu czy kolokacji zostały zakwalifikowane jako podmioty kluczowe bądź ważne, niezależnie od faktu, czy zostały ujęte w wykazie z urzędu, czy też powinny przejść procedurę samoidentyfikacji i zgłoszenia w systemie.

Nawet 10 milionów euro kary i widmo wpisu z urzędu

Brak złożenia wniosku w wyznaczonym terminie wiąże się ze znacznym ryzykiem prawno-finansowym. Organ nadzorczy (Ministerstwo Cyfryzacji oraz organ właściwy dla danego sektora) dysponuje uprawnieniem do dokonania wpisu z urzędu i wezwania przedsiębiorcy do uzupełnienia brakujących danych technicznych (w tym zakresów publicznych adresów IP i używanych domen) w trybie natychmiastowym. Uchylanie się od procedury nie chroni przed nadzorem, lecz otwiera drogę do nakładania dotkliwych sankcji finansowych.

Maksymalne wymiary kar administracyjnych wynikające ze znowelizowanej ustawy o KSC zostały zróżnicowane w zależności od statusu jednostki.

• Podmioty kluczowe – grozi im kara do 10 mln euro lub do 2 proc. całkowitego przychodu osiągniętego w poprzednim roku obrotowym, przy czym organ ma obowiązek zastosowania kwoty wyższej. Przepisy krajowe wprowadzają ponadto dolny limit sankcji w wysokości nie mniejszej niż 20 tys. zł, a w przypadku wystąpienia bezpośredniego i poważnego cyberzagrożenia – karę nadzwyczajną sięgającą nawet 100 mln zł.
• Podmioty ważne – podlegają karze do 7 mln euro lub do 1,4 proc. przychodu z poprzedniego roku obrotowego (z zastosowaniem kwoty wyższej), z zastrzeżeniem dolnej granicy sankcji na poziomie 15 tys. zł.
• Odpowiedzialność kadry zarządzającej – zgodnie z unijnymi dyrektywami i ustawodawstwem krajowym, konsekwencje grożą również osobom zarządzającym. W skrajnych przypadkach braku nadzoru nad wdrożeniem środków bezpieczeństwa organ może nałożyć na kierownika jednostki karę pieniężną sięgającą do 300 proc. jego miesięcznego wynagrodzenia.

JDG pod presją opóźnionych płatności. Przedsiębiorcy ratują firmy prywatnymi oszczędnościami

250 tysięcy złotych na start w małej firmie

Samo wypełnienie formularza elektronicznego w aplikacji Wykaz KSC (wykaz-ksc.gov.pl) stanowi jedynie formalny, wstępny etap całego procesu dostosowawczego. Znacznie większym wyzwaniem organizacyjnym i finansowym pozostaje budowa i codzienne utrzymywanie Systemu Zarządzania Bezpieczeństwem Informacji (SZBI), wdrożenie procedur obsługi incydentów oraz ciągła analiza ryzyka w łańcuchu dostaw.

Ustawa daje podmiotom 12 miesięcy od dnia objęcia przepisami (dla większości firm termin ten upływa 3 kwietnia 2027 roku) na pełne wdrożenie wymogów technicznych, a w kolejnym etapie (do kwietnia 2028 r.) – na przeprowadzenie pierwszego niezależnego audytu bezpieczeństwa.

Według szacunków Działu Analiz nazwa.pl, koszt samoobrony prawno-organizacyjnej, audytów wstępnych, przygotowania dokumentacji, zakupu niezbędnych narzędzi IT i przeszkolenia kadr w niewielkiej firmie hostingowej wynosi średnio około 250 tys. zł. Do tego należy doliczyć stałe, coroczne wydatki na utrzymanie zgodności (compliance).

Krzysztof Cebrat, prezes zarządu nazwa.pl, zwraca uwagę, że dla sektora MŚP sprostać nowym wymogom jest wyjątkowo trudno:

“Sam wpis do wykazu jest formalnym początkiem całego procesu dostosowania do NIS 2. Znacznie większym wyzwaniem jest zbudowanie systemu bezpieczeństwa zgodnego z ustawą i późniejsze utrzymywanie go w codziennej działalności. Dla małych firm hostingowych to nie tylko wydatki, lecz także duże zaangażowanie właścicieli, pracowników i specjalistów” – wskazuje Krzysztof Cebrat.

Eksperci rynkowi apelują do przedsiębiorców, którzy dotąd nie przeprowadzili analizy statusu, o pilną weryfikację kryteriów wielkościowych oraz branżowych, ponieważ zwłoka w samorejestracji w S46 nie tylko drastycznie skraca czas na przygotowanie wymaganej dokumentacji technicznej, ale generuje bezpośrednie ryzyko kontroli nadzorczych.