Nie wystarczy sprawdzić kodu PKD. Nowe wymogi cyberbezpieczeństwa zaskoczą MŚP

Jak ostrzegają prawnicy, skomplikowane i wyjątkowo szerokie ramy prawne sprawiają, że nowymi obostrzeniami zostanie objętych znacznie więcej firm, niż wstępnie prognozowano. W wykazie znajduje się już ponad 80 tysięcy organizacji, z czego ponad połowę stanowią podmioty publiczne, co dobitnie wskazuje na potężną skalę wdrażanych regulacji.

Przedsiębiorcy często żyją w błędnym przekonaniu, że wymogi cyberbezpieczeństwa zostały zarezerwowane wyłącznie dla gigantów telekomunikacyjnych, banków, dostawców energii czy operatorów infrastruktury krytycznej. Tymczasem ustawa zawiera liczne wyjątki, odchodzące od ogólnej zasady, że nowym przepisom podlegają wyłącznie podmioty średnie i duże.

W przypadku firm świadczących usługi zarządzane w zakresie cyberbezpieczeństwa status podmiotu kluczowego uzyskuje się już od poziomu małego przedsiębiorstwa. Co więcej, rynkowa praktyka ostatnich tygodni pokazuje, że o konieczności wpisu do rejestru oraz wdrożenia kosztownych procedur audytowych i systemów zarządzania bezpieczeństwem informacji może przesądzić nie główny profil działalności, lecz jego poboczny, znikomy fragment.

Błąd głównego kodu PKD i ukryte pułapki w grupach kapitałowych

Eksperci prawni zwracają uwagę, że analiza samych kodów PKD wpisanych do rejestru KRS jest całkowicie niewystarczająca i prowadzi do błędnych wniosków. Aby poprawnie ustalić status prawny organizacji, należy skrupulatnie przeanalizować całą faktycznie prowadzoną działalność, w tym usunięte na margines usługi wewnątrzgrupowe czy poboczne kontrakty. Pod reguły NIS2 mogą wpaść chociażby hurtownie spożywcze, dostawcy oprogramowania w modelu SaaS, dystrybutorzy środków chemicznych czy hurtowi producenci maszyn.

Ogromne obciążenie dla MŚP, ale zysk dla budżetu. Kto sfinansuje nową płacę minimalną? Sprawdź!

Zaskoczeni mogą być również dostawcy urządzeń budowlanych lub dźwigowych, jeśli w ramach pobocznej umowy świadczą klientom usługę zdalnego monitorowania parametrów pracy sprzętu w chmurze. Analogiczny problem pojawia się w dużych grupach kapitałowych – centra usług wspólnych (SSC), które świadczą usługi IT lub wsparcia cyfrowego wyłącznie na rzecz spółek-sióstr, automatycznie stają się w świetle prawa dostawcami usług zarządzanych.

Ładowarki, stacje paliw i branża spożywcza na celowniku regulatora

Szczególnej weryfikacji powinny poddać się przedsiębiorstwa posiadające infrastrukturę energetyczną lub paliwową oraz podmioty z sektora przetwórczego. Zaskoczenie grozi zarządcom centrów handlowych, hoteli, fabryk czy dużych gospodarstw rolnych, jeśli odpowiadają za punkty ładowania pojazdów elektrycznych i świadczą usługę ładowania na rzecz użytkowników końcowych. Podobnie sytuacja wygląda w przypadku przedsiębiorstw wielobranżowych lub dużych sklepów na obrzeżach miast, które obok podstawowej działalności gospodarczej prowadzą chociażby jedną stację paliw.

Pod normy prawne podpadają również duże firmy budowlane czy sieci logistyczne prowadzące ograniczony obrót paliwami na własne potrzeby przy centrach dystrybucyjnych, jak i podmioty wytwarzające energię z odnawialnych źródeł (OZE) na podstawie koncesji. Nieświadome ryzyka pozostają także spółdzielcze mleczarnie, ubojnie czy skupy owoców i warzyw, które nie klasyfikują się jako infrastruktura krytyczna, lecz podlegają pod rygorystyczne przepisy dotyczące przetwarzania i dystrybucji żywności.

Niechroniąca niewiedza i widmo kar finansowych

Zaniedbanie obowiązku samorejestracji do wyznaczonego terminu nie chroni przed skutkami prawnymi. W przypadku zignorowania wymogów odpowiedni organ regulacyjny wpisze przedsiębiorcę do rejestru z urzędu, co otwiera prostą drogę do nałożenia dotkliwych kar finansowych.

Ponieważ darmowe kalkulatory internetowe dostarczają jedynie wiedzy orientacyjnej i nie wyłapują prawnych niuansów, prawnicy apelują do kadry zarządzającej o pilne przeprowadzenie indywidualnych audytów prawno-organizacyjnych.

źródło: PAP, Prawo.pl