Najnowsze komentarze, interpretacje i aktualizacje legislacyjne dotyczące Ustawy o krajowym systemie cyberbezpieczeństwa dla sektora edukacyjnego
W 2025 roku spodziewamy się znaczącego ożywienia legislacyjnego w obszarze cyberbezpieczeństwa, które wpłynie bezpośrednio na sektor edukacyjny. Rząd planuje przyjęcie transpozycji Aktu o usługach cyfrowych (DSA) oraz Aktu o sztucznej inteligencji, co wprowadzi nowe regulacje dotyczące funkcjonowania podmiotów w środowisku cyfrowym, w tym również tych związanych z edukacją. Kluczową zmianą dla sektora edukacyjnego będzie jednak nowelizacja Ustawy o krajowym systemie cyberbezpieczeństwa (UKSC), która ma na celu wdrożenie dyrektywy NIS2. Ostateczne przyjęcie nowelizacji rząd planuje na połowę 2025 roku, a odpowiednie instytucje nadal uzgadniają treść przepisów.
Nowelizacja UKSC wprowadza istotne zmiany w definicjach i kryteriach klasyfikacji podmiotów. Zamiast dotychczasowego administracyjnego uznawania operatorów usług kluczowych, ustawa wprowadza precyzyjne kryteria dla określania podmiotów kluczowych i ważnych. Można przypuszczać, że uczelnie wyższe, jako podmioty publiczne świadczące kluczowe usługi edukacyjne, zostaną zaklasyfikowane do jednej z tych kategorii, co pociągnie za sobą nowe obowiązki w zakresie cyberbezpieczeństwa.
Podejście oparte na analizie ryzyka
Zgodnie z nowelizacją, UKSC będzie opierać się na podejściu opartym na analizie ryzyka. Oznacza to, że sektor edukacyjny będzie musiał przeprowadzać regularne analizy ryzyka cyberbezpieczeństwa w kontekście prowadzonej działalności, a zakres obowiązków zależeć będzie od zidentyfikowanych zagrożeń.. Podmioty kluczowe i ważne będą musiały dokonać tzw. samookreślenia, a następnie zarejestrować się w odpowiednich rejestrach.
Nowe przepisy znacząco wzmacniają wymagania dotyczące zarządzania incydentami cyberbezpieczeństwa, monitorowania infrastruktury IT oraz wdrażania odpowiednich środków zabezpieczających 17. Sektor edukacyjny będzie musiał zatem rozwinąć swoje zdolności w zakresie wykrywania, rejestrowania, analizowania i reagowania na incydenty, a także wdrożyć systemy ciągłego monitorowania bezpieczeństwa. Co istotne, nowelizacja wydłuża obowiązkowy cykl audytów bezpieczeństwa systemów informacyjnych dla podmiotów kluczowych z 2 do 3 lat. Jednocześnie znacząco zwiększa się zarówno katalog naruszeń podlegających sankcjom, jak i wysokość możliwych kar finansowych za nieprzestrzeganie przepisów UKSC.
Prezes Urzędu Ochrony Danych Osobowych (UODO) wydał pozytywną opinię na temat projektu Strategii Cyberbezpieczeństwa RP na lata 2025-2029, podkreślając znaczenie ochrony danych osobowych w kontekście cyberbezpieczeństwa. W lutym 2025 roku opublikowano kolejny projekt nowelizacji UKSC, który koncentruje się na podmiotach publicznych jako kluczowych i ważnych oraz na środkach nadzoru, co dodatkowo potwierdza, że sektor edukacyjny znajdzie się w kręgu zainteresowania nowych regulacji. Eksperci przewidują, że rok 2025 będzie intensywny dla cyberbezpieczeństwa, w tym również dla sektora edukacyjnego, ze względu na konieczność dostosowania się do nowych przepisów.
