Producenci lodów i gumy do żucia w infrastrukturze krytycznej? Niejasne unijne przepisy

Producenci lodów, lampek bożonarodzeniowych, gum do żucia i inne nieoczywiste podmioty mogą trafić na unijną listę infrastruktury krytycznej – podaje serwis Politico. To efekt niejasnych przepisów o cyberbezpieczeństwie.

Unijna dyrektywa NIS2 o cyberbezpieczeństwie została uchwalona w 2022 r. Wciąż jest jednak na etapie wdrożenia w niektórych krajach Unii Europejskiej. Jak podkreślają dziennikarze Politico, niektóre zapisy budzą wątpliwości.

Zgodnie z przepisami podmioty działające w najbardziej newralgicznych sektorach są zobowiązane do rejestracji w krajowych agencjach ds. cyberbezpieczeństwa. Prawnicy, na których powołują się dziennikarze Politico, wskazują, że przepisy pozwalają na zaliczenie do nich zaskakujących sektorów.

Przykładem są producenci lodów i duże hurtownie gumy do żucia, którzy mogą zostać zaliczeni do sektora produkcji, przetwórstwa i dystrybucji żywności. To jednak nie są jedyne takie przypadki, bo do kategorii usług pocztowych i produkcji chemikaliów mogą trafić producenci lampek bożonarodzeniowych. Z kolei duże szkoły wyposażone w instalacje fotowoltaiczne mogą zaliczać się do producentów energii. W Niemczech właściciele dużej liczby mieszkań, którzy udostępniają najemcom łącze kablowe lub internetowe w ramach opłat eksploatacyjnych, mogą zostać uznani za dostawców usług telekomunikacyjnych.

Zakwalifikowanie do infrastruktury krytycznej nakłada na podmiot dodatkowe obowiązki i koszty. Anonimowy urzędnik Komisji Europejskiej zapewnił jednak, że ustawa zawiera „kilka mechanizmów” mających na celu zapewnienie sprawiedliwości. Chodzi m.in. o zwolnienie z tych obowiązków małych przedsiębiorstw i złagodzenie wymogów dla podmiotów o mniejszym znaczeniu.

Z kolei sama Komisja Europejska przyznała, że zmiana przepisów mogłaby uprościć ich stosowanie w takich sytuacjach.

Przepisy wdrażające dyrektywę NIS2 w Polsce obowiązują od kwietnia 2026 r. Od tego czasu aż do października firmy same wnioskują o wpisanie je do Krajowego Systemu Cyberbezpieczeństwa. Obowiązek ten dotyczy przedsiębiorstw działających w 18 sektorach uznanych za kluczowe dla gospodarki oraz tych, zatrudniających co najmniej 50 pracowników lub osiągających roczne przychody na poziomie co najmniej 10 mln euro. Z kolei w kwietniu 2027 r. minie termin wdrożenia wszystkich środków bezpieczeństwa określonych w ustawie, w tym procedur raportowania przypadków ataku na infrastrukturę sieciową.

Źródło: Politico