Druga wersja projektu przewiduje liczne zmiany, które mają ułatwić podmiotom kluczowym i ważnym dostosowanie się do nowelizacji, w tym szczególnie w zakresie obowiązków audytowych i rejestracyjnych oraz zarządzania bezpieczeństwem informacji.

1. Przedłużone terminy realizacji obowiązków dla podmiotów kluczowych i ważnych

Jednym z ważniejszych zmian są wydłużone terminy realizacji obowiązków, które wynikają z nowelizacji KSC:

• Rejestracja w wykazie podmiotów kluczowych i ważnych – obecnie przewidziano, że termin na rejestrację podmiotów wynosi 3 miesiące od wejścia ustawy w życie lub od spełnienia kryteriów uznania za podmiot kluczowy lub ważny, podczas gdy poprzednia wersja projektu zakładała dwa miesiące.
• Obowiązek audytu – podmioty kluczowe mają obecnie 24 miesiące na przeprowadzenie pierwszego audytu od wejścia ustawy w życie lub spełnienia kryteriów. W poprzedniej wersji obowiązek ten miał być realizowany w ciągu 12 miesięcy.
• System zarządzania bezpieczeństwem informacji – podmioty kluczowe i ważne są zobowiązane do wdrożenia środków organizacyjnych i technicznych w zakresie bezpieczeństwa informacji w terminie 6 miesięcy, a podmioty wyznaczone przez organ ds. cyberbezpieczeństwa mają na to 12 miesięcy.

2. Zmiany w obowiązku audytowym

Zmiana w zakresie obowiązku audytowego jest znacząca, ponieważ nowa wersja projektu ogranicza obowiązek regularnych audytów zewnętrznych wyłącznie do podmiotów kluczowych. Podmioty ważne nie będą już zobowiązane do przeprowadzania audytów, co uprości ich działania oraz ograniczy dodatkowe koszty związane z przeprowadzaniem audytów zgodności z KSC.

Dodatkowo wydłużono okres ważności audytów – każdy kolejny audyt musi być przeprowadzony przez podmiot kluczowy w ciągu 36 miesięcy od poprzedniego, co stanowi zmianę wobec wcześniejszego terminu 24 miesięcy.

3. Uporządkowanie klasyfikacji podmiotów kluczowych i ważnych

Nowa wersja projektu dostosowuje kryteria uznania za podmiot kluczowy i ważny do wymagań dyrektywy NIS 2, co eliminuje błąd występujący w poprzedniej wersji. Obecnie podmiotami kluczowymi będą duże przedsiębiorstwa działające w sektorach kluczowych, natomiast podmiotami ważnymi będą przedsiębiorstwa średnie w sektorach kluczowych oraz średnie i duże w sektorach ważnych.

4. Zmiany w zakresie kar finansowych

Projekt nie zmienia wysokości kar finansowych, jednak rozszerza katalog przypadków, w których można nałożyć karę na podmiot lub jego kierownika. Kary przewidziane w nowelizacji ustawy o KSC odpowiadają minimalnym wymaganiom dyrektywy NIS 2 i obejmują m.in.:

• Maksymalnie 10 mln EUR lub 2% rocznych przychodów dla podmiotów kluczowych.
• Maksymalnie 7 mln EUR lub 1,4% rocznych przychodów dla podmiotów ważnych.

Warto zaznaczyć, że projekt przewiduje także kwalifikowane kary do 100 mln zł w przypadku poważnych naruszeń przepisów, które skutkują bezpośrednim zagrożeniem bezpieczeństwa lub porządku publicznego.

5. Relacje z rozporządzeniem DORA oraz wytycznymi Komisji Europejskiej

Nowelizacja dostosowuje niektóre przepisy do rozporządzenia DORA oraz wytycznych Komisji Europejskiej z 13 września 2023 roku, które odnoszą się do zakresu stosowania dyrektywy NIS 2. W wyniku tej zmiany wyłączono niektóre obowiązki dla sektora bankowego i infrastruktury rynków finansowych, obejmując je jednak pewnymi wyjątkami, jak obowiązek zgłaszania incydentów cyberbezpieczeństwa.