Cyberbezpieczeństwo i odporność infrastruktury krytycznej w UE

Cyberbezpieczeństwo leży na styku rynku wewnętrznego, bezpieczeństwa i bezpieczeństwa narodowego. Wiele aktów prawnych UE opiera się na art. 114 TFUE, ponieważ rozbieżne wymogi krajowe mogą prowadzić do fragmentacji rynku wewnętrznego. Art. 16 stanowi podstawę przepisów o ochronie danych, art. 196 — współpracy w zakresie ochrony ludności, a art. 222 zawiera klauzulę solidarności dotyczącą klęsk żywiołowych i ataków terrorystycznych. Zgodnie z art. 4(2) TUE bezpieczeństwo narodowe pozostaje w wyłącznej odpowiedzialności każdego państwa członkowskiego. Unijne prawo cyberbezpieczeństwa podnosi zatem wspólny poziom odporności cywilnej bez tworzenia służby wywiadowczej UE ani przekazywania Brukseli pełnego dowodzenia w razie incydentów.

Model działania obejmuje cztery etapy: ograniczenie ryzyka przed incydentem, wykrywanie i udostępnianie istotnych informacji, koordynowanie reakcji, gdy skutki przekraczają granice, oraz przywracanie usług. Państwa członkowskie wyznaczają właściwe organy, pojedyncze punkty kontaktowe i zespoły reagowania na incydenty bezpieczeństwa komputerowego. Komisja nadzoruje przestrzeganie prawa UE i może przyjmować określone akty wykonawcze. ENISA — Agencja Unii Europejskiej ds. Cyberbezpieczeństwa — zapewnia wiedzę ekspercką oraz wsparcie w zakresie ćwiczeń, koordynacji podatności i współpracy. UE-CyCLONe łączy krajowe organy zarządzania kryzysowego w przypadku incydentów na dużą skalę; sieć CSIRT wspiera techniczną współpracę operacyjną.

Dyrektywa (UE) 2022/2555, znana jako NIS2, ma na celu zapewnienie wysokiego wspólnego poziomu cyberbezpieczeństwa w całej Unii. Rozszerza zakres objętych sektorów i dzieli objęte nią organizacje na podmioty kluczowe i ważne. Klasyfikacja wpływa na system nadzoru, a nie na podstawowy obowiązek zarządzania ryzykiem. Sektory obejmują energetykę, transport, zdrowie, infrastrukturę cyfrową, administrację publiczną, wodę pitną, ścieki, usługi pocztowe, produkcję określonych produktów o krytycznym znaczeniu i dostawców usług cyfrowych. Znaczenie mają progi wielkości oraz konkretne włączenia lub wyłączenia; nie każda mała organizacja jest automatycznie objęta dyrektywą.

Podmioty muszą stosować proporcjonalne środki techniczne, operacyjne i organizacyjne. Dyrektywa wymienia obsługę incydentów, ciągłość działania, bezpieczeństwo łańcucha dostaw, obsługę podatności, szyfrowanie w stosownych przypadkach, kontrolę dostępu, zarządzanie aktywami i podnoszenie świadomości pracowników. Organy zarządzające zatwierdzają i nadzorują środki oraz mogą zostać pociągnięte do odpowiedzialności zgodnie z krajowymi przepisami transponującymi dyrektywę. Znaczące incydenty podlegają etapowemu modelowi zgłaszania: wczesne ostrzeżenie w ciągu 24 godzin od uzyskania wiedzy o incydencie, zgłoszenie incydentu w ciągu 72 godzin oraz sprawozdanie końcowe, co do zasady, w ciągu jednego miesiąca. Kandydaci nie powinni sprowadzać tych etapów do jednego terminu.

NIS2 jest dyrektywą. Państwa członkowskie miały obowiązek dokonać jej transpozycji do 17 października 2024 r. i stosować środki krajowe od 18 października 2024 r. Prawa i obowiązki egzekwuje się przede wszystkim na podstawie prawa krajowego. Niepełna transpozycja nie przekształca dyrektywy w rozporządzenie; stanowi problem z wdrożeniem podlegający środkom ochrony prawnej przewidzianym w prawie UE i ewentualnemu postępowaniu w sprawie uchybienia zobowiązaniom.

Rozporządzenie (UE) 2024/2847 — akt o cyberodporności, czyli CRA — opiera się na podejściu produktowo-rynkowym. Obejmuje sprzęt i oprogramowanie będące produktami z elementami cyfrowymi wprowadzanymi do obrotu w UE, z zastrzeżeniem określonych wyłączeń i powiązań z prawem sektorowym. Producenci muszą projektować i wytwarzać bezpieczne produkty, oceniać ryzyko cybernetyczne, zarządzać podatnościami i dostarczać aktualizacje bezpieczeństwa w okresie wsparcia. Importerzy i dystrybutorzy mają obowiązki weryfikacyjne. Ocena zgodności i oznakowanie CE łączą wymogi cyberbezpieczeństwa ze standardowym egzekwowaniem przepisów dotyczących produktów na jednolitym rynku.

Wejście w życie nie jest równoznaczne z pełnym stosowaniem. CRA wszedł w życie 10 grudnia 2024 r. Przepisy dotyczące notyfikowania jednostek oceniających zgodność stosuje się od 11 czerwca 2026 r. Obowiązki sprawozdawcze określone w art. 14, dotyczące aktywnie wykorzystywanych podatności i poważnych incydentów, stosuje się od 11 września 2026 r. Większość obowiązków stosuje się od 11 grudnia 2027 r. W dniu aktualizacji niniejszego opracowania wrześniowe obowiązki sprawozdawcze miały wkrótce zacząć obowiązywać, ale nie były jeszcze stosowane.

Dyrektywa (UE) 2022/2557, czyli dyrektywa w sprawie odporności podmiotów krytycznych lub dyrektywa CER, dotyczy zdolności zidentyfikowanych podmiotów do zapobiegania incydentom, ochrony przed nimi, reagowania na nie, stawiania im oporu, łagodzenia i absorbowania ich skutków, dostosowywania się do nich oraz odzyskiwania zdolności operacyjnej. Jej zakres obejmujący wszystkie rodzaje zagrożeń uwzględnia zagrożenia naturalne, wypadki, stany zagrożenia zdrowia publicznego, sabotaż i terroryzm. Państwa członkowskie przeprowadzają oceny ryzyka, przyjmują strategie i identyfikują podmioty krytyczne w wymienionych sektorach. Zidentyfikowane podmioty następnie oceniają ryzyko, stosują proporcjonalne środki i zgłaszają incydenty zakłócające świadczenie usług.

CER i NIS2 zaprojektowano tak, aby funkcjonowały łącznie. CER koncentruje się głównie na odporności pozacybernetycznej; NIS2 — na sieciach i systemach informatycznych. Organy krajowe muszą współpracować i wymieniać istotne informacje. Dyrektywy nie oznaczają, że każdy podmiot w wymienionym sektorze ma identyczne obowiązki. Zakres stosowania zależy od identyfikacji, zasad dotyczących wielkości, przepisów sektorowych i krajowej transpozycji.

Rozporządzenie (UE) 2025/38, czyli akt o cybersolidarności, stosuje się od 4 lutego 2025 r. Ustanawia ono europejski system ostrzegania o cyberbezpieczeństwie, środki gotowości oraz unijną rezerwę cyberbezpieczeństwa złożoną z zaufanych dostawców usług reagowania na incydenty. Wspiera również przegląd znaczących incydentów lub incydentów na dużą skalę. Rezerwa uzupełnia krajowe zdolności, a nie je zastępuje. Wnioski, kwalifikowalność, zawieranie umów i poufność podlegają rozporządzeniu oraz rozwiązaniom służącym jego wdrożeniu.

Terminologia kryzysowa musi być precyzyjna. Znaczący incydent w rozumieniu NIS2 wiąże się z poważnym zakłóceniem, stratą lub szkodą dla danego podmiotu albo innych osób. Incydent na dużą skalę przekracza zdolność jednego państwa członkowskiego do reagowania lub znacząco wpływa na co najmniej dwa państwa członkowskie. W koordynacji politycznej można również wykorzystywać zintegrowane uzgodnienia UE dotyczące reagowania na szczeblu politycznym w sytuacjach kryzysowych. Unijny zestaw narzędzi dla dyplomacji cyfrowej z 2019 r. może wspierać działania w ramach stosunków zewnętrznych, w tym środki ograniczające, lecz przypisanie odpowiedzialności i sankcje są decyzjami politycznymi i prawnymi, a nie ustaleniami technicznymi ENISA.

W dniu 20 stycznia 2026 r. Komisja przedstawiła wniosek dotyczący zmiany aktu o cyberbezpieczeństwie z 2019 r. Wniosek ma usprawnić unijną certyfikację, przeciwdziałać zagrożeniom bezpieczeństwa w łańcuchach dostaw technologii informacyjno-komunikacyjnych oraz wzmocnić ENISA. Na dzień 17 sierpnia 2026 r. nadal podlegał rozpatrywaniu przez Parlament i Radę. Obowiązującym aktem o cyberbezpieczeństwie pozostawało rozporządzenie (UE) 2019/881, o ile i dopóki nie zostanie zmienione.

W dniu 7 lipca 2026 r. Komisja przedstawiła plan działania dotyczący zaawansowanej sztucznej inteligencji i cyberbezpieczeństwa. Obejmuje on ocenę modeli, ustrukturyzowany dostęp obrońców do zaawansowanych modeli, bezpieczne testowanie z udziałem ENISA i Wspólnego Centrum Badawczego, szybsze usuwanie podatności oraz wzmocnienie europejskich zdolności w zakresie AI. Plan działania opiera się na obowiązującym prawie; sam nie jest nowym rozporządzeniem. Niezależnie od tego kontynuowano prace wdrożeniowe dotyczące platformy sprawozdawczej CRA, rezerwy cyberbezpieczeństwa oraz krajowych ram NIS2.

Zapytaj, co podlega ochronie. W przypadku dostawcy usług objętego regulacją zacznij od NIS2. W przypadku połączonego sprzętu lub oprogramowania wprowadzanego do obrotu zacznij od CRA. W przypadku odporności fizycznej i odporności na wszystkie rodzaje zagrożeń zidentyfikowanego podmiotu krytycznego zacznij od CER. W przypadku transgranicznego wykrywania i wsparcia w sytuacjach nadzwyczajnych uwzględnij akt o cybersolidarności. Następnie ustal, czy podmiotem odpowiedzialnym jest producent, podmiot objęty regulacją, organ państwa członkowskiego, CSIRT, ENISA, Komisja czy współprawodawca. Na koniec sprawdź, czy w odpowiednim dniu dany przepis był przedmiotem wniosku, obowiązywał czy był już stosowany.