--- a/DU/2018/1560 Dz.U. 2020 poz. 875 (2020-05-16)
+++ b/DU/2018/1560 Dz.U. 2020 poz. 1369 (2020-08-11)
@@ -368,6 +368,8 @@
Art. 33 ust. 2 | CSIRT MON, CSIRT NASK albo CSIRT GOV, podejmując badanie urządzenia informatycznego lub oprogramowania, informuje pozostałe CSIRT o fakcie podjęcia badań oraz urządzeniu informatycznym lub oprogramowaniu, którego badanie dotyczy.
Art. 33 ust. 3 | CSIRT MON, CSIRT NASK lub CSIRT GOV w przypadku identyfikacji podatności, o której mowa w ust. 1, składa wniosek w sprawie rekomendacji, o których mowa w ust. 4.
Art. 33 ust. 4 | Pełnomocnik po uzyskaniu opinii Kolegium wydaje, zmienia lub odwołuje rekomendacje dotyczące stosowania urządzeń informatycznych lub oprogramowania, w szczególności w zakresie wpływu na bezpieczeństwo publiczne lub istotny interes bezpieczeństwa państwa.
+Art. 33 ust. 4a | W przypadku uzyskania przez Pełnomocnika informacji o zagrożeniu cyberbezpieczeństwa, która uprawdopodobni możliwość wystąpienia incydentu krytycznego, Pełnomocnik może wydać rekomendacje, o których mowa w ust. 4, z urzędu.
+Art. 33 ust. 4b | Przed wydaniem rekomendacji w trybie ust. 4a, Pełnomocnik przeprowadza konsultację z CSIRT MON, CSIRT NASK lub CSIRT GOV.
Art. 33 ust. 5 | Podmiot krajowego systemu cyberbezpieczeństwa może wnieść do Pełnomocnika zastrzeżenia do rekomendacji dotyczących stosowania urządzeń informatycznych lub oprogramowania, z uwagi na ich negatywny wpływ na świadczoną usługę lub realizowane zadanie publiczne, nie później niż w terminie 7 dni od dnia otrzymania rekomendacji.
Art. 33 ust. 6 | Pełnomocnik odnosi się do zastrzeżeń otrzymanych w trybie ust. 5 niezwłocznie, jednak nie później niż w terminie 14 dni od dnia ich otrzymania, i podtrzymuje rekomendacje dotyczące stosowania urządzeń informatycznych lub oprogramowania albo wydaje zmienione rekomendacje.
Art. 33 ust. 7 | Podmiot krajowego systemu cyberbezpieczeństwa informuje Pełnomocnika, na jego wniosek, o sposobie i zakresie uwzględnienia rekomendacji dotyczących stosowania urządzeń informatycznych lub oprogramowania.
@@ -606,7 +608,7 @@
Art. 64 | Przy Radzie Ministrów działa Kolegium, jako organ opiniodawczo-doradczy w sprawach cyberbezpieczeństwa oraz działalności w tym zakresie CSIRT MON, CSIRT NASK, CSIRT GOV, sektorowych zespołów cyberbezpieczeństwa i organów właściwych do spraw cyberbezpieczeństwa.
Art. 65 ust. 1 | Do zadań Kolegium należy wyrażanie opinii w sprawach:
Art. 65 ust. 1 pkt 1 | kierunków i planów na rzecz przeciwdziałania zagrożeniom cyberbezpieczeństwa;
-Art. 65 ust. 1 pkt 1a | planowanych do ustalenia przez Prezesa Urzędu Komunikacji Elektronicznej w projekcie rozstrzygnięcia decyzji w sprawie rezerwacji częstotliwości, o którym mowa w art. 118 ust. 2 ustawy z dnia 16 lipca 2004 r. - Prawo telekomunikacyjne (Dz. U. z 2019 r. poz. 2460 oraz z 2020 r. poz. 374, 695 i 875), jeżeli ta decyzja jest wydawana po przeprowadzeniu aukcji, o której mowa w art. 116 ust. 1 pkt 2 ustawy z dnia 16 lipca 2004 r. - Prawo telekomunikacyjne;
+Art. 65 ust. 1 pkt 1a | planowanych do ustalenia przez Prezesa Urzędu Komunikacji Elektronicznej w projekcie rozstrzygnięcia decyzji w sprawie rezerwacji częstotliwości, o którym mowa w art. 118 ust. 2 ustawy z dnia 16 lipca 2004 r. - Prawo telekomunikacyjne, jeżeli ta decyzja jest wydawana po przeprowadzeniu aukcji, o której mowa w art. 116 ust. 1 pkt 2 ustawy z dnia 16 lipca 2004 r. - Prawo telekomunikacyjne;
Art. 65 ust. 1 pkt 2 | wykonywania przez CSIRT MON, CSIRT NASK, Szefa Agencji Bezpieczeństwa Wewnętrznego realizującego zadania w ramach CSIRT GOV, sektorowe zespoły cyberbezpieczeństwa i organy właściwe do spraw cyberbezpieczeństwa powierzonych im zadań zgodnie z kierunkami i planami na rzecz przeciwdziałania zagrożeniom cyberbezpieczeństwa;
Art. 65 ust. 1 pkt 3 | współdziałania organów prowadzących lub nadzorujących CSIRT MON, CSIRT GOV i CSIRT NASK;
Art. 65 ust. 1 pkt 4 | współdziałania podmiotów CSIRT MON, CSIRT NASK, Szefa Agencji Bezpieczeństwa Wewnętrznego oraz ministra - członka Rady Ministrów właściwego do spraw koordynowania działalności służb specjalnych, sektorowych zespołów cyberbezpieczeństwa i organów właściwych do spraw cyberbezpieczeństwa;
@@ -707,42 +709,7 @@
Art. 74 ust. 2 | Wpływy z tytułu kar pieniężnych, o których mowa w art. 73, stanowią dochód budżetu państwa.
Art. 75 | Organ właściwy do spraw cyberbezpieczeństwa może nałożyć karę pieniężną na kierownika operatora usługi kluczowej w przypadku, gdy nie dochował należytej staranności celem spełnienia obowiązków, o których mowa w art. 8 pkt 1, art. 9 ust. 1 pkt 1 oraz art. 15 ust. 1, z tym że kara ta może być wymierzona w kwocie nie większej niż 200% jego miesięcznego wynagrodzenia.
Art. 76 | Kara, o której mowa w art. 73, może zostać nałożona również w przypadku, gdy podmiot zaprzestał naruszania prawa lub naprawił wyrządzoną szkodę, jeżeli organ właściwy do spraw cyberbezpieczeństwa uzna, że przemawiają za tym czas trwania, zakres lub skutki naruszenia.
-Art. 77 | W ustawie z dnia 7 września 1991 r. o systemie oświaty w art. 90u:
-Art. 77 pkt 1 | w ust. 1 pkt 6 otrzymuje brzmienie:
-Art. 77 pkt 1 | „ 6) rozwijanie kompetencji, zainteresowań i uzdolnień dzieci i młodzieży oraz innych grup społecznych, w tym wspomaganie organów prowadzących szkoły lub placówki w realizacji przedsięwzięć w tym obszarze, w szczególności w zakresie bezpiecznego korzystania z technologii informacyjno-komunikacyjnych; ”;
-Art. 77 pkt 2 | w ust. 4 pkt 6 otrzymuje brzmienie:
-Art. 77 pkt 2 | „ 6) szczegółowe warunki, formy i tryb realizacji przedsięwzięć w zakresie rozwijania kompetencji, zainteresowań i uzdolnień dzieci i młodzieży oraz innych grup społecznych, a także warunki i tryb wspomagania organów prowadzących szkoły lub placówki w realizacji przedsięwzięć w tym obszarze, w szczególności w zakresie bezpiecznego korzystania z technologii informacyjno-komunikacyjnych, uwzględniając konieczność rozwijania umiejętności ułatwiających przystosowanie się do zmian zachodzących w życiu społecznym i gospodarczym, możliwość udzielenia wsparcia finansowego organów prowadzących szkoły lub placówki oraz wymóg skuteczności i efektywności wydatkowania środków budżetowych; ”.
-Art. 78 | W ustawie z dnia 4 września 1997 r. o działach administracji rządowej wprowadza się następujące zmiany:
-Art. 78 pkt 1 | w art. 12a w ust. 1 pkt 10 otrzymuje brzmienie:
-Art. 78 pkt 1 | „ 10) bezpieczeństwa cyberprzestrzeni w wymiarze cywilnym; ”;
-Art. 78 pkt 2 | w art. 19 w ust. 1 po pkt 1 dodaje się pkt 1a w brzmieniu:
-Art. 78 pkt 2 | „ 1a) bezpieczeństwa cyberprzestrzeni w wymiarze militarnym, ”.
-Art. 79 | W ustawie z dnia 24 maja 2002 r. o Agencji Bezpieczeństwa Wewnętrznego oraz Agencji Wywiadu po art. 32a dodaje się art. 32aa w brzmieniu:
-Art. 79 | „ Art. 32aa. 1. W celu zapobiegania i przeciwdziałania oraz zwalczania zdarzeń o charakterze terrorystycznym dotyczących istotnych z punktu widzenia ciągłości funkcjonowania państwa systemów teleinformatycznych organów administracji publicznej lub sieci teleinformatycznych objętych jednolitym wykazem obiektów, instalacji, urządzeń i usług wchodzących w skład infrastruktury krytycznej, a także systemów teleinformatycznych właścicieli, posiadaczy samoistnych i posiadaczy zależnych obiektów, instalacji lub urządzeń infrastruktury krytycznej, o których mowa w art. 5b ust. 7 pkt 1 ustawy z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym, lub danych przetwarzanych w tych systemach oraz zapobiegania i wykrywania przestępstw o charakterze terrorystycznym w tym obszarze oraz ścigania ich sprawców, ABW wdraża w tych podmiotach system wczesnego ostrzegania o zagrożeniach występujących w sieci Internet, zwany dalej „systemem ostrzegania”, prowadzi go i koordynuje jego funkcjonowanie. 2. Wdrożenie elementów systemu ostrzegania w podmiotach, o których mowa w ust. 1, następuje zgodnie z rocznym planem wdrożenia, opracowywanym przez Szefa ABW w terminie do dnia 30 września roku poprzedzającego. W uzasadnionych przypadkach, na wniosek podmiotu, wdrożenie elementów systemu ostrzegania może zostać przeprowadzone z pominięciem planu. 3. ABW niezwłocznie informuje podmiot, o którym mowa w ust. 1, o jego włączeniu do rocznego planu wdrożenia systemu ostrzegania. 4. Podmiot, o którym mowa w ust. 1, ma obowiązek przystąpić do systemu ostrzegania oraz przekazać ABW niezbędne informacje umożliwiające wdrożenie systemu ostrzegania w tym podmiocie. 5. W podmiotach, o których mowa w ust. 1, podległych Ministrowi Obrony Narodowej lub przez niego nadzorowanych, wdrożenie systemu ostrzegania może nastąpić za zgodą Ministra Obrony Narodowej. 6. Koszty wdrożenia i utrzymania systemu ostrzegania w podmiotach, o których mowa w ust. 1, pokrywa ABW. 7. ABW, w drodze porozumienia, uzgadnia z podmiotem, o którym mowa w ust. 1, techniczne aspekty uczestnictwa w systemie ostrzegania oraz model konfiguracji systemu. 8. W sytuacji braku możliwości zawarcia porozumienia, o którym mowa w ust. 7, z przyczyn leżących po stronie podmiotu, o którym mowa w ust. 1, ABW informuje podmiot go nadzorujący lub ministra właściwego do spraw informatyzacji. 9. Prezes Rady Ministrów określi, w drodze rozporządzenia, warunki i tryb prowadzenia, koordynacji i wdrażania systemu ostrzegania, w szczególności określi czynności niezbędne do jego uruchomienia i utrzymania oraz wzór porozumienia, o którym mowa w ust. 7, kierując się potrzebą zapewnienia bezpieczeństwa systemów teleinformatycznych istotnych z punktu widzenia ciągłości funkcjonowania państwa. ”.
-Art. 80 | W ustawie z dnia 29 stycznia 2004 r. - Prawo zamówień publicznych w art. 89 w ust. 1 pkt 7d otrzymuje brzmienie:
-Art. 80 | „ 7d) jej przyjęcie naruszałoby bezpieczeństwo publiczne lub istotny interes bezpieczeństwa państwa, w tym bezpieczeństwo podmiotów objętych jednolitym wykazem obiektów, instalacji, urządzeń i usług wchodzących w skład infrastruktury krytycznej, o której mowa w art. 5b ust. 7 pkt 1 ustawy z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym, a tego bezpieczeństwa lub interesu nie można zagwarantować w inny sposób; ”.
-Art. 81 | W ustawie z dnia 16 lipca 2004 r. - Prawo telekomunikacyjne wprowadza się następujące zmiany:
-Art. 81 pkt 1 | w art. 175a:
-Art. 81 pkt 1 lit. a | po ust. 1 dodaje się ust. 1a i 1b w brzmieniu:
-Art. 81 pkt 1 lit. a | „ 1a. Prezes UKE przekazuje informacje, o których mowa w ust. 1, jeżeli dotyczą one zdarzeń będących incydentami w rozumieniu ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, CSIRT właściwemu dla zgłaszającego przedsiębiorcy telekomunikacyjnego, zgodnie z art. 26 ust. 5-7 tej ustawy, z wyłączeniem informacji stanowiących tajemnicę przedsiębiorstwa, zastrzeżonych na podstawie art. 9. 1b. Przekazanie, o którym mowa w ust. 1a, następuje w postaci elektronicznej, a w przypadku braku możliwości przekazania w postaci elektronicznej - przy użyciu innych dostępnych środków komunikacji. ”,
-Art. 81 pkt 1 lit. b | po ust. 2 dodaje się ust. 2a w brzmieniu:
-Art. 81 pkt 1 lit. b | „ 2a. Minister właściwy do spraw informatyzacji określi, w drodze rozporządzenia, kryteria uznania naruszenia bezpieczeństwa lub integralności sieci lub usług telekomunikacyjnych za naruszenie o istotnym wpływie na funkcjonowanie sieci lub usług, biorąc pod uwagę w szczególności wartość procentową użytkowników, na których naruszenie bezpieczeństwa lub integralności sieci lub usług telekomunikacyjnych miało wpływ, czas trwania naruszenia bezpieczeństwa lub integralności sieci lub usług telekomunikacyjnych powodującego niedostępność lub ograniczenie dostępności sieci lub usług telekomunikacyjnych oraz rekomendacje i wytyczne Europejskiej Agencji do spraw Bezpieczeństwa Sieci i Informacji (ENISA). ”;
-Art. 81 pkt 2 | w art. 176a:
-Art. 81 pkt 2 lit. a | w ust. 1 pkt 3 otrzymuje brzmienie:
-Art. 81 pkt 2 lit. a | „ 3) bezpośrednich zagrożeń dla bezpieczeństwa lub integralności infrastruktury telekomunikacyjnej przedsiębiorcy lub świadczonych przez niego usług ”,
-Art. 81 pkt 2 lit. b | w ust. 2 pkt 4 otrzymuje brzmienie:
-Art. 81 pkt 2 lit. b | „ 4) technicznych i organizacyjnych środków zapewnienia bezpieczeństwa i integralności infrastruktury telekomunikacyjnej i świadczonych usług, w tym ochrony przed wystąpieniem incydentów w rozumieniu ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa; ”;
-Art. 81 pkt 3 | w art. 209 w ust. 1 po pkt 27 dodaje się pkt 27¹ w brzmieniu:
-Art. 81 pkt 3 | „ 27¹) nie wypełnia obowiązku, o którym mowa w art. 175a ust. 1, ”.
-Art. 82 | W ustawie z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym wprowadza się następujące zmiany:
-Art. 82 pkt 1 | w art. 5a ust. 2 otrzymuje brzmienie:
-Art. 82 pkt 1 | „ 2. Koordynację przygotowania Raportu zapewnia dyrektor Rządowego Centrum Bezpieczeństwa, natomiast w części dotyczącej zagrożeń o charakterze terrorystycznym, mogących doprowadzić do sytuacji kryzysowej, Szef Agencji Bezpieczeństwa Wewnętrznego, a w części dotyczącej zagrożeń cyberbezpieczeństwa mogących doprowadzić do sytuacji kryzysowej - Pełnomocnik Rządu do spraw Cyberbezpieczeństwa. ”;
-Art. 82 pkt 2 | w art. 6 po ust. 5a dodaje się ust. 5b w brzmieniu:
-Art. 82 pkt 2 | „ 5b. Właściciele, posiadacze samoistni i zależni, o których mowa w ust. 5, będący jednocześnie operatorami usług kluczowych w rozumieniu ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, uwzględniają w planach ochrony infrastruktury krytycznej dokumentację dotyczącą cyberbezpieczeństwa systemów informacyjnych wykorzystywanych do świadczenia usług kluczowych zgodnie z zakresem informacji określonym w przepisach wydanych na podstawie art. 10 ust. 5 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. ”;
-Art. 82 pkt 3 | w art. 8 w ust. 3 w pkt 14 kropkę zastępuje się średnikiem i dodaje się pkt 15 w brzmieniu:
-Art. 82 pkt 3 | „ 15) Pełnomocnik Rządu do Spraw Cyberbezpieczeństwa. ”;
-Art. 82 pkt 4 | w art. 11 po ust. 1 dodaje się ust. 1a w brzmieniu:
-Art. 82 pkt 4 | „ 1a. Centrum zapewnia obsługę Zespołu do spraw Incydentów Krytycznych, o którym mowa w art. 36 ust. 1 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. ”.
+Art. 77-82 | (pominięte)
Art. 83 | Zagrożenia cyberbezpieczeństwa, mogące doprowadzić do sytuacji kryzysowej, po raz pierwszy zostaną ujęte w Raporcie o zagrożeniach bezpieczeństwa narodowego, który zostanie sporządzony z udziałem Pełnomocnika, po wejściu w życie ustawy.
Art. 84 | Prezes Rady Ministrów powoła Pełnomocnika w terminie 3 miesięcy od dnia wejścia w życie ustawy.
Art. 85 | Minister właściwy do spraw informatyzacji przekaże Komisji Europejskiej informacje o:
@@ -897,4 +864,6 @@
Art. 93 ust. 25 | Minister właściwy do spraw wewnętrznych monitoruje wykorzystanie limitu wydatków, o którym mowa w ust. 10, i dokonuje oceny jego wykorzystania. Wdrożenia mechanizmu korygującego, o którym mowa w ust. 14, dokonuje minister właściwy do spraw wewnętrznych.
Art. 94 | Ustawa wchodzi w życie po upływie 14 dni od dnia ogłoszenia.
Załącznik nr 1 | Sektory i podsektory oraz rodzaje podmiotów
+Załącznik nr 1 | patrz oryginał
Załącznik nr 2 | Usługi cyfrowe
+Załącznik nr 2 | patrz oryginał