Izba Lordów ma dziś, 2 listopada, przeprowadzić trzecie czytanie ustawy Cyber Security and Resilience (Network and Information Systems) Bill. To ostatni etap prac w izbie wyższej. Potem projekt wraca do Izby Gmin, która musi odnieść się do poprawek lordów. Dla firm informatycznych – także tych prowadzonych przez Polaków – oznacza to, że nowe obowiązki są coraz bliżej.
Co zmienia ustawa
Ustawa unowocześnia przepisy z 2018 r. (Network and Information Systems Regulations), które dotąd obejmowały głównie operatorów usług kluczowych, takich jak energetyka, transport czy woda. Rząd przedstawił projekt w listopadzie 2025 r. Odpowiada za niego Ministerstwo Nauki, Innowacji i Technologii (DSIT).
Najważniejsze zmiany, według rządowych założeń opisanych przez kancelarię Pinsent Masons i serwis Infosecurity Magazine:
- Dostawcy usług zarządzanych (MSP) – średnie i duże firmy, które obsługują informatykę i cyberbezpieczeństwo innych podmiotów, po raz pierwszy trafią pod nadzór. Regulatorem będzie ICO (urząd ochrony danych). Szacunki z chwili przedstawienia projektu mówiły o ok. 900–1100 firmach.
- Centra danych – mają być traktowane jak operatorzy usług kluczowych, pod nadzorem DSIT i Ofgem.
- Kluczowi dostawcy – regulatorzy będą mogli wyznaczać firmy, od których zależą usługi krytyczne, i nakładać na nie minimalne standardy bezpieczeństwa.
- Zgłaszanie incydentów – w pierwotnej wersji: wstępne zgłoszenie w ciągu 24 godzin, pełny raport w ciągu 72 godzin, a także obowiązek informowania klientów, których incydent dotyczy.
- Kary – wyższe, liczone od obrotu firmy w przypadku poważnych naruszeń.
Co zmienili lordowie
Etap sprawozdawczy (report stage) w Izbie Lordów zakończył się 26 października. Rząd przegrał wtedy dwa głosowania. Poprawka lorda Birta (202 do 155 głosów) nakazuje przegląd ustawy i całego systemu NIS w ciągu 12 miesięcy od wejścia w życie, a potem co roku. Przegląd ma rozważyć objęcie przepisami m.in. usług chmurowych i najbardziej zaawansowanych modeli sztucznej inteligencji. Druga poprawka (194 do 155) zobowiązuje rząd do prowadzenia rejestru państw, które stanowią cyberzagrożenie dla Wielkiej Brytanii.
Jednocześnie lordowie odrzucili (165 do 95) poprawkę, która nakładałaby na twórców zaawansowanej AI obowiązek zgłaszania nieuprawnionego dostępu. Według firmy VinciWorks, która śledzi prace nad ustawą, rząd zawęził też definicję zgłaszanego incydentu – do zdarzeń, które faktycznie zaszkodziły systemom, a nie tylko mogły zaszkodzić. Centra danych nie będą musiały obowiązkowo zgłaszać sytuacji „o mały włos”.
Co to oznacza dla polskich firm w UK
Teza jest prosta: nawet mała polska firma IT odczuje te przepisy, choć ustawa bezpośrednio obejmie tylko średnie i duże podmioty. Dowód? Ustawa wprowadza pojęcie „kluczowego dostawcy” i obowiązki wobec klientów. Duzi klienci – szpitale NHS, samorządy, firmy energetyczne – będą przenosić wymagania na swoich podwykonawców w umowach.
W praktyce warto już teraz:
- sprawdzić, czy firma świadczy usługi zarządzane (np. administracja serwerami, monitoring sieci, obsługa kopii zapasowych) i czy jest średnią lub dużą firmą;
- przygotować plan reagowania na incydent – kto zgłasza, komu i w jakim czasie (24 godziny to bardzo mało, jeśli nikt nie ma przypisanej roli);
- przejrzeć umowy z klientami: klauzule o zgłaszaniu incydentów i audytach;
- rozważyć certyfikację Cyber Essentials (rządowy program NCSC), którą wielu klientów publicznych już wymaga.
Kiedy przepisy zaczną działać
To jeszcze nie jest obowiązujące prawo. Po trzecim czytaniu w Izbie Lordów projekt wraca do Izby Gmin. Rząd może przyjąć albo odrzucić poprawki lordów, więc spór o przeglądy i rejestr państw może jeszcze potrwać. Wiele szczegółów – m.in. dokładne progi wielkości firm i terminy – ma określić później prawo wtórne (rozporządzenia) i konsultacje. Warto je śledzić, bo to one zdecydują, czy konkretna firma znajdzie się w zakresie ustawy.
Źródła:
Analizujemy merytoryczne sprostowania i stanowiska. Zmiany istotnych faktów oznaczamy w publikacjach.
Napisz do redakcji →
