głosowanie nad całością projektu.

Co się zmienia

• 1Powstaje krajowy system certyfikacji cyberbezpieczeństwa obejmujący ministra, PCA, jednostki oceniające zgodność, dostawców ICT i osoby fizyczne (art. 3 — definiuje kto wchodzi w skład systemu i jakie procedury certyfikacji obejmuje)
• 2Minister właściwy do spraw informatyzacji zostaje krajowym organem certyfikacji z nadzorem, kontrolą, zgodami na certyfikaty „wysokie” i raportowaniem do ENISA (art. 4 — wyznacza ministra głównym organem nadzorczym nad całym systemem)
• 3Certyfikacja europejska i krajowa ma charakter dobrowolny i opiera się na umowie z akredytowaną jednostką oceniającą zgodność (art. 5–6 — reguluje zasady dobrowolnej certyfikacji produktów, usług, procesów ICT i systemów zarządzania)
• 4Krajowe certyfikaty wydaje się na 2–5 lat, z możliwością przedłużenia przy dalszym spełnianiu wymogów (art. 10 — określa okres ważności certyfikatu i zasady jego przedłużenia)
• 5Minister może rozporządzeniem tworzyć krajowe schematy certyfikacji; pierwszy to „Firma Bezpieczna Cyfrowo” dla systemów zarządzania cyberbezpieczeństwem MŚP (art. 15 i projekt rozporządzenia — upoważnia ministra do ustalania szczegółowych wymogów certyfikacji, m.in. firewall, backup, aktualizacje)
• 6PCA akredytuje jednostki oceniające zgodność na maksymalnie 5 lat; przy programach UE ze szczególnymi wymogami potrzebne jest dodatkowe zezwolenie ministra (art. 17 i art. 19 — reguluje akredytację jednostek certyfikujących i dodatkowe zezwolenia przy unijnych programach)
• 7Posiadacze certyfikatów muszą informować o podatnościach i utrzymywać zgodność; po wykryciu niezgodności jest 14 dni na plan naprawczy i 2 miesiące na usunięcie problemu (art. 12 i art. 14 — nakłada obowiązki informacyjne i procedurę działań naprawczych po stwierdzeniu naruszeń)
• 8Minister może kontrolować jednostki certyfikujące, dostawców i firmy z certyfikowanym systemem oraz badać produkty na koszt kontrolowanego podmiotu (art. 28–29 — daje ministrowi prawo kontroli i badań certyfikowanych rozwiązań)
• 9Kary pieniężne wynoszą od 10- do 20-krotności przeciętnego wynagrodzenia; wpływy trafiają do Funduszu Cyberbezpieczeństwa (art. 33–34 — ustala wysokość kar za naruszenia i sposób ich egzekucji)
• 10Dotychczasowe akredytacje PCA i wydane certyfikaty zachowują ważność; ustawa wchodzi w życie po 30 dniach od ogłoszenia (art. 38–39 i art. 41 — przepisy przejściowe dla istniejących certyfikatów i termin wejścia ustawy w życie)
• 11Limity wydatków budżetowych na lata 2025–2034: część 27 „informatyzacja” od 9 720 tys. zł do 14 200 tys. zł, PCA od 300 tys. zł do 380 tys. zł (art. 40 — ustala roczne limity finansowania realizacji ustawy)