Warszawa, 25 marca 2024 r. 

Debata: NIS2: Czy jesteśmy gotowi na nowe zasady cyberbezpieczeństwa w kluczowych sektorach gospodarki?

Dyrektywa NIS2 zbliża się wielkimi krokami, stawiając przed wieloma sektorami gospodarki szerokie wyzwania w zakresie cyberbezpieczeństwa, szczególnie w obszarze healthcare. Czy jesteśmy gotowi na nowe zasady, które mają podnieść poziom ochrony sieci i systemów informatycznych? O tym dyskutowali eksperci, uczestnicy i partnerzy Związku Przedsiębiorców i Pracodawców podczas konferencji zorganizowanej przez Forum Cyfrowe i Forum Zdrowia. 

Dyrektywa NIS2, mająca na celu zwiększenie poziomu bezpieczeństwa sieci i systemów informatycznych w Europie, nakłada na przedsiębiorstwa i organizacje z sektorów szczególnie podatnych na ryzyko cyberataków, obowiązek wdrożenia adekwatnych środków ochronnych oraz obowiązek zgłaszania incydentów bezpieczeństwa. Nowe przepisy, które dotyczą szerokiego zakresu branż, w tym energetyki, opieki zdrowotnej, technologii informacyjnych, bankowości i finansów, transportu, zarządzania odpadami, usług pocztowych i kurierskich oraz produkcji, przetwarzania i dystrybucji żywności, muszą zostać wdrożone do 17 października 2024 roku.

Dodatkowo przyjęta na początku 2023 roku dyrektywa NIS2 nakłada na kraje unijne obowiązek dostosowania prawa do jej wymogów. W tym kontekście niezwykle ważna będzie nowelizacja ustawy KSC. O tym wszystkim rozmawialiśmy z decydentami, ekspertami oraz przedstawicielami rynku podczas konferencji ekspertów organizowanej przez Forum Cyfrowe ZPP oraz Forum Zdrowia ZPP pt. Dyrektywa NIS2 – czy jesteśmy gotowi na nowe zasady cyberbezpieczeństwa w kluczowych sektorach gospodarki?

Polska ścieżka ku cyberbezpieczeństwu: wyzwania i szanse NIS2

Wydarzenie rozpoczął panel dyskusyjny na temat poziomu cyberbezpieczeństwa polskich przedsiębiorstw oraz wyzwań i szans, jakie stwarza nowa europejska regulacja, a wystąpili w nim: Bohdan Pawłowicz, Doradca Z-cy Dyrektora NASK ds. Nowych Technologii dla Polityk Publicznych – NASK, dr Katarzyna Chojecka, Head of Government Affairs CEE – Cisco, Marcin Domagała, Departament Cyberbezpieczeństwa – Ministerstwo Cyfryzacji, Cyprian Gutkowski, ekspert w zakresie Ochrony Danych Osobowych i Miękkiego Cyberbezpieczeństwa – Fundacja Bezpieczna Cyberprzestrzeń oraz Przemek Mikus, Wiceprezes SoDA – Software Development Association Poland. 

Ekspert Fundacji Bezpieczna Cyberprzestrzeń zwrócił uwagę na potrzebę zadbania o bezpieczeństwo łańcucha dostaw. 

– Po 17 października w Polsce zacznie masowo zmieniać się PKD. Natomiast wdrożenie dyrektywy NIS2 będzie problemem, ponieważ przewiduje kontrolę poprzez audyty. Największym wyzwaniem są kwestie związane z dostawcami, ponieważ należy zadbać o bezpieczeństwo łańcucha dostaw. Jest to kluczowe w kontekście NIS2, ponieważ większość ataków odbywa się nie poprzez ataki na systemy korporacji, ale poprzez systemy ich dostawców czy osoby trzecie, z którymi współpracują. W związku z tym konieczne jest zabezpieczenie dostawców. W NIS2 chodzi głównie o ciągłość działania usługi. – wskazuje Cyprian Gutkowski.

Istnieją sektory, które z racji specyfiki swojej działalności mają większą świadomość zagrożeń w każdym wymiarze, co mobilizuje ich do pewnych działań. Natomiast z drugiej strony istnieje cała rzesza firm, które w żadnym stopniu nie mają świadomości istniejących zagrożeń. 

Sam proces zapoznania się z nowymi wymogami i autoanaliza, czy przedsiębiorcy podlegają tym przepisom, jest procesem czasochłonnym i należy podjąć stosowne nakłady, aby przeprowadzić go prawidłowo. Z pewnością dla części przedsiębiorców to duże wyzwanie, ale jestem przekonana, że wdrożenie NIS2 to duży krok w stronę cyfrowej transformacji – podkreśla dr Katarzyna Chojecka.

Dyrektywa NIS2 jako zabezpieczenie obszaru healthcare w Polsce i pozostałych krajach UE – szanse i wyzwania

Kolejny panel podczas konferencji został poświęcony dyskusji na temat nowych obowiązków wynikających z implementacji NIS2 w sektorze zdrowia, a udział w nim wzięli: Jeremi Olechnowicz, kierownik CSIRT w CeZ – Centrum e-Zdrowia, dr Anna Gawrońska, adiunkt, Zakład Innowacji w Ochronie Zdrowia – Szkoła Główna Handlowa, Warszawa, Marcin Serafin, Partner, Rymarz Zdort Maruta, Ekspert ds. RODO i Cybersecurity oraz Michał Sosinka, Partner Associate  –   Cyber Deloitte Risk Advisory. 

Zgodnie z nową dyrektywą NIS2, w przypadku wycieku danych z serwerowni, na przykład szpitala, w danym kraju członkowskim, konieczne będzie zgłoszenie takiego incydentu nie tylko zgodnie z prawem danego kraju, którego dotyczy incydent, ale także zgodnie z prawem kraju, z którego pochodzą dane pacjentów przechowywane na tych serwerach. 

Przykłady takich zagrożeń będą występowały coraz częściej. Na zachodzie podobne zdarzenia pojawiają się natomiast z większą częstotliwością, szczególnie w Stanach Zjednoczonych. NIS2 kładzie większy nacisk na łańcuchy dostaw, co z pewnością zwiększy poziom cyberbezpieczeństwa. Szpitale będą musiały przeprowadzić odpowiednie analizy rynku, które wskażą, od jakich systemów zewnętrznych są uzależnieni i w jaki sposób mogą zadbać o ich bezpieczeństwo – podkreślił Jeremi Olechnowicz, kierownik CSIRT w CeZ – Centrum e-Zdrowia. 

Eksperci odpowiedzieli również na pytanie, jak zarządzać ryzykiem wystąpienia cyberataków, a także jak zapewnić ciągłość funkcjonowania w przypadku ich wystąpienia. 

Najważniejsze jest budowanie długoterminowej strategii cyberbezpieczeństwa, opartej z pewnością na już istniejących standardach. Należy pamiętać, że sektor ochrony zdrowia jest specyficzną branżą, której przedstawiciele często nie posiadają dedykowanych zespołów IT. Strategie, o których mówimy, powinny być spójne z wytycznymi Ministerstwa Zdrowia i Ministerstwa Cyfryzacji oraz wspierać jednostki podlegające dyrektywie NIS2. Procesy, procedury oraz analizy rynkowe powinny być budowane na podstawie dokładnej analizy. W szpitalach coraz częściej pojawia się potrzeba zarządzania kryzysowego, szczególnie w przypadku wycieku danych. Problemem sektora z pewnością nie jest brak funduszy. NFZ uruchamia dodatkowe środki na wzmocnienie cyberbezpieczeństwa, a ENISA również wspiera tego typu inicjatywy. Jesteśmy w stanie sprostać tym wyzwaniom – podsumował Michał Sosinka, Partner Associate  –   Cyber Deloitte Risk Advisory. 

Wydarzenie zostało objęte patronatem honorowym Ministerstwa Cyfryzacji oraz Centrum e-Zdrowia oraz patronatem medialnym Cyberdefence24.pl. 

Warszawa, 4 marca 2024 r.

System kaucyjny do poprawki!

Organizacje reprezentujące branżę napojową oraz handel detaliczny, czyli podmioty zobowiązane do realizacji postanowień ustawy o systemie kaucyjnym, apelują o przyjęcie kluczowych poprawek legislacyjnych mających na celu zapewnienie szczelności i efektywnego działania ogólnopolskiego systemu kaucyjnego na opakowania po napojach. Polski system będzie drugim największym dotychczas w Europie, dlatego tak istotne jest uniknięcie chaosu przy jego uruchamianiu. Przyjęta jeszcze przez poprzedni rząd ustawa zakłada istnienie wielu operatorów, ale stwarza warunki do szybkiej organizacji tylko tym, którzy obowiązków nie mają, natomiast producentów zostawia z licznymi przeszkodami formalnymi i operacyjnymi.

Organizacje reprezentujące branżę napojową (w tym wody, soki i piwa) oraz handel detaliczny popierają wprowadzenie systemu kaucyjnego na opakowania po napojach, ale nie wcześniej niż od 1 stycznia 2026 r., wskazując na zbyt krótki termin na jego efektywnego wdrożenie na obszarze całej Polski.

Podkreślają ponadto, że ustawa zawiera liczne błędy i wadliwe rozwiązania, które bez wprowadzenia poprawek narażają branżę napojową i sklepy detaliczne na miliardowe straty z powodu możliwych defraudacji kaucji oraz opakowań. Polska ma również szansę stać się pierwszym krajem, gdzie konsumenci zapłacą podatek w wysokości 23% od każdej kaucji oraz gdzie system kaucyjny doprowadzi do likwidacji opakowań szklanych wielokrotnego użytku. Ustawę trzeba poprawić, tak aby system kaucyjny w Polsce był efektywny środowiskowo, racjonalny ekonomicznie i przyjazny dla społeczeństwa.

Termin obowiązku zbiórki opakowań w systemie kaucyjnym powinien być przesunięty na 1 stycznia 2026 r. ze względu na opóźnienia w procesie legislacyjnym i dyskryminację firm napojowych wprowadzających na rynek znaczący odsetek produktów w opakowaniach objętych systemem kaucyjnym.  

Ustawa wyraźnie dyskryminuje duże firmy napojowe w możliwości szybkiego powołania operatora systemu ze względu na konieczność uzyskania zgody na koncentrację rynkową. Firmy te, aby założyć podmiot reprezentujący (operatora systemu) muszą obecnie czekać na zgodę Urzędu Ochrony Konkurencji i Konsumentów, a nawet Komisji Europejskiej, co może trwać nawet do 6 miesięcy i nie daje żadnych szans na uruchomienie przez te firmy systemu od 1 stycznia 2025 r. Oznacza to, że operatorzy, którzy będą obsługiwać znaczące strumienie opakowań w systemie kaucyjnym są dyskryminowani w możliwości wejścia na rynek i realizacji obowiązków, w stosunku do podmiotów, które nie mają obowiązku zgłaszania zamiaru koncentracji. To oczywista bariera w dostępie do rynku dla części przedsiębiorców mająca wpływ na możliwość realizacji obowiązków wynikających z ustawy. – wskazuje Andrzej Gantner, wiceprezes Polskiej Federacji Producentów Żywności Związku Pracodawców.

Pierwotny termin 1 stycznia 2025 r. należy uznać za nierealny ze względu na techniczne, organizacyjne i prawne wymogi w tworzeniu podmiotów reprezentujących, powszechności systemu i równych warunków dostępu do rynku – argumentuje Jakub Bińkowski, członek zarządu Związku Przedsiębiorców i Pracodawców.

Organizacje przedsiębiorców wskazują, że ustawa w obecnej postaci nie tylko nie zagwarantuje uzyskania wymaganych poziomów zbiórki, ale wręcz będzie przeszkadzać w ich uzyskaniu. Przepis nie zastąpi realnej zbiórki, a ta będzie niemożliwa ze względu na zbyt krótki okres, jaki dano na powstanie dużego operatora, który będzie zbierał znaczące ilości opakowań, tworząc stabilne warunki do obsługi zarówno dużych jak i małych i średnich firmy napojowych – zauważa Barbara Groele, sekretarz generalny Krajowej Unii Producentów Soków.

Ponadto, należy wyłączyć kaucję za opakowania objęte systemem kaucyjnym z opodatkowania VAT. Aktualne zapisy ustawy narażają konsumentów na płacenie podatku VAT od kaucji. To będzie karny podatek nałożony na polskie społeczeństwo za udział w systemie kaucyjnym i poważne utrudnienie dla sklepów – podkreśla Dariusz Lizak, prezes Krajowej Izby Gospodarczej Przemysł Rozlewniczy.

Podatek VAT nie tylko zwiększa koszty systemu kaucyjnego o 23%, ale powoduje również poważne trudności w rozliczaniu się sklepów z pobranej i wypłaconej kaucji oraz utrudnia bez paragonowe oddawanie opakowań przez konsumentów. Tymczasem system powinien zachęcać podmioty handlu detalicznego do odbioru opakowań bez obawy o powstanie dodatkowych zobowiązań podatkowych i sprawozdawczych związanych z rozliczaniem podatku VAT – dodaje Maciej Ptaszyński, prezes zarządu Polskiej Izby Handlu.

System kaucyjny powinien być zachętą dla społeczeństwa do działań prośrodowiskowych, a nie karnym podatkiem dla konsumentów i sklepów detalicznych – wyjaśnia Jakub Bieńkowski.

Wzorem wszystkich innych systemów kaucyjnych w UE, kaucja powinna podążać za produktem w całym łańcuchu sprzedaży, żeby zapobiec potencjalnym defraudacjom kaucji i umożliwić szybkie rozliczanie się z pobranej i wydanej kaucji pomiędzy sklepami a operatorami.

Taki system pobierania kaucji był zapisany w pierwszym projekcie ustawy, jednak bez żadnego uzasadnienia oraz konsultacji w ostatnim momencie procedowania ustawy został usunięty i zastąpiony obecnym dysfunkcyjnym rozwiązaniem, w którym kaucja pobierana jest wyłącznie na etapie sprzedaży konsumentowi ostatecznemu. To otwarta droga do milionowych defraudacji i potencjalnych bankructw zarówno sklepów jak i operatorów – informuje Arkadiusz Pączka, wiceprzewodniczący Federacji Przedsiębiorców Polskich.

Organizacje postulują również zmiany mające na celu utrzymanie dotychczas bardzo dobrze funkcjonujących systemów kaucyjnych na butelki wielokrotnego użytku. Przepisy ustawy doprowadzają do zniszczenia obecnych systemów kaucyjnych na butelkę wielokrotnego użytku, choć mają one już długą praktykę, w ramach której opakowania wielokrotnego użytku mają najniższy możliwy wpływ na środowisko. Jednocześnie handel detaliczny, w tym przede wszystkim małe sklepy tradycyjne, mają prosty system rozliczania się z kaucji i zwróconych butelek oraz zmaksymalizowany zysk ze sprzedaży produktów w tych opakowaniach. Przepisy nie powinny więc ich niszczyć, wręcz przeciwnie powinny wzmacniać ich rozszerzanie, co jest zgodne z hierarchą postępowania z odpadami – tłumaczy Bartłomiej Morzycki, dyrektor generalny Związku Pracodawców Przemysłu Piwowarskiego – Browary Polskie

Polska ma szansę być pierwszym krajem, który wprowadzając system kaucyjny doprowadzi do eliminacji z rynku szklanych opakowań zwrotnych, co jest sprzeczne z celami środowiskowymi UE – zauważył Jakub Bińkowski.

Duże kontrowersje przedstawicieli handlu budzi uwzględnienie w systemie kaucyjnym opakowań po napojach mlecznych. Wyżej wymienione produkty zawierają m.in. żywe kultury bakterii, więc wprowadzenie do systemu ich opakowań należy uznać za niewykonalne ze względu na obowiązujące obecnie w Polsce przepisy sanitarne dotyczące sklepów detalicznych – stwierdza Maciej Ptaszyński.

Obecnie finalizowany w Unii Europejskiej projekt rozporządzenia ws. opakowań i odpadów opakowaniowych, zmieniającego rozporządzenie (UE) 2019/1020 i dyrektywę (UE) 2019/904 oraz uchylającego dyrektywę 94/62/WE (PPWR) przewiduje, że obowiązkowo wdrażane w UE systemy kaucyjne nie obejmą opakowań po mleku i produktach mlecznych, więc niecelowe byłoby wcześniejsze włączenie tych odpadów opakowaniowych do systemu kaucyjnego w Polsce.

Z zakresu systemu kaucyjnego należy wyłączyć odpady opakowaniowe po produktach mlecznych. Handel detaliczny, niezależnie od wielkości sklepu nie jest w żaden sposób gotowy na zbieranie opakowań po tego typu produktach – podkreśla Maciej Ptaszyński.

System kaucyjny powinien być powszechny, przyjazny dla konsumentów i przedsiębiorstw. Powinien zapewnić spełnienie przez przedsiębiorstwa wymagań UE w zakresie użycia surowców wtórnych w nowych opakowaniach w tym dostępu do recyklatu PET. Niestety obecny kształt ustawy nie realizuje żadnego z tych postulatów. Ustawa powinna być jak najszybciej poprawiona. – argumentuje Arkadiusz Pączka.

Wszystkie zaproponowane przez nas zmiany do ustawy mają na celu naprawienie błędnych zapisów, które stanowią realne zagrożenie dla uruchomienia i efektywnego funkcjonowania ogólnopolskiego systemu kaucyjnego. Naszym celem jest, aby od 1 stycznia 2026 r. w Polsce funkcjonował powszechny, efektywny środowiskowo i ekonomicznie, przyjazny dla konsumentów system kaucyjny, a nie system, który w sposób chaotyczny i wyrywkowy zbiera niewielkie ilości opakowań po napojach nie gwarantując realizacji celów dotyczących poziomu zbiórki i użycia recyklatu. Chcemy zapobiec chaosowi organizacyjnemu, komunikacyjnemu i nieuzasadnionym kosztom, które zamiast zachęcać konsumentów do prośrodowiskowych zachowani skutecznie ich do nich zniechęci – podkreśla Andrzej Gantner.