Art. 3. Krajowy system certyfikacji

1. Krajowy system certyfikacji cyberbezpieczeństwa stanowi zbiór podmiotów, o których mowa w ust. 2, oraz procedur związanych z certyfikacją produktów ICT, usług ICT, procesów ICT lub usług zarządzanych w zakresie bezpieczeństwa, w ramach europejskich programów certyfikacji cyberbezpieczeństwa albo krajowych schematów certyfikacji cyberbezpieczeństwa oraz procedur w zakresie certyfikacji systemów certyfikacji cyberbezpieczeństwa lub osób fizycznych w ramach krajowych schematów certyfikacji cyberbezpieczeństwa, wspierających:

1) wytwarzanie wysokiej jakości produktów ICT, usług ICT, procesów ICT i usług zarządzanych w zakresie bezpieczeństwa;

2) budowę systemów zarządzania cyberbezpieczeństwem;

3) zapewnienie:

a) wykwalifikowanych specjalistów w obszarze cyberbezpieczeństwa,

b) spełniania przez produkty ICT, usługi ICT, procesy ICT i usługi zarządzane w zakresie bezpieczeństwa wymogów w zakresie ochrony dostępności, autentyczności, integralności i poufności przetwarzanych danych,

c) bezpieczeństwa oferowanych lub dostępnych produktów ICT, usług ICT, procesów ICT i usług zarządzanych w zakresie bezpieczeństwa w trakcie ich całego cyklu życia oraz powiązanych z nimi funkcji.

2. Krajowy system certyfikacji cyberbezpieczeństwa obejmuje:

1) ministra właściwego do spraw informatyzacji;

2) Polskie Centrum Akredytacji;

3) jednostki oceniające zgodność;

4) dostawców, którzy poddają swoje produkty ICT, usługi ICT, procesy ICT lub usługi zarządzane w zakresie bezpieczeństwa ocenie zgodności w ramach danego europejskiego programu certyfikacji cyberbezpieczeństwa albo danego krajowego schematu certyfikacji cyberbezpieczeństwa;

5) osoby fizyczne, które poddają swoją wiedzę i umiejętności praktyczne ocenie zgodności w ramach danego krajowego schematu certyfikacji cyberbezpieczeństwa;

6) podmioty, które poddają wykorzystywane przez siebie systemy zarządzania cyberbezpieczeństwem ocenie zgodności w ramach danego krajowego schematu certyfikacji cyberbezpieczeństwa.

Komentarz do Art. 3.

Przepis określa, czym jest krajowy system certyfikacji cyberbezpieczeństwa oraz jakie podmioty i procedury go tworzą. System obejmuje nie tylko sam proces certyfikacji, lecz także działania związane z oceną zgodności produktów ICT, usług ICT, procesów ICT i usług zarządzanych w zakresie bezpieczeństwa. Ocena może odbywać się w ramach europejskich programów certyfikacji cyberbezpieczeństwa albo krajowych schematów certyfikacji cyberbezpieczeństwa. W ramach krajowych schematów przewidziano również procedury dotyczące certyfikacji systemów certyfikacji cyberbezpieczeństwa oraz osób fizycznych.

Zgodnie z ust. 1 system ma wspierać kilka celów. Należą do nich wytwarzanie wysokiej jakości produktów, usług i procesów, budowa systemów zarządzania cyberbezpieczeństwem oraz zapewnienie odpowiednio wykwalifikowanych specjalistów. Certyfikacja ma także służyć potwierdzaniu, że objęte nią rozwiązania spełniają wymagania dotyczące ochrony dostępności, autentyczności, integralności i poufności przetwarzanych danych. Obejmuje to bezpieczeństwo produktów, usług, procesów i usług zarządzanych w zakresie bezpieczeństwa przez cały ich cykl życia oraz w odniesieniu do powiązanych z nimi funkcji.

Ust. 2 wskazuje uczestników systemu. Są nimi minister właściwy do spraw informatyzacji, Polskie Centrum Akredytacji, jednostki oceniające zgodność, dostawcy poddający swoje rozwiązania ocenie, osoby fizyczne poddające ocenie wiedzę i umiejętności praktyczne oraz podmioty oceniające wykorzystywane przez siebie systemy zarządzania cyberbezpieczeństwem. Praktyczne znaczenie przepisu polega na wyznaczeniu zakresu systemu, jego uczestników i podstawowych rezultatów, którym ma służyć certyfikacja.

Komentarz ma charakter informacyjny i nie stanowi porady prawnej.

Tekst przepisu: akt uchwalony przez Sejm Rzeczypospolitej Polskiej, Dziennik Ustaw z 2025 r. poz. 1017.Indeks rzeczowy, tytuł redakcyjny i interpretacja przepisu: Kancelarium.

Art. 2.Art. 4.