Art. 53b. Hierarchia priorytetów nadzoru i analiza ryzyka

1. Organy właściwe do spraw cyberbezpieczeństwa mogą ustalać hierarchię priorytetów w sprawowaniu nadzoru w oparciu o metodykę nadzoru, o której mowa w art. 53a ust. 1, uwzględniając w szczególności wyniki analizy ryzyka dla konkretnego podmiotu kluczowego lub podmiotu ważnego.

2. Analiza ryzyka przeprowadzana jest przez organ właściwy do spraw cyberbezpieczeństwa i uwzględnia w szczególności:

1) znaczenie usługi dla bezpieczeństwa narodowego i porządku publicznego;

2) wpływ usługi na gospodarkę i społeczeństwo;

3) prawdopodobieństwo wystąpienia incydentu w podmiocie nadzorowanym oraz rodzaj tego incydentu;

4) potencjalne skutki incydentu takie jak straty finansowe, szkody wizerunkowe, utrata danych osobowych lub zakłócenia w funkcjonowaniu systemów i infrastruktury.

Komentarz do Art. 53b.

Przepis określa zasady ustalania priorytetów w sprawowaniu nadzoru nad podmiotami kluczowymi i podmiotami ważnymi. Organy właściwe do spraw cyberbezpieczeństwa mogą kształtować hierarchię działań nadzorczych na podstawie metodyki nadzoru, o której mowa w art. 53a ust. 1. Przy ustalaniu tej hierarchii powinny uwzględniać w szczególności wyniki analizy ryzyka dotyczącej konkretnego podmiotu.

Analizę ryzyka przeprowadza organ właściwy do spraw cyberbezpieczeństwa. Przepis wskazuje cztery główne grupy okoliczności, które należy w niej uwzględnić:

znaczenie świadczonej usługi dla bezpieczeństwa narodowego i porządku publicznego,
wpływ usługi na gospodarkę i społeczeństwo,
prawdopodobieństwo wystąpienia incydentu w podmiocie nadzorowanym oraz jego rodzaj,
potencjalne skutki incydentu.

Do tych skutków zaliczono w szczególności straty finansowe, szkody wizerunkowe, utratę danych osobowych oraz zakłócenia w funkcjonowaniu systemów i infrastruktury.

Znaczenie praktyczne przepisu polega na powiązaniu intensywności i kolejności działań nadzorczych z oceną ryzyka. Nie jest ona oparta wyłącznie na samym statusie podmiotu, lecz także na znaczeniu jego usługi, możliwym prawdopodobieństwie incydentu oraz przewidywanych konsekwencjach. Przepis pozostawia organom możliwość ustalania priorytetów, wskazując jednocześnie kryteria, które mają zostać uwzględnione w tym procesie.

Komentarz ma charakter informacyjny i nie stanowi porady prawnej.

Tekst przepisu: akt wydany przez SEJM, Dziennik Ustaw z 2018 r. poz. 1560.Indeks rzeczowy, tytuł redakcyjny i interpretacja przepisu: Kancelarium.

Art. 53a.Art. 53c.