Art. 18zh. Powiadomienia o znaczących cyberzagrożeniach

1. Podmiot finansowy może przekazać Komisji powiadomienie o znaczącym cyberzagrożeniu w rozumieniu art. 3 pkt 13 rozporządzenia 2022/2554, o którym mowa w art. 19 ust. 2 akapit pierwszy rozporządzenia 2022/2554.

2. Komisja przekazuje niezwłocznie CSIRT MON, CSIRT NASK lub CSIRT GOV, zgodnie z ich właściwością, powiadomienie o znaczącym cyberzagrożeniu w rozumieniu art. 3 pkt 13 rozporządzenia 2022/2554, o którym mowa w art. 19 ust. 2 akapit pierwszy rozporządzenia 2022/2554, pochodzące od podmiotu finansowego będącego podmiotem kluczowym lub podmiotem ważnym w rozumieniu art. 5 ust. 1 i 2 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa.

3. W uzasadnionych przypadkach Komisja może przekazać niezwłocznie CSIRT MON, CSIRT NASK lub CSIRT GOV, zgodnie z ich właściwością, powiadomienie o znaczącym cyberzagrożeniu w rozumieniu art. 3 pkt 13 rozporządzenia 2022/2554, o którym mowa w art. 19 ust. 2 akapit pierwszy rozporządzenia 2022/2554, pochodzące od podmiotu finansowego niebędącego podmiotem kluczowym lub podmiotem ważnym w rozumieniu art. 5 ust. 1 i 2 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa.

4. Powiadomienie o znaczącym cyberzagrożeniu w rozumieniu art. 3 pkt 13 rozporządzenia 2022/2554, o którym mowa w art. 19 ust. 2 akapit pierwszy rozporządzenia 2022/2554, jest przekazywane w terminach i z wykorzystaniem wzorów określonych we wspólnych regulacyjnych standardach technicznych i wspólnych wykonawczych standardach technicznych, o których mowa w art. 20 rozporządzenia 2022/2554, w postaci elektronicznej, a w przypadku braku możliwości przekazania go w postaci elektronicznej – przy użyciu innych dostępnych środków komunikacji.

Komentarz do Art. 18zh.

Przepis określa zasady przekazywania Komisji oraz dalszego przekazywania właściwym zespołom CSIRT powiadomień o znaczącym cyberzagrożeniu, o którym mowa w art. 3 pkt 13 i art. 19 ust. 2 akapit pierwszy rozporządzenia 2022/2554. Podmiot finansowy może przekazać takie powiadomienie Komisji, co oznacza, że przepis przewiduje możliwość dokonania zgłoszenia, a nie powszechny obowiązek jego przekazania.

Jeżeli powiadomienie pochodzi od podmiotu finansowego będącego podmiotem kluczowym lub podmiotem ważnym w rozumieniu art. 5 ust. 1 i 2 ustawy o krajowym systemie cyberbezpieczeństwa, Komisja przekazuje je niezwłocznie, zgodnie z właściwością, do CSIRT MON, CSIRT NASK albo CSIRT GOV. W przypadku podmiotu finansowego, który nie ma takiego statusu, przekazanie powiadomienia przez Komisję do właściwego zespołu CSIRT jest możliwe w uzasadnionych przypadkach. Różnica ta wyznacza zakres obowiązkowego i fakultatywnego działania Komisji.

Powiadomienie przekazuje się w terminach i z wykorzystaniem wzorów określonych we wspólnych regulacyjnych standardach technicznych i wspólnych wykonawczych standardach technicznych, o których mowa w art. 20 rozporządzenia 2022/2554. Podstawowym sposobem przekazania jest postać elektroniczna. Jeżeli nie jest to możliwe, dopuszczalne jest użycie innych dostępnych środków komunikacji. Przepis porządkuje więc zarówno uczestników procesu, jak i tryb obiegu informacji o znaczącym cyberzagrożeniu, zapewniając określenie właściwego odbiorcy oraz jednolity sposób przekazywania powiadomień.

Komentarz ma charakter informacyjny i nie stanowi porady prawnej.

Tekst przepisu: akt wydany przez SEJM, Dziennik Ustaw z 2006 r. poz. 1119.Indeks rzeczowy, tytuł redakcyjny i interpretacja przepisu: Kancelarium.

Art. 18zg.Art. 18zi.