Unijny akt o cyberbezpieczeństwie

Nowy mandat ENISA

ENISA, Agencja Unii Europejskiej ds. Cyberbezpieczeństwa, jest obecnie silniejsza. Unijny akt o cyberbezpieczeństwie przyznaje agencji stały mandat oraz zapewnia jej więcej zasobów i nowe zadania.

ENISA odgrywa kluczową rolę w tworzeniu i utrzymywaniu europejskich ram certyfikacji cyberbezpieczeństwa, przygotowując podstawy techniczne dla konkretnych systemów certyfikacji. Jest on odpowiedzialny za informowanie opinii publicznej o systemach certyfikacji i wydanych certyfikatach za pośrednictwem specjalnej strony internetowej. 

ENISA jest upoważniona do zacieśnienia współpracy operacyjnej na szczeblu UE, pomagając państwom członkowskim UE, które chcą się o nią zwrócić, w radzeniu sobie z ich cyberincydentami, oraz wspierając koordynację działań UE w przypadku transgranicznych cyberataków i kryzysów na dużą skalę.

Zadanie to opiera się na roli ENISA jako sekretariatu krajowej sieci zespołów reagowania na incydenty bezpieczeństwa komputerowego (CSIRT), ustanowionej dyrektywą w sprawie bezpieczeństwa sieci i systemów informatycznych.

W styczniu 2026 r. Komisja zaproponowała nowy akt o cyberbezpieczeństwie, aby jeszcze bardziej wzmocnić odporność i zdolności UE w zakresie cyberbezpieczeństwa. Zgodnie z wnioskiem ENISA będzie nadal wspierać przedsiębiorstwa i zainteresowane strony działające w UE poprzez wczesne ostrzeganie o cyberzagrożeniach i cyberincydencjach. 

We współpracy z Europolem i zespołami reagowania na incydenty bezpieczeństwa komputerowego (CSIRT) będzie wspierać przedsiębiorstwa w reagowaniu na ataki ransomware i odzyskiwaniu danych po nich.

ENISA opracuje również wspólną unijną zdolność w zakresie usług zarządzania podatnościami i zapewni zainteresowanym stronom usługi zarządzania podatnościami. Będzie ona obsługiwać pojedynczy punkt zgłaszania incydentów zaproponowany w cyfrowym zbiorczym akcie prawnym.

Zmieniony akt o cyberbezpieczeństwie ma również na celu ograniczenie ryzyka w unijnym łańcuchu dostaw ICT ze strony dostawców z państw trzecich, którzy mają obawy dotyczące cyberbezpieczeństwa. Określono w nim zaufane ramy bezpieczeństwa łańcucha dostaw ICT z zastosowaniem zharmonizowanego, proporcjonalnego i opartego na analizie ryzyka podejścia. Niedawne incydenty w cyberbezpieczeństwie uwypukliły główne ryzyko podatności w łańcuchach dostaw ICT, które mają zasadnicze znaczenie dla krytycznych usług i infrastruktury.

Europejskie ramy certyfikacji cyberbezpieczeństwa

Unijny akt o cyberbezpieczeństwie wprowadza ogólnounijne ramy certyfikacji cyberbezpieczeństwa produktów, usług i procesów ICT. Przedsiębiorstwa prowadzące działalność gospodarczą w UE będą musiały certyfikować swoje produkty, procesy i usługi ICT tylko raz, a ich certyfikaty będą uznawane w całej Unii Europejskiej.

Dzięki wnioskowi dotyczącemu zmienionego aktu o cyberbezpieczeństwie odnowione europejskie ramy certyfikacji cyberbezpieczeństwa domyślnie zapewnią większą jasność i prostsze procedury opracowywania programów w ciągu 12 miesięcy. 

Ukierunkowane zmiany

18 kwietnia 2023 r. Komisja zaproponowała ukierunkowaną zmianę unijnego aktu o cyberbezpieczeństwie. Ta ukierunkowana zmiana została przyjęta 15 stycznia 2025 r. i ma na celu umożliwienie przyjęcia w przyszłości europejskich systemów certyfikacji „usług zarządzanych w zakresie bezpieczeństwa” obejmujących takie obszary jak reagowanie na incydenty, testy penetracyjne, audyty bezpieczeństwa i doradztwo. Certyfikacja ma kluczowe znaczenie dla zapewnienia wysokiego poziomu jakości i niezawodności tych wysoce krytycznych i wrażliwych usług w zakresie cyberbezpieczeństwa, które pomagają przedsiębiorstwom i organizacjom zapobiegać incydentom, wykrywać je, reagować na nie lub usuwać ich skutki.

20 stycznia 2026 r. Komisja zaproponowała również ukierunkowane zmiany w dyrektywie NIS 2 w celu zwiększenia jasności prawa. Zmiany uproszczą przestrzeganie unijnych przepisów dotyczących cyberbezpieczeństwa i wymogów w zakresie zarządzania ryzykiem przez przedsiębiorstwa prowadzące działalność w UE. Ułatwią one przestrzeganie przepisów 28 700 przedsiębiorstwom, w tym 6 200 mikroprzedsiębiorstwom i małym przedsiębiorstwom.