Środowiska akademickie KUL: wdrożenie KSC w obecnym kształcie może uderzyć w polskie uczelnie

Głównym problemem zidentyfikowanym w raporcie jest rozbieżność między unijną dyrektywą NIS2 a jej polską implementacją pod postacią nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa. Podczas gdy prawo unijne opiera się na zasadzie proporcjonalności i podejściu opartym na ryzyku, polska nowela przyjmuje sztywne podejście administracyjne. Prowadzi to do automatycznego włączania niemal wszystkich uczelni do katalogu „podmiotów ważnych”, nakładając na nie obowiązki porównywalne z sektorem infrastruktury krytycznej. Eksperci ostrzegają przed tzw. „gold platingiem”, czyli wprowadzaniem przez polskiego ustawodawcę dodatkowych wymogów, które wykraczają poza minimum określone przez UE. Dla przeciętnej uczelni może to oznaczać konieczność poniesienia ogromnych kosztów wdrożeniowych (m.in. budowa systemów SOC/SIEM, centralizacja zarządzania tożsamością) oraz stałych wydatków na rozbudowę zespołów eksperckich i cykliczne audyty.

„Projekt nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa, w obecnym kształcie, niesie istotne ryzyko nadregulacji sektora szkolnictwa wyższego. Dlaczego? Bo nakłada obowiązki wykraczające poza minimum określone w Dyrektywie NIS2 i generuje potencjalne koszty, nieadekwatne do realnej >>krytyczności<< większości uczelni - powiedział profesor Jacek Gołębiowski z KUL. - Zamiast wzmacniać cyberodporność, regulacja może utrwalić model >>papierowej<< zgodności, w którym presja formalno-dokumentacyjna wypiera inwestycje w mierzalne zdolności wykrywania, reagowania i odtwarzania usług” - dodał prof. Gołębiowski.

Raport podkreśla, że bez systemowego wsparcia państwa i uwzględnienia autonomii uczelni, nowa regulacja uderzy w konkurencyjność polskiej nauki.

„Strategicznie potrzebne jest dostosowanie krajowych przepisów do ducha NIS2 i kierunku CSA 2.0 - z zachowaniem proporcjonalności, dobrowolności oraz podejścia opartego na rzeczywistym ryzyku i dojrzałości organizacyjnej uczelni” - podsumowuje profesor Gołębiowski.

Autorzy rekomendują, by objęcie uczelni reżimem KSC miało charakter fakultatywny i dotyczyło wyłącznie jednostek prowadzących badania o znaczeniu strategicznym, zgodnie z duchem przepisów europejskich.

O raporcie: Opracowanie „Problematyka planowanych zmian w polskim porządku prawnym w związku z wdrożeniem Dyrektywy NIS 2 w stosunku do uczelni wyższych”, przygotowane przez Instytut Patria Polonia we współpracy z Towarzystwem Naukowym KUL, to pierwsza tak kompleksowa analiza wpływu reformy prawa dot. cyberbezpieczeństwa na sektor szkolnictwa wyższego w Polsce.

Raport do pobrania na https://portalpolonii.pl/patriapolonia/raporty.php. 

Źródło informacji: Instytut Patria Polonia, Towarzystwo Naukowe Katolickiego Uniwersytetu Lubelskiego