Nowy rząd będzie miał do załatwienia wiele spraw, na uregulowanie których czekają firmy i instytucje. W przyszłym roku organizacje czeka dostosowanie do szeregu istotnych unijnych regulacji m.in. NIS2 i DORA związanych z cyberbezpieczeństwem, czy KSeF, elektronicznym obiegiem faktur. Krajowe instytucje i przedsiębiorstwa w obliczu nowych dyrektyw czekają na konkretne decyzje. Każda ze zmian niesie ze sobą specyficzne wymagania i konsekwencje dla firm.
Z NIS do NIS2
Dyrektywa NIS2 dotycząca bezpieczeństwa sieci i systemów informatycznych wymaga wdrożenia odpowiednich środków ochrony oraz zgłaszania wszelkich naruszeń bezpieczeństwa przez firmy i organizacje z najbardziej narażonych na cyberataki branż. Zmiany adresowane są m.in. do sektora energetyki, opieki zdrowotnej, IT, bankowości i finansów, transportu, gospodarowania ściekami, usług pocztowych i kurierskich czy produkcji, przetwarzania i dystrybucji żywności. Przyjęta na początku 2023 roku dyrektywa NIS2 nakłada na kraje unijne obowiązek dostosowania prawa do jej wymogów do 17 października 2024.
– Może się wydawać, że czasu zostało sporo, jednak z uwagi na duży zakres zmian wprowadzanych przez NIS2, harmonogram jest napięty. O zgodność z szeregiem nowych wymogów musi zadbać również więcej firm, gdyż dyrektywa w stosunku do obecnie obowiązujących przepisów, obejmuje dodatkowe branże. Firmy i instytucje powinny jak najszybciej poznać nowe obowiązki w zakresie bezpieczeństwa IT, zaudytować swoje procesy i wdrożyć brakujące zabezpieczenia – tłumaczy Sebastian Toczewski, IT Security Manager w Beyond.pl, dostawcy usług data center, chmury i Managed Services. – Zakres prac w ramach dostosowania się do wymagań NIS2 będzie uzależniony od stopnia dojrzałości organizacji w obszarze cyberbezpieczeństwa. Szczególną uwagę muszą zwrócić firmy z wskazanych w dyrektywie branż, które zatrudniają więcej niż 250 pracowników lub ich roczne obroty przekraczają 50 mln EUR. Są jednak sektory, w których nowe wymagania obowiązują niezależnie od wielkości firmy. W najgorszej sytuacji mogą znaleźć się firmy z sektorów, które wcześniej nie podlegały regulacjom i nie zatrudniają specjalistów ds. cyberbezpieczeństwa lub nie posiadają rozbudowanych kompetencji IT.
DORA – branża finansowa jeszcze bezpieczniejsza
DORA to unijne Rozporządzenie o Operacyjnej Odporności Cyfrowej, które zaostrza wymogi w zakresie bezpieczeństwa IT wobec podmiotów działających na rynkach finansowych, w tym banków, firm ubezpieczeniowych, fin-techów czy dostawców usług ICT z UE obsługujących tę branżę. Dyrektywa ma wyeliminować niespójności, zapobiec powielaniu wymogów w różnych aktach prawnych oraz zagwarantować konsumentom końcowym dostęp do usług i produktów, nawet w przypadku nieprzewidzianych zdarzeń. Krajowe organizacje, których dotyczy DORA muszą dostosować się do nowej regulacji do 17 stycznia 2025 roku. Jego wdrożenie w Polsce będzie nadzorować Komisja Nadzoru Finansowego (KNF).
– Instytucje finansowe są zasadniczo bardzo dojrzałe w kwestii cyfrowego bezpieczeństwa z uwagi na obowiązujące już w Polsce regulacje. Jednak DORA to nowe podejście do ryzyk związanych ze stosowaniem nowoczesnych technologii, obowiązki związane z dokumentacją procedur, czy regularnego testowania usług odpowiadających za ciągłość biznesową – tłumaczy Sebastian Toczewski, z Beyond.pl i dodaje: – Z drugiej strony możemy założyć, że DORA wymusi profesjonalizację dostawców usług IT obsługujących podmioty finansowe, wzmocni znaczenie partnerów technologicznych z certyfikacjami oraz wygeneruje popyt na usługi zwiększające ciągłość działania jak np. backup oraz usługi Disaster Recovery.
Wymagania dla sektora finansowego mają być rewolucyjną zmianą, porównywaną do wprowadzonego kilka lat temu RODO. Tym bardziej istotne jest, aby podmioty objęte regulacjami DORA już rozpoczęły przygotowanie do nowych standardów i dostosowywały swoje procesy oraz systemy. W ten sposób nie tylko unikną wysokich sankcji, ale zwiększą swoją konkurencyjność i zaufanie klientów.
Krajowy System e-Faktur
KSeF to krajowy system umożliwiający wystawianie i odbieranie faktur ustrukturyzowanych. Na początku 2023 roku Polska jako jeden z pierwszych krajów UE, miała wprowadzić elektroniczny system obrotu faktur, jednak datę przesunięto na początek 2024 roku. Nowy termin, jaki zadeklarowano to 1 lipca 2024 dla wszystkich transakcji B2B. To jednak stoi pod znakiem zapytania. Jeśli Ministerstwo Finansów nie udostępni przed końcem tego roku wszystkich niezbędnych dokumentów, aby firmy i organizacje mogły dostosować i połączyć swoje systemy finansowo-księgowe z KSeFem, do połowy 2024 roku na wdrożenie oraz testy zostanie bardzo mało czasu. – Według danych Ministerstwa Finansów, do połowy listopada tego roku 690 podmiotów wystawiło elektroniczne faktury w KSeF. W sumie dokumentów było nieco ponad 31 tys. Tendencja jest wzrostowa, bo w pierwszej połowie listopada br. faktur było więcej niż w całym wrześniu, ale wciąż widać, że z KSeF testowo korzysta zaledwie niewielki procent firm – tłumaczy Tomasz Kuciel z EDITEL Polska, operatora Platformy Elektronicznego Fakturowania. – Firmy znajdują się obecnie w zawieszeniu. Co prawda jest już API i niektóre rozporządzenia, ale nad innymi wciąż trwają prace. Czas gra zdecydowanie na niekorzyść przedsiębiorców, bo szacujemy, że dostosowanie się do wymogów KSeF może zająć nawet 12 miesięcy – dodaje Tomasz Kuciel.
Brak konkretnych decyzji administracyjnych i edukacji wszystkich zainteresowanych sektorów na temat podejmowanych zmian sprawia, że zarządzający organizacjami wstrzymują się z podejmowaniem konkretnych decyzji i mogą mieć problemy z planowaniem budżetów koniecznych na dostosowanie się do nowych wymogów. Dostosowanie wewnętrznych procedur do regulacji NIS2, DORA oraz KSeF oznacza dla niektórych firm i instytucji znaczące reformy oraz spore koszty, które biznes wolałby rozsądnie zaplanować. Pozostaje mieć nadzieję, że zmiany na szczycie przebiegną sprawnie, a organizacje wkrótce otrzymają jasne wytyczne, od których zależeć będą ich pierwsze decyzje w 2024 roku.