Kwalifikacja działalności dostawcy usług SaaS na gruncie przepisów ustawy o krajowym systemie cyberbezpieczeństwa i aktu o cyberodporności

Doradzaliśmy dostawcy usług na stronie internetowej i w aplikacji mobilnej w projekcie:

Kwalifikacja działalności dostawcy usług SaaS na gruncie przepisów ustawy o krajowym systemie cyberbezpieczeństwa (UKSC) i aktu o cyberodporności (Cyber Resilience Act; CRA)

Coraz więcej unijnych przepisów wyznacza ramy prawne w obszarze cyberbezpieczeństwa. Przykład stanowią m.in.:

1. dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii (dyrektywa NIS2), która zaimplementowana została do polskiego porządku prawnego poprzez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa (UKSC) oraz
2. rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/2847 z dnia 23 października 2024 r. w sprawie horyzontalnych wymagań w zakresie cyberbezpieczeństwa w odniesieniu do produktów z elementami cyfrowymi (akt o cyberodporności).

UKSC oraz CRA nakładają na podmioty objęte zakresem ich zastosowania liczne nowe obowiązki w szeroko rozumianym obszarze cyberbezpieczeństwa i odporności cyfrowej. Jednocześnie, od strony legislacyjnej zarówno UKSC (w ślad za dyrektywą NIS2), jak i CRA pozostawiają wiele do życzenia. Akty te posługują się licznymi ogólnymi, szerokimi i niedookreślonymi pojęciami oraz definicjami, a ustalenie ich znaczenia niejednokrotnie wymaga odwołania się do definicji zawartych w innych aktach prawnych. W rezultacie jednym z podstawowych problemów praktycznych staje się samo ustalenie, czy – a jeżeli tak, to w jakim zakresie – dany podmiot lub prowadzona przez niego działalność podlega regulacjom UKSC lub CRA. Przesądzenie, że UKSC lub CRA znajduje (lub znajdzie) zastosowanie do działalności danego podmiotu, oznacza z kolei konieczność zidentyfikowania właściwych obowiązków regulacyjnych oraz odpowiedniego dostosowania prowadzonej działalności do wynikających z tych aktów wymogów.

CRA:

Kluczowe znaczenie dla ustalenia, czy i ewentualnie w jakim zakresie zastosowanie znajdzie CRA ma pojęcie produktu z elementami cyfrowymi, które oznacza oprogramowanie komputerowe lub sprzęt komputerowy oraz powiązane z nimi rozwiązania w zakresie zdalnego przetwarzania danych, w tym komponenty oprogramowania lub sprzętu, które są oddzielnie wprowadzane do obrotu.

CRA nakłada obowiązki przede wszystkim na producentów produktów z elementami cyfrowymi. Są oni zobowiązani do zapewnienia, aby produkt został zaprojektowany, opracowany i wyprodukowany zgodnie z zasadniczymi wymaganiami w zakresie cyberbezpieczeństwa określonymi w CRA.

CRA:

1. stosuje się co do zasady do produktów z elementami cyfrowymi wprowadzonych na rynek od 11 grudnia 2027 roku oraz
2. stosuje się do produktów z elementami cyfrowymi wprowadzonymi przed dniem 11 grudnia 2027 r., tylko jeżeli po tej dacie nastąpią istotne modyfikacje tych produktów.

Na zasadzie odstępstwa, obowiązki określone w art. 14 CRA (zgłaszanie aktywnie wykorzystywanych podatności oraz poważnych incydentów) stosuje się do wszystkich produktów z elementami cyfrowymi objętych zakresem CRA, które wprowadzono do obrotu przed dniem 11 grudnia 2027 r. (art. 69 ust. 3 CRA).

Na podstawie CRA wydane zostało również rozporządzenie wykonawcze Komisji (UE) 2025/2392 z dnia 28 listopada 2025 r. w sprawie opisu technicznego kategorii ważnych i krytycznych produktów z elementami cyfrowymi zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2024/2847, które zawiera szczegółowe opisy techniczne dla wybranych kategorii produktów (np. samodzielne i wbudowane przeglądarki, menedżery haseł, oprogramowanie, które wyszukuje, usuwa lub poddaje kwarantannie złośliwe oprogramowanie, fizyczne i wirtualne interfejsy sieciowe). Zawiera ono wskazówki interpretacyjne w przedmiocie tego, które usługi/produkty podlegają CRA.

UKSC:

Co do zasady, UKSC obejmuje podmioty kluczowe i podmioty ważne, tj. podmioty świadczące określony zakres usług oraz spełniające kryteria dotyczące wielkości przedsiębiorstwa.

Przykładowo:

1. podmiotem kluczowym będzie m.in.:
   1. dostawca usług zarządzanych lub dostawca chmury obliczeniowej, który przewyższa wymogi dla średniego przedsiębiorstwa określone w art. 2 ust. 1 załącznika I do rozporządzenia Komisji (UE) nr 651/2014 (tj. co najmniej zatrudnia 250 pracowników lub jego roczny obrót przekracza 50 mln EUR oraz roczna suma bilansowa przekracza 43 mln EUR),
   2. dostawca usług zarządzanych w zakresie cyberbezpieczeństwa, który co najmniej spełnia wymogi dla małego albo średniego przedsiębiorcy określone w art. 2 ust. 1 załącznika I do rozporządzenia 651/2014/UE lub je przewyższa (tj. w przypadku małego przedsiębiorcy: co najmniej zatrudnia od 10 do 49 pracowników oraz osiąga roczny obrót lub roczną sumę bilansową nieprzekraczającą 10 mln EUR, z kolei w przypadku średniego przedsiębiorcy: zatrudnia od 50 do 249 pracowników oraz osiąga roczny obrót nieprzekraczający 50 mln EUR lub roczną sumę bilansową nieprzekraczającą 43 mln EUR; lub przewyższa te wymogi),
   3. niezależnie od wielkości podmiotu:
      1. kwalifikowany dostawca usług zaufania w rozumieniu art. 3 pkt 20 rozporządzenia 910/2014,
      2. podmiot krytyczny w rozumieniu art. 2 pkt 1 dyrektywy Parlamentu Europejskiego i Rady (UE) 2022/2557 z dnia 14 grudnia 2022 r. w sprawie odporności podmiotów krytycznych,
2. podmiotem ważnym będzie m.in.:
   1. dostawca usług zarządzanych lub dostawca chmury obliczeniowej, który spełnia wymogi dla średniego przedsiębiorcy określone w art. 2 ust. 1 załącznika I do rozporządzenia 651/2014/UE (tj. zatrudnia od 50 do 249 pracowników oraz osiąga roczny obrót lub roczną sumę bilansową przekraczającą 10 milionów EUR, ale nieprzekraczający 50 mln EUR lub roczną sumę bilansową nieprzekraczającą 43 mln EUR) oraz który nie jest podmiotem kluczowym,
   2. operator pocztowy, o którym mowa w art. 3 pkt 12 ustawy z dnia 23 listopada 2012 r. – Prawo pocztowe, dostawcy usług cyfrowych (tj. dostawcy internetowej platformy handlowej, dostawcy wyszukiwarki internetowej, czy dostawcy platformy sieci usług społecznościowych), który spełnia wymogi dla średniego przedsiębiorcy określone w art. 2 ust. 1 załącznika I do rozporządzenia 651/2014/UE lub przewyższa te wymogi (tj. zatrudnia od 50 do 249 pracowników oraz osiąga roczny obrót nieprzekraczający 50 mln EUR lub roczną sumę bilansową nieprzekraczającą 43 mln EUR; lub przewyższa te wymogi) oraz która nie jest podmiotem kluczowym;

Dostawca chmury obliczeniowej

Zgodnie z art. 2 pkt 4e UKSC przez dostawcę chmury obliczeniowej rozumie się: podmiot świadczący usługę umożliwiającą dostęp do skalowalnego i elastycznego zbioru zasobów obliczeniowych do wspólnego wykorzystywania przez wielu użytkowników.

Z kolei zgodnie z art. 6 pkt 30 NIS2: „usługa chmurowa” oznacza usługę cyfrową umożliwiającą administrowanie na żądanie skalowalnym i elastycznym zbiorem zasobów obliczeniowych do wspólnego wykorzystywania oraz szeroki dostęp zdalny do tego zbioru, w tym również, gdy takie zasoby są rozproszone w kilku lokalizacjach”.

Podstawowy problem na gruncie definicji zawartej w UKSC polega na tym, że nie odpowiada ona w pełni definicji usług chmurowych zdefiniowanych w NIS2. Konkretnie definicja w UKSC nie zawiera elementu (przesłanki) „administrowania na żądanie”.

Podobnie w motywie 33 do NIS2 wskazano, że: „Usługi chmurowe powinny obejmować usługi cyfrowe umożliwiające administrowanie na żądanie skalowalnym i elastycznym zbiorem rozproszonych zasobów obliczeniowych do wspólnego wykorzystywania oraz szeroki dostęp zdalny do tego zbioru, w tym, gdy takie zasoby są rozmieszczone w kilku lokalizacjach. Zasoby obliczeniowe obejmują zasoby takie jak sieci, serwery lub inna infrastruktura, systemy operacyjne, oprogramowanie, pamięć masowa, aplikacje i usługi. Do modeli usług chmurowych należą m.in. infrastruktura jako usługa (IaaS), platforma jako usługa (PaaS), oprogramowanie jako usługa (SaaS) oraz sieć jako usługa (NaaS). Modele rozmieszczenia usług chmurowych powinny obejmować chmury prywatne, zbiorowe, publiczne i hybrydowe. Modele usług chmurowych i modele rozmieszczenia oznaczają to samo co usługi i modele ich realizacji zdefiniowane w normie ISO/IEC 17788:2014. Zdolność użytkowników usług chmurowych do jednostronnego zapewnienia sobie możliwości obliczeniowych, takich jak czas serwera lub magazyn sieciowy, bez żadnej interakcji z udziałem człowieka ze strony dostawcy usług chmurowych można określić jako administrowanie na żądanie”.

Dostawca usług zarządzanych

Zgodnie z art. 2 pkt 4i UKSC przez dostawcę usług zarządzanych rozumie się: osobę fizyczną, osobę prawną albo jednostkę organizacyjną nieposiadającą osobowości prawnej, która świadczy usługi związane z instalacją, eksploatacją lub konserwacją produktów ICT, usług ICT, procesów ICT lub systemów informacyjnych przez wsparcie lub aktywną administrację przeprowadzane u usługobiorcy na miejscu lub zdalnie.

Dostawca usług zarządzanych w zakresie cyberbezpieczeństwa

Zgodnie z art. 2 pkt 4j UKSC przez dostawcę usług zarządzanych w zakresie cyberbezpieczeństwa rozumie się osobę fizyczną, osobę prawną albo jednostkę organizacyjną nieposiadającą osobowości prawnej, która świadczy usługi polegające na realizacji lub wsparciu dla realizacji działań związanych z zarządzaniem ryzykiem w cyberbezpieczeństwie, w tym obsługę incydentów, testów bezpieczeństwa, audytów systemów informacyjnych, doradztwo.

Obowiązki wynikające z UKSC

Spełnienie przesłanek uznania za podmiot kluczowy lub podmiot ważny oznacza konieczność dostosowania się do wymogów UKSC (w szczególności: wpis do wykazu podmiotów kluczowych i ważnych, wdrożenie obowiązków z zakresu cyberbezpieczeństwa, podłączenie do systemu teleinformatycznego (S46); w przypadku podmiotów kluczowych dodatkowo: audyty bezpieczeństwa systemu informacyjnego).

Podmioty finansowe

Niezależnie UKSC nakłada również wybrane obowiązki na podmioty finansowe w rozumieniu DORA (rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego). Co do zasady na podmioty finansowe UKSC nakłada określone obowiązki, z zastrzeżeniem jednak, że niektóre przepisy (np. art. 67k ust. 2 UKSC) przewidują sytuacje, gdy obowiązki te nie spoczywają na podmiotach, które jakkolwiek mają status podmiotu finansowego w rozumieniu UKSC, ale do których stosuje się przepis art. 16 ust. 1 DORA. Przepis ten odwołuje się m.in. do instytucji płatniczych zwolnionych zgodnie z PSD2.

Doradztwo DLK obejmowało:

• analizę prowadzonej działalności i świadczonych usług (strona www, aplikacja mobilna) celem przesądzenia czy podmiot powinien być kwalifikowany jako podmiot kluczowy lub ważny na gruncie UKSC, bądź też czy podmiot podlega UKSC w innym zakresie
• analizę prowadzonej działalności i świadczonych usług pod kątem konieczności ich kwalifikacji produkty z elementami cyfrowymi w rozumieniu CRA i celem przesądzenia czy podmiot podlega obowiązkom przewidzianym w CRA
• rekomendacje praktyczne