Nowelizacja ustawy o KSC może sparaliżować polskie uczelnie wyższe. Eksperci KUL biją na alarm

• Nowe przepisy KSC mogą zmusić uczelnie do budowania kosztownej „papierowej zgodności” zamiast realnej ochrony przed cyberatakami.
• Polska wersja dyrektywy NIS2 nakłada na szkoły wyższe obowiązki porównywalne z sektorem infrastruktury krytycznej.
• Eksperci ostrzegają przed zjawiskiem „gold platingu” – czyli nadregulacją wykraczającą poza unijne minimum.
• Raport KUL i Instytutu Patria Polonia to pierwsza tak kompleksowa analiza wpływu reformy cyberbezpieczeństwa na polskie uczelnie.

KSC a uczelnie wyższe – skąd problem?

Trwają prace nad nowelizacją ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC), która ma wdrożyć unijną dyrektywę NIS2 do polskiego porządku prawnego. Na pozór brzmi to jak krok w dobrym kierunku – cyberzagrożenia są dziś realnym problemem dla każdej instytucji, w tym szkół wyższych. Jednak najnowszy raport Instytutu Patria Polonia oraz Towarzystwa Naukowego Katolickiego Uniwersytetu Lubelskiego wskazuje, że projekt w obecnym kształcie to poważne ryzyko dla całego sektora akademickiego w Polsce.

Kluczowy zarzut dotyczy rozbieżności między duchem prawa unijnego a polską implementacją. Dyrektywa NIS2 opiera się na zasadzie proporcjonalności i podejściu opartym na ryzyku. Polska nowela tymczasem przyjmuje sztywne podejście administracyjne, które automatycznie włącza niemal wszystkie uczelnie do katalogu „podmiotów ważnych”.

Czym jest „gold plating” i dlaczego zagraża polskim uczelniom?

Eksperci używają pojęcia „gold plating” – zjawiska polegającego na tym, że krajowy ustawodawca dokłada własne wymogi ponad unijne minimum. W przypadku KSC oznacza to, że przeciętna polska uczelnia – nawet nieposiadająca żadnego znaczenia strategicznego – może być zmuszona do wdrożenia rozwiązań zarezerwowanych dotychczas dla sektora infrastruktury krytycznej.

W praktyce chodzi o konieczność budowy systemów klasy SOC i SIEM, centralizacji zarządzania tożsamością cyfrową, tworzenia rozbudowanych zespołów specjalistów ds. cyberbezpieczeństwa oraz przeprowadzania kosztownych, cyklicznych audytów. Dla wielu uczelni – zwłaszcza regionalnych i mniejszych – koszty wdrożeniowe mogą okazać się po prostu nieosiągalne.

Profesor Gołębiowski: regulacja utrwali model „papierowej” zgodności

Profesor Jacek Gołębiowski z KUL, jeden z autorów raportu, nie pozostawia złudzeń co do skutków planowanych przepisów.

Projekt nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa, w obecnym kształcie, niesie istotne ryzyko nadregulacji sektora szkolnictwa wyższego. Nakłada obowiązki wykraczające poza minimum określone w Dyrektywie NIS2 i generuje potencjalne koszty nieadekwatne do realnej »krytyczności« większości uczelni

– ocenia profesor.

Jego zdaniem presja formalno-dokumentacyjna może wręcz wyprzeć inwestycje w mierzalne zdolności wykrywania, reagowania i odtwarzania usług. Innymi słowy – uczelnie będą gonić za spełnieniem wymogów na papierze, zamiast faktycznie wzmacniać swoją odporność na cyberataki.

Co rekomendują autorzy raportu?

Raport formułuje kilka konkretnych rekomendacji pod adresem polskiego ustawodawcy. Najważniejsza z nich to fakultatywność objęcia uczelni reżimem KSC. Obowiązki wynikające z nowych przepisów powinny dotyczyć wyłącznie jednostek prowadzących badania o znaczeniu strategicznym – zgodnie z duchem europejskiej dyrektywy, a nie wbrew niemu.

Eksperci wzywają też do dostosowania krajowych przepisów do kierunku, który wyznacza CSA 2.0, z zachowaniem proporcjonalności oraz podejścia opartego na rzeczywistym ryzyku i dojrzałości organizacyjnej poszczególnych uczelni. Bez systemowego wsparcia państwa i poszanowania autonomii uczelni nowa regulacja uderzy w konkurencyjność polskiej nauki na arenie międzynarodowej.

Pierwszy tak kompleksowy raport o KSC i szkolnictwie wyższym

Opracowanie „Problematyka planowanych zmian w polskim porządku prawnym w związku z wdrożeniem Dyrektywy NIS 2 w stosunku do uczelni wyższych” to pierwsza tak szeroka analiza wpływu reformy prawa cyberbezpieczeństwa na sektor akademicki w Polsce. Raport jest dostępny do pobrania na stronie portalu polonii pod adresem: portalpolonii.pl.

Autorami opracowania są eksperci Instytutu Patria Polonia oraz Towarzystwa Naukowego Katolickiego Uniwersytetu Lubelskiego. Debata nad ostatecznym kształtem nowelizacji ustawy o KSC trwa – i wiele wskazuje na to, że głos środowisk akademickich powinien zostać w niej usłyszany.