Konferencja UODO: cyberbezpieczeństwo i ochrona danych to naczynia połączone w obliczu rekordowych ataków
W Polsce zgłoszono 270 tysięcy incydentów cyberbezpieczeństwa w 2025 roku – wzrost o 150 procent względem roku poprzedniego.
Urząd Ochrony Danych Osobowych zorganizował 20 lipca konferencję „NIS2 i KSC w praktyce", która zgromadziła blisko 1500 uczestników online i stacjonarnie. Wydarzenie stało się platformą do dyskusji o rosnących wyzwaniach związanych z cyberbezpieczeństwem w kontekście ochrony danych osobowych, a także o praktycznych aspektach wdrażania nowych regulacji unijnych i krajowych.
Podczas wystąpienia otwierającego Konrad Komornicki, zastępca Prezesa UODO, przedstawił alarmujące dane dotyczące skali zagrożeń cybernetycznych w Polsce. Nasz kraj doświadcza obecnie największej liczby cyberataków w całej Europie. Liczba zgłoszonych incydentów cyberbezpieczeństwa wzrosła ze 108 tysięcy w 2024 roku do 270 tysięcy w roku ubiegłym, co stanowi wzrost o 150 procent. Podobny trend obserwowany jest w zgłoszeniach naruszeń ochrony danych osobowych docierających bezpośrednio do Urzędu. Te statystyki jednoznacznie pokazują, że Polska stała się priorytetowym celem dla cyberprzestępców, co wymaga zdecydowanej reakcji zarówno ze strony sektora publicznego, jak i prywatnego.
Komornicki podkreślił fundamentalną tezę całej konferencji – skuteczna ochrona danych osobowych jest niemożliwa bez odpowiedniego zabezpieczenia infrastruktury cyfrowej. Te dwa obszary funkcjonują jako naczynia połączone i wymagają zintegrowanego podejścia ze strony organizacji. Zastępca Prezesa UODO poinformował również, że Urząd został włączony do systemu S46, umożliwiającego zgłaszanie incydentów cyberbezpieczeństwa. Co istotne, UODO funkcjonuje w tym systemie nie tylko jako użytkownik, ale również jako organ nadzorczy, co wzmacnia jego rolę w krajowym ekosystemie cyberbezpieczeństwa.
Szczególną uwagę podczas konferencji poświęcono nowym wymogom wynikającym z dyrektywy NIS2 i implementującej ją ustawy o Krajowym Systemie Cyberbezpieczeństwa. Jedną z kluczowych zmian jest wprowadzenie bezpośredniej odpowiedzialności kierownictwa podmiotów zobowiązanych do wdrożenia przepisów dyrektywy. Oznacza to, że zarządy i kadra zarządzająca nie mogą już delegować odpowiedzialności za cyberbezpieczeństwo wyłącznie na działy IT czy inspektorów ochrony danych – muszą osobiście angażować się w budowanie systemu bezpieczeństwa organizacji.
Pierwszy panel ekspercki skupił się na kontrowersyjnej kwestii weryfikacji karalności kandydatów do pracy w kontekście zarządzania ryzykiem. Dyskusję moderował Piotr Drobek, Dyrektor Departamentu Innowacyjności i Zarządzania Danymi w UODO, a wśród panelistów znaleźli się przedstawiciele świata nauki i praktyki, w tym Sławomir Chmielewski z Orange Polska oraz członkowie Społecznego Zespołu Ekspertów przy Prezesie UODO. Eksperci zgodnie stwierdzili, że przepisy artykułów 8 i 11 KSC, wprowadzające prawo i obowiązek weryfikacji karalności pracowników oraz kandydatów do pracy, nie są jednoznaczne i pozostawiają pole do interpretacji. Kluczowy wniosek dotyczył konieczności precyzyjnego mapowania zadań i przypisanego do nich personelu przez organizacje podlegające KSC przed rozpoczęciem zbierania danych o karalności.
Dyskusja ujawniła również napięcia między różnymi perspektywami prawnymi. Kontrowersje budziło między innymi to, w jakim stopniu dana osoba musi być zaangażowana w wykonywanie zadań związanych z cyberbezpieczeństwem, aby jej dane o karalności mogły być weryfikowane. Eksperci debatowali, czy decydujący powinien być wpływ na podejmowanie decyzji w ramach danego procesu, czy też należy uwzględniać również osoby pełniące role pomocnicze, takie jak pracownicy obsługujący procesy czy przenoszący nośniki danych. Paneliści wypracowali ciekawą konkluzję – podmioty wykonujące strategiczne działania w obszarze cyberbezpieczeństwa muszą operować w trójkącie wyznaczonym przez RODO, KSC oraz kodeks pracy, a interpretacja przepisów powinna zbliżać się do odpowiedniego wierzchołka w zależności od okoliczności konkretnej sytuacji.
Konferencja pokazała, że polski rynek stoi przed poważnym wyzwaniem dostosowania się do nowych wymogów regulacyjnych w warunkach bezprecedensowego wzrostu zagrożeń cybernetycznych. Dialog między sektorem publicznym a prywatnym, który miał miejsce podczas wydarzenia, stanowi krok w kierunku wypracowania praktycznych rozwiązań. Jednocześnie pozostaje wiele nierozstrzygniętych kwestii interpretacyjnych, które będą wymagały dalszych prac legislacyjnych lub wytycznych ze strony organów nadzorczych.