Bezpieczeństwo infrastruktury przemysłowej - kluczowe kwestie prawne

Bezpieczeństwo infrastruktury przemysłowej obejmuje zarówno ochronę fizyczną zakładów, jak i odporność systemów cyfrowych sterujących produkcją. Zagrożenia to głównie cyberataki na systemy sterowania (OT/SCADA), sabotaż i wandalizm oraz kradzież tajemnic przedsiębiorstwa. Dla firm działających w sektorach kluczowych wiąże się to z konkretnymi obowiązkami prawnymi, a ich zaniedbanie rodzi odpowiedzialność administracyjną, cywilną, a niekiedy karną.

Obowiązki z zakresu cyberbezpieczeństwa

Podstawą krajowych regulacji jest ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, wdrażająca unijną dyrektywę NIS. Nakłada ona na operatorów usług kluczowych obowiązki w zakresie zarządzania ryzykiem, wdrażania zabezpieczeń oraz zgłaszania incydentów do właściwego CSIRT. Należy pamiętać, że ramy te się zmieniają - na poziomie unijnym dyrektywę NIS zastąpiła dyrektywa NIS2, która rozszerza katalog podmiotów objętych obowiązkami; zakres jej krajowego wdrożenia warto weryfikować na bieżąco. Niezależnie od tego od 2018 r. obowiązują w UE także przepisy RODO dotyczące ochrony danych osobowych.

Ochrona własności intelektualnej i tajemnicy przedsiębiorstwa

Innowacje i know-how chronią różne reżimy prawne. Prawa autorskie powstają automatycznie z chwilą stworzenia utworu (ustawa o prawie autorskim i prawach pokrewnych), a ochrona majątkowych praw autorskich trwa co do zasady przez całe życie twórcy i 70 lat po jego śmierci. Znaki towarowe i wynalazki chroni Prawo własności przemysłowej, a rejestracji dokonuje Urząd Patentowy RP. Z kolei poufne informacje o wartości gospodarczej chroni tajemnica przedsiębiorstwa, uregulowana w ustawie o zwalczaniu nieuczciwej konkurencji - jej naruszenie rodzi roszczenia cywilne, a w określonych przypadkach także odpowiedzialność karną.

Jak firma może się zabezpieczyć

W praktyce skuteczna ochrona łączy środki prawne i organizacyjne. Należą do nich umowy o zachowaniu poufności (NDA) z pracownikami i kontrahentami, klauzule o ochronie tajemnicy przedsiębiorstwa, ograniczanie i kontrola dostępu do wrażliwych danych, szkolenia personelu oraz adekwatne zabezpieczenia techniczne (szyfrowanie, monitoring incydentów). Warto też przygotować procedurę reagowania na incydent, obejmującą dokumentowanie zdarzenia oraz - tam gdzie wymaga tego prawo - powiadomienie odpowiednich organów (CSIRT, a w razie naruszenia danych osobowych również Prezesa UODO).