Ustawa o Cyberbezpieczeństwie

[Anton Talanov]

USTAWA

o cyberbezpieczeństwie

z dnia 24 września 2026 r.

Rozdział I

Przepisy ogólne

Art. 1.
Ustawa określa zasady organizacji i funkcjonowania systemu cyberbezpieczeństwa Drackiej Republiki Ludowo-Demokratycznej.

Art. 2.
Celem ustawy jest:

1. ochrona państwowych systemów teleinformatycznych;


2. zapewnienie bezpieczeństwa infrastruktury krytycznej;


3. ochrona danych i usług cyfrowych;


4. zapobieganie cyberatakom i ograniczanie ich skutków;


5. zapewnienie ciągłości działania państwa;


6. rozwój krajowych zdolności w zakresie cyberbezpieczeństwa.



Art. 3.
Ustawa ma zastosowanie do:

1. organów państwa;


2. administracji rządowej;


3. jednostek samorządu terytorialnego;


4. państwowych przedsiębiorstw i instytucji;


5. operatorów infrastruktury krytycznej;


6. podmiotów wykonujących usługi cyfrowe o znaczeniu dla państwa.



Art. 4.
Ilekroć w ustawie jest mowa o:

1. cyberbezpieczeństwie, rozumie się przez to zdolność systemów, sieci i podmiotów do ochrony przed zagrożeniami cyfrowymi;


2. incydencie, rozumie się zdarzenie naruszające lub mogące naruszyć bezpieczeństwo systemu;


3. poważnym incydencie, rozumie się incydent mogący znacząco wpłynąć na bezpieczeństwo państwa, ludności lub ciągłość usług publicznych;


4. cyberataku, rozumie się celowe działanie skierowane przeciwko systemowi teleinformatycznemu lub sieci;


5. operatorze, rozumie się podmiot odpowiedzialny za funkcjonowanie systemu lub infrastruktury objętej ustawą.



Rozdział II

Krajowy system cyberbezpieczeństwa

Art. 5.
Tworzy się Krajowy System Cyberbezpieczeństwa Dracji.

Art. 6.
W skład systemu wchodzą w szczególności:

1. organy odpowiedzialne za cyberbezpieczeństwo;


2. państwowe zespoły reagowania na incydenty;


3. organy bezpieczeństwa państwa;


4. operatorzy infrastruktury krytycznej;


5. podmioty publiczne;


6. podmioty określone w ustawie.



Art. 7.
Koordynację polityki państwa w zakresie cyberbezpieczeństwa sprawuje Ministerstwo Komunikacji we współpracy z Ministerstwem Sprawiedliwości i organami bezpieczeństwa państwa.

Art. 8.
Rada Ministrów określa strategiczne kierunki rozwoju cyberbezpieczeństwa państwa.

Art. 9.
W sprawach bezpośredniego zagrożenia bezpieczeństwa państwa działania podejmują właściwe organy bezpieczeństwa zgodnie z Konstytucją i ustawami.

Rozdział III

Drackie Centrum Cyberbezpieczeństwa

Art. 10.
Tworzy się Drackie Centrum Cyberbezpieczeństwa, zwane dalej „DCC”.

Art. 11.
DCC jest centralną jednostką odpowiedzialną za koordynację reagowania na zagrożenia cybernetyczne w państwie.

Art. 12.
Do zadań DCC należy w szczególności:

1. monitorowanie zagrożeń;


2. analiza incydentów;


3. ostrzeganie podmiotów publicznych;


4. koordynowanie reagowania na poważne incydenty;


5. prowadzenie analiz bezpieczeństwa;


6. opracowywanie standardów ochrony;


7. współpraca z organami bezpieczeństwa;


8. prowadzenie szkoleń.



Art. 13.
DCC prowadzi Państwowy Rejestr Incydentów Cybernetycznych.

Art. 14.
Dane dotyczące incydentów mogą zostać objęte ograniczeniem dostępu, jeżeli ich ujawnienie mogłoby zagrozić bezpieczeństwu państwa.

Rozdział IV

Zespoły reagowania

Art. 15.
Tworzy się państwowy system zespołów reagowania na incydenty cyberbezpieczeństwa.

Art. 16.
Zespół reagowania wykonuje w szczególności:

1. przyjmowanie zgłoszeń;


2. analizę incydentów;


3. koordynację działań naprawczych;


4. ostrzeganie przed zagrożeniami;


5. współpracę z administratorami systemów.



Art. 17.
Organy państwa wyznaczają osoby odpowiedzialne za kontakt z właściwym zespołem reagowania.

Art. 18.
W przypadku poważnego incydentu DCC może nakazać podmiotowi objętemu ustawą podjęcie działań niezbędnych do ograniczenia jego skutków.

Rozdział V

Obowiązki podmiotów publicznych

Art. 19.
Każdy organ państwa jest obowiązany posiadać system zarządzania cyberbezpieczeństwem odpowiedni do charakteru wykonywanych zadań.

Art. 20.
Administrator systemu zapewnia:

1. kontrolę dostępu;


2. aktualizowanie oprogramowania;


3. ochronę przed złośliwym oprogramowaniem;


4. tworzenie kopii zapasowych;


5. monitorowanie bezpieczeństwa;


6. procedury reagowania na incydenty.



Art. 21.
Systemy strategiczne podlegają regularnym audytom bezpieczeństwa.

Art. 22.
Pracownicy posiadający dostęp do systemów państwowych odbywają szkolenia z cyberbezpieczeństwa.

Art. 23.
Podmiot publiczny przeprowadza okresową ocenę ryzyka cybernetycznego.

Art. 24.
Wyniki oceny ryzyka uwzględnia się przy planowaniu zabezpieczeń i wydatków na bezpieczeństwo.

Rozdział VI

Zgłaszanie incydentów

Art. 25.
Poważne incydenty podlegają niezwłocznemu zgłoszeniu do właściwego zespołu reagowania.

Art. 26.
Zgłoszenie powinno zawierać, w miarę dostępności:

1. opis zdarzenia;


2. czas jego wystąpienia;


3. zakres dotkniętych systemów;


4. przewidywane skutki;


5. podjęte działania.



Art. 27.
Podmiot zgłaszający incydent jest obowiązany współpracować z organami odpowiedzialnymi za jego obsługę.

Art. 28.
Zgłoszenie incydentu nie może samo w sobie stanowić podstawy do nałożenia kary, jeżeli podmiot działał zgodnie z ustawą i nie dopuścił się umyślnego naruszenia obowiązków.

Rozdział VII

Infrastruktura krytyczna

Art. 29.
Cyberbezpieczeństwo infrastruktury krytycznej podlega szczególnej ochronie.

Art. 30.
Operator infrastruktury krytycznej jest obowiązany:

1. posiadać plan ochrony cybernetycznej;


2. monitorować zagrożenia;


3. utrzymywać zdolność odtworzenia działania systemów;


4. zgłaszać poważne incydenty;


5. przeprowadzać testy bezpieczeństwa.



Art. 31.
Systemy teleinformatyczne infrastruktury krytycznej powinny posiadać rozwiązania umożliwiające ich działanie lub szybkie odtworzenie w przypadku awarii.

Art. 32.
Operator infrastruktury krytycznej współpracuje z DCC i właściwymi organami państwa.

Rozdział VIII

Bezpieczeństwo państwowych systemów teleinformatycznych

Art. 33.
Państwowe systemy teleinformatyczne podlegają klasyfikacji według znaczenia dla funkcjonowania państwa.

Art. 34.
Dla systemów o najwyższym znaczeniu określa się szczególne wymagania bezpieczeństwa.

Art. 35.
Systemy strategiczne powinny posiadać:

1. systemy wykrywania zagrożeń;


2. zabezpieczenia przed nieuprawnionym dostępem;


3. kopie zapasowe;


4. procedury awaryjne;


5. możliwość odtworzenia działania.



Art. 36.
Dostęp administracyjny do strategicznych systemów teleinformatycznych podlega szczególnej kontroli.

Art. 37.
Dostęp do informacji o zabezpieczeniach systemów strategicznych może zostać ograniczony na podstawie przepisów o tajemnicy państwowej.

Rozdział IX

Bezpieczeństwo sieci państwowych

Art. 38.
Państwowe sieci teleinformatyczne powinny być zabezpieczone przed nieuprawnionym dostępem i zakłóceniem działania.

Art. 39.
Najważniejsze sieci państwowe mogą funkcjonować w wydzielonych środowiskach teleinformatycznych.

Art. 40.
Połączenia systemów strategicznych z sieciami zewnętrznymi podlegają szczególnej kontroli bezpieczeństwa.

Art. 41.
Urządzenia i oprogramowanie wykorzystywane w systemach strategicznych podlegają ocenie bezpieczeństwa zgodnie z wymaganiami państwa.

Rozdział X

Cyberbezpieczeństwo przedsiębiorstw

Art. 42.
Przedsiębiorstwa wykonujące zadania o znaczeniu strategicznym dla państwa są obowiązane stosować wymagania cyberbezpieczeństwa określone w ustawie.

Art. 43.
Minister Komunikacji może określić kategorie przedsiębiorstw podlegających szczególnym wymaganiom cyberbezpieczeństwa.

Art. 44.
Przedsiębiorstwo objęte szczególnymi wymaganiami:

1. wyznacza osobę odpowiedzialną za cyberbezpieczeństwo;


2. prowadzi ocenę ryzyka;


3. zgłasza poważne incydenty;


4. posiada procedury reagowania;


5. utrzymuje środki ochrony odpowiednie do zagrożenia.



Rozdział XI

Bezpieczeństwo łańcucha dostaw

Art. 45.
Podmioty państwowe uwzględniają ryzyko związane z dostawcami sprzętu, oprogramowania i usług informatycznych.

Art. 46.
W przypadku systemów strategicznych umowy z dostawcami powinny określać wymagania dotyczące bezpieczeństwa, poufności i ciągłości działania.

Art. 47.
Dostawca nie może uzyskać dostępu do danych państwowych poza zakresem niezbędnym do realizacji umowy.

Art. 48.
W przypadku stwierdzenia istotnego zagrożenia bezpieczeństwa państwo może ograniczyć wykorzystanie określonego rozwiązania informatycznego w systemach strategicznych.

Rozdział XII

Audyty i kontrole

Art. 49.
DCC może przeprowadzać lub zlecać audyty cyberbezpieczeństwa podmiotów objętych ustawą.

Art. 50.
Audyt obejmuje w szczególności ocenę:

1. zabezpieczeń;


2. procedur;


3. zarządzania dostępem;


4. kopii zapasowych;


5. reagowania na incydenty;


6. zgodności z wymaganiami ustawy.



Art. 51.
Podmiot kontrolowany jest obowiązany udostępnić informacje niezbędne do przeprowadzenia kontroli.

Art. 52.
W przypadku stwierdzenia nieprawidłowości organ kontrolujący może wyznaczyć termin ich usunięcia.

Rozdział XIII

Reagowanie na poważne zagrożenia

Art. 53.
W przypadku poważnego cyberzagrożenia DCC może uruchomić krajowy system reagowania kryzysowego.

Art. 54.
System reagowania może obejmować:

1. całodobowe monitorowanie zagrożenia;


2. koordynację działań organów państwa;


3. wymianę informacji;


4. zabezpieczenie systemów strategicznych;


5. odtworzenie najważniejszych usług.



Art. 55.
W przypadku zagrożenia bezpieczeństwa państwa właściwe organy mogą podejmować działania określone w ustawach o bezpieczeństwie państwa i stanie wyjątkowym lub wojennym.

Art. 56.
Działania podejmowane w ramach reagowania kryzysowego muszą być proporcjonalne do zagrożenia i ograniczone do czasu niezbędnego do jego opanowania.

Rozdział XIV

Cyberprzestępczość

Art. 57.
Organy ścigania prowadzą rozpoznawanie i zwalczanie przestępczości wykorzystującej systemy teleinformatyczne zgodnie z Kodeksem Karnym i Kodeksem Postępowania Karnego.

Art. 58.
Organy bezpieczeństwa współpracują z DCC w zakresie zapobiegania zagrożeniom cybernetycznym.

Art. 59.
Dane dotyczące cyberincydentów mogą być przekazywane organom ścigania, jeżeli jest to niezbędne do wykrywania lub ścigania przestępstw.

Rozdział XV

Edukacja i rozwój

Art. 60.
Państwo prowadzi programy edukacyjne dotyczące cyberbezpieczeństwa.

Art. 61.
Administracja państwowa organizuje szkolenia dla pracowników odpowiedzialnych za systemy teleinformatyczne.

Art. 62.
Państwo wspiera rozwój krajowych technologii i specjalistycznych kadr w dziedzinie cyberbezpieczeństwa.

Art. 63.
Minister Komunikacji może ustanawiać programy badawcze i rozwojowe dotyczące bezpieczeństwa cyfrowego.

Rozdział XVI

Współpraca międzynarodowa

Art. 64.
Dracja może współpracować z innymi państwami w zakresie wymiany informacji o zagrożeniach cybernetycznych, ochrony infrastruktury i reagowania na incydenty.

Art. 65.
Współpraca międzynarodowa nie może naruszać bezpieczeństwa państwa ani przepisów o ochronie informacji niejawnych.

Rozdział XVII

Finansowanie

Art. 66.
Zadania z zakresu cyberbezpieczeństwa finansowane są w szczególności z budżetu państwa, budżetów jednostek samorządu terytorialnego oraz funduszy przeznaczonych na bezpieczeństwo państwa.

Art. 67.
Podmioty objęte ustawą uwzględniają wydatki na cyberbezpieczeństwo w swoich planach finansowych.

Rozdział XVIII

Odpowiedzialność

Art. 68.
Kto umyślnie lub wskutek rażącego niedbalstwa narusza obowiązki wynikające z ustawy, podlega odpowiedzialności określonej w przepisach prawa.

Art. 69.
Za naruszenie obowiązków cyberbezpieczeństwa organ właściwy może zastosować środki administracyjne określone ustawą.

Art. 70.
Nałożenie kary lub innego środka uwzględnia charakter naruszenia, jego skutki, czas trwania, stopień zagrożenia oraz działania podjęte w celu usunięcia skutków.

Rozdział XIX

Przepisy końcowe

Art. 71.
Minister Komunikacji określi w drodze rozporządzenia:

1. minimalne wymagania cyberbezpieczeństwa;


2. wymagania dotyczące zgłaszania incydentów;


3. standardy audytów;


4. wymagania dla systemów strategicznych;


5. zasady współpracy podmiotów z DCC.



Art. 72.
Przepisy ustawy stosuje się z uwzględnieniem ustaw o informatyzacji państwa, systemach teleinformatycznych państwa, ochronie danych osobowych, infrastrukturze krytycznej oraz tajemnicy państwowej.

Art. 73.
Właściwe organy mogą wydawać wytyczne i standardy techniczne dotyczące cyberbezpieczeństwa, jeżeli nie są one sprzeczne z ustawą.

Art. 74.
Minister Komunikacji przedstawia Radzie Ministrów coroczne sprawozdanie o stanie cyberbezpieczeństwa państwa.

Art. 75.
Ustawa wchodzi w życie z dniem ogłoszenia.

Anton Talanov
Minister Gospodarki
Dnia 24 września 2026r.