14 grudnia 2022 roku ustawodawca unijny przyjął dyrektywę w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii (dyrektywa NIS 2). Celem NIS 2 było ustanowienie mechanizmów skutecznej współpracy między odpowiedzialnymi organami w poszczególnych państwach członkowskich oraz aktualizacja listy sektorów i działań podlegających obowiązkom w zakresie cyberbezpieczeństwa. W artykule dokonano analizy podmiotów działających na rzecz zapewnienia bezpieczeństwa sieci i systemów informatycznych w świetle dyrektywy NIS 2. W pierwszej części artykułu („Cybercecurity and Law” 2024, nr 1) omówiono podmioty kluczowe, krytyczne i ważne, rejestr nazw domen najwyższego poziomu oraz dostawców usług DNS. W części drugiej autorki analizują takie podmioty, jak: organy właściwe ds. cyberbezpieczeństwa, pojedynczy punkt kontaktowy, zespoły reagowania na incydenty komputerowe (CSIRT), sektorowe zespoły cyberbezpieczeństwa, właściwy organ odpowiedzialny za zarządzanie incydentami i zarządzanie kryzysowe w cyberbezpieczeństwie, Europejska Sieć Organizacji Łącznikowych do spraw Kryzysów Cyberbezpieczeństwa (EU-CyCLONe), Grupa Współpracy, Agencja Unii Europejskiej ds. Bezpieczeństwa Sieci ENISA.
EN
On December 14, 2022, the EU legislator adopted a directive on measures for a high common level of cybersecurity in the territory of the Union, called the NIS 2 directive. The aim of the new NIS 2 directive was to establish mechanisms for effective cooperation between responsible authorities in the various Member States and to update the list of sectors and activities subject to cybersecurity obligations. The article reviews the entities involved in the policy of ensuring the security of network and IT systems in the light of the NIS 2 directive. In the 1st part of the article, published in „Cybercecurity and Law” 2024, no. 1. 11, the following entities are discussed: key entities, critical entities, registry of top-level domain names and DNS service providers, important entities. In part 2, the authors analyze entities such as the point of single contact, computer emergency response teams (CSIRTs), Cooperation Group, European Union Agency for Network Security.
The number, magnitude, sophistication, frequency and impact of incidents are increasing and present a major threat to the functioning of network and information systems. As a result, incidents can impede the pursuit of economic activities in the internal market, generate financial loss and cause significant damage to the Union’s economy and society. Therefore, effectiveness in cybersecurity is becoming increasingly vital for the proper functioning of the internal market. On December 14, 2022, the EU legislator adopted a directive on measures for a high common level of cybersecurity across the Union, called the NIS 2 Directive. The new NIS 2 directive aimed to lay down mechanisms for effective cooperation among the responsible authorities in each Member State and to update the list of sectors and activities subject to cybersecurity obligations. The article reviews the entities involved in the policy of ensuring the security of network and information systems in the light of the NIS 2 directive.
PL
Liczba, skala, zaawansowanie, częstotliwość i skutki incydentów wzrastają i stanowią poważne zagrożenie dla funkcjonowania sieci i systemów informatycznych. W rezultacie zdarzenia te mogą utrudniać prowadzenie działalności na rynku wewnętrznym, powodować straty finansowe oraz poważne szkody dla gospodarki i społeczeństwa Unii. Dlatego skuteczność w obszarze cyberbezpieczeństwa staje się coraz ważniejsza dla prawidłowego funkcjonowania rynku wewnętrznego. 14 grudnia 2022 roku ustawodawca unijny przyjął dyrektywę w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii, zwaną dyrektywą NIS 2. Jej celem było ustanowienie mechanizmów skutecznej współpracy między odpowiedzialnymi organami w poszczególnych państwach członkowskich oraz aktualizacja listy sektorów i działań podlegających obowiązkom w zakresie cyberbezpieczeństwa. W artykule dokonano analizy podmiotów zajmujących się polityką zapewnienia bezpieczeństwa sieci i systemów informatycznych w świetle dyrektywy NIS 2.
In the face of technological development, the relationship between freedom, including freedom of speech, and security – especially its digital variety, namely cybersecurity – is a particularly difficult relation. It should be pointed out that the international plane is an indispensable dimension of human rights protection, since it is in the international plane that new standards in the field of human rights are created, which are then brought into the system of domestic law and the practice of states. Meanwhile, the existence of international legal regulations increasingly often becomes a guarantee of the effectiveness of domestic legal systems. International institutions often become the institution of appeal for individuals and a lever to force state governments to respect fundamental human rights and freedoms. Support for individuals, communities or nations fighting for their rights, and their success in this struggle, contribute to the formation of a new democratic international order.
PL
W warunkach rozwoju technologii szczególnie trudną relację stanowi związek wolności – w tym wolności słowa i bezpieczeństwa – zwłaszcza jego cyfrowej odmiany, czyli cyberbezpieczeństwa. Należy wskazać, że płaszczyzna międzynarodowa stanowi niezbędny wymiar ochrony praw człowieka, gdyż to w niej są tworzone nowe standardy w dziedzinie praw człowieka, które są następnie wnoszone do systemu prawa wewnętrznego i praktyki państw. Z drugiej strony, istnienie regulacji prawnomiędzynarodowych jest w coraz większej mierze gwarancją efektywności systemów prawa wewnętrznego. Instytucje międzynarodo¬we stają się często instancją odwoławczą dla jednostek oraz środkiem nacisku na rządy krajów nieprzestrzegających podstawowych praw i wolności człowieka. Poparcie dla jednostek, społeczności czy narodów walczących o swoje prawa, ich sukcesy w tej walce czynią jeden z elementów kształtowania nowego, demokratycznego porządku międzynarodowego.
The article aims to analyze the entities in the domain name registration system in Poland in the light of the provisions of the NIS-2 Directive. The European Union NIS-2 Directive replaces the original network and information systems (NIS Directive) from 2016, to account for the changing character of the digital society and the increased need for improved cybersecurity. Quoting the directive: „The NIS Directive is not sufciently clear when it comes to the scope for operators of essential services and its provisions do not provide sufcient clarity regarding national competence over digital service providers”. The legislation also imposes specific obligations on providers of DNS services in the EU, including registries and registrars, to maintain complete and accurate registration data and share this data in a timely manner to „legitimate access seekers”1. The article attempts to determine the entities involved in the domain name registration system and the mutual correlations.
PL
Celem artykułu jest analiza kluczowych podmiotów biorących w systemie rejestracji domen w Polsce w świetle przepisów dyrektywy NIS-2. Dyrektywa Unii Europejskiej NIS-2 zastępuje pierwotne systemy sieciowe i informatyczne (dyrektywa w sprawie bezpieczeństwa sieci i informacji) z 2016 roku, żeby uwzględnić zmieniający się charakter społeczeństwa cyfrowego i zwiększoną potrzebę poprawy cyberbezpieczeństwa. Cytując dyrektywę, dyrektywa w sprawie bezpieczeństwa sieci i informacji nie jest wystarczająco jasna, jeżeli chodzi o zakres dla operatorów usług kluczowych, a jej przepisy nie zapewniają wystarczającej jasności w odniesieniu do kompetencji krajowych w zakresie dostawców usług cyfrowych. Przepisy dyrektywy NIS-2 nakładają również szczególne obowiązki na dostawców usług DNS w UE, w tym na rejestry i rejestratorów, w celu zachowania kompletnych i dokładnych danych rejestracyjnych oraz udostępniania tych danych w odpowiednim czasie „uprawnionym osobom ubiegającym się o dostęp”. W artykule podjęto próbę określenia podmiotów biorących udział w systemie rejestracji nazwy domeny oraz występujących wzajemnych korelacji.
Under current legislation, an institution of higher education may only form single-person companies (special purpose vehicles) for the purpose of indirect commercialisation, consisting in subscribing to or acquiring shares in companies or subscribing to subscription warrants entitling them to acquire shares in companies to implement or prepare for the application of the results of scientific research or the related know-how. The results of scientific research may contribute to improving cybersecurity.
PL
Ustawodawca wskazuje, że uczelnia w celu komercjalizacji pośredniej polegającej na obejmowaniu lub nabywaniu udziałów lub akcji w spółkach lub obejmowaniu warrantów subskrypcyjnych uprawniających do zapisu lub objęcia akcji w spółkach w celu wdrożenia lub przygotowania do wdrożenia wyników działalności naukowej lub know-how związanego z tymi wynikami może tworzyć wyłącznie jednoosobowe spółki kapitałowe (spółki celowe). Wyniki działalności naukowej mogą służyć m.in. poprawie cyberbezpieczeństwa.
Fundamentalnym elementem bezpieczeństwa oraz poczucia braku zagrożenia jest ich społeczne komunikowanie. Wraz z rozwojem społeczeństw, postępem związanym z procesami cyfrowymi i informatyzacją w obszarze komunikowania oraz łatwością przekazywania informacji i danych, personalizacją przekazu, która prowadzi jednocześnie do zupełnie nowych form aktywności, coraz większą rolę zaczęły odgrywać media społecznościowe oraz przekazy, które nie mają charakteru powszechnego odbioru. Dotyczy to wszelkich zdarzeń i zjawisk związanych ze sferą publiczną i oddziaływaniem na sferę publiczną, sposobów oceny przez określone grupy społeczne lub społeczeństwa jako prawdziwe, z którymi mogą się utożsamiać.
EN
The fundamental element of safety, and of a sense of being out of danger, is the social communication of these. As societies continue to develop and progress is being achieved through digital processes and informatisation in communications, and the ease with which information and data can be transmitted, and with communications becoming personalised, engendering entirely new forms of activities, an increasingly prominent role has been played by social media and communications not intended for broad audiences. This is true for all events and phenomena associated with the public sphere and with how it is influenced, as well as for how certain social groups or societies are considered genuine and relatable.
Prawodawca międzynarodowy wyraźnie przewiduje, że każdy ma prawo do poszanowania swojego życia prywatnego, rodzinnego, swojego mieszkania czy też swojej korespondencji. Polska konstytucja również chroni prawo do prywatności, stanowiąc, że każdy ma prawo do ochrony prawnej życia prywatnego, rodzinnego, czci i dobrego imienia oraz do decydowania o swoim życiu osobistym. W dobie COVID-19 nabiera ono nowego znaczenia. Bezpieczeństwo zdrowotne w dobie pandemii jest tą wartością, która podlega szczególnej ochronie. W związku z zagrożeniem wynikającym z rozprzestrzeniania się wirusa SARS-CoV-2 zdecydowana część działalności społecznej, a także zawodowej została przeniesiona do cyberprzestrzeni. To tutaj prywatność obecnie jest szczególnie zagrożona.
EN
The international legislator clearly states that everyone has the right to privacy as regards their private and family life, residence or correspondence. The Constitution of the Republic of Poland also safeguards the right to privacy, stipulating that everyone has the right to enjoy legal protection of their private and family life, dignity and good name, and to decide about their personal life. However, during the COVID-19 pandemic, the right to privacy has acquired a new meaning. Health security is under special protection in the time of the pandemic. Due to the threats posed by the spread of the SARS-CoV-2 virus, a major part of the social and professional activity was transferred to cyberspace which is where privacy is particularly endangered.
The article deals with the diagnosis of the current state in relation to responsibility in the flexible area of cyberspace which is itself hard to define, in the context of security, especially its transsectoral informative part; Polish statutory, strategic and program solutions are presented in the light of EU standards. The study includes a review of threats (mainly information and ICT infrastructure) and their scopes (systemic, economic, socio-cultural) and addressees obliged to preventive and eradication activities (primarily public authorities, but also other, e.g. commercial entities or representatives operating on the market of information society); it also touches on the substantive and institutional cooperation issues at the European level.
PL
Artykuł odnosi się do diagnozy obecnego stanu prawnego w przedmiocie odpowiedzialności w obszarze cyberprzestrzeni, który sam w sobie jest trudny do zdefiniowania. Polskie rozwiązania ustawowe, strategiczne i programowe przygotowywane są w warunkach standardów UE. Analiza obejmuje przegląd zagrożeń (głównie związanych z infrastrukturą informacyjną i teleinformatyczną) i ich uwarunkowań (systemowych, ekonomicznych, społeczno-kulturowych). Istotną kwestią jest ustalenie adresatów zobowiązanych do działań zapobiegawczych i eliminacyjnych (przede wszystkim władz publicznych, ale także innych, np. podmiotów komercyjnych lub przedstawicieli działających na rynku społeczeństwa informacyjnego). Odpowiedzialność za działania w sieci dotyczy także kwestii współpracy merytorycznej i instytucjonalnej na poziomie europejskim.
W obecnych warunkach prawnych podejście regulatorów do zagadnienia cyberbezpieczeństwa wynika z utożsamiania tego rodzaju zjawiska z potrzebą przeciwdziałania atakom przede wszystkim nakierowanym na sieci teleinformatyczne. Stanowisko takie wydaje się jednak nieuzasadnione, zwłaszcza w kontekście analizy pojęcia cyberprzestrzeni i zagrożeń z nią związanych. Cyberbezpieczeństwo jest pojęciem odnoszącym się do zapewnienia ochrony i przeciwdziałania zagrożeniom, które dotykają cyberprzestrzeni, jak i funkcjonowania w cyberprzestrzeni a dotyczy to zarówno sektora publicznego, jak i prywatnego oraz ich wzajemnych relacji. Na rzecz tego stanowiska przemawia również charakterystyka pojęcia cyberprzestępczości, obejmującego generalnie swoim zakresem zagrożenia, jakie pojawiają się w cyberprzestrzeni. Jednak powszechnie przyjmuje się, że świat cyfrowy powinien być uregulowany tak jak świat rzeczywisty. W artykule podjęto próbę uzasadnienia wskazanego powyżej stanowiska.
EN
In the current legal conditions, the regulators’ approach to the issue of cybersecurity results from the identification of this type of phenomenon with the need to counteract attacks primarily targeted at IT networks. This position, however, seems unfounded, especially in the context of analyzing the concept of cyberspace and the threats associated with it. Cybersecurity is a term referring to ensuring protection and counteracting threats that affect cyberspace, as well as functioning in cyberspace, and this applies to both the public and private sectors and their mutual relations. This position is also supported by the characteristics of the concept of cybercrime, which generally covers in its scope threats that appear in cyberspace. However, it is widely accepted that the digital world should be regulated just like the real world. The article attempts to justify the position indicated above.