Cyberbezpieczeństwo kolei w nowym reżimie prawnym. Branża ma rok na przygotowania

Cyfryzacja kolei postępuje bardzo szybko. Systemy sterowania ruchem, nowoczesny tabor, platformy sprzedaży biletów czy systemy utrzymania infrastruktury coraz częściej opierają się na zaawansowanych rozwiązaniach informatycznych. Z jednej strony zwiększa to efektywność funkcjonowania transportu kolejowego, z drugiej – powoduje, że sektor staje się coraz bardziej podatny na zagrożenia w cyberprzestrzeni. Odporność kolei na incydenty cyfrowe staje się więc przedmiotem szczególnego zainteresowania regulatorów. Jednym z najważniejszych narzędzi w tym zakresie jest nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa implementująca dyrektywę NIS 2.

Nowy podział: podmioty kluczowe i ważne

Jedną z podstawowych zmian wprowadzanych przez nowe przepisy jest odejście od dotychczasowej kategorii operatorów usług kluczowych. W jej miejsce pojawia się podział na podmioty kluczowe oraz podmioty ważne.

W sektorze kolejowym regulacje obejmują przede wszystkim:
• zarządców infrastruktury kolejowej,
• licencjonowanych przewoźników kolejowych,
• operatorów obiektów infrastruktury usługowej, jeżeli jednocześnie prowadzą działalność przewozową.

Istotna zmiana dotyczy również kryteriów kwalifikacji podmiotów. Oprócz przynależności do określonego sektora znaczenie będzie miała skala działalności przedsiębiorstwa – w praktyce regulacje obejmą głównie podmioty średnie i duże. Dla części rynku może to oznaczać objęcie reżimem cyberbezpieczeństwa przedsiębiorstw, które dotychczas nie podlegały przepisom UKSC.

Cyberbezpieczeństwo jako element zarządzania przedsiębiorstwem

Nowelizacja ustawy znacząco rozszerza zakres obowiązków organizacyjnych i dokumentacyjnych związanych z cyberbezpieczeństwem. W praktyce oznacza to konieczność wdrożenia systemowego modelu zarządzania bezpieczeństwem informacji.

(...)

Cały artykuł Aleksandry Auleytner, Szefa Praktyki IP&TMT dostęny w numerze 1-3/2026 miesięcznika Rynek Kolejowy.