Rozszerzenie obowiązku ujawniania informacji o cyberbezpieczeństwie, zapowiadane na „pierwsze półrocze przyszłego roku”, przesunięte na 2027 r.; weryfikacja w 40 z 773 firm

SEUL

Obowiązek ujawniania informacji o bezpieczeństwie informacji przez wszystkie spółki giełdowe, o którym rząd w październiku ubiegłego roku – po serii włamań, które dotknęły operatorów telekomunikacyjnych, instytucje finansowe, a nawet rządową sieć roboczą – mówił, że „planuje wprowadzić go od pierwszego półrocza przyszłego roku”, wejdzie w życie dopiero 1 stycznia 2027 r. Ministerstwo Nauki i ICT poinformowało, że projekt nowelizacji rozporządzenia wykonawczego do „ustawy o wspieraniu branży bezpieczeństwa informacji” (ustawa o branży bezpieczeństwa informacji) o takiej treści został przyjęty na posiedzeniu rządu 20 października. Znowelizowane rozporządzenie znosi wymóg „przychodów w wysokości co najmniej 300 mld wonów” dla spółek giełdowych, nakładając obowiązek ujawniania na wszystkie spółki notowane na KOSPI i KOSDAQ, a także usuwa wyjątki dla instytucji publicznych, instytucji finansowych i operatorów finansów elektronicznych. Jednak wobec małych firm wśród spółek giełdowych będzie stosowane dopiero od 1 stycznia 2029 r. Zakres ujawniania się poszerza, ale spośród 773 firm, które ujawniły informacje w ubiegłym roku, rząd poddał weryfikacji następczej tylko 40, a grzywna administracyjna, jaką można nałożyć na firmy odmawiające weryfikacji lub niepublikujące korekty, wynosi maksymalnie 10 mln wonów.

Rozszerzenie ujawniania, zapowiadane na „pierwsze półrocze przyszłego roku”, wchodzi w życie dopiero w styczniu 2027 r.

Rozszerzenie obowiązku ujawniania było kluczowym zadaniem „międzyresortowego kompleksowego planu ochrony informacji”, przedstawionego wspólnie przez właściwe resorty 22 października ubiegłego roku. Ówczesny materiał Korea Policy Briefing podawał, że „rozszerzając obowiązek ujawniania informacji o bezpieczeństwie informacji na wszystkie spółki giełdowe”, rząd na podstawie wyników ujawnienia „wprowadza system oceniania i publikowania poziomu zdolności w zakresie bezpieczeństwa”. Ten sam materiał przedstawiał plan jako „skupiony na zadaniach krótkoterminowych, możliwych do natychmiastowej realizacji”. Podawał, że „krajowa strategia cyberbezpieczeństwa” z zadaniami średnio- i długoterminowymi zostanie opracowana osobno do końca roku, a podczas sesji pytań i odpowiedzi na briefingu padła odpowiedź, że zostanie opracowana i ogłoszona „do grudnia”.

Termin wdrożenia padł wprost podczas sesji pytań i odpowiedzi. Gdy jeden z dziennikarzy zapytał: „Jeszcze raz pytam tylko o termin: czy rozszerzenie obowiązku ujawniania informacji o bezpieczeństwie informacji na wszystkie spółki giełdowe będzie realizowane już od przyszłego roku?”, strona rządowa odpowiedziała: „Planujemy wprowadzić obowiązek ujawniania informacji o bezpieczeństwie informacji od pierwszego półrocza przyszłego roku”. W stenogramie nie wskazano autora tej odpowiedzi. Na briefingu obecni byli wicepremier i minister nauki i ICT Bae Kyung-hoon, drugi wiceminister nauki i ICT Ryu Je-myung, sekretarz generalny Komisji Usług Finansowych Shin Jin-chang, Lee Jeong-ryeol (sekretarz generalny Komisji Ochrony Danych Osobowych), Kim Chang-seop (trzeci zastępca dyrektora Narodowej Służby Wywiadu) oraz Lee Yong-seok (szef biura ds. innowacji cyfrowego rządu w Ministerstwie Spraw Wewnętrznych i Bezpieczeństwa).

Faktyczne wdrożenie nastąpiło później. Kierując 9 stycznia tego roku projekt nowelizacji rozporządzenia do konsultacji, Ministerstwo Nauki i ICT podało, że „zamierza działać tak, by można było go stosować od podmiotów zobowiązanych do ujawniania informacji o bezpieczeństwie informacji w 2027 r.”. Na tym etapie termin stosowania był już ustalony na 2027 r. W ponownych konsultacjach z 11 maja (obwieszczenie Ministerstwa Nauki i ICT nr 2026-569) zmieniono przepisy przejściowe. Dodano nowy zapis, zgodnie z którym małym firmom w rozumieniu ustawy podstawowej o MŚP, z uwagi na ich zasoby kadrowe i warunki działalności, odracza się termin wejścia w życie o dwa lata. Przy konsultacjach w styczniu materiał Korea Policy Briefing podawał, że wyjątek dla małych firm zostanie usunięty. Termin składania uwag w ponownych konsultacjach upływał 22 czerwca, a do projektu dołączono ocenę skutków regulacji i uzasadnienie zmian poszczególnych przepisów. Ostatecznie przedstawione w październiku ubiegłego roku jako „zadanie krótkoterminowe” rozszerzenie ujawniania rozpocznie się w 2027 r., a małe spółki giełdowe zaczną ujawniać informacje dopiero dwa lata później.

Opóźniło się już samo ogłoszenie kompleksowego planu. Podczas sesji pytań i odpowiedzi odpowiadający przedstawiciel rządu zaczął od słów: „Co do przyczyn opóźnienia względem końca września, tak naprawdę my cały czas, skupiając się na pięciu resortach”, po czym dodał: „Rzeczywiście nastąpiło pewne opóźnienie”.

Ministerstwo Nauki i ICT podkreśla likwidację martwych pól i prawo obywateli do informacji

Ministerstwo Nauki i ICT wyjaśniło, że nowelizacja zlikwiduje martwe pola systemu ujawniania i zagwarantuje obywatelom prawo do informacji, a zarazem skłoni firmy do traktowania bezpieczeństwa informacji jako inwestycji, a nie kosztu. Wicepremier Bae Kyung-hoon powiedział 20 października, że „ujawnianie informacji o bezpieczeństwie informacji to ważny mechanizm, który gwarantuje obywatelom prawo do informacji i zachęca firmy do dobrowolnych inwestycji w bezpieczeństwo informacji”. „Liczę, że utrwali się dobry cykl, w którym inwestycje w bezpieczeństwo informacji będą bardziej aktywne, a poziom bezpieczeństwa informacji w całym kraju wzrośnie” – powiedział wicepremier Bae.

Treść nowelizacji koncentruje się na rozszerzeniu kręgu zobowiązanych. Według obwieszczenia o ponownych konsultacjach art. 8 ust. 1 rozporządzenia usuwa zarówno warunek wyznaczenia i zgłoszenia dyrektora ds. bezpieczeństwa informacji (CISO), jak i warunek przychodów w wysokości co najmniej 300 mld wonów, oraz włącza spółki notowane na rynku papierów wartościowych i KOSDAQ. Według materiału ministerstwa z 20 października wyłączone są spółki celowe do przejęć (SPAC). Podmioty zobowiązane według stanu na koniec poprzedniego roku do uzyskania certyfikacji systemu zarządzania bezpieczeństwem informacji (ISMS) na podstawie ustawy o sieciach informacyjno-komunikacyjnych zostają dodane jako pkt 4 tego samego ustępu. Art. 8 ust. 2 zostaje uchylony, przez co znikają warunki wyłączenia dotyczące instytucji publicznych, małych firm, podmiotów finansowych i operatorów finansów elektronicznych. Zmienia się też sposób liczenia użytkowników: ze średniej dziennej z ostatnich trzech miesięcy poprzedniego roku na średnią dzienną z całego poprzedniego roku.

Ministerstwo zapowiedziało, że dla firm nowo objętych obowiązkiem wyda „wytyczne dotyczące ujawniania informacji o bezpieczeństwie informacji” uwzględniające nowelizację i zapewni doradztwo. Prowadzone będą też stałe konsultacje online, szkolenia i objazdowe szkolenia w regionach. W uzasadnieniu obwieszczenia o ponownych konsultacjach wyjaśniono, że nowelizacja ma pomóc przezwyciężyć niepokój obywateli wzmożony przez niedawne włamania i podnieść krajowe zdolności w zakresie bezpieczeństwa informacji. W komunikacie z 9 stycznia ministerstwo streściło istotę nowelizacji jako „usunięcie kryterium przychodów dla spółek giełdowych, włączenie firm z certyfikacją ISMS i zniesienie wyjątków”, a jej cel jako „zachęcanie firm do dobrowolnych inwestycji w bezpieczeństwo i wzmocnienie gwarancji prawa obywateli do informacji”. Tego samego dnia w wypowiedzi Choi Woo-hyuk (szef biura polityki sieciowej ministerstwa) padło: „Dzięki tej poprawie systemu można poznać stan bezpieczeństwa informacji większej liczby firm niż dotychczas”.

KT, w którym kontrola doraźna „nie wykazała nieprawidłowości”, dwa miesiące później trafiło na briefing o planie

Prace nad rozszerzeniem ujawniania przyspieszyły po poważnych incydentach. Przedstawiciel Ministerstwa Nauki i ICT podał w materiale Korea Policy Briefing z 11 sierpnia ubiegłego roku, że „w następstwie naruszenia bezpieczeństwa w SKT do tego tygodnia przeprowadzono doraźne kontrole na miejscu u innych operatorów telekomunikacyjnych, takich jak KT i LG U+, oraz głównych platform, takich jak Naver, Kakao, Coupang i Woowa Brothers, i nie wykazały one nieprawidłowości”.

Na briefingu o kompleksowym planie, który odbył się nieco ponad dwa miesiące później, pytania dotyczyły incydentu w KT, jednym z kontrolowanych wcześniej podmiotów. Jeden z dziennikarzy zapytał: „Z tego, co wiem, niedawny problem z femtokomórkami KT też w końcu wynikł z tego, że KT nie zdołało zutylizować ich wszystkich”. Wiceminister Ryu Je-myung odpowiedział w sprawie femtokomórek: „Jedna rzecz, odzyskanie, kwestia odzyskania nie jest łatwa”. Wiceminister Ryu powiedział też: „W związku z incydentem w KT chcemy zlikwidować przy mikropłatnościach uwierzytelnianie wyłącznie przez SMS lub ARS”. Podczas tej samej sesji pytań i odpowiedzi wspomniano też incydent w Lotte Card.

Receptą przedstawioną przez rząd było rozszerzenie kontroli i obowiązku ujawniania. Materiał Korea Policy Briefing podawał, że „w celu rozwiania powszechnego niepokoju związanego z włamaniami natychmiast przeprowadzona zostanie zakrojona na szeroką skalę kontrola podatności na zagrożenia ok. 1600 systemów informatycznych, z których korzysta zdecydowana większość obywateli, w sektorze publicznym, finansowym, telekomunikacyjnym itd.”. Według zapowiedzi Shin Jin-chang (sekretarz generalny Komisji Usług Finansowych) kontrola 260 systemów sektora finansowego spośród nich miała się zakończyć do końca tamtego miesiąca. Rozszerzenie obowiązku ujawniania znalazło się w tym pakiecie działań, ale rozporządzenie wykonawcze, stanowiące jego podstawę prawną, zostało przyjęte na posiedzeniu rządu dopiero 20 października tego roku, niemal rok po briefingu.

Ten sam plan zawierał szereg zadań wymierzonych w firmy, w których doszło do incydentów. Rząd zapowiedział, że „rozszerzy uprawnienia dochodzeniowe rządu, tak by po uzyskaniu oznak włamania mógł szybko przeprowadzić dochodzenie na miejscu nawet bez zgłoszenia”. Audyty certyfikacyjne ISMS i ISMS-P zostaną przestawione na kontrole na miejscu, a w razie poważnych uchybień w certyfikowanej firmie certyfikacja zostanie cofnięta. W planie znalazło się też złagodzenie ciężaru dowodu spoczywającego na konsumentach, gdy do włamania dochodzi z powodu zaniedbań firmy w zakresie bezpieczeństwa, oraz rozważenie utworzenia funduszu wykorzystującego wpływy z kar pieniężnych za wycieki danych osobowych m.in. na wsparcie poszkodowanych. Wśród zadań znalazło się również wzmocnienie odpowiedzialności CEO i roli CISO. Podczas briefingu spośród ok. 1600 podmiotów do kontroli wymieniono 900 dużych firm i 260 instytucji finansowych, a jeden z dziennikarzy zadał pytanie, powołując się na liczbę 228 obiektów infrastruktury instytucji publicznych.