Prawo i normy cyberbezpieczeństwa

Rozporządzenie (UE) 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych

Podstawowy akt o ochronie danych osobowych w Unii. Określa zasady przetwarzania, prawa osób, których dane dotyczą, obowiązki administratorów i podmiotów przetwarzających oraz tryb zgłaszania naruszeń ochrony danych.

Kogo dotyczy: Każdy podmiot przetwarzający dane osobowe w UE lub oferujący usługi osobom w UE

Tekst urzędowy — EUR-Lex →

Dyrektywa (UE) 2022/2555 w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii

Następczyni dyrektywy NIS. Rozszerza katalog podmiotów objętych wymogami cyberbezpieczeństwa, wprowadza podział na podmioty kluczowe i ważne, obowiązki zarządzania ryzykiem oraz zgłaszania poważnych incydentów. Jako dyrektywa wymaga wdrożenia przepisami krajowymi.

Kogo dotyczy: Podmioty kluczowe i ważne w sektorach wskazanych w załącznikach dyrektywy

Tekst urzędowy — EUR-Lex →

Rozporządzenie (UE) 2022/2554 w sprawie operacyjnej odporności cyfrowej sektora finansowego

Ujednolica wymogi odporności cyfrowej w sektorze finansowym: zarządzanie ryzykiem ICT, zgłaszanie incydentów, testowanie odporności oraz nadzór nad zewnętrznymi dostawcami usług ICT. Dla podmiotów wskazanych przez organ nadzoru obejmuje zaawansowane testy penetracyjne prowadzone pod kątem rzeczywistych zagrożeń (TLPT). Jako przepis sektorowy ma pierwszeństwo przed ogólnymi wymogami krajowego systemu cyberbezpieczeństwa.

Kogo dotyczy: Banki, ubezpieczyciele, firmy inwestycyjne i inne podmioty finansowe oraz ich dostawcy ICT

Tekst urzędowy — EUR-Lex →

Rozporządzenie (UE) 2024/2847 w sprawie horyzontalnych wymogów cyberbezpieczeństwa produktów z elementami cyfrowymi

Wprowadza wymogi cyberbezpieczeństwa dla produktów z elementami cyfrowymi wprowadzanych do obrotu w Unii, obejmując cały cykl życia produktu, obsługę podatności oraz dokumentowanie składników oprogramowania (SBOM). Obowiązki zgłaszania aktywnie wykorzystywanych podatności i poważnych incydentów z art. 14 stosuje się od 11 września 2026 r.; zgłoszenie idzie jedną drogą, przez wspólną platformę, do właściwego CSIRT i do ENISA. Pozostałe wymogi stosuje się od 11 grudnia 2027 r.

Kogo dotyczy: Producenci, importerzy i dystrybutorzy sprzętu i oprogramowania

Tekst urzędowy — EUR-Lex →

Dyrektywa (UE) 2022/2557 w sprawie odporności podmiotów krytycznych

Dotyczy odporności fizycznej i organizacyjnej podmiotów krytycznych. Stanowi uzupełnienie NIS2, która odpowiada za warstwę cyfrową.

Kogo dotyczy: Podmioty krytyczne wskazane przez państwa członkowskie

Tekst urzędowy — EUR-Lex →

Rozporządzenie (UE) nr 910/2014 w sprawie identyfikacji elektronicznej i usług zaufania

Reguluje identyfikację elektroniczną oraz usługi zaufania: podpis i pieczęć elektroniczną, znacznik czasu i uwierzytelnianie witryn. Istotne przy ocenie mocy dowodowej dokumentów elektronicznych.

Kogo dotyczy: Dostawcy usług zaufania, podmioty publiczne, użytkownicy podpisu elektronicznego

Tekst urzędowy — EUR-Lex →

Rozporządzenie (UE) 2024/1183 zmieniające rozporządzenie 910/2014 w odniesieniu do europejskich ram tożsamości cyfrowej

Nowelizacja eIDAS wprowadzająca europejskie ramy tożsamości cyfrowej, w tym portfel tożsamości cyfrowej.

Kogo dotyczy: Państwa członkowskie, dostawcy usług zaufania, podmioty uznające tożsamość cyfrową

Tekst urzędowy — EUR-Lex →

Dyrektywa (UE) 2015/2366 w sprawie usług płatniczych w ramach rynku wewnętrznego

Reguluje rynek usług płatniczych, w tym silne uwierzytelnianie klienta oraz obowiązki bezpieczeństwa dostawców usług płatniczych i standardy interfejsów w bankowości otwartej. Zastąpić ma ją pakiet PSD3 i rozporządzenia PSR — w listopadzie 2025 r. osiągnięto wstępne porozumienie polityczne, ale do dnia przeglądu tego rejestru pakiet nie został ogłoszony w Dzienniku Urzędowym UE, więc obowiązuje PSD2.

Kogo dotyczy: Banki, instytucje płatnicze, dostawcy usług płatniczych

Tekst urzędowy — EUR-Lex →

Wnioski Komisji COM(2023) 366 — dyrektywa o usługach płatniczych (PSD3) oraz COM(2023) 367 — rozporządzenie o usługach płatniczych (PSR)

Pakiet, który ma zastąpić PSD2: rozporządzenie PSR przejmuje zasady świadczenia usług płatniczych — silne uwierzytelnianie klienta, weryfikację odbiorcy, odpowiedzialność za oszustwa i bankowość otwartą — a dyrektywa PSD3 zostawia w gestii państw członkowskich licencjonowanie i nadzór nad instytucjami płatniczymi. Parlament Europejski i Rada osiągnęły wstępne porozumienie polityczne 27 listopada 2025 r., a teksty zatwierdzono na poziomie COREPER 22 kwietnia 2026 r. Do dnia przeglądu tego rejestru pakiet nie został ogłoszony w Dzienniku Urzędowym UE, więc nie obowiązuje — wiążącym prawem pozostaje PSD2. Odnośnik prowadzi do wniosku Komisji, a nie do tekstu przyjętego; brzmienie końcowe będzie się od niego różnić.

Kogo dotyczy: Banki, instytucje płatnicze, dostawcy usług płatniczych i podmioty bankowości otwartej — po ogłoszeniu i upływie okresów przejściowych

Tekst urzędowy — EUR-Lex — wniosek dyrektywy PSD3 → EUR-Lex — wniosek rozporządzenia PSR →

Rozporządzenie (UE) 2024/1689 ustanawiające zharmonizowane przepisy dotyczące sztucznej inteligencji

Ustanawia podejście oparte na ryzyku wobec systemów sztucznej inteligencji, z odrębnymi wymogami dla systemów wysokiego ryzyka oraz zakazami określonych praktyk. Dla systemów wysokiego ryzyka i modeli ogólnego przeznaczenia obejmuje też wymogi dokładności, odporności i cyberbezpieczeństwa — w tym odporności na zatruwanie danych i modelu oraz na ataki przeciwstawne.

Kogo dotyczy: Dostawcy i podmioty stosujące systemy AI na rynku unijnym

Tekst urzędowy — EUR-Lex →

Rozporządzenie (UE) 2023/2854 w sprawie zharmonizowanych przepisów dotyczących sprawiedliwego dostępu do danych i ich wykorzystywania

Reguluje dostęp do danych generowanych przez produkty połączone i usługi powiązane oraz zmianę dostawcy usług przetwarzania danych.

Kogo dotyczy: Producenci urządzeń połączonych, dostawcy usług chmurowych, użytkownicy danych

Tekst urzędowy — EUR-Lex →

Rozporządzenie (UE) 2022/868 w sprawie europejskiego zarządzania danymi

Ustanawia ramy ponownego wykorzystywania danych sektora publicznego, usług pośrednictwa danych oraz altruizmu danych.

Kogo dotyczy: Podmioty publiczne, pośrednicy danych, organizacje altruizmu danych

Tekst urzędowy — EUR-Lex →