Przedsiębiorcy telekomunikacyjni identyfikują naruszenia bezpieczeństwa oraz integralności sieci lub usług na podstawie kryteriów uznania zakłócenia za naruszenie mające istotny wpływ na funkcjonowanie sieci lub usług telekomunikacyjnych. Dotychczasowe rozporządzenie wymagało zmiany ze względu na wejście w życie ustawy o krajowym systemie cyberbezpieczeństwa, która m.in. ustanowiła kary finansowe dla przedsiębiorców, którzy nie zgłaszają naruszeń bezpieczeństwa oraz integralności sieci lub usług.

Dotychczas funkcjonowały dwa uzupełniające się rozporządzenia – pierwsze zawierało wzór formularza używanego do zgłaszania incydentów, a drugie – kryteria określające, jakie incydenty należy zgłaszać. Określenie kryteriów w odrębnym akcie prawnym pozwoli na skuteczniejsze egzekwowanie obowiązku określonego w art. 175a ust. 1 ustawy – Prawo telekomunikacyjne.

Tak jak dotychczas, przedsiębiorcy telekomunikacyjni zgłaszają incydenty do Prezesa Urzędu Komunikacji Elektronicznej.

Określone w rozporządzeniu kryteria zostały rozbudowane w stosunku do dotychczas obowiązujących z uwagi na zmianę wymagań Europejskiej Agencji do spraw Bezpieczeństwa Sieci i Informacji (ENISA).

Obowiązek zgłaszania incydentów dotyczy naruszeń, które dotknęły co najmniej 10 000 użytkowników przez określony czas. Czas braku dostępności lub ograniczenia usługi, jaki podlega zgłoszeniu zależy tego, ilu użytkowników danej usługi dotknęło dane naruszenia. Zgłoszeniu podlegają również naruszenia skutkujące niedostępnością telefonów alarmowych (np. 112).

Z treścią rozporządzeń można się zapoznać na stronie Dziennika Ustaw tutaj i tutaj.