Transformacja cyfrowa przedsiębiorstw sprawia, że coraz trudniej analizować poszczególne regulacje w oderwaniu od siebie. AI Act, RODO, Digital Services Act (DSA), Cyber Resilience Act (CRA) czy przepisy ustawy o krajowym systemie cyberbezpieczeństwa (KSC) dotyczą różnych obszarów i nakładają odmienne obowiązki. W praktyce jednak bardzo często spotykają się w tych samych procesach biznesowych.

Szczególnie dobrze widać to w sektorze e-commerce. Sklep internetowy może jednocześnie wykorzystywać systemy sztucznej inteligencji, profilować klientów, korzystać z usług zewnętrznych dostawców technologii, prowadzić marketplace, oferować produkty z elementami cyfrowymi oraz – po spełnieniu określonych przesłanek – podlegać regulacjom z zakresu cyberbezpieczeństwa.

Dlatego coraz ważniejsze staje się nie tylko ustalenie, jakie regulacje dotyczą przedsiębiorcy, ale również zidentyfikowanie miejsc, w których ich wymagania nakładają się na siebie w ramach jednego modelu biznesowego.

Jeden proces biznesowy może podlegać kilku regulacjom

Przykładem może być pozornie zwykły proces zakupowy w sklepie internetowym.

Klient rozpoczyna wizytę na stronie od rozmowy z chatbotem wykorzystującym sztuczną inteligencję. AI Act przewiduje obowiązki dotyczące przejrzystości takiej interakcji – co do zasady osoba fizyczna powinna zostać poinformowana, że wchodzi w interakcję z systemem AI, chyba że jest to dla niej oczywiste. Obowiązki te znajdują zastosowanie od 2 sierpnia 2026 r.

Odpowiedzialność za odpowiednie zaprojektowanie systemu, tak aby użytkownik otrzymał wymaganą informację, spoczywa co do zasady na dostawcy systemu AI. Przedsiębiorca wykorzystujący chatbota powinien jednak ustalić swoją rolę w rozumieniu AI Act. Szczególnego znaczenia nabiera to w przypadku rozwiązań udostępnianych pod własną marką sklepu.

W zależności od sposobu wdrożenia i udostępniania technologii konieczna może być analiza, czy przedsiębiorca występuje wyłącznie jako podmiot stosujący system, czy również jako jego dostawca. Odpowiedniego uregulowania wymagają także relacje z zewnętrznym dostawcą technologii, w tym podział obowiązków związanych z zapewnieniem zgodności rozwiązania z przepisami.

Jeżeli chatbot wykorzystuje dane osobowe klienta, jego funkcjonowanie należy jednocześnie przeanalizować z perspektywy RODO. Znaczenie mogą mieć m.in. zakres przetwarzanych danych, cel i podstawa prawna przetwarzania, sposób korzystania z zewnętrznych dostawców technologii oraz bezpieczeństwo informacji przekazywanych do systemu.

Kolejnym elementem procesu może być system rekomendacji produktów. Jeżeli jego działanie wykorzystuje dane osobowe i wiąże się z profilowaniem, pojawiają się zagadnienia wynikające z RODO.

W przypadku platform internetowych, takich jak marketplace, zastosowanie mogą znaleźć również wymagania DSA dotyczące przejrzystości systemów rekomendacji, w tym przedstawienia głównych parametrów decydujących o tym, jakie informacje są sugerowane odbiorcy usługi. Zakres tych obowiązków zależy jednak od statusu przedsiębiorcy i charakteru świadczonej usługi. Przepisy przewidują także określone wyłączenia, m.in. dotyczące mikroprzedsiębiorców i małych przedsiębiorców.

Samo wykorzystywanie systemu rekomendacji w sklepie internetowym nie oznacza więc automatycznie objęcia przedsiębiorcy wszystkimi obowiązkami przewidzianymi dla dostawców platform internetowych.

Już na tym etapie jeden proces sprzedażowy może wymagać równoległego uwzględnienia kilku reżimów prawnych.

Produkt cyfrowy to kolejny poziom obowiązków

Zakres regulacyjny może rozszerzyć się jeszcze bardziej, jeżeli przedsiębiorca oferuje produkty z elementami cyfrowymi.

Cyber Resilience Act ustanawia wymagania dotyczące cyberbezpieczeństwa takich produktów, obejmujące nie tylko moment ich wprowadzenia na rynek, lecz także kwestie związane z podatnościami i bezpieczeństwem produktu w jego cyklu życia.

Znaczenie ma przy tym rzeczywista rola przedsiębiorcy w łańcuchu dostaw. CRA przewiduje bowiem określone obowiązki dla producentów, importerów i dystrybutorów.

Szczególnej uwagi wymaga sprzedaż produktu pod własną nazwą lub znakiem towarowym. Importer lub dystrybutor, który wprowadza produkt do obrotu pod własną nazwą lub znakiem towarowym, jest na gruncie CRA co do zasady traktowany jak producent i przejmuje jego obowiązki.

Warto również pamiętać, że obowiązki wynikające z CRA są wprowadzane etapami.

Od 11 września 2026 r. producenci mają obowiązek zgłaszania aktywnie wykorzystywanych podatności oraz poważnych incydentów wpływających na bezpieczeństwo produktów z elementami cyfrowymi. Obowiązek ten obejmuje również produkty wprowadzone do obrotu przed tą datą. Zasadnicza część pozostałych wymagań rozporządzenia znajdzie zastosowanie od 11 grudnia 2027 r.

Oznacza to, że przedsiębiorcy wprowadzający na rynek produkty z elementami cyfrowymi powinni już teraz zweryfikować swoją rolę w łańcuchu dostaw, zakres odpowiedzialności za bezpieczeństwo produktu oraz zasady współpracy z dostawcami oprogramowania i innych komponentów.

Jeżeli produkt z elementami cyfrowymi zbiera dane o swoim użytkowaniu lub otoczeniu i może je przekazywać – jak np. kamera internetowa – należy uwzględnić również Data Act. Już od 12 września 2025 r. sprzedawca takiego produktu powinien przed zawarciem umowy przekazać użytkownikowi informacje m.in. o rodzaju i zakresie danych, które produkt generuje, oraz o sposobie dostępu do nich. Produkty skomunikowane wprowadzane do obrotu po 12 września 2026 r. powinny być ponadto projektowane tak, aby użytkownik miał łatwy dostęp do tych danych.

Dla e-commerce analiza prawna nie powinna zatem kończyć się na zasadach prowadzenia sklepu czy ochronie danych klientów. Konieczne może być również ustalenie, kto odpowiada za cyberbezpieczeństwo sprzedawanego produktu i w jakim zakresie.

Cyberbezpieczeństwo organizacji a cyberbezpieczeństwo produktu

Odrębnym obszarem pozostają obowiązki wynikające z KSC.

Objęcie przedsiębiorcy ustawą wymaga każdorazowo analizy charakteru prowadzonej działalności oraz spełnienia ustawowych kryteriów, w szczególności dotyczących rodzaju działalności, sektora i wielkości podmiotu. Nie wynika ono wyłącznie z faktu korzystania przez przedsiębiorstwo z określonych systemów informatycznych. W e-commerce chodzi przede wszystkim o dostawców usług cyfrowych, w tym prowadzących internetowe platformy handlowe, na których konsumenci zawierają umowy z innymi przedsiębiorcami, o ile są co najmniej średnimi przedsiębiorcami. Sklep sprzedający wyłącznie własny asortyment co do zasady nie jest objęty KSC z tego tytułu, choć może podlegać ustawie z innego powodu, np. jako producent działający w sektorze wskazanym w ustawie.

Jeżeli jednak przedsiębiorca podlega KSC, pojawia się kolejny wymiar zarządzania ryzykiem cyfrowym – tym razem dotyczący bezpieczeństwa organizacji, wykorzystywanych przez nią sieci i systemów informacyjnych, zarządzania ryzykiem, obsługi incydentów czy bezpieczeństwa łańcucha dostaw.

W praktyce przedsiębiorstwo może więc znaleźć się w sytuacji, w której równolegle musi uwzględniać:

• KSC – na poziomie bezpieczeństwa organizacji,
• CRA – na poziomie cyberbezpieczeństwa produktów z elementami cyfrowymi.

To dwa różne reżimy prawne, które nie powinny być utożsamiane. Mogą jednak spotkać się w działalności tego samego przedsiębiorcy.

Jeden incydent może uruchomić kilka obowiązków zgłoszeniowych

Nakładanie się obowiązków wynikających z różnych regulacji szczególnie wyraźnie widać w przypadku incydentów bezpieczeństwa.

Wyobraźmy sobie sytuację, w której cyberatak na system zamówień sklepu internetowego prowadzi do wycieku danych osobowych klientów.

Takie zdarzenie może wymagać zgłoszenia naruszenia ochrony danych osobowych do Prezesa Urzędu Ochrony Danych Osobowych na podstawie RODO. Jeżeli naruszenie może powodować ryzyko naruszenia praw lub wolności osób fizycznych, administrator powinien co do zasady dokonać zgłoszenia bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia. Jeżeli naruszenie może powodować wysokie ryzyko, administrator powinien również bez zbędnej zwłoki zawiadomić osoby, których dane dotyczą.

Jeżeli przedsiębiorca należy jednocześnie do podmiotów objętych obowiązkami wynikającymi z KSC, ten sam incydent może uruchomić odrębne procedury zgłoszeniowe związane z cyberbezpieczeństwem.

W przypadku incydentów poważnych przepisy KSC przewidują m.in. przekazanie wczesnego ostrzeżenia w ciągu 24 godzin oraz zgłoszenia incydentu w ciągu 72 godzin od jego wykrycia, z uwzględnieniem szczególnych zasad dotyczących określonych podmiotów i terminów rozpoczęcia stosowania nowych obowiązków. W określonych przypadkach konieczne może być także poinformowanie odbiorców usług o incydencie.

Jeszcze inne obowiązki mogą wystąpić, jeżeli zdarzenie dotyczy produktu z elementami cyfrowymi i spełnia przesłanki zgłoszenia określone w CRA.

W przypadku objętych tym obowiązkiem aktywnie wykorzystywanych podatności oraz poważnych incydentów wpływających na bezpieczeństwo produktu producent powinien przekazać wczesne ostrzeżenie w ciągu 24 godzin od uzyskania informacji o zdarzeniu, a następnie właściwe zgłoszenie w ciągu 72 godzin. Zgłoszenia przekazuje się za pośrednictwem jednolitej platformy zgłoszeniowej prowadzonej przez ENISA do CSIRT pełniącego funkcję koordynatora.

W praktyce jedno zdarzenie może zatem wymagać równoległej analizy kilku regulacji, ustalenia właściwych adresatów zgłoszeń, zakresu przekazywanych informacji oraz odrębnych terminów.

Nie oznacza to, że każdy incydent automatycznie podlega zgłoszeniu na podstawie wszystkich wymienionych przepisów. Zakres obowiązków zależy od statusu przedsiębiorcy, charakteru zdarzenia i spełnienia przesłanek przewidzianych w poszczególnych regulacjach.

Dlatego procedura reagowania na incydenty nie powinna ograniczać się wyłącznie do działań technicznych. Powinna również umożliwiać sprawną identyfikację obowiązków prawnych i koordynację działań między zespołami odpowiedzialnymi za bezpieczeństwo, ochronę danych oraz zgodność regulacyjną.

W trakcie rzeczywistego incydentu może już nie być czasu na ustalanie, kto odpowiada za poszczególne zgłoszenia i jakie terminy mają zastosowanie.

Problemem mogą być silosy organizacyjne

Złożoność otoczenia regulacyjnego nie wynika wyłącznie z liczby nowych przepisów. Istotnym wyzwaniem jest również sposób, w jaki przedsiębiorstwa zarządzają poszczególnymi obszarami.

Za cyberbezpieczeństwo odpowiada często dział IT lub CISO. Za ochronę danych odpowiada administrator, a inspektor ochrony danych doradza i monitoruje przestrzeganie RODO, często we współpracy z działem prawnym. Marketing odpowiada za personalizację i komunikację z klientami. Zakupy negocjują umowy z dostawcami technologii, a zespoły produktowe wdrażają rozwiązania wykorzystujące AI.

Taki podział kompetencji jest naturalny. Ryzyko pojawia się jednak wtedy, gdy każdy zespół analizuje wyłącznie własny fragment procesu.

Dobrym przykładem ponownie jest chatbot. Może zostać wdrożony przez marketing, korzystać z modelu dostarczanego przez zewnętrzną firmę, przetwarzać dane klientów i komunikować się z systemem zamówień.

Z perspektywy organizacji nie jest to już wyłącznie „projekt AI”. W jednym rozwiązaniu mogą spotkać się zagadnienia dotyczące sztucznej inteligencji, ochrony danych, cyberbezpieczeństwa, poufności informacji oraz odpowiedzialności i podziału ryzyk w umowie z dostawcą.

Każdy zespół może prawidłowo ocenić zagadnienia należące do jego kompetencji, a mimo to organizacja może nie dostrzec ryzyk pojawiających się na styku poszczególnych obszarów.

Kluczowe staje się więc nie tylko przypisanie odpowiedzialności za poszczególne zagadnienia, ale również ustalenie zasad współpracy i wymiany informacji między zespołami.

Wspólny model zarządzania ryzykiem cyfrowym

AI Act, RODO, DSA, CRA i KSC mają różne zakresy zastosowania, różnych adresatów oraz odmienne wymagania. Nie należy więc traktować ich jako jednego reżimu regulacyjnego.

Jednocześnie ich stosowanie może wymagać analizy tych samych elementów przedsiębiorstwa.

Dotyczy to w szczególności:

• wykorzystywanych systemów i technologii,
• przepływu danych i informacji,
• identyfikacji oraz oceny ryzyka,
• dostawców technologii i łańcucha dostaw,
• zasad reagowania na incydenty, identyfikacji obowiązków zgłoszeniowych i terminów ich realizacji,
• podziału odpowiedzialności wewnątrz organizacji,
• dokumentowania podejmowanych decyzji.

Dlatego przedsiębiorca nie zawsze powinien rozpoczynać od tworzenia odrębnego projektu dla każdej kolejnej regulacji.

Bardziej efektywnym punktem wyjścia może być mapa procesów, technologii i ryzyk cyfrowych przedsiębiorstwa, a następnie przypisanie do nich poszczególnych wymagań regulacyjnych.

Wspólna inwentaryzacja systemów może służyć kilku analizom. Ocena dostawcy technologii może jednocześnie uwzględniać kwestie cyberbezpieczeństwa, ochrony danych osobowych, warunki korzystania z AI oraz podział odpowiedzialności kontraktowej.

Podobnie procedura reagowania na incydenty może wskazywać nie tylko sposób identyfikacji i ograniczania zagrożeń, ale również zasady ustalania, które obowiązki zgłoszeniowe należy uruchomić, w jakich terminach i kto odpowiada za ich realizację.

Nie oznacza to zastąpienia odrębnych obowiązków prawnych jedną uniwersalną procedurą. Poszczególne regulacje nadal wymagają spełnienia właściwych im przesłanek oraz zachowania określonych standardów.

Spójny model zarządzania może jednak ograniczyć powielanie tych samych analiz, usprawnić współpracę między zespołami i przede wszystkim pomóc w identyfikacji obszarów, które mogłyby pozostać poza zakresem odpowiedzialności poszczególnych jednostek organizacyjnych.

Perspektywa zarządu: jedna mapa zamiast wielu niezależnych projektów

Dla zarządu kluczowe staje się zatem uzyskanie całościowego obrazu.

Nie oznacza to konieczności operacyjnego zarządzania każdym wymaganiem wynikającym z AI Act, RODO, DSA, CRA czy KSC. Poszczególne obowiązki nadal wymagają specjalistycznej wiedzy i mogą pozostawać w kompetencji różnych zespołów.

Odpowiedzialność kierownictwa nie ma jednak wyłącznie charakteru organizacyjnego.

Znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa przewiduje odpowiedzialność kierowników podmiotów kluczowych i ważnych za wykonywanie określonych obowiązków w zakresie cyberbezpieczeństwa. Powierzenie realizacji tych obowiązków pracownikom lub zewnętrznym specjalistom nie zwalnia kierownika podmiotu z ustawowej odpowiedzialności.

Jeżeli zarząd jest wieloosobowy i nie wskazano osoby odpowiedzialnej za wykonywanie tych obowiązków, odpowiedzialność ponoszą wszyscy jego członkowie.

Zakres obowiązków i terminy ich realizacji należy przy tym oceniać z uwzględnieniem przepisów przejściowych nowelizacji KSC. Podmioty, które spełniały ustawowe przesłanki w dniu wejścia nowelizacji w życie, mają co do zasady czas do 3 kwietnia 2027 r. na wdrożenie wymaganych rozwiązań organizacyjnych i technicznych, a kary pieniężne, w tym kary dla kierownika podmiotu, mogą być nakładane najwcześniej po 3 kwietnia 2028 r.

Z perspektywy zarządzania przedsiębiorstwem istotne staje się więc ustalenie, jakie regulacje dotyczą konkretnego modelu biznesowego, gdzie ich wymagania spotykają się w tych samych procesach oraz kto odpowiada za ryzyka powstające na ich styku.

Zarząd powinien dysponować informacjami pozwalającymi ocenić, czy przyjęty podział obowiązków jest skuteczny, czy poszczególne zespoły współpracują ze sobą oraz czy istotne ryzyka trafiają na odpowiedni poziom decyzyjny.

W praktyce pierwszym pytaniem nie zawsze powinno być zatem:

„Którą regulację musimy wdrożyć jako następną?”

Warto wcześniej odpowiedzieć na inne:

„Czy w naszej organizacji ktoś widzi wszystkie ryzyka cyfrowe jednocześnie?”

Brak takiej perspektywy może prowadzić do sytuacji, w której poszczególne obowiązki są realizowane prawidłowo, ale pomiędzy nimi pozostają obszary, za które w praktyce nikt nie odpowiada.

Jak JLSW może wspierać przedsiębiorców?

JLSW wspiera przedsiębiorców w identyfikacji obowiązków wynikających z regulacji cyfrowych oraz w ocenie ich wpływu na konkretne modele biznesowe.

W ramach doradztwa pomagamy w mapowaniu regulacyjnym działalności, identyfikacji obszarów podlegających AI Act, RODO, DSA, CRA i KSC, analizie procesów wykorzystujących AI i dane oraz ocenie relacji z dostawcami technologii.

Wspieramy również przedsiębiorców w projektowaniu spójnych zasad zarządzania ryzykiem cyfrowym, określaniu podziału odpowiedzialności między zespołami oraz przygotowywaniu rozwiązań organizacyjnych i procedur pozwalających skutecznie realizować wymagania prawne.

Naszym celem jest przełożenie złożonych regulacji na rozwiązania odpowiadające rzeczywistemu sposobowi funkcjonowania przedsiębiorstwa – tak, aby poszczególne zespoły wiedziały, kiedy i w jaki sposób powinny działać wspólnie, a zarząd dysponował informacjami niezbędnymi do podejmowania świadomych decyzji.