Znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa (UoKSC) wdraża do polskiego prawa unijną dyrektywę NIS2. Ustawa dzieli objęte nią organizacje na podmioty kluczowe i podmioty ważne. Obowiązki obu grup są podobne – różnią się głównie nadzorem i wymogiem audytu.

Według Ministerstwa Cyfryzacji w Polsce jest blisko 70 000 podmiotów kluczowych i ważnych.

Kogo dotyczy nowa ustawa o KSC?

  • podmiotów publicznych – urzędów miast i gmin, starostw, urzędów wojewódzkich, instytucji centralnych,
  • jednostek organizacyjnych podległych samorządom (szkoły, GOPS/MOPS, PUP i inne),
  • zarządców dróg,
  • przedsiębiorstw wodociągowo-kanalizacyjnych i ciepłowni,
  • podmiotów leczniczych, aptek i hurtowni farmaceutycznych,
  • producentów żywności, stacji sanitarno-epidemiologicznych,
  • firm z sektorów wskazanych w ustawie, co do zasady zatrudniających powyżej 50 pracowników.

Podmioty publiczne zostały wpisane do wykazu automatycznie, firmy muszą same złożyć wniosek o wpis. Urząd gminy lub miasta może zapewnić wspólną obsługę jednostkom podległym – np. jeden SZBI i wspólne szkolenia.

Terminy

Podmioty kluczowe i ważne mają 12 miesięcy na dostosowanie się do wymagań ustawy. Podmioty kluczowe muszą przeprowadzić pierwszy audyt KSC w ciągu 24 miesięcy, a kolejne – co najmniej raz na 3 lata.

Obowiązki podmiotu kluczowego i ważnego (art. 8)

  • wdrożenie systemu zarządzania bezpieczeństwem informacji (SZBI),
  • systematyczne szacowanie ryzyka wystąpienia incydentu i zarządzanie tym ryzykiem,
  • wdrożenie środków technicznych i organizacyjnych proporcjonalnych do oszacowanego ryzyka,
  • wdrażanie, dokumentowanie, testowanie i utrzymywanie planów ciągłości działania – również w odniesieniu do łańcucha dostaw,
  • ciągłe monitorowanie systemu informacyjnego,
  • edukacja personelu z cyberbezpieczeństwa i zasad cyberhigieny,
  • zapewnienie bezpieczeństwa zasobów ludzkich,
  • zbieranie informacji o cyberzagrożeniach i podatnościach (np. skany podatności, testy penetracyjne),
  • środki zapobiegające incydentom i ograniczające ich skutki,
  • bezpieczna komunikacja elektroniczna, w tym uwierzytelnianie wieloskładnikowe.

Wymagana dokumentacja

Podmiot opracowuje, stosuje i aktualizuje dokumentację normatywną obejmującą:

  • system zarządzania bezpieczeństwem informacji,
  • ochronę infrastruktury,
  • system zarządzania ciągłością działania,
  • dokumentację techniczną systemu informacyjnego,
  • dokumentację wynikającą ze specyfiki świadczonej usługi.

Do tego dochodzą zapisy potwierdzające wykonywanie czynności opisanych w procedurach – audytor sprawdza nie tylko, czy dokumenty istnieją, ale czy są stosowane.

Kary

Ustawa przewiduje kary pieniężne dla podmiotów, które m.in. nie wdrożyły SZBI lub nie prowadzą systematycznego szacowania ryzyka. Odpowiedzialność ponosi także kierownik podmiotu – kara może wynieść do 600% jego wynagrodzenia.

Od czego zacząć?

  1. Ustal, czy i jako jaki podmiot (kluczowy czy ważny) podlegasz ustawie.
  2. Przeprowadź ocenę stanu obecnego (analiza luk) – wiele elementów może już istnieć dzięki wymaganiom KRI.
  3. Przeprowadź analizę ryzyka.
  4. Wdróż lub zaktualizuj SZBI oraz system zarządzania ciągłością działania.
  5. Przeszkol kierownictwo i pracowników.

Dla weryfikacji konfiguracji poczty i domeny (SPF, DKIM, DMARC) warto skorzystać z bezpłatnego testera udostępnionego przez CERT Polska.

Co oferujemy

Dostosowujemy podmioty do ustawy o KSC kompleksowo:

  • opracowanie i wdrożenie SZBI lub usprawnienie istniejącego,
  • dokumentacja ciągłości działania (SZCD) – opracowanie lub aktualizacja,
  • analiza ryzyka z narzędziem wspomagającym,
  • testy penetracyjne i skany podatności,
  • szkolenia dla personelu, podnoszące wiedzę i świadomość,
  • szkolenia dla zarządu, kierownictwa jednostek podległych i kierownika podmiotu kluczowego lub ważnego,
  • wsparcie kierownika w dostosowaniu do KSC,
  • audyt KSC – pierwszy i kolejne.

Zapraszamy do kontaktu w celu omówienia zakresu.