Firmy, które dowiadują się, że wchodzą w katalog podmiotów kluczowych lub ważnych, zwykle mają jedno pytanie: od czego zacząć i ile czasu na to mają. Ustawa o krajowym systemie cyberbezpieczeństwa (UKSC) z 5 lipca 2018 roku, po nowelizacji wdrażającej dyrektywę NIS2, precyzyjnie odpowiada na oba pytania. W tym artykule wyjaśniamy, kogo obejmuje ustawa, jakie konkretne obowiązki nakłada i jakie terminy trzeba dotrzymać.
Czym jest ustawa o krajowym systemie cyberbezpieczeństwa
UKSC określa organizację krajowego systemu cyberbezpieczeństwa, zadania i obowiązki podmiotów wchodzących w jego skład oraz sposób sprawowania nadzoru nad stosowaniem przepisów. Ustawa wdraża unijną dyrektywę NIS2, która zastąpiła wcześniejszą dyrektywę NIS i znacząco rozszerzyła krąg firm objętych regulacją.
Krajowy system cyberbezpieczeństwa ma zapewnić niezakłócone świadczenie usług przez podmioty kluczowe i podmioty ważne poprzez odpowiedni poziom bezpieczeństwa ich systemów informacyjnych oraz sprawną obsługę incydentów. W skład systemu wchodzą, poza samymi podmiotami, zespoły CSIRT poziomu krajowego i sektorowego, organy właściwe do spraw cyberbezpieczeństwa oraz Pełnomocnik Rządu do Spraw Cyberbezpieczeństwa.
Kto jest podmiotem kluczowym, a kto podmiotem ważnym
Ustawa dzieli firmy objęte regulacją na dwie kategorie, a podział decyduje o zakresie obowiązków i wysokości kar.
Podmiotem kluczowym jest firma wskazana w załączniku nr 1 do ustawy, która przewyższa progi średniego przedsiębiorstwa określone w unijnym rozporządzeniu 651/2014. Niezależnie od wielkości podmiotem kluczowym jest też między innymi dostawca usług DNS, kwalifikowany dostawca usług zaufania, podmiot krytyczny, operator obiektu energetyki jądrowej, rejestr nazw domen najwyższego poziomu czy podmiot publiczny wskazany w załączniku nr 1.
Podmiotem ważnym jest firma wskazana w załącznikach nr 1 lub nr 2, która spełnia próg średniego przedsiębiorcy, ale nie kwalifikuje się jako kluczowy. Tu również obowiązuje wyjątek dla mniejszych podmiotów: mikro- lub mały przedsiębiorca będący niekwalifikowanym dostawcą usług zaufania albo przedsiębiorcą komunikacji elektronicznej wchodzi do systemu niezależnie od wielkości.
Załącznik nr 1 obejmuje sektory kluczowe: energię (wydobycie, energię elektryczną, ciepło, ropę i paliwa, gaz, energetykę jądrową, wodór), transport lotniczy, kolejowy, wodny i drogowy, bankowość i infrastrukturę rynków finansowych, ochronę zdrowia, produkcję i dystrybucję produktów leczniczych i wyrobów medycznych, zaopatrzenie w wodę pitną, zbiorowe odprowadzanie ścieków, infrastrukturę cyfrową, komunikację elektroniczną, zarządzanie usługami ICT (w tym dostawców usług zarządzanych i dostawców usług zarządzanych w zakresie cyberbezpieczeństwa), przestrzeń kosmiczną oraz szeroki katalog podmiotów publicznych, w tym urzędy gminy zatrudniające na pełny etat co najmniej 50 osób.
Załącznik nr 2 dodaje sektory ważne: usługi pocztowe, gospodarowanie odpadami, produkcję, dystrybucję i handel produktami chemicznymi, produkcję i dystrybucję żywności oraz badania naukowe prowadzone przez organizacje badawcze. Firma, która dotąd uznawała UKSC za temat spoza jej branży, może dziś znaleźć się w tym katalogu, zwłaszcza jeśli działa w produkcji, logistyce odpadów lub przetwórstwie spożywczym.
Obowiązki systemu zarządzania bezpieczeństwem informacji
Podmiot kluczowy lub ważny wdraża system zarządzania bezpieczeństwem informacji w systemie informacyjnym wykorzystywanym w procesach wpływających na świadczenie usługi. Ustawa wymaga systematycznego szacowania ryzyka oraz wdrożenia środków proporcjonalnych do tego ryzyka, wymieniając wprost między innymi:
- polityki szacowania ryzyka i bezpieczeństwa systemu informacyjnego
- bezpieczeństwo procesu nabywania, rozwoju, utrzymania i eksploatacji systemu, łącznie z jego testowaniem
- bezpieczeństwo fizyczne, środowiskowe i bezpieczeństwo zasobów ludzkich
- bezpieczeństwo i ciągłość łańcucha dostaw produktów, usług i procesów ICT
- wdrażanie, dokumentowanie i testowanie planów ciągłości działania oraz planów odtworzenia działalności po zdarzeniu
- przekraczającym zdolności podmiotu do samodzielnej odbudowy
- objęcie systemu informacyjnego monitorowaniem w trybie ciągłym
- politykę i procedury stosowania kryptografii, w tym szyfrowania
- uwierzytelnianie wieloskładnikowe w stosownych przypadkach
- zarządzanie aktywami i polityki kontroli dostępu
To praktycznie kompletny opis tego, czym zajmuje się dobrze zbudowany dział IT lub outsourcer prowadzący kompleksową opiekę informatyczną: monitoring 24/7/365, backup i replikacja danych, segmentacja dostępu, plany ciągłości działania i regularne aktualizacje oprogramowania stosownie do zaleceń producenta.
Dokumentacja, audyt i terminy wdrożenia
Ustawa rozróżnia dokumentację normatywną, obejmującą między innymi dokumentację systemu zarządzania bezpieczeństwem informacji, dokumentację ochrony infrastruktury i dokumentację systemu zarządzania ciągłością działania, oraz dokumentację operacyjną, czyli zapisy poświadczające faktyczne wykonywanie tych procedur. Dokumentację trzeba przechowywać co najmniej 2 lata od jej wycofania z użytkowania lub zakończenia świadczenia usługi.
Podmiot kluczowy przeprowadza na własny koszt audyt bezpieczeństwa systemu informacyjnego nie rzadziej niż raz na 3 lata, licząc od dnia sporządzenia raportu z poprzedniego audytu. Audyt może wykonać akredytowana jednostka oceniająca zgodność albo co najmniej dwóch audytorów posiadających odpowiednie certyfikaty lub co najmniej trzyletnią praktykę audytową. Kopię raportu podmiot kluczowy przekazuje organowi właściwemu do spraw cyberbezpieczeństwa w ciągu 3 dni roboczych od jego otrzymania.
Podmioty mają 12 miesięcy od dnia spełnienia przesłanek uznania za podmiot kluczowy lub ważny na realizację obowiązków z rozdziału 3 ustawy, a podmiot kluczowy dodatkowo 24 miesiące na przeprowadzenie pierwszego audytu.
Zgłaszanie incydentów: 24 godziny, 72 godziny, miesiąc
To jeden z najbardziej praktycznych i najczęściej niedocenianych wymogów ustawy. Po wykryciu incydentu poważnego podmiot ma:
nie później niż 24 godziny na przekazanie wczesnego ostrzeżenia do właściwego CSIRT sektorowego
nie później niż 72 godziny na pełne zgłoszenie incydentu poważnego
na wniosek CSIRT sektorowego obowiązek przekazania sprawozdania okresowego z obsługi incydentu
nie później niż miesiąc od zgłoszenia na przekazanie sprawozdania końcowego
Firma, która nie ma wcześniej wdrożonego procesu wykrywania i klasyfikacji incydentów, w praktyce nie jest w stanie dotrzymać terminu 24 godzin. Klasyfikacja incydentu jako poważny odbywa się na podstawie progów określonych w rozporządzeniu wykonawczym, uwzględniających liczbę użytkowników dotkniętych zakłóceniem, czas oddziaływania i zasięg geograficzny. Bez systemu monitorowania działającego w trybie ciągłym firma zwyczajnie nie zobaczy incydentu na tyle wcześnie, by zdążyć.
Odpowiedzialność kierownika podmiotu
Nowelizacja wprowadziła bezpośrednią odpowiedzialność kierownika podmiotu kluczowego lub ważnego za wykonywanie obowiązków w zakresie cyberbezpieczeństwa. Kierownik podejmuje decyzje w zakresie przygotowania, wdrażania i nadzoru nad systemem zarządzania bezpieczeństwem informacji, planuje na ten cel adekwatne środki finansowe, przydziela zadania i nadzoruje ich wykonanie oraz zapewnia zgodność działania podmiotu z przepisami. Jeśli kierownikiem jest organ wieloosobowy bez wyznaczonej osoby odpowiedzialnej, odpowiedzialność ponoszą wszyscy jego członkowie, nawet jeśli zadania powierzono innej osobie za jej zgodą.
Kierownik oraz osoba, której powierzono obowiązki w zakresie cyberbezpieczeństwa, przechodzi raz w roku kalendarzowym obowiązkowe, udokumentowane szkolenie.
Kary pieniężne
Wysokość kary pieniężnej dla podmiotu kluczowego nie może przekroczyć 10 000 000 euro lub 2% rocznego przychodu z działalności gospodarczej, przy czym zastosowanie ma kwota wyższa, a kara nie może być niższa niż 20 000 zł. Dla podmiotu ważnego górny limit to 7 000 000 euro lub 1,4% przychodu, z minimalną karą 15 000 zł. Jeśli naruszenie przepisów powoduje bezpośrednie i poważne cyberzagrożenie dla bezpieczeństwa państwa albo zagrożenie poważnej szkody majątkowej, kara może sięgnąć 100 000 000 zł.
Karze podlega też osobiście kierownik podmiotu, jeśli nie wykonuje obowiązków związanych z systemem zarządzania bezpieczeństwem informacji, szkoleniami czy wyznaczeniem osób kontaktowych.
Jak przygotować firmę do zgodności z UKSC
Zgodność z ustawą to proces rozłożony na etapy, nie jednorazowe wdrożenie. W Lizard zaczynamy od audytu pokazującego, jak dziś wygląda stan zabezpieczeń firmy względem wymogów ustawy, a następnie budujemy plan działań obejmujący dokumentację normatywną i operacyjną, procedury zarządzania incydentami oraz harmonogram wdrożenia środków technicznych. Praktyczna strona zgodności opiera się na kilku filarach, które łączymy w ramach jednej usługi:
monitoring systemu informacyjnego w trybie ciągłym, wymagany wprost przez ustawę, pozwalający wykryć incydent w oknie 24 godzin na zgłoszenie
polityka backupu i replikacji danych oparta na Veeam, wspierająca wymagane przez ustawę plany odtworzenia działalności
rozwiązania Sophos jako Platinum Partnera, w tym ochrona endpointów i segmentacja sieci zgodna z zasadami kontroli dostępu
dokumentacja systemu zarządzania bezpieczeństwem informacji przygotowana pod audyt zewnętrzny wymagany co 3 lata
outsourcing procesowy IT jako Zewnętrzny Dział IT, dający stały dostęp do specjalistów III linii bez konieczności budowania własnego zespołu compliance od zera
Firmy, które przechodzą ten proces z nami, otrzymują dokumentację gotową do przedstawienia audytorowi oraz zespół, który zna procedurę zgłaszania incydentów do CSIRT sektorowego i potrafi ją zastosować w realnym czasie.
Ustawa o krajowym systemie cyberbezpieczeństwa nakłada precyzyjne, terminowe obowiązki, a po wdrożeniu NIS2 krąg objętych nią firm jest znacznie szerszy niż kilka lat temu, obejmując między innymi produkcję, gospodarkę odpadami i przetwórstwo żywności. Warto sprawdzić, czy Twoja firma znajduje się w załączniku nr 1 lub nr 2, zanim zrobi to za Was kontrola.
#MyWiemyJakToZrobić!
Masz pytania dotyczące statusu Twojej firmy w krajowym systemie cyberbezpieczeństwa lub wdrożenia wymogów UKSC? Skontaktuj się z naszym zespołem: Kontakt z Lizard
