Cyberbezpieczeństwo w Polsce

Twoja organizacja może dziś podlegać kilku przepisom o cyberbezpieczeństwie naraz - ustawie o krajowym systemie cyberbezpieczeństwa, unijnemu rozporządzeniu o cyberodporności, rozporządzeniu DORA, a samorząd dodatkowo naborowi na Lokalne Centra Cyberbezpieczeństwa. Każdy z tych reżimów ma własną podstawę prawną, własny zakres podmiotowy i własny zegar, więc ustalenie kalendarza jednej organizacji wymaga przejrzenia czterech niezależnych źródeł, z realnym ryzykiem, że najmniej nagłośniony termin akurat Twojej organizacji zostanie przeoczony, a konsekwencje przyjdą już po fakcie.

Ten tekst stawia wszystkie cztery terminy w jednej tabeli razem ze statusem na dzień publikacji, dokłada krótki test pozwalający ustalić, które z nich w ogóle Cię dotyczą, i rozkłada konkretne sytuacje, w których dwa różne reżimy nakładają się na ten sam podmiot jednocześnie. Po szczegóły pojedynczego obowiązku, procedury zgłoszeniowe i widełki kar odsyłamy do naszych osobnych, głębszych artykułów o każdym z tych aktów z osobna.

Rozporządzenie o cyberodporności (Cyber Resilience Act, CRA) każe producentom oprogramowania i sprzętu zgłaszać aktywnie wykorzystywaną podatność oraz poważny incydent w reżimie liczonym godzinami, nie dniami roboczymi - i robi to już od 11 września 2026 r., piętnaście miesięcy przed resztą rozporządzenia. Zegar startuje w momencie, w którym o zdarzeniu dowiaduje się sam producent, a nie wtedy, gdy zauważy je ktokolwiek inny, a pomyłka w wyborze CSIRT-u koordynatora może unieważnić całe zgłoszenie i zmusić do złożenia go od nowa.

Rozkładamy artykuł 14 na to, co realnie trzeba zrobić: konto EU Login z uwierzytelnianiem wieloskładnikowym, rejestrację przedstawiciela producenta, wybór właściwego CSIRT-u oraz dwa osobne zegary dla podatności i dla incydentu. Dokładamy usterkę platformy, o której większość omówień CRA jeszcze nie pisze - licznik 72 godzin liczy inaczej niż przepis - oraz widełki kar z artykułu 64 i listę firm, które w Polsce pomogą to wdrożyć.

Krakowska odsłona formuły BSides, prowadzona przez lokalną społeczność od 2022 roku. Program biegnie w trzech równoległych ścieżkach, a obok nich działają villages, czyli strefy warsztatowe prowadzone przez społeczności, oraz osobne szkolenia z własną rejestracją. Wstęp jest bezpłatny, z opcją dobrowolnej wpłaty, a pula miejsc wynosi 500. Językiem wydarzenia jest angielski, w nim prowadzone są wszystkie ścieżki.

Lista Ostrzeżeń CSIRT NASK - wyszukaj domenę, żeby sprawdzić, czy trafiła na oficjalną listę stron wykorzystywanych do phishingu i innych oszustw online.

Zgłoś phishing bezpośrednio do CERT Polska - podejrzaną stronę internetową przez formularz na incydent.cert.pl, a fałszywą wiadomość SMS pod numer 8080.

Zastrzeżenie numeru PESEL jest bezpłatne i od 1 czerwca 2024 r. utrudnia kredyt na Twoje dane - w serwisie mObywatel, w jego aplikacji albo w urzędzie gminy.

Zweryfikuj bezpłatnie konfigurację SPF, DKIM i DMARC swojej domeny narzędziem CERT Polska - dobre ustawienia utrudniają podszywanie się pod Twój adres e-mail.