Aktualności

Twoja organizacja może dziś podlegać kilku przepisom o cyberbezpieczeństwie naraz - ustawie o krajowym systemie cyberbezpieczeństwa, unijnemu rozporządzeniu o cyberodporności, rozporządzeniu DORA, a samorząd dodatkowo naborowi na Lokalne Centra Cyberbezpieczeństwa. Każdy z tych reżimów ma własną podstawę prawną, własny zakres podmiotowy i własny zegar, więc ustalenie kalendarza jednej organizacji wymaga przejrzenia czterech niezależnych źródeł, z realnym ryzykiem, że najmniej nagłośniony termin akurat Twojej organizacji zostanie przeoczony, a konsekwencje przyjdą już po fakcie.

Ten tekst stawia wszystkie cztery terminy w jednej tabeli razem ze statusem na dzień publikacji, dokłada krótki test pozwalający ustalić, które z nich w ogóle Cię dotyczą, i rozkłada konkretne sytuacje, w których dwa różne reżimy nakładają się na ten sam podmiot jednocześnie. Po szczegóły pojedynczego obowiązku, procedury zgłoszeniowe i widełki kar odsyłamy do naszych osobnych, głębszych artykułów o każdym z tych aktów z osobna.

Rozporządzenie o cyberodporności (Cyber Resilience Act, CRA) każe producentom oprogramowania i sprzętu zgłaszać aktywnie wykorzystywaną podatność oraz poważny incydent w reżimie liczonym godzinami, nie dniami roboczymi - i robi to już od 11 września 2026 r., piętnaście miesięcy przed resztą rozporządzenia. Zegar startuje w momencie, w którym o zdarzeniu dowiaduje się sam producent, a nie wtedy, gdy zauważy je ktokolwiek inny, a pomyłka w wyborze CSIRT-u koordynatora może unieważnić całe zgłoszenie i zmusić do złożenia go od nowa.

Rozkładamy artykuł 14 na to, co realnie trzeba zrobić: konto EU Login z uwierzytelnianiem wieloskładnikowym, rejestrację przedstawiciela producenta, wybór właściwego CSIRT-u oraz dwa osobne zegary dla podatności i dla incydentu. Dokładamy usterkę platformy, o której większość omówień CRA jeszcze nie pisze - licznik 72 godzin liczy inaczej niż przepis - oraz widełki kar z artykułu 64 i listę firm, które w Polsce pomogą to wdrożyć.

Samorząd, który przez ostatnie trzy lata wydawał grant na zaporę sieciową i licencje, dostaje właśnie ofertę na kolejny etap: wspólne centrum monitorowania dla kilku jednostek naraz, za pieniądze europejskie. Warunkiem wejścia jest partnerstwo, którego zwykle jeszcze nie ma i które trzeba dopiero zawiązać. Nad tą ofertą wisi jednak ustalenie kontrolerów państwowych o poprzednim rozdaniu: przy półtora miliarda złotych nikt nie potrafi dziś powiedzieć, czy urzędy stały się odporniejsze.

Zestawiamy warunki tego naboru z tym, co Najwyższa Izba Kontroli zapisała o jego poprzedniku, bo dokładnie te same pytania wrócą przy rozliczeniu. Znajdziesz tu pułap dofinansowania w zależności od liczby jednostek, rozdzielenie trzech jesiennych dat, które w rozmowach zlewają się w jedną, oraz listę rzeczy do przygotowania, o które formularz nie pyta wprost, a bez których projekt powiela błędy poprzedniej edycji.

Nowelizacja przepisów o krajowym systemie cyberbezpieczeństwa przesunęła liczbę firm objętych obowiązkami z kilkuset na dziesiątki tysięcy. Większość zestawień dostępnych w sieci podaje jeden termin i jedną ścieżkę rejestracji, więc organizacja, która trafiła w zakres później, odmierza swój kalendarz od złej daty. Sankcje za spóźnienie liczone są od obrotu, więc pomyłka w tym miejscu kosztuje realne pieniądze.

Rozdzielamy dwa tryby wpisu i przypisujemy każdemu własny zegar, żeby dało się ustalić, który obowiązuje Twoją organizację. Dalej rozkładamy zgodność na osobne prace, które faktycznie się zamawia, bo nie jest to jedna usługa z jedną fakturą. Widełki sankcji podajemy za brzmieniem przepisów, bez zaokrągleń z prezentacji sprzedażowych. Całość zamyka lista polskich wykonawców z naszego katalogu, pogrupowana według specjalizacji, razem z kryterium, na jakiej podstawie firma w ogóle na tę listę weszła.

Między zapewnieniem, że narzędzie korzysta ze sztucznej inteligencji, a tym, co ono faktycznie robi w środowisku chmurowym, leży przepaść, której nie zmierzysz z materiałów producenta. Zespoły stoją dziś przed wyborem między gotową platformą, własnym agentem a oddaniem tematu na zewnątrz. Każda z tych dróg ma inny rachunek i inne miejsce, w którym się łamie, a rozpoznać je łatwiej przed podpisaniem umowy niż po pierwszym audycie.

Zamiast obietnic zbieramy mechanizmy dające się sprawdzić w dokumentacji dostawców i mówimy wprost, gdzie kończy się automat. Osobno rozliczamy koszt utrzymania własnego agenta, bo to pozycja najczęściej niedoszacowana na etapie planowania, i osobno różnicę między zastosowaniem obronnym a ofensywnym, bo za tymi dwoma słowami stoją inne uprawnienia i inny poziom ryzyka. Na koniec kryteria, po których poznasz, że temat opłaca się oddać wyspecjalizowanemu zespołowi zamiast utrzymywać go własnymi siłami.

Dane medyczne nie starzeją się tak jak hasło. Numeru PESEL nie wymienisz, historii wizyt nie odwołasz, a informacja o tym, po jakie leki sięgałeś rok temu, mówi o Tobie więcej niż zawartość koszyka w sklepie. Po włamaniu do dostawcy oprogramowania dla przychodni miliony osób usłyszały, że ich kartoteki mogły trafić w obce ręce, i zostały z trzema pytaniami bez jasnej odpowiedzi: czy dotyczy to mnie, kto ma mnie o tym powiadomić i co powinienem zrobić dzisiaj.

Prowadzimy ten temat jak dokumentację incydentu, nie jak relację z konferencji prasowej. Każde ustalenie ma datę i źródło, deklaracje sprawców są oddzielone od tego, co potwierdziły instytucje, a przy każdej liczbie stoi zastrzeżenie, czego naprawdę dotyczy. Znajdziesz tu granicę odpowiedzialności między prywatną spółką a państwem, powód, dla którego oficjalne narzędzie do sprawdzania może milczeć mimo Twojej obecności w bazie, oraz znaki rozpoznawcze fałszywych stron i sfałszowanych zawiadomień, które po każdym głośnym wycieku pojawiają się w ciągu kilku dni.

Wpuszczenie modelu językowego do centrum operacji bezpieczeństwa wygląda na decyzję o narzędziu. W praktyce rozstrzyga dwie inne rzeczy naraz: komu oddajesz logi, kod i materiał z incydentów, oraz kto podpisze się pod zgłoszeniem, kiedy zegar regulacyjny już biegnie. Dostawcy modeli mają dziś osobne linie produktowe dla zespołów bezpieczeństwa, a ich materiały mówią dużo o skuteczności i prawie nic o tym, kim taki dostawca staje się wobec Twoich danych.

Rozdzielamy warstwę prawną od operacyjnej, bo w rozmowie zakupowej zlepiają się w jedno. Po stronie prawnej ustalamy, jaką rolę przyjmuje dostawca modelu i co z tego wynika dla umowy, którą podpisujesz. Po stronie operacyjnej wskazujemy punkty pętli reagowania, w których człowiek musi zostać, żeby terminy zgłoszeniowe miały właściciela z nazwiskiem zamiast procesu. Do tego zestaw pytań do zadania dostawcy przed podpisem i uczciwe rozliczenie, dla jakiej organizacji taki produkt ma sens, a dla jakiej zostaje wydatkiem bez pokrycia.