Krajowy system cyberbezpieczeństwa

Przede wszystkim taki przedsiębiorca musi zorientować się jaka jest jego wielkość oraz jakie działalności prowadzi. Dane finansowe przedsiębiorstwa są wskazane w sprawozdaniu finansowym (przesłanki uznania za podmiot kluczowy lub podmiot ważny bada się według stanu na dzień sporządzenia sprawozdania finansowego). Konieczne będzie również ustalenie liczby zatrudnionego personelu. Działalność należy określić w oparciu o prawidłowo zadeklarowane kody Polskiej Klasyfikacji Działalności (PKD) oraz dokumenty urzędowe takie jak koncesje, zezwolenia, wpisy z rejestrów działalności regulowanej. Następnie należy przeanalizować art. 5 ustawy - gdzie wskazano jakie podmioty są podmiotami kluczowymi albo podmiotami ważnymi oraz przeanalizować rodzaje działalności wskazane w załączniku nr 1 i nr 2 do ustawy o KSC.

Podmiotem kluczowym jest: 1) osoba fizyczna, osoba prawna albo jednostka organizacyjna nieposiadająca osobowości prawnej wskazana w załączniku nr 1 do ustawy o KSC, która jest dużym przedsiębiorstwem; 2) przedsiębiorca komunikacji elektronicznej, który jest średnim lub dużym przedsiębiorstwem; 3) dostawca usług zarządzanych w zakresie cyberbezpieczeństwa, który jest małym, średnim lub dużym przedsiębiorstwem; 4) niezależnie od wielkości podmiotu: a) dostawca usług DNS, b) kwalifikowany dostawca usług zaufania, c) podmiot krytyczny - w rozumieniu dyrektywy CER, d) podmiot publiczny wskazany w załączniku nr 1 do ustawy o KSC w sektorze podmioty publiczne, e) podmiot zidentyfikowany jako podmiot kluczowy przez organ właściwy do spraw cyberbezpieczeństwa, f) państwowa osoba prawna zidentyfikowana jako podmiot kluczowy w sektorze podmiotów publicznych, g) podmiot, który nie jest przedsiębiorcą, a jest wskazany w załączniku nr 1 do ustawy o KSC z nazwy albo poprzez określenie jego rodzaju, h) operator obiektu energetyki jądrowej, i) rejestr nazw domen najwyższego poziomu (TLD), j) podmiot świadczący usługi rejestracji nazw domen.

Podmiotem ważnym jest: 1) osoba fizyczna, osoba prawna albo jednostka organizacyjna nieposiadająca osobowości prawnej wskazana w załączniku nr 1 do ustawy o KSC, która jest średnim przedsiębiorstwem; 2) osoba fizyczna, osoba prawna albo jednostka organizacyjna nieposiadająca osobowości prawnej wskazana w załączniku nr 2 do ustawy o KSC, która jest średnim lub dużym przedsiębiorstwem; 3) niekwalifikowany dostawca usług zaufania będący mikro-, małym lub średnim przedsiębiorstwem; 4) przedsiębiorca komunikacji elektronicznej będący mikro-, lub małym przedsiębiorstwem; 5) inwestor obiektu energetyki jądrowej - niezależnie od jego wielkości; 6) podmiot zidentyfikowany jako podmiot ważny przez organ właściwy do spraw cyberbezpieczeństwa; 7) podmiot określony w załączniku nr 2 do ustawy o KSC nazwą rodzajową, a który nie jest przedsiębiorcą; 8) podmiot publiczny, który nie jest podmiotem kluczowym oraz jest samorządową jednostką budżetową, samorządowym zakładem budżetowym, samorządową instytucją kultury albo spółką prawa handlowego wykonującą zadania o charakterze użyteczności publicznej jeżeli realizuje zadanie publiczne z wykorzystaniem systemów informacyjnych.

Sektory gospodarki objęte ustawą zostały ujęte w załączniku nr 1 i nr 2 do ustawy o KSC. Sektory kluczowe 1) Energia ✓ Wydobywanie kopalin ✓ Energia elektryczna ✓ Gaz ✓ Energetyka jądrowa ✓ Wodór 2) Transport ✓ Transport lotniczy ✓ Transport kolejowy ✓ Transport wodny ✓ Transport drogowy 3) Bankowość i infrastruktura rynków finansowych 4) Ochrona zdrowia ✓ Udzielanie świadczeń zdrowotnych i zdrowie publiczne ✓ Produkcja i dystrybucja substancji czynnych, produktów leczniczych i wyrobów medycznych 5) Zaopatrzenie w wodę pitną i jej dystrybucja 6) Zbiorowe odprowadzanie ścieków 7) Infrastruktura cyfrowa ✓ Infrastruktura cyfrowa z wyłączeniem komunikacji elektronicznej ✓ Komunikacja elektroniczna 8) Zarządzanie usługami ICT 9) Przestrzeń kosmiczna 10) Podmioty publiczne Sektory ważne 1) Usługi pocztowe 2) Inwestycje energetyki jądrowej 3) Gospodarowanie odpadami ✓ Zbieranie odpadów ✓ Transport odpadów ✓ Przetwarzanie odpadów, w tym sortowanie, wraz z nadzorem nad wymienionymi działaniami, a także późniejsze postępowanie z miejscami unieszkodliwiania odpadów ✓ Działania wykonywane w charakterze sprzedawcy odpadów lub pośrednika w obrocie odpadami 4) Produkcja, wytwarzanie i dystrybucja chemikaliów 5) Produkcja, przetwarzanie i dystrybucja żywności 6) Produkcja ✓ Produkcja wyrobów medycznych i wyrobów medycznych do diagnostyki in vitro ✓ Produkcja komputerów, wyrobów elektronicznych i optycznych ✓ Produkcja urządzeń elektrycznych ✓ Produkcja maszyn i urządzeń, gdzie indziej niesklasyfikowana ✓ Produkcja pojazdów samochodowych, przyczep i naczep ✓ Produkcja pozostałego sprzętu transportowego 7) Dostawcy usług cyfrowych 8) Badania naukowe 9) Podmioty publiczne

Należy wziąć pod uwagę progi mikro, małych i średnich przedsiębiorstw. Przy obliczaniu wielkości przedsiębiorstwa uwzględnia się również przedsiębiorstwa powiązane oraz przedsiębiorstwa partnerskie.

Przy badaniu statusu mikro-, małych i średnich przedsiębiorstw bierze się pod uwagę przedsiębiorstwa powiązane i przedsiębiorstwa partnerskie - ich przychody, sumę bilansową i liczbę pracowników dolicza się przy ustalaniu wielkości podmiotu. To mogłoby oznaczać, że dany podmiot staje się średnim przedsiębiorcą, wliczając jego przedsiębiorstwa powiązane i partnerskie - i jest wtedy podmiotem ważnym. Ale jego systemy informacyjne, służące świadczeniu usług, mogą mieć charakter niezależny od systemów podmiotów partnerskich i powiązanych. Nie ma więc powodów, aby uznawać ten podmiot za podmiot ważny. Niezależność systemu informacyjnego zachodzi m.in. wtedy, gdy do świadczenia usług przez podmiot nie jest konieczne działanie podmiotu powiązanego czy partnerskiego. Niezależność może przejawiać się również pod względem zastępowalności sieci i systemów informatycznych, tj. jeżeli w akceptowalnym przez podmiot czasie oraz po akceptowalnych kosztach można zastąpić posiadane rozwiązanie jednego podmiotu rozwiązaniami innych, o nie gorszych właściwościach funkcjonalno-technicznych. Ponadto, jeżeli podmiot wraz ze swoim przedsiębiorstwem partnerskim lub przedsiębiorstwem powiązanym nie świadczy tej samej usługi (nominalnie podlegającej pod krajowy system cyberbezpieczeństwa) to danych przedsiębiorstwa partnerskiego lub powiązanego nie powinno się ujmować przy ustalaniu wielkości przedsiębiorstwa. Świadczenie tej samej usługi może polegać na tym, że podmioty podzielą między sobą zakres obowiązków związanych z tą usługą. Powinno to być należycie udokumentowane.

Podmiotami kluczowymi niezależnie od ich wielkości są: • dostawca usług DNS, • kwalifikowany dostawca usług zaufania, • podmiot krytyczny, • podmiot publiczny wskazany w załączniku nr 1 do ustawy o KSC w sektorze podmioty publiczne, • podmiot zidentyfikowany jako podmiot kluczowy w drodze decyzji administracyjnej organu właściwego do spraw cyberbezpieczeństwa, • państwowa osoba prawna zidentyfikowana jako podmiot kluczowy w drodze decyzji administracyjnej Ministra Cyfryzacji, • podmiot, który nie jest przedsiębiorcą, a jest wskazany w załączniku nr 1 do ustawy o KSC z nazwy albo przez określenie jego rodzaju, • podmiot będący operatorem obiektu energetyki jądrowej, • rejestr nazw domen najwyższego poziomu (TLD), • podmiot świadczący usługi rejestracji nazw domen.

Ustawę stosuje się do podmiotów publicznych wskazanych w załączniku nr 1 i 2 do ustawy o KSC. Podmioty wskazane w załączniku nr 1 do ustawy o KSC w sektorze „podmioty publiczne” są podmiotami kluczowymi niezależnie od wielkości podmiotu. Podmioty wskazane w załączniku nr 2 do ustawy o KSC w sektorze „podmioty publiczne” są podmiotami ważnymi niezależnie od wielkości podmiotu. Oznacza to, że podlegają obowiązkowi wpisu do wykazu. Nie robią tego jednak samodzielnie. Wpisanie podmiotów publicznych do wykazu następuje z urzędu, a podmiot zostaje o tym zawiadomiony. Takiego wpisu dokonuje minister właściwy do spraw informatyzacji na podstawie: • Danych zawartych w rejestrach publicznych • Danych zawartych w bazie adresów elektronicznych • Danych przekazanych przez właściwe organy nadzorcze Jeżeli minister właściwy do spraw informatyzacji stwierdzi brak danych, które wymagane są do dokonania wpisu do wykazu, zwróci się do takiego podmiotu z wezwaniem do uzupełnienia danych, w terminie 6 w miesięcy od dnia doręczenia wezwania. Przykładowe podmioty publiczne będące podmiotami kluczowymi to: starostwa powiatowe, instytuty badawcze, państwowe instytucje kultury, wojewódzkie fundusze ochrony środowiska i gospodarki wodnej. Urząd gminy jest podmiotem kluczowym i podlega wpisowi do wykazu jako ten podmiot tylko jeżeli zatrudnia na dzień 1 stycznia danego roku w przeliczeniu na pełny etat czasu pracy na podstawie umowy o pracę co najmniej 50 osób. Pozostałe urzędy gminy będące samorządowymi jednostkami budżetowymi są podmiotami ważnymi.

Wszyscy przedsiębiorcy telekomunikacyjni niezależnie od ich wielkości podlegają pod ustawę. Status podmiotu będzie się jednak różnił od wielkości.

Podmiot spełniający kryteria dla podmiotu kluczowego oraz podmiotu ważnego jest podmiotem kluczowym i tak go należy traktować.

Upraszczając, co do zasady podmiotem kluczowym jest duży przedsiębiorca wskazany w załączniku nr 1 do ustawy. Podmiotem ważnym jest średni przedsiębiorca wskazany w załączniku nr 1 do ustawy o KSC oraz duży i średni przedsiębiorca prowadzący działalność określoną w załączniku nr 2 do ustawy. Jednakże istnieje od tego szereg wyjątków. Merytoryczne obowiązki podmiotu kluczowego i podmiotu ważnego są takie same. Różnica sprowadza się do zakresu czynności nadzorczych, które mogą prowadzić organy właściwe do spraw cyberbezpieczeństwa. Nadzór nad podmiotami kluczowymi ma charakter ex ante, a nadzór nad podmiotami ważnymi ex post. Podmioty kluczowe mają obowiązek przeprowadzić audyt co 3 lata oraz na żądanie organu właściwego do spraw cyberbezpieczeństwa. Podmioty ważne przeprowadzają audyt wyłącznie na żądanie organu właściwego do spraw cyberbezpieczeństwa.

Nie - każdy podmiot prowadzący działalność wskazaną w załącznikach nr 1 i 2 do ustawy o KSC musi przeanalizować czy jest podmiotem kluczowym lub podmiotem ważnym. Istnieje od tego wyjątek - organy właściwe do spraw cyberbezpieczeństwa mogą uznać za podmiot kluczowy lub ważny podmiot, który co do zasady nie spełnia wymogów ustawowych, ale spełnia jedną z następujących przesłanek: 1) jako jedyny świadczy usługę, która ma kluczowe znaczenie dla krytycznej działalności społecznej lub gospodarczej, 2) zakłócenie świadczenia usługi przez niego spowoduje poważne zagrożenie dla bezpieczeństwa państwa, bezpieczeństwa i porządku publicznego lub obronności, 3) zakłócenie świadczenia usługi przez niego spowoduje ryzyko systemowe zaprzestania świadczenia usług przez podmioty kluczowe lub podmioty ważne lub 4) świadczenie przez niego usług ma istotne znaczenie na poziomie krajowym lub województwa lub ma znaczenie dla dwóch lub więcej sektorów określonych w załączniku nr 1 lub 2 do ustawy. Przepis ten ma zagwarantować, że w krajowym systemie cyberbezpieczeństwa znajdą się wszystkie podmioty prowadzące szczególnie istotną dla państwa i społeczeństwa działalność. Jak wykazały doświadczenia pandemii w wielu przypadkach zaprzestanie działalności przez stosunkowo mały podmiot może mieć bardzo szerokie skutki dla innej działalności, np. w sektorze energetyki czy przemyśle. Tego rodzaju podmioty muszą znaleźć się w krajowym systemie cyberbezpieczeństwa.

Tak, organ właściwy do spraw cyberbezpieczeństwa może odpytać każdy podmiot i żądać przedstawienia informacji umożliwiających identyfikację podmiotu jako podmiot kluczowy lub podmiot ważny.

Jeżeli podmioty kluczowe lub podmioty ważne mają miejsce zamieszkania na terytorium Rzeczypospolitej Polskiej lub prowadzą działalność na terytorium Rzeczypospolitej Polskiej przez swoje siedziby, oddziały lub w ramach działalności transgranicznej to podlegają pod właściwość polskich organów. Przedsiębiorcy komunikacji elektronicznej podlegają pod właściwość polskich organów, jeżeli świadczą swoje usługi na terytorium Rzeczypospolitej Polskiej. Ustawę o KSC stosuje się do podmiotów publicznych niezależnie od miejsca ich siedziby - obejmie więc ona polskie placówki dyplomatyczne i konsularne.

Wyjątki dotyczą niektórych podmiotów z sektorów infrastruktury cyfrowej, zarządzania usługami ICT oraz dostawców usług cyfrowych. Jeśli te podmioty świadczą usługi na terenie Polski, to podlegają ustawie jeśli Polska jest głównym miejscem prowadzenia działalności przez ten podmiot. Kryterium to jest ustalane w sposób schodkowy: 1) Głównym miejscem prowadzenia działalności jest państwo członkowskie Unii Europejskiej, w którym ma siedzibę kierownik podmiotu podejmujący decyzje w sprawie systemu zarządzania bezpieczeństwem informacji. 2) Jeżeli tej informacji nie można ustalić, to głównym miejscem prowadzenia działalności jest państwo członkowskie Unii Europejskiej, w którym są realizowane zadania związane z systemem zarządzania bezpieczeństwem informacji. 3) Jeżeli i tej informacji nie można ustalić to głównym miejscem prowadzenia działalności jest państwo członkowskie UE.

Podmiotami krajowego systemu cyberbezpieczeństwa są m.in. jednostki budżetowe - szkoły publiczne czy przedszkola są jednostkami budżetowymi. Jednocześnie ustawa przewiduje dla tego typu mniejszych jednostek uproszczone wymagania cyberbezpieczeństwa, określone w załączniku nr 4 do ustawy oraz możliwość tworzenia, np. przez gminę, wspólnych jednostek obsługowych z zakresu cyberbezpieczeństwa.

Jeżeli uczelnia w ramach swojej podstawowej działalności prowadzi badania aplikacyjne lub prace rozwojowe za pomocą systemów informacyjnych to taka uczelnia będzie organizacją badawczą - podmiotem ważnym zobligowanym do wdrożenia systemu zarządzania bezpieczeństwem informacji wskazanego w art. 8 ust. 1 ustawy. Przy czym sformułowanie "za pomocą systemów informacyjnych" należy rozumieć w ten sposób, że bez systemu informacyjnego przeprowadzenie badań naukowych lub prac rozwojowych jest niemożliwe. Nie chodzi tutaj o tylko zwykłe udokumentowanie tego rodzaju działań, a faktyczne prowadzenie badań naukowych lub prac rozwojowych np. poprzez prowadzenie symulacji, obliczenia, przetwarzanie dużej ilości danych itd.

Ustawa rozgraniczyła te definicje, wyraźnie wskazując, że za dostawcę sieci dostarczania treści nie uznaje się przedsiębiorcy komunikacji elektronicznej. Przedsiębiorcy komunikacji elektronicznej i świadczone przez nich usługi podlegają przepisom ustawy, więc ich usługi CDN też będą im podlegać jako usługi komunikacji elektronicznej.

Taki podmiot będzie podmiotem ważnym. Dostawca usługi DNS jest podmiotem kluczowym niezależnie od wielkości podmiotu. Jednakże definicja wskazuje, że jest to podmiot, który świadczy dostępne publicznie rekurencyjne usługi rozpoznawania nazw domen na rzecz ogółu użytkowników końcowych Internetu lub autorytatywne usługi rozpoznawania nazw domen do użytku ogółu użytkowników końcowych Internetu, z wyjątkiem głównych serwerów nazw. Definicja wskazuje, że chodzi o usługi świadczone publicznie dla ogółu użytkowników Internetu a nie tylko dla własnych użytkowników. Po drugie wyjaśnienia Organu Europejskich Regulatorów Łączności Elektronicznej (BEREC) wskazują, że serwery DNS udostępniane przez dostawcę usług internetowych w ramach usługi dostępu do Internetu stanowią w praktyce część tej usługi, ponieważ są one instalowane automatycznie w momencie uruchomienia połączenia, a bez nich usługa dostępu do internetu byłaby praktycznie bezużyteczna dla przeciętnego użytkownika końcowego. Są więc one elementem usługi dostępu do Internetu a nie samodzielną usługą. W konsekwencji nie należy traktować małego dostawcy usługi dostępu do Internetu jako dostawcę usługi DNS, ponieważ ta usługa nie jest usługą samodzielną, a jedynie elementem usługi dostępu do internetu.

Firmy, które nie zarejestrują się w wykazie będą wpisywane z urzędu przez organy właściwe do spraw cyberbezpieczeństwa. Konsekwencją takiego działania mogą być jednak czynności nadzorcze nad podmiotem lub w dalszej perspektywie nałożenie administracyjnej kary pieniężnej. Natomiast podmiot wpisany do wykazu podmiotów kluczowych i podmiotów ważnych, który nie podlega pod ustawę, będzie mógł być wykreślony z wykazu przez organ właściwy do spraw cyberbezpieczeństwa.

Tak, jeżeli jest co najmniej małym przedsiębiorstwem. Skoro tego typu podmioty świadczą usługi np. obsługi incydentów, przetwarzając przy tym wrażliwe dane swoich klientów, to powinny spełniać wymogi z zakresu cyberbezpieczeństwa.

Dostawca usług chmurowych jest to podmiot świadczący usługi przetwarzania danych w modelu chmury obliczeniowej, zapewniając użytkownikowi na żądanie zdalny dostęp do skalowalnych oraz elastycznych zasobów IT - m.in. mocy obliczeniowej, pamięci, oprogramowania lub platform. Obejmuje to w szczególności usługi w modelu infrastruktura jako usługa (IaaS), platforma jako usługa (PaaS) oraz oprogramowanie jako usługa (SaaS). Usługi te mogą być świadczone w różnych modelach wdrożeniowych, np. chmurze prywatnej, publicznej, hybrydowej, czy wspólnotowej. Przy identyfikacji, czy dany dostawca jest dostawcą usług chmurowych należy przede wszystkim zwrócić uwagę na cel i funkcjonalność usługi, tj. czy usługa zapewnia użytkownikowi bezpośredni dostęp do skalowalnej i elastycznej puli zasobów obliczeniowych. W niektórych sytuacjach, w modelu SaaS, dostawca może być jedynie dostawcą oprogramowania, a nie dostawcą chmury obliczeniowej. Może to mieć miejsce w sytuacji, w której dostawca oprogramowania korzysta jedynie z chmury obliczeniowej, ale nie jest jej dostawcą, a dane oprogramowanie uruchamiane jest u odbiorcy na zasadzie on premise.

Nie, nie wchodzą. Dostawcy oprogramowania co do zasady są regulowani przez Cyber Resilience Act.

Podmioty spełniające wymogi dla podmiotów kluczowych i podmiotów ważnych będą obowiązane do zarejestrowania się w tym rejestrze w terminie 6 miesięcy od dnia spełnienia przesłanek uznania za podmiot kluczowy albo podmiot ważny. Pierwszą taką analizę należy przeprowadzić więc na moment wejścia w życie ustawy, czyli dzień 3 kwietnia 2026 r. Podmioty, które na dzień wejścia w życie ustawy, tj. 3 kwietnia 2026 r., spełniają warunki uznania za podmiot kluczowy lub podmiot ważny są obowiązane złożyć wniosek o wpis do wykazu do 3 października 2026 r. Wpisu dokonuje się za pomocą systemu S46.

Wnioski będą składane w systemie teleinformatycznym S46. Wniosek będzie mógł być podpisany kwalifikowanym podpisem elektronicznym, podpisem zaufanym, podpisem osobistym kierownika podmiotu kluczowego lub podmiotu ważnego albo osoby upoważnionej albo kwalifikowaną pieczęcią elektroniczną.

Minister właściwy do spraw informatyzacji dokona z urzędu wpisu do wykazu: • przedsiębiorców telekomunikacyjnych, • dostawców usług zaufania, • podmiotów publicznych, • dotychczasowych operatorów usług kluczowych. Takiego wpisu dokonuje się na podstawie danych zawartych w rejestrach publicznych, danych zawartych w bazie adresów elektronicznych oraz danych przekazanych przez właściwe organy nadzorcze. Jeżeli minister właściwy do spraw informatyzacji stwierdzi brak danych, które wymagane są do dokonania wpisu do wykazu, zwróci się do takiego podmiotu z wezwaniem do uzupełnienia danych, w terminie 6 w miesięcy od dnia doręczenia wezwania. Doręczenie jest realizowane na adres do doręczeń elektronicznych lub z wykorzystaniem publicznej usługi hybrydowej, o których mowa w ustawie o doręczeniach elektronicznych. W przypadku przedsiębiorców telekomunikacyjnych doręczenie może być realizowane za pomocą Platformy Usług Elektronicznych Urzędu Komunikacji Elektronicznej. Wezwanie zawiera w szczególności: • dane podmiotu wpisane do Wykazu KSC, • wskazanie brakujących danych, które podmiot musi uzupełnić, • dane pozwalające na zalogowanie się do aplikacji Wykaz KSC na konto podmiotu. Podmiot wpisany z urzędu otrzyma zawiadomienie o tym fakcie. Wobec tego konieczne jest aby jak najszybciej podmioty publiczne, które tego nie zrobiły, założyły i aktywowały adres do doręczeń elektronicznych.

Tak, organ właściwy do spraw cyberbezpieczeństwa będzie mógł również z urzędu wpisać dany podmiot do wykazu podmiotów kluczowych i podmiotów ważnych jeżeli podmiot spełnia kryteria podmiotu kluczowego lub podmiotu ważnego, a podmiot ten nie wpisał się do wykazu w terminie 6 miesięcy od spełnienia przesłanek uznania za podmiot kluczowy lub podmiot ważny. To rozwiązanie gwarantuje, że nawet jeśli dany podmiot nie będzie chciał się wpisać do wykazu, będzie możliwe włączenie go do rejestru.

Operatorzy usług kluczowych zostaną wpisani do wykazu podmiotów kluczowych i podmiotów ważnych z urzędu przez Ministra Cyfryzacji.

Wszystkie urzędy gmin staną się podmiotami krajowego systemu cyberbezpieczeństwa. Urzędy gmin, które zatrudniają na dzień 1 stycznia danego roku w przeliczeniu na pełny wymiar czasu pracy na podstawie umowy o pracę co najmniej 50 osób będą podmiotami kluczowymi. Pozostałe urzędy gmin będą co do zasady podmiotami ważnymi. Minister Cyfryzacji wpisze z urzędu wszystkie urzędy gmin do wykazu podmiotów kluczowych i podmiotów ważnych - podmioty te otrzymają ewentualnie wezwanie do uzupełnienia brakujących danych.

Zarówno w wykazie podmiotów kluczowych i podmiotów ważnych jak i w pozostałych rejestrach publicznych należy wykazywać działalność faktycznie wykonywaną.

Ustawie KSC podlega działalność podmiotu wskazana w załącznikach do ustawy, niezależnie od tego, czy jest to działalność główna czy pomocnicza. Wyjątki dotyczą kilku sektorów - sektora zaopatrzenia w wodę i jej dystrybucji, zbiorowego odprowadzania ścieków, gospodarowania odpadami, gdzie regulacje dotyczą wyłącznie działalności głównej. W tym przypadku istotna jest główna działalność podmiotu.

Spółki zależne od operatora usług kluczowych powinny samodzielnie zarejestrować się w wykazie podmiotów kluczowych i podmiotów ważnych, jeżeli spełniają kryteria podmiotu kluczowego lub podmiotu ważnego.

Wykaz będzie zawierał wszystkie informacje niezbędne do skutecznego nadzoru nad tymi podmiotami. Przede wszystkim będą to dane identyfikujące podmiot - nazwa (firma) podmiotu, sektor, podsektor i rodzaj lub rodzaje podmiotu, zgodnie z załącznikiem nr 1 lub 2 do ustawy o KSC, siedzibę i adres do korespondencji, adres do doręczeń elektronicznych, jeżeli został nadany, adres poczty elektronicznej, numer identyfikacji podatkowej (NIP), numer w krajowym rejestrze urzędowym podmiotów gospodarki narodowej (REGON) oraz numer we właściwym rejestrze działalności regulowanej. Oprócz samych danych identyfikujących będą w nim zawarte informacje takie jak: 1) zakres publicznych adresów IP wykorzystywanych przez podmiot wykorzystywanych w sposób ciągły; 2) zakres nazw domen wykorzystywane przez ten podmiot w sposób ciągły; 3) dane osób do kontaktu z podmiotami krajowego systemu cyberbezpieczeństwa zawierające imię i nazwisko, numer telefonu służbowego oraz adres służbowej poczty elektronicznej (w przypadku mikro i małych przedsiębiorców - jednej osoby); 4) w przypadku osoby która będzie pełnić rolę administratora konta podmiotu w systemie S46 dodatkowo numer PESEL lub niepowtarzalny identyfikator środka identyfikacji elektronicznej; 5) numer telefonu przyporządkowany do wykonywanej działalności; 6) deklarację podmiotu, czy spełnia kryteria mikroprzedsiębiorcy, małego przedsiębiorcy, średniego przedsiębiorcy lub przewyższa te progi; 7) informację określającą, w których państwach członkowskich Unii Europejskiej podmiot wykonuje działalność, wraz z określeniem wykonywanej działalności; 8) w przypadku dostawcy usług DNS, rejestru nazw domen najwyższego poziomu (TLD), podmiotu świadczącego usługi rejestracji nazw domen, dostawcy chmury obliczeniowej, dostawcy usługi centrum przetwarzania danych, dostawcy sieci dostarczania treści, dostawcy usług zarządzanych, dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa, dostawcy internetowej platformy handlowej, dostawcy wyszukiwarki internetowej oraz dostawcy platformy usług sieci społecznościowych - główne miejsce prowadzenia działalności; 9) informację o zawarciu umowy z dostawcą usług zarządzanych w zakresie bezpieczeństwa na realizację zadań z zakresu SZBI wraz z danymi tego podmiotu; 10) informację o ustanowieniu przedstawiciela podmiotu kluczowego lub podmiotu ważnego z sektora infrastruktury cyfrowej, który nie ma siedziby na terytorium; informację w sprawie zawarcia porozumienia o wymianie informacji w zakresie cyberbezpieczeństwa.

Wpis do wykazu podmiotów kluczowych i ważnych - 6 miesięcy od spełnienia przesłanek uznania za podmiot kluczowy lub podmiot ważny. ✓ 3 października 2026 r. Podłączenie do systemu S46 - 12 miesięcy od spełnienia przesłanek uznania za podmiot kluczowy lub ważny. ✓ 3 kwietnia 2027 r. Wdrożenie obowiązków z zakresu systemu zarządzania bezpieczeństwa informacji SZBI po raz pierwszy - 12 miesięcy od spełnienia przesłanek uznania za podmiot kluczowy lub ważny. ✓ 3 kwietnia 2027 r. Pierwszy audyt podmiotu kluczowego - 24 miesiące od spełnienia przesłanek uznania za podmiot kluczowy lub ważny. ✓ 3 kwietnia 2028 r.

Przede wszystkim przedsiębiorca powinien przeanalizować swoją działalność i odpowiedzieć sobie na pytanie czy spełnia kryteria uznania za podmiot kluczowy lub podmiot ważny. Jeżeli tak, to kolejną czynnością będzie złożenie wniosku o wpis do wykazu podmiotów kluczowych lub podmiotów ważnych. We wniosku należy wskazać podstawowe informacje o podmiocie, adresy osób do kontaktu, administratora konta podmiotu w systemie S46, informacje o zakresach adresów IP i domenach wykorzystywanych przez podmiot. Co podmiot musi zrobić żeby dostosować się do KSC: 1. Ustalenie czy podmiot kwalifikuje się jako podmiot kluczowy lub podmiot ważny (kryteria podmiotowe oraz kryteria wielkościowe) 2. Ustalenie czy podmiot podlega pod regulacje sektorowe w zakresie cyberbezpieczeństwa: 3. Podłączenie się do systemu S46 a. w tym zakresie współpraca z NASK-PIB, b. ustalenie administratora konta podmiotu w systemie S46 i użytkowników systemu po stronie podmiotu c. wyznaczenie stałych dyżurów przy S46 - celem zgłaszania incydentów oraz uzyskiwania informacji zwrotnych z S46 o podatnościach, cyberzagrożeniach i dobrych praktykach 4. Przygotowanie i wdrożenie SZBI a. Ustalenie kontekstu organizacji - jaką działalność prowadzi, jakie są wymagania regulacyjne, jakie są oczekiwania klientów i innych partnerów organizacji b. Opracowanie polityki bezpieczeństwa c. Przydzielenie ról w organizacji - kto ma odpowiadać za cyberbezpieczeństwo w organizacji oprócz zarządu d. Wdrożenie zarządzania ryzykiem w podmiocie albo przegląd dotychczas stosowanych polityk i procedur w tym zakresie e. Wdrożenie proporcjonalnych środków technicznych i organizacyjnych w podmiocie zapewniających poufność, integralność i dostępność informacji w szczególności: ✓ Przegląd dotychczasowych polityk i procedur ✓ Weryfikacja obecnego i przyszłego personelu pod kątem niekaralności, przegląd aktualnych procedur HR pod kątem bezpieczeństwa zasobów ludzkich ✓ Przegląd uprawnień personelu do zasobów (aktywów) i aktualizacja tych aktywów; cofniecie uprawnień dla personelu, który nie wykonuje już tych zadań ✓ Przegląd dotychczasowych dostawców sprzętu i oprogramowania, przegląd umów zawartych z tymi dostawcami ✓ Przegląd dotychczas stosowanych środków bezpieczeństwa w systemach informacyjnych i wdrożenie dodatkowych środków tam gdzie jest to konieczne ✓ Wdrożenie stałe, automatyczne gdzie możliwe, monitoringu systemu informacyjnego pod kątem zdarzeń które mogą być incydentami, podatnościami cyberzagrozeniami ✓ Przegląd planów ciągłości działania, planów awaryjnych systemu informacyjnego, planów odtworzenia ciągłości po katastrofie ✓ Zarządzanie aktywami - identyfikacja aktywów ✓ Zarządzanie aktualizacjami - wdrożenie polityk i procedur aktualizacji ✓ Przegląd polityk i procedur w zakresie zarządzania incydentami f. Ustalenie wewnętrznych procedur oraz kanałów komunikacji z zespołami CSIRT 5. Nawiązanie współpracy roboczej z organami właściwymi do spraw cyberbezpieczeństwa 6. Stałe monitorowanie otoczenia regulacyjnego organizacji 7. Uwzględnienie w procedurach wewnętrznych skutków wydania rekomendacji Pełnomocnika Rządu ds. Cyberbezpieczeństwa, decyzji w sprawie uznania za dostawcę wysokiego ryzyka, polecenia zabezpieczającego - w tym procedur mających na celu sprawdzenie czy w podmiocie jest sprzęt lub oprogramowanie pochodzące od dostawcy wysokiego ryzyka.

Podstawowym obowiązkiem podmiotów kluczowych i podmiotów ważnych będzie wdrożenie systemu zarządzania bezpieczeństwem informacji (SZBI) w systemie informacyjnym wykorzystywanym w procesach wpływających na świadczenie usługi przez ten podmiot obejmującego: 1) prowadzenie systematycznego szacowania ryzyka wystąpienia incydentu oraz zarządzanie tym ryzykiem - należy regularnie szacować ryzyko (identyfikować, analizować, oceniać), a następnie podejmować decyzję o podejściu do tego ryzyka; 2) wdrożenie odpowiednich i proporcjonalnych do oszacowanego ryzyka środków technicznych i organizacyjnych, uwzględniających najnowszy stan wiedzy, koszty wdrożenia, wielkość podmiotu, prawdopodobieństwo wystąpienia incydentów, narażenie podmiotu na ryzyka, skutki społeczne i gospodarcze, w szczególności: Każda z usług świadczona przez podmioty kluczowe lub podmioty ważne ma swoją specyfikę, dlatego wdrażając środki techniczne i organizacyjne podmiot powinien wybrać takie, które będą dopasowane (odpowiednie) do jego wielkości, charakteru świadczonych usług, możliwości finansowych, aktualnej wiedzy technicznej czy cyberzagrożeń, a zarazem żeby te środki były we właściwej harmonii (proporcjonalne) między sobą (przykład - rozbudowany dział cyberbezpieczeństwa, z politykami bezpieczeństwa i odpowiednim SIEM nie będzie efektywny, jeżeli jednocześnie zaniedbane będzie szkolenie personelu z cyberhigieny). Celem jest ograniczenie nadmiernych obowiązków nakładanych na podmiot i ich urealnienie przy stosowaniu. Można to sformułowanie traktować jako uelastycznienie przepisów. Należy więc bardzo dobrze ustalić kontekst danej organizacji, jej charakterystykę, świadczone usługi, posiadane systemy, otoczenie regulacyjne, wymogi podmiotów trzecich. a) polityki szacowania ryzyka oraz bezpieczeństwa systemu informacyjnego, w tym polityki tematyczne, (Polityka szacowania ryzyka powinna opisać proces szacowania ryzyka w danej organizacji...) b) bezpieczeństwo w procesie nabywania, rozwoju, utrzymania i eksploatacji systemu informacyjnego, w tym testowanie systemu informacyjnego, c) bezpieczeństwo fizyczne i środowiskowe, uwzględniające kontrolę dostępu, d) bezpieczeństwo zasobów ludzkich, e) bezpieczeństwo i ciągłość łańcucha dostaw produktów ICT, usług ICT i procesów ICT, od których zależy świadczenie usługi... f) wdrażanie, dokumentowanie, testowanie i utrzymywanie: planów ciągłości działania (BCP), planów awaryjnych (ISCP), oraz planów odtworzenia działalności (DRP), g) objęcie systemu informacyjnego wykorzystywanego do świadczenia usługi systemem monitorowania w trybie ciągłym, h) polityki i procedury oceny skuteczności środków technicznych i organizacyjnych, i) edukację z zakresu cyberbezpieczeństwa dla personelu podmiotu, j) podstawowe zasady cyberhigieny... k) polityki i procedury stosowania kryptografii... l) stosowanie bezpiecznych środków komunikacji elektronicznej... m) zarządzanie aktywami, n) polityki kontroli dostępu; 3) zbieranie informacji o cyberzagrożeniach i podatnościach na incydenty systemu informacyjnego wykorzystywanego do świadczenia usługi; 4) zarządzanie incydentami; 5) stosowanie środków zapobiegających i ograniczających wpływ incydentów na bezpieczeństwo systemu informacyjnego wykorzystywanego do świadczenia usługi, w tym: a) stosowanie mechanizmów zapewniających poufność, integralność, dostępność i autentyczność danych przetwarzanych w systemie informacyjnym, b) regularne przeprowadzanie aktualizacji oprogramowania, stosownie do zaleceń producenta... c) ochronę przed nieuprawnioną modyfikacją w systemie informacyjnym, d) niezwłoczne podejmowanie działań po dostrzeżeniu podatności lub cyberzagrożeń, w tym również czasowe ograniczenie ruchu sieciowego...

Należy przeanalizować procesy świadczenia usług (zadań publicznych) w organizacji oraz zidentyfikować systemy informacyjne, które są wykorzystywane w procesach mających wpływ na świadczenie tych usług. Przy identyfikacji procesów należy nie tylko wziąć pod uwagę procesy techniczne czy organizacyjne, ale także te procesy które są związane z daną usługą i są wymagane przez przepisy prawa np. procesy służące realizacji uprawnień użytkownika, klienta, konsumenta czy abonenta. Przy identyfikacji systemów należy zwrócić uwagę na to, czy dany system jest konieczny do świadczenia usługi, czy przetwarza dane oraz steruje procesami, od których zależy świadczenie usługi, a także czy zdarzenie w tym systemie może spowodować zaprzestanie świadczenia usługi. Każdorazowo należy wziąć pod uwagę charakter danego podmiotu. Systemy, które są w pełni odseparowane od świadczenia usługi i nie mają na nie wpływu nie podlegają obowiązkowi wdrożenia w nich systemu zarządzania bezpieczeństwem informacji. Jednocześnie może być tak, że systemy te są niezbędne w procesie świadczenia usługi, np. do zapewnienia realizacji świadczeń publicznych na rzecz obywateli niezbędne są systemy księgowe, bowiem bez nich podmiot publiczny nie będzie mógł tych świadczeń realizować. Wtedy należy również ująć te systemy w SZBI. Obowiązkiem wdrożenia SZBI należy objąć systemy informacyjne związane z działalnością danego podmiotu zgodną z załącznikiem nr 1 lub nr 2 do ustawy.

Dokumentacja dotyczy bezpieczeństwa systemu informacyjnego wykorzystywanego w procesie świadczenia usługi i może być prowadzona w postaci elektronicznej lub w postaci papierowej. Zakres dokumentacji podzielono na 2 części. Dokumentacja normatywna to ta część dokumentacji, która opisuje świadczoną usługę, systemy, infrastrukturę oraz funkcjonowanie bezpieczeństwa informacji w podmiocie. Dokumentacja operacyjna potwierdza wykonywanie czynności opisanych w dokumentacji normatywnej.

Należy najpierw przejrzeć istniejące zasoby organizacji. Organizacje, które wdrożyły systemy zarządzania bezpieczeństwem informacji według jednych z dostępnych standardów mogą wykorzystać i dostosować już istniejącą dokumentację. Tak jak jednak wspomniano, sama dokumentacja to za mało, zapewnienie cyberbezpieczeństwa musi być realne, a nie papierowe.

Unijne i krajowe regulacje wymagają realnego zapewnienia cyberbezpieczeństwa. Organizacja musi być świadoma swoich aktywów, ryzyk, cyberzagrożeń i dopasować adekwatne środki techniczne i organizacyjne ograniczające ryzyko. Organizacja musi mieć wdrożone, przetestowane i stosowane w praktyce procedury zarządzania incydentami. Kupiona dokumentacja, podpisana przez zarząd i schowana w "szafie NIS2" nie zapewni realnego cyberbezpieczeństwa w organizacji.

Tak, podmiot musi edukować swój personel w obszarze cyberbezpieczeństwa. Edukacja ta powinna odbywać się na bieżąco, powinna uwzględniać obowiązki personelu podmiotu w ramach SZBI, istniejące procedury, a także cyberzagrożenia czy przykłady incydentów z jakimi mierzy się podmiot. Obowiązkowemu szkoleniu podlega także kierownik podmiotu kluczowego lub podmiotu ważnego.

Podmiot kluczowy oraz podmiot ważny jest obowiązany wdrożyć adekwatne i proporcjonalne środki techniczne i organizacyjne mające zapewnić bezpieczeństwo i ciągłość łańcucha dostaw produktów ICT, usług ICT i procesów ICT, od których zależy świadczenie usługi, z uwzględnieniem związków pomiędzy bezpośrednim dostawcą sprzętu lub oprogramowania a podmiotem kluczowym lub podmiotem ważnym. W ramach tego procesu należy uwzględnić podatności związane z dostawcą sprzętu lub oprogramowania jak i ogólną jakość produktów ICT, usług ICT i procesów ICT pochodzących od dostawcy sprzętu lub oprogramowania, wyniki skoordynowanej oceny bezpieczeństwa przeprowadzonej przez Grupę Współpracy NIS oraz wyniki postępowania w sprawie uznania za dostawcę wysokiego ryzyka. Wpisuje się to w proces zarządzania ryzykiem łańcuchów dostaw opisany w poradniku Agencji Unii Europejskiej do Spraw Cyberbezpieczeństwa. Podmioty kluczowe i podmioty ważne powinny m.in.: znać swój łańcuch dostaw, dbać o odpowiednie wymagania z zakresu cyberbezpieczeństwa w umowach, inwentaryzować swoje zasoby, monitorować podatności związane z wykorzystywanym sprzętem i oprogramowaniem.

Ważną gwarancją prawidłowego wykonywania zadań z zakresu cyberbezpieczeństwa jest wskazanie, że zadań tych nie mogą wykonywać osoby skazane za przestępstwa przeciwko ochronie informacji, tj.: przestępstwa określone w rozdziale XXXIII Kodeksu karnego: • art. 265 (ujawnienie informacji niejawnych), • art. 266 (ujawnienie informacji służbowych), • art. 267 (nielegalne uzyskanie informacji), • art. 268 (niszczenie informacji), • art. 268a (niszczenie danych w systemach), • art. 269 (sabotaż komputerowy), • art. 269a (zakłócanie sieci i systemów), • art. 269b (bezprawne wykorzystanie programów i danych). Daje to odpowiednią gwarancję, że zadania te będą wykonywały osoby dające rękojmię ich prawidłowej realizacji. Ograniczono się przy tym do przestępstw przeciwko ochronie informacji, ponieważ są one związane tematycznie z cyberbezpieczeństwem. Osoba musi przedstawić zaświadczenie o niekaralności za ww. przestępstwa. Zaświadczenia w tym zakresie będą weryfikowane przez ich kierowników podmiotów kluczowych i podmiotów ważnych. Po otrzymaniu zaświadczenia kierownik dopuści taką osobę do realizacji zadań związanych z systemem zarządzania bezpieczeństwem informacji oraz zgłaszaniem incydentów...

Osoba, która posiada ważne poświadczenie bezpieczeństwa upoważniające w zakresie dostępu do informacji niejawnych o klauzuli „poufne” lub wyższej nie podlega weryfikacji niekaralności.

Tak. Nawiązując do powszechnej międzynarodowej praktyki (publikowanie informacji na podstawie wzoru zawartego w pkt. 3.3 dokumentu RFC 2350 https://datatracker.ietf.org/doc/html/rfc2350), nakłada się na dostawców usług zarządzanych z zakresu cyberbezpieczeństwa obowiązek udostępniania na stronie internetowej podstawowych informacji o swojej działalności. W celu zrealizowania tego obowiązku wystarczy zamieścić krótki plik tekstowy na stronie internetowej dostawcy usług zarządzanych z zakresu cyberbezpieczeństwa. Strona internetowa dostawcy powinna być w domenie, którą dostawca zgłosił do wykazu podmiotów kluczowych i podmiotów ważnych.

Do katalogu tych podmiotów zaliczane będą również podmioty publiczne, w tym jednostki samorządu terytorialnego. Podmioty publiczne będące podmiotami kluczowymi: - w odniesieniu do samorządu powiatu: starostwo powiatowe - w odniesieniu do samorządu gminy: urząd gminy, jeżeli zatrudnia na dzień 1 stycznia danego roku w przeliczeniu na pełny wymiar czasu pracy na podstawie umowy o pracę co najmniej 50 osób. Podmioty publiczne będące podmiotami ważnymi: - w odniesieniu do samorządu województwa: jednostki budżetowe oraz zakłady budżetowe z wyłączeniem określonych wyjątków (np. jednostek oświatowych). - Samorządowe jednostki budżetowe - Samorządowe zakłady budżetowe - Samorządowe instytucje kultury - Spółki prawa handlowego wykonujące zadania o charakterze użyteczności publicznej. Każdorazowo należy przeanalizować status prawny danego podmiotu na gruncie ustawy z dnia 27 sierpnia 2009 r. o finansach publicznych. Wprowadzono uproszczone wymagania dla samorządowych podmiotów publicznych, które są podmiotami ważnymi. Mają one charakter listy kontrolnej minimalnych wymogów takich jak inwentaryzacja zasobów informatycznych, weryfikacja uprawnień personelu, stosowanie oprogramowania antywirusowego, czy stosowanie zasad cyberhigieny. Zrezygnowano więc z podejścia opartego na ryzyku, ponieważ wymagałoby to najpierw posiadania odpowiedniego personelu przez mniejsze jednostki samorządowe... Przepisy te przewidują również możliwość zawierania porozumień i wspólnego wykonywania zadań z zakresu cyberbezpieczeństwa (np. jednostki obsługujące).

Nie ma narzuconych rozwiązań technicznych czy organizacyjnych. To podmiot kluczowy lub podmiot ważny musi podjąć decyzję o tym, jakie rozwiązanie będzie adekwatne do jego sytuacji. Pamiętajmy, że ustawa obejmuje wiele bardzo zróżnicowanych podmiotów. Podmioty mogą zdecydować się na zewnętrzne, komercyjne usługi, lub postawić na budowanie własnych kompetencji, często w ramach grupy kapitałowej.

Podmioty kluczowe i podmioty ważne muszą również wyznaczyć dwie osoby do kontaktów z innymi podmiotami krajowego systemu cyberbezpieczeństwa. Podmiot będący mikroprzedsiębiorcą lub małym przedsiębiorcą wyznaczy jedną osobę, ponieważ obowiązek wyznaczenia dwóch osób mógłby być zbyt dużym obciążeniem. Podmioty te mają również obowiązek zapewniania użytkownikowi usługi dostępu do wiedzy pozwalającej na zrozumienie cyberzagrożeń i stosowanie skutecznych sposobów zabezpieczania się przed tymi zagrożeniami w zakresie związanym ze świadczonymi usługami. Użytkownicy muszą posiadać aktualne informacje, aby być w stanie chronić się przed zagrożeniami. Można wykonać ten obowiązek przez odesłanie do stron internetowych organu właściwego do spraw cyberbezpieczeństwa, CSIRT MON, CSIRT NASK, CSIRT GOV lub CSIRT sektorowego. Każdy podmiot kluczowy oraz podmiot ważny powinien zapewnić możliwość zgłaszania przez swoich użytkowników cyberzagrożeń, podatności czy incydentu związanego z usługą świadczoną przez podmiot. Forma zgłoszenia należy już do podmiotu - czy to będzie odrębny adres poczty elektronicznej, czat na stronie internetowej, adres do doręczeń elektronicznych...

To może być każda osoba związana z podmiotem umową o pracę lub innym stosunkiem zatrudnienia. Nie jest wymagane określone wykształcenie, w tym związane z cyberbezpieczeństwem.

Podmiot kluczowy lub podmiot ważny realizuje zadania za pomocą wewnętrznych struktur odpowiedzialnych za cyberbezpieczeństwo (np. komórka organizacyjna w danym podmiocie, niezależnie od jej nazwy, ale zajmująca się cyberbezpieczeństwem) lub zawiera umowę z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa. Kluczowy jest tutaj spójnik „lub” - chodzi o możliwość outsourcingu tylko niektórych zadań. Decyzja o wyborze modelu realizacji zadań należy do podmiotu kluczowego lub podmiotu ważnego. Podkreślić jednak należy, że musi być ona rozsądna. Zadania z zakresu cyberbezpieczeństwa nie powinny być powierzane np. przeciążonemu działowi help-desk, ponieważ nie będą one realizowane efektywnie.

Wskazano zadania kierownika podmiotu kluczowego lub podmiotu ważnego: 1) podejmuje decyzje w zakresie przygotowania, wdrażania, stosowania, przeglądu i nadzoru systemu zarządzania bezpieczeństwem informacji w podmiocie - co oznacza, że kierownik odpowiada za system zarządzania bezpieczeństwem informacji i jego rozwój zgodnie z cyklem Deminga; 2) planuje adekwatne środki finansowe na realizację obowiązków z zakresu cyberbezpieczeństwa - mając na uwadze, że cyberbezpieczeństwo wymaga nakładów i nie powinny one być pomijane w budżetach podmiotów kluczowych i podmiotów ważnych; z drugiej strony muszą być to adekwatne środki, czyli takie, które są też dostosowane do możliwości podmiotu; 3) przydziela zadania z zakresu cyberbezpieczeństwa w tym podmiocie i nadzoruje ich wykonanie - na przykład poprzez przyjęcie odpowiednich polityk, przydział obowiązków, wydanie upoważnień; 4) zapewnia, że personel podmiotu jest świadomy obowiązków z zakresu cyberbezpieczeństwa i zna wewnętrzne regulacje podmiotu w tym zakresie. System zarządzania bezpieczeństwem informacji wymaga, aby każdy pracownik organizacji miał przypisaną role i zadania do wykonania celem zachowania bezpieczeństwa informacji; 5) zapewnia zgodność działania tego podmiotu z przepisami prawa oraz z wewnętrznymi regulacjami podmiotu - tu chodzi o zapewnienie stosowalności w podmiocie nie tylko przepisów prawa powszechnie obowiązującego, ale również własnych regulacji, aby nie były pomijane w codziennej pracy.

Jest to członek zarządu lub innego organu zarządzającego, a jeżeli organ jest wieloosobowy - członków tego organu, z wyłączeniem pełnomocników ustanowionych przez jednostkę. W przypadku spółki jawnej i spółki cywilnej za kierownika jednostki uważa się wspólników prowadzących sprawy spółki. W przypadku spółki partnerskiej - wspólnicy prowadzący sprawy spółki albo zarząd. W przypadku spółki komandytowej i spółki komandytowo-akcyjnej - komplementariusze prowadzący sprawy spółki. W przypadku osoby fizycznej prowadzącej działalność gospodarczą za kierownika jednostki uważa się tę osobę. Kierownikiem jest również likwidator, syndyk, zarządca ustanowiony w postępowaniu restrukturyzacyjnym oraz zarządca sukcesyjny oraz osoba, która dokonała zgłoszenia do naczelnika urzędu skarbowego o kontynuowaniu prowadzenia przedsiębiorstwa. W przypadku podmiotu publicznego kierownikiem podmiotu jest kierownik jednostki sektora finansów publicznych.

Osoby kierujące podmiotami kluczowymi lub podmiotami ważnymi muszą również raz na rok przejść szkolenie z zakresu wykonywania zadań z zakresu cyberbezpieczeństwa. Dotyczy to zadań związanych z opracowaniem systemu zarządzania bezpieczeństwem informacji, zgłaszania incydentów, dokumentowania SZBI. Gwarantuje to, że będą posiadać aktualną wiedzę merytoryczną potrzebną do podejmowania decyzji w tym obszarze.

Kierownik podmiotu kluczowego lub podmiotu ważnego ponosi odpowiedzialność za: • dokonanie aktualnego wpisu do wykazu podmiotów kluczowych lub podmiotów ważnych, • wdrożenie systemu zarządzania bezpieczeństwem informacji w podmiocie, • realizację swoich zadań, • weryfikację personelu realizującego zadania z zakresu systemu zarządzania bezpieczeństwem informacji i zgłaszania incydentów, • przeszkolenie siebie z realizacji obowiązków, • wyznaczenie osób kontaktowych, • zapewnienie użytkownikowi usługi dostępu do wiedzy z zakresu cyberbezpieczeństwa, • zapewnienie użytkownikowi usługi możliwości zgłoszenia cyberzagrożenia, incydentu lub podatności związanych ze świadczoną usługą, • korzystanie z systemu S46, • zgłaszanie incydentów, • przeprowadzanie audytów. Kierownik podmiotu kluczowego lub podmiotu ważnego ponosi odpowiedzialność także wtedy, gdy niektóre z obowiązków albo wszystkie obowiązki zostały powierzone innej osobie za jej zgodą.

Ustawa wprowadza pojęcia CSIRT sektorowego - jest to Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego, działający na poziomie sektora lub podsektora, ustanowiony przez organ właściwy do spraw cyberbezpieczeństwa dla danego sektora lub podsektora. Oprócz tego funkcjonują trzy zespoły CSIRT poziomu krajowego: 1) CSIRT GOV - Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego działający na poziomie krajowym, prowadzony przez Szefa Agencji Bezpieczeństwa Wewnętrznego; 2) CSIRT MON - Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego działający na poziomie krajowym, prowadzony przez Ministra Obrony Narodowej; 3) CSIRT NASK - Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego działający na poziomie krajowym, prowadzony przez Naukową i Akademicką Sieć Komputerową - Państwowy Instytut Badawczy.

CSIRT GOV E-mail: csirt@csirt.gov.pl Fax: +48 22 58 58 833 CSIRT MON Tel.: +48 261 865 333 E-mail: csirt-mon@ron.mil.pl CSIRT NASK e-mail: info@cert.pl

Jest to Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego działający na poziomie sektora lub podsektora, ustanowiony przez organ właściwy do spraw cyberbezpieczeństwa dla danego sektora lub podsektora.

Incydent jest to zdarzenie, które ma lub może mieć niekorzystny wpływ na bezpieczeństwo systemów informacyjnych. Wyjaśnienia wymaga wskazanie w definicji, że incydent to zdarzenie „które ma lub może mieć” - ta fakultatywność jest obecna od 2018 r. i przede wszystkim związana jest z zapewnieniem, że zespoły CSIRT albo osoby odpowiedzialne za obsługę incydentów w podmiocie będą otrzymywały informację o zdarzeniu, które wystąpiło i nie można było mu zapobiec, a zagraża bezpieczeństwu systemów. Dzięki temu można już rozpocząć proces zarządzania incydentem i na końcu wyciągnąć wnioski, które zapobiegną poważniejszym zdarzeniom w przyszłości. Takie podejście do incydentu pozwala zidentyfikować słabości organizacji, a także wdrożyć działania prewencyjne, poprawiające poziom bezpieczeństwa, jeszcze przed tym, zanim zdarzenie wywoła niekorzystne skutki. Takie ukształtowanie przepisu jest zarazem zgodne z brzmieniem art. 3 rozporządzenia wykonawczego 2024/2690, w którym w kilku miejscach wskazano, że incydent uznaje się za incydent poważny (w przypadku podmiotów z sektora infrastruktury cyfrowej) jeśli „incydent spowodował lub może spowodować …”.

Incydenty dzielą się na: 1) incydent krytyczny - incydent skutkujący znaczną szkodą dla bezpieczeństwa lub porządku publicznego, interesów międzynarodowych, interesów gospodarczych, działania instytucji publicznych, praw i wolności obywatelskich lub życia i zdrowia ludzi, klasyfikowany przez właściwy CSIRT MON, CSIRT NASK lub CSIRT GOV 2) incydent poważny - incydent, który powoduje lub może spowodować poważne obniżenie jakości lub przerwanie ciągłości świadczenia usługi przez podmiot kluczowy lub podmiot ważny, straty finansowe dla tego podmiotu lub wpływa na inne osoby fizyczne, osoby prawne, jednostki organizacyjne nieposiadające osobowości prawnej przez wywołanie poważnej szkody materialnej lub niematerialnej 3) incydent w cyberbezpieczeństwie na dużą skalę - incydent, którego skutki przekraczają możliwości reagowania państwa lub który ma poważny wpływ na inne państwo członkowskie Unii Europejskiej

Każdy podmiot kluczowy lub podmiot ważny ma obowiązek zarządzania każdego incydentu. Jednakże obowiązkowemu zgłoszeniu podlegają jedynie incydenty poważne.

Podmiot kluczowy lub podmiot ważny ma obowiązek zapewnić obsługę incydentu. Oznacza to m.in. obowiązek: • zgłoszenia wczesnego ostrzeżenia o incydencie poważnym, nie później niż w ciągu 24 godzin od momentu jego wykrycia, do właściwego CSIRT sektorowego, • zgłoszenia incydentu poważnego niezwłocznie, nie później niż w ciągu 72 godzin od momentu jego wykrycia, do właściwego CSIRT sektorowego, • zapewnienia dostępu do informacji o rejestrowanych incydentach właściwemu CSIRT MON, CSIRT NASK, CSIRT GOV lub CSIRT sektorowemu, w zakresie niezbędnym do realizacji jego zadań, • współdziałania podczas obsługi incydentu poważnego i incydentu krytycznego z właściwym CSIRT • przekazania, na wniosek właściwego CSIRT sektorowego, sprawozdania okresowego z obsługi incydentu poważnego • przekazania właściwemu CSIRT sektorowemu sprawozdania końcowego z obsługi incydentu poważnego, niepóźniej niż w ciągu miesiąca od dnia zgłoszenia • informowania użytkowników swoich usług o incydencie poważnym, jeżeli ma on niekorzystny wpływ na świadczenie tych usług • podejmowania działań naprawczych. W ramach obsługi incydentów podmiot krajowego systemu cyberbezpieczeństwa może w szczególności podejmować działania w celu wykrywania źródła lub dokonywania analizy aktywności, w tym ruchu sieciowego, powodujących wystąpienie incydentu zakłócającego świadczenie usług przez ten podmiot. Uprawnienia te są niezbędne dla zapewnienia skutecznej reakcji na incydent, a w praktyce sprawiają one problemy praktyczne. Wykrycie źródła ataku często jest niezbędne do jego powstrzymania i przywrócenia normalnego funkcjonowania systemów.

Jest to moment, w którym podmiot uzyskał informacje o zdarzeniu, które kwalifikuje się jako incydent. Informacje te może uzyskać monitorując własne systemy lub pozyskując informacje od dostawcy usługi. W umowach z dostawcami należy zawrzeć obowiązek dostawcy o niezwłocznym informowaniu o incydencie związanym z usługą dostawcy.

Tak. Incydenty w systemach automatyki przemysłowej podlegają obowiązkowemu zgłoszeniu. Incydentem jest zdarzenie które ma lub może mieć niekorzystny wpływ na bezpieczeństwo systemów informacyjnych. Definicja systemu informacyjnego uwzględnia także systemy automatyki przemysłowej.

Tak, istnieje możliwość dobrowolnego zgłoszenia do zespołów CSIRT poziomu krajowego jak również CSIRT sektorowego informacji o incydentach nie podlegających obowiązkowemu zgłoszeniu, o cyberzagrożeniach, wynikach szacowania ryzyka, podatnościach, potencjalnych zdarzeniach dla cyberbezpieczeństwa czy wykorzystywanych technologiach. Zgłoszenia te są dokonywane za pomocą systemu teleinformatycznego S46. Umożliwia to dzielenie się informacjami z zespołami CSIRT, które mogą przeanalizować je i wyciągnąć wnioski, umożliwiając lepsze wspieranie podmiotów kluczowych i podmiotów ważnych. Przykładowo informacje o podatnościach pozwolą na opracowanie sposobów ich mitygacji. Zapewniono przy tym możliwość ochrony informacji prawnie chronionych - w tym celu podmiot kluczowy i podmiot ważny ma obowiązek oznaczyć tego rodzaju informacje.

Jest to zdarzenie, które może mieć niekorzystny wpływ na bezpieczeństwo systemów informacyjnych. Zgłaszanie takich zdarzeń do zespołów CSIRT jest nieobowiązkowe. W samej możliwości zgłoszeń tego rodzaju zdarzeń chodzi o to, aby móc wyciągnąć informacje z tego rodzaju sytuacji, które nie doprowadziły do strat, ale wyciągnięte z nich wnioski mogą pozwolić na zabezpieczenie się przed innymi incydentami.

Poważnym cyberzagrożeniem jest cyberzagrożenie, które przez swoje właściwości techniczne może mieć poważny wpływ na bezpieczeństwo systemów informacyjnych lub użytkowników tych systemów przez wywołanie poważnej szkody materialnej lub niematerialnej. Należy poinformować użytkowników podmiotu kluczowego lub podmiotu ważnego o możliwych środkach zapobiegawczych przed poważnym cyberzagrożeniem. Przydatny do realizacji tego obowiązku może być ten szablon:

Jest to incydent, który powoduje lub może spowodować poważne obniżenie jakości lub przerwanie ciągłości świadczenia usługi przez podmiot kluczowy lub podmiot ważny - a nie jak do tej pory świadczenia usługi kluczowej przez operatora usługi kluczowej. Ponadto incydentem poważnym będzie też taki, który powoduje straty finansowe dla podmiotu kluczowego i podmiotu ważnego albo wpływa na inne podmioty - osoby fizyczne, osoby prawne i ułomne osoby prawne - w taki sposób, że wywołuje szkodę materialną albo niematerialną. W praktyce istotne znaczenie dla zidentyfikowania incydentu poważnego będą miały progi incydentu poważnego ustalone w rozporządzeniu Rady Ministrów.

Wczesne ostrzeżenie o incydencie poważnym jest zgłaszane w terminie 24 godzin od wykrycia incydentu. Zawiera m.in. 1) dane podmiotu zgłaszającego - w tym firmę przedsiębiorcy, numer z właściwego rejestru, siedzibę i adres - chodzi o konieczność zapewnienia identyfikacji podmiotu zgłaszającego wczesne ostrzeżenie; 2) imię i nazwisko, numer telefonu służbowego oraz służbowy adres poczty elektronicznej osoby dokonującej zgłoszenia; 3) imię i nazwisko, numer telefonu służbowego oraz adres służbowej poczty elektronicznej osoby uprawnionej do składania wyjaśnień dotyczących zgłaszanych informacji. W zależności od okoliczności osoba dokonująca zgłoszenia może być jednocześnie osobą uprawnioną do składania wyjaśnień. Może być też inaczej, stąd zasadne jest wyodrębnienie tych kategorii osób; 4) wskazanie momentu wystąpienia i wykrycia incydentu poważnego oraz czas jego trwania - jest to istotne dla CSIRT który może również dokonać korelacji tych danych z innymi dostępnymi informacjami o innych incydentach i np. zidentyfikować działania grup wrogich aktorów; 5) wskazanie, czy incydent poważny został wywołany działaniem bezprawnym lub działaniem w złej wierze, jeżeli możliwe jest dokonanie takiej oceny - dzięki tej informacji CSIRT będzie wiedział, czy konieczne jest zaangażowanie organów ścigania; 6) określenie, czy incydent dotyczy innych państw członkowskich Unii Europejskiej - jest to konieczne do określenia ewentualnego wpływu transgranicznego.

Podmioty publiczne będące podmiotami ważnymi mają uproszczone obowiązki przy zgłaszaniu incydentów. Nie muszą zgłaszać wczesnego ostrzeżenia, sprawozdania okresowego, sprawozdania z postępu ani sprawozdania końcowego z obsługi incydentu. Zgłaszają wyłącznie zgłoszenie incydentu poważnego.

Incydenty poważne są zgłaszane do CSIRT sektorowych za pomocą systemu S46, który jest prowadzony przez Ministra Cyfryzacji. Aby korzystać z systemu, najpierw należy uzyskać do niego dostęp. W tym celu należy wypełnić oświadczenie o dołączeniu do systemu i przekazać je za pośrednictwem formularza kontaktowego. Instrukcja, oświadczenie oraz formularz kontaktowy znajdują się pod adresem: https://www.gov.pl/web/system-s46/uzyskaj-dostep. Zespoły CSIRT sektorowe oraz CSIRT poziomu krajowego przekażą sobie zgłoszenie incydentu zgodnie z właściwością, jeżeli w danej sprawie nie są właściwi.

W ciągu 72 godzin od wykrycia incydentu poważnego podmiot kluczowy i podmiot ważny zgłasza incydent poważny wraz z dodatkowymi informacjami o tym incydencie: 1) opis wpływu incydentu poważnego na świadczenie usługi, w tym: a) wskazanie usługi zgłaszającego, na które incydent poważny miał wpływ. Aby pomóc podmiotowi zgłaszającemu incydent CSIRT musi wiedzieć na świadczenie jakich usług wpływa incydent. b) liczbę użytkowników usługi, na których incydent poważny miał wpływ. Chodzi o szacunkowe określenie liczby użytkowników na których oddziałuje incydent. c) zasięg geograficzny obszaru, którego dotyczy incydent poważny. Chodzi o określenie obszaru na który wpływa incydent poważny, przykładowo ten obszar może obejmować niedostępność usług telekomunikacyjnych na terenie dwóch powiatów, albo brak prądu w mieście wojewódzkim spowodowany awarią systemów sterowania. d) wpływ incydentu poważnego na świadczenie usługi przez inne podmioty. Podmiot kluczowy i podmiot ważny powinien, w ramach analizy kontekstu organizacji ustalić podmioty z którymi współpracuje i którym świadczy usługi. Będzie więc mógł określić, czy incydent wpływa na te podmioty czy nie. 2) opis przyczyn tego incydentu, sposób jego przebiegu oraz prawdopodobne skutki oddziaływania na systemy informacyjne lub świadczone usługi. Przykładowo należy wskazać oznaki naruszenia integralności systemu (indicators of compromise). 3) informacje o podjętych działaniach zapobiegawczych; 4) informacje o podjętych działaniach naprawczych; 5) aktualizację informacji przekazanych we wczesnym ostrzeżeniu, jeżeli nastąpiła ich zmiana.

Nie zawsze wszystkie informacje będą dostępne w trakcie zgłaszania incydentu poważnego, dlatego podmiot kluczowy lub podmiot ważny będzie obowiązany zgłosić te informacje, o których wie na moment zgłoszenia. Będzie przy tym zobligowany uzupełnić te informacje później w trakcie obsługi incydentu.

Podmiot kluczowy lub podmiot ważny ma obowiązek poinformować użytkowników swoich usług o incydencie poważnym, jeżeli ma on niekorzystny wpływ na świadczenie tych usług. Niekorzystny wpływ to taki, który przynosi straty dla użytkowników, np. tracą czas, pieniądze, czy w niektórych przypadkach zdrowie. Stąd też w takich sytuacjach należy ich informować o incydencie poważnym.

Wystarczy jedno zgłoszenie w systemie S46. CSIRT sektorowe mają obowiązek wzajemnego poinformowania się o incydencie

Tak. Zostały one określone w Rozporządzeniu wykonawczym Komisji (UE) 2024/2690 odniesieniu do: • dostawców usług DNS, • rejestrów nazw TLD, • dostawców usług chmurowych, • dostawców usług ośrodka przetwarzania danych, • dostawców sieci dostarczania treści, • dostawców usług zarządzanych, • dostawców usług zarządzanych w zakresie bezpieczeństwa, • dostawców internetowych platform handlowych, • wyszukiwarek internetowych • platform usług sieci społecznościowych • dostawców usług zaufania https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32024R2690.

Progi uznania incydentu za incydent poważny zostaną określone w drodze rozporządzenia przez Radę Ministrów. Przy czym w tym rozporządzeniu nie będą określone progi incydentów dla podmiotów, dla których progi te ustaliła Komisja Europejska w bezpośrednio stosowalnym akcie wykonawczym wydanym na podstawie art. 23 ust. 11 dyrektywy NIS 2. Prawo krajowe nie może wkraczać w kwestie uregulowane bezpośrednio stosowalnym akcie prawa unijnego.

Dane przekazywane w zgłoszeniu incydentu mogą stanowić tajemnice prawnie chronione w tym tajemnicę przedsiębiorstwa. Jednocześnie są one potrzebne aby zespół CSIRT był w stanie efektywnie pomóc podmiotowi. Dlatego podmiot kluczowy lub podmiot ważny zgłaszający incydent ma obowiązek przekazać we wczesnym ostrzeżeniu lub w zgłoszeniu incydentu informacje stanowiące tajemnice prawnie chronione. Jednocześnie zespoły CSIRT są obowiązane zachować te informacje w tajemnicy. Informacje te powinny być stosownie oznaczone we wczesnym ostrzeżeniu lub zgłoszeniu incydentu, aby CSIRT wiedział które informacje w szczególny sposób musi chronić.

Informacje niejawne dotyczące incydentu poważnego są zgłaszane za pomocą systemu teleinformatycznego, który otrzymał akredytację bezpieczeństwa teleinformatycznego lub inną drogą przewidzianą w ustawie o ochronie informacji niejawnych.

Tak, po konsultacji z podmiotem, w którym wystąpił incydent poważny gdy jest to niezbędne, aby zapobiec wystąpieniu incydentu albo zapewnić obsługę incydentu.

Podmiot kluczowy lub podmiot ważny obowiązany jest złożyć sprawozdanie okresowe (na wniosek) i sprawozdanie końcowe. Sprawozdanie okresowe dotyczy działań podjętych w trakcie obsługi incydentu poważnego. Jest ono przekazywane na wniosek CSIRT sektorowego. Sprawozdanie końcowe przekazuje się w ciągu miesiąca od dnia zgłoszenia incydentu. Podsumowuje ono obsługę incydentu poważnego. Zawiera ono: 1) szczegółowy opis incydentu poważnego, w tym spowodowane zakłócenia i szkody; 2) rodzaj zagrożenia lub przyczynę, która prawdopodobnie była źródłem incydentu; 3) zastosowane i wdrażane środki ograniczające ryzyko; 4) transgraniczne skutki incydentu, jeżeli wystąpiły. Podsumowując sprawozdanie końcowe opisuje co się stało, przyczynę, działania następcze oraz transgraniczne skutki incydentu. Dzięki takiemu sprawozdaniu zarówno podmiot kluczowy i podmiot ważny jak i zespół CSIRT są w stanie wyciągnąć wnioski z incydentu na przyszłość, ewentualnie wrócić do dokumentacji obsługi konkretnego incydentu, jeżeli w przyszłości pojawi się inny podobny incydent. Świadomość tego jak postąpiło się z podobnym incydentem pomoże przy obsłudze kolejnych tego typu zdarzeń. Jeżeli jednak obsługa incydentu poważnego nie zakończyła się w terminie miesiąca podmiot zgłaszający incydent poważny przesyła sprawozdanie z postępu obsługi incydentu, a sprawozdanie końcowe w terminie miesiąca od zakończenia obsługi tego incydentu.

System S46 Cyber Hub to kluczowa aplikacja stanowiąca fundament Krajowego Systemu Cyberbezpieczeństwa (KSC). Jest to rozwiązanie rozwijane przez NASK PIB na zlecenie Ministra Cyfryzacji, które zostało oficjalnie uruchomione 1 stycznia 2021 r. System jest stale rozwijany, aby sprostać nowym wymogom prawnym określonym w nowelizacji ustawy o KSC wdrażającej dyrektywę NIS2.

Głównym zadaniem systemu jest pełnienie roli scentralizowanego hubu, który umożliwia podmiotom KSC (podmioty kluczowe i podmioty ważne) realizację ustawowych obowiązków oraz budowanie wspólnej odporności cyfrowej. Jego funkcjonalność opiera się na kilku kluczowych obszarach: • System „jednego okienka” do obsługi incydentów: Platforma pozwala na zgłaszanie incydentów w jednym miejscu, skąd informacja trafia do właściwego CSIRT poziomu krajowego (GOV, MON lub NASK) oraz docelowo będzie trafiać do odpowiedniego CSIRT sektorowego. Eliminuje to konieczność wielokrotnego raportowania tego samego zdarzenia. • Budowanie świadomości sytuacyjnej: S46 agreguje i koreluje dane o podatnościach oraz incydentach z wielu różnych źródeł. Pozwala to Pełnomocnikowi Rządu ds. Cyberbezpieczeństwa na uzyskanie unikalnego, zagregowanego obrazu stanu cyberbezpieczeństwa państwa, a co najważniejsze wesprze podmioty w ochronie przed cyberzagrożeniami. • Wymiana informacji i ostrzeganie: System służy do dystrybucji ostrzeżeń o zagrożeniach, publikowania analiz merytorycznych oraz przekazywania rekomendacji technicznych. • Nowoczesne zarządzanie ryzykiem: Docelowo S46 umożliwi użytkownikom monitorowanie własnej infrastruktury - po wprowadzeniu informacji o posiadanych rozwiązaniach, system będzie automatycznie generował alerty w przypadku wykrycia specyficznych podatności. • Zgłoszenia naruszenia ochrony danych: Za pośrednictwem S46 możliwe będzie również dokonywanie zgłoszeń naruszeń ochrony danych osobowych bezpośrednio do Prezesa Urzędu Ochrony Danych Osobowych.

Aby korzystać z systemu, najpierw należy uzyskać do niego dostęp. W tym celu należy wypełnić oświadczenie o dołączeniu do systemu i przekazać je za pośrednictwem formularza kontaktowego. Instrukcja, oświadczenie oraz formularz kontaktowy znajdują się pod adresem: https://www.gov.pl/web/system-s46/uzyskaj-dostep.

Uwierzytelnienie następuje za pomocą Węzła Krajowego - dostępne są następujące sposoby uwierzytelnienia: • bankowość elektroniczną, • profil zaufany, • aplikację mObywatel, • e-dowód, • certyfikat kwalifikowany.

Korzystanie z Systemu S46 przez Internet wymaga: 1. Korzystania ze stacji roboczej chronionej przed dostępem osób nieupoważnionych, wyposażonej w: • ochronę antywirusową, • ochronę antymalware. 2. Korzystania z przeglądarki internetowej wykorzystującej silnik Chromium (np. Chrome, Opera, Brave) w aktualnej wersji. Stabilnego łącza internetowego o minimalnej przepustowości 10 Mb/s.

Informacjami z zakresu cyberbezpieczeństwa mogą wymieniać się: • podmioty kluczowe, • podmioty ważne, • CSIRT MON, • CSIRT NASK, • CSIRT GOV, • CSIRT sektorowy, • dostawcy sprzętu lub oprogramowania dla tych podmiotów, • organizacje społeczne zrzeszające podmioty kluczowe lub podmioty ważne.

Dopuszczalna wymiana informacji w zakresie cyberbezpieczeństwa

Wymiana informacji, ostrzeżeń i zaleceń jest dopuszczalna, jeżeli: 1) ma na celu zapobieganie incydentom, ich wykrywanie, reagowanie na nie, przywracanie normalnego działania po incydentach lub łagodzenie ich skutków lub 2) zwiększa poziom cyberbezpieczeństwa.

Wymiana ta odbywa się odbywa się za pomocą systemu S46, systemów teleinformatycznych zapewnianych przez organy właściwe do spraw cyberbezpieczeństwa lub w drodze porozumień między podmiotami kluczowymi, podmiotami ważnymi CSIRT MON, CSIRT NASK, CSIRT GOV, CSIRT sektorowy, dostawcami sprzętu lub oprogramowania dla tych podmiotów lub organizacjami społecznymi zrzeszającymi podmioty kluczowe lub podmioty ważne.

W Polsce coraz częściej pojawiają się Information Sharing and Analysis Center - ISAC. Wprowadzono możliwość zawierania porozumień pomiędzy podmiotami kluczowymi i podmiotami ważnymi w sprawie wymiany informacji o cyberbezpieczeństwie. W tych porozumieniach należy ustalić sposób wymiany informacji i zachowania informacji w poufności pomiędzy stronami porozumienia. Te porozumienia spełniają funkcję ISAC. Podmiot kluczowy lub podmiot ważny zgłasza w wykazie podmiotów kluczowych lub podmiotów ważnych informację o zawarciu takiego porozumienia.

Podmioty kluczowe mają obowiązek zapewnić przeprowadzenie, na własny koszt, co najmniej raz na 3 lata, audytu bezpieczeństwa systemu informacyjnego wykorzystywanego w procesie świadczenia usługi. Musi on być przeprowadzony przez podmiot posiadający odpowiednią akredytację, dwóch audytorów legitymujących się odpowiednimi certyfikatami i doświadczeniem lub przez CSIRT sektorowy. Audyty na zgodność należy rozumieć jako przeprowadzane na zgodność z przepisami ustawy. Audyt może być audytem wewnętrznym lub zewnętrznym. Audyt powinien dotyczyć całego systemu informacyjnego wykorzystywanego przez dany podmiot, a nie jedynie jego części związanych z konkretną usługą. Wynika to z tego, że dzięki powiązaniom między poszczególnymi systemami można poprzez inne elementy systemu wpłynąć na kluczową działalność danego podmiotu. Podmioty ważne nie mają obowiązku przeprowadzenia cyklicznego audytu.

Audyt może być przeprowadzony przez: 1) jednostkę oceniającą zgodność, akredytowaną w zakresie właściwym do podejmowanych ocen bezpieczeństwa systemów informacyjnych; 2) co najmniej dwóch audytorów posiadających: a) certyfikaty określone w rozporządzeniu Ministra Cyfryzacji lub b) co najmniej trzyletnią praktykę w zakresie audytu bezpieczeństwa systemów informacyjnych, lub c) co najmniej dwuletnią praktykę w zakresie audytu bezpieczeństwa systemów informacyjnych i legitymujących się dyplomem ukończenia studiów podyplomowych w zakresie audytu bezpieczeństwa systemów informacyjnych, wydanym przez jednostkę organizacyjną, która w dniu wydania dyplomu była uprawniona, zgodnie z odrębnymi przepisami, do nadawania stopnia naukowego doktora nauk ekonomicznych, technicznych lub prawnych; 3) CSIRT sektorowy.

Następujące certyfikaty uprawniają do przeprowadzenia audytu: 1 Certified Internal Auditor (CIA); 2 Certified Information System Auditor (CISA); 3 Certyfikat audytora wiodącego systemu zarządzania bezpieczeństwem informacji według normy PN-EN ISO/IEC 27001 wydany przez jednostkę oceniającą zgodność, akredytowaną, w zakresie certyfikacji osób; 4 Certyfikat audytora wiodącego systemu zarządzania ciągłością działania PN-EN ISO 22301 wydany przez jednostkę oceniającą zgodność, akredytowaną zgodnie z przepisami ustawy z dnia 13 kwietnia 2016 r. o systemach oceny zgodności i nadzoru rynku, w zakresie certyfikacji osób; 5 Certified Information Security Manager (CISM); 6 Certified in Risk and Information Systems Control (CRISC); 7 Certified in the Governance of Enterprise IT (CGEIT); 8 Certified Information Systems Security Professional (CISSP); 9 Systems Security Certified Practitioner (SSCP); 10 Certified Reliability Professional; 11 Certyfikaty uprawniające do posiadania tytułu ISA/IEC 62443 Cybersecurity Expert.

Nie, audyt nie może być przeprowadzony przez osobę, która w tym samym podmiocie realizuje lub wcześniej realizowała zadania z zakresu SZBI oraz zgłaszania incydentów przez rok przed rozpoczęciem audytu.

Dotychczasowi operatorzy usług kluczowych przeprowadzają audyt bezpieczeństwa systemu informacyjnego wykorzystywanego w procesie świadczenia usługi zgodnie z zasadą określoną w art. 15 ust. 1, tj. co najmniej raz na 3 lata, licząc od dnia sporządzenia i podpisania raportu z ostatniego audytu. Jednocześnie, zgodnie z przepisem przejściowym (art. 25), co do operatorów usług kluczowych, którzy wykonali audyt przed wejściem w życie nowelizacji ustawy, nie stosuje się obowiązku przeprowadzenia pierwszego audytu w terminie 24 miesięcy, o którym mowa w art. 16 pkt 2. Oznacza to, że w ich przypadku zachowany zostaje dotychczasowy cykl audytowy. Przykładowo, jeżeli operator przeprowadził audyt w maju 2024 r., kolejny audyt powinien zostać przeprowadzony najpóźniej w maju 2027 r. Jeżeli zgodnie z cyklem audytowym audyt wypada w trakcie okresu dostosowawczego to audyt obejmie realizację wymogów dotychczasowego systemu zarządzania bezpieczeństwem informacji - sprzed nowelizacji.

Wprowadzenie do polskiego porządku prawnego polecenia zabezpieczającego jest konieczne dla zapewnienia bezpieczeństwa narodowego, ponieważ cyberataki są coraz częstsze i coraz bardziej niebezpieczne. Należy podkreślić, że są one dokonywane zarówno przez zwykłych przestępców jak i sprawców powiązanych z określonymi państwami, którzy dysponują znaczną wiedzą i zasobami. Państwo musi mieć odpowiednie prawne środki reakcji na incydenty krytyczne, aby bronić swojego społeczeństwa i gospodarki przed skutkami tych incydentów. Polecenie zabezpieczające będzie skutecznym środkiem przeciwdziałania incydentom krytycznym. Będzie miało charakter proporcjonalny do cyberzagrożenia. Wpłynie ono wyłącznie w niezbędnym zakresie na swobodę działalności gospodarczej, aby uchronić kluczowe podmioty przed skutkami incydentu krytycznego, który jak wspomniano wyżej, w bardzo poważny sposób zagraża obywatelom, gospodarce, czy szerzej bezpieczeństwu narodowemu. Katalog zachowań możliwych do nałożenia w drodze polecenia zabezpieczając go zostanie ustawowo ograniczony. Ponadto minister będzie zobligowany wybrać zachowanie adekwatne do cyberzagrożenia, jakie stwarza incydent krytyczny. Przeciwdziała to arbitralności władzy publicznej. Polecenie zabezpieczające nie cenzuruje ani nie wyłącza internetu w Polsce. Umożliwia natomiast zablokowanie konkretnego ruchu sieciowego, który został zidentyfikowany przez zespoły CSIRT jako przyczyna incydentu krytycznego. Chodzi o przeciwdziałanie atakom typu DDoS.

Adresatem polecenia zabezpieczającego mogą być podmioty kluczowe i podmioty ważne określone rodzajowo oraz podmioty finansowe.

W ramach polecenia zabezpieczającego mogą być nakazane podmiotom kluczowym i podmiotom ważnym następujące działania: 1) nakaz przeprowadzenia szacowania ryzyka związanego ze stosowaniem określonego produktu ICT, usługi ICT lub procesu ICT i wprowadzenie środków ochrony proporcjonalnych do zidentyfikowanych ryzyk; 2) nakaz przeglądu planów ciągłości działania, planów awaryjnych i planów odtworzenia działalności pod kątem ryzyka wystąpienia incydentu krytycznego związanego z daną podatnością; 3) nakaz zastosowania określonej poprawki bezpieczeństwa w produkcie ICT lub usłudze ICT posiadającym daną podatność; 4) nakaz szczególnej konfiguracji produktu ICT lub usługi ICT, zabezpieczającej przed wykorzystaniem określonej podatności; 5) nakaz wzmożonego monitorowania zachowania systemu informacyjnego; 6) zakaz korzystania z określonego produktu ICT lub usługi ICT, które posiada podatność, która przyczyniła się do zaistnienia incydentu krytycznego; 7) nakaz wprowadzenia ograniczenia ruchu sieciowego przychodzącego do infrastruktury podmiotu kluczowego lub podmiotu ważnego, który skutkując zakłóceniem usług świadczonych przez ten podmiot został sklasyfikowany przez CSIRT MON, CSIRT NASK lub CSIRT GOV jako przyczyna trwającego incydentu krytycznego; 8) nakaz wstrzymania dystrybucji lub zakaz instalacji określonej wersji oprogramowania; 9) nakaz zabezpieczenia określonych informacji, w tym dzienników systemowych; 10) nakaz wytworzenia obrazów stanu określonych urządzeń zainfekowanych złośliwym oprogramowaniem

Ocena bezpieczeństwa polega na przeprowadzeniu testów bezpieczeństwa systemu informacyjnego wykorzystywanego przez podmiot krajowego systemu cyberbezpieczeństwa w celu identyfikacji podatności tego systemu. Wyboru rodzaju testów bezpieczeństwa dokonuje się adekwatnie do systemu informacyjnego i świadczonej usługi z uwzględnieniem specyfiki sektora lub podsektora.

Ocenę bezpieczeństwa może przeprowadzić CSIRT MON, CSIRT NASK, CSIRT GOV lub CSIRT sektorowy. Ocena odbywa się za zgodą podmiotu krajowego systemu cyberbezpieczeństwa wyrażoną w formie pisemnej lub formie elektronicznej pod rygorem nieważności albo na zlecenie organu właściwego do spraw cyberbezpieczeństwa. Zlecenie może dotyczyć tylko podmiotów kluczowych.

Celem oceny bezpieczeństwa jest pomoc w identyfikacji podatności. Ma ona charakter prewencyjny. Jednakże prowadzenie tej oceny nie może zaszkodzić systemowi informacyjnemu, a szerzej podmiotowi, który korzysta z tego systemu i świadczy usługi dla swoich klientów. Dlatego wprowadza się zasadę, zgodnie z którą czynności przeprowadzane w ramach oceny bezpieczeństwa powinny w jak najmniejszym stopniu zakłócać funkcjonowanie tego systemu lub ograniczać jego dostępność. Tym bardziej nie jest dopuszczalne, aby działania te doprowadziły do nieodwracalnego zniszczenia danych w systemie poddanym ocenie. Przepis ten ma stanowić ogólną zasadę dla osób przeprowadzających ocenę bezpieczeństwa i stanowi gwarancję dla podmiotu krajowego systemu cyberbezpieczeństwa, wobec którego prowadzona jest ocena bezpieczeństwa. Dodatkowo wprowadzono katalog sytuacji w których ocena bezpieczeństwa nie może być przeprowadzona, a rozpoczętą przerywa się. Są to sytuacje, gdy: 1) podmiot krajowego systemu cyberbezpieczeństwa nie posiada kopii bezpieczeństwa badanego systemu; 2) istnieje zagrożenie nieodwracalnego zniszczenia danych przetwarzanych w systemie; 3) czas potrzebny na przywrócenie systemu z kopii bezpieczeństwa może w istotny sposób zakłócić pracę systemu lub ograniczyć jego dostępność; 4) czynności podejmowane podczas oceny bezpieczeństwa mogą doprowadzić do uszkodzenia produktów ICT wchodzących w skład tego systemu oraz innych systemów informacyjnych podmiotu kluczowego; 5) istnieje zagrożenie ograniczenia dostępności usług świadczonych przez podmiot krajowego systemu cyberbezpieczeństwa. Ponadto informacje uzyskane w wyniku oceny stanowią tajemnicę prawnie chronioną. Zespół CSIRT nie będzie mógł wykorzystać ich do realizacji innych zadań ustawowych. Informacje te będą podlegały niezwłocznemu, komisyjnemu i protokolarnemu zniszczeniu. Zniszczeniu nie podlegają informacje o czynnościach przeprowadzanych w ramach oceny bezpieczeństwa oraz o wykrytych podatnościach systemu informacyjnego.

Pełnomocnik Rządu do Spraw Cyberbezpieczeństwa wydaje dwa rodzaje rekomendacji: 1. Rekomendacje dotyczące stosowania produktów ICT lub usług ICT, w szczególności w zakresie wpływu na bezpieczeństwo publiczne lub istotny interes bezpieczeństwa państwa. Rekomendacje te wydaje się po uzyskaniu opinii Kolegium do Spraw Cyberbezpieczeństwa lub z urzędu po uzyskaniu przez Pełnomocnika informacji o cyberzagrożeniu, która uprawdopodobni możliwość wystąpienia incydentu krytycznego. Lista dotychczas wydanych rekomendacji jest dostępna pod adresem: https://dane.gov.pl/pl/dataset/20102/resource/897674,wykaz-rekomendacji-penomocnika-rzadu-do-spraw-cyberbezpieczenstwa/table?page=1&per_page=20&q=&sort= 2. Nowe przepisy umożliwią wydawanie przez Pełnomocnika rekomendacji określających środki techniczne i organizacyjne stosowane w celu zwiększenia bezpieczeństwa systemów informacyjnych podmiotów krajowego systemu cyberbezpieczeństwa. Ten dokument będzie publikowany na stronie podmiotowej Pełnomocnika w BIP. W takiej formie będą mogły być wydawane Narodowe Standardy Cyberbezpieczeństwa, a także inne zbiory dobrych praktyk. Podkreślić należy, że rekomendacje będą formalnie niewiążące. Decyzja o uwzględnieniu tych środków będzie należała wyłącznie do podmiotów krajowego systemu cyberbezpieczeństwa. Dzięki rekomendacjom uzyskają one fachową wiedzę, dzięki czemu będą mogły wprowadzić adekwatne do oszacowanego ryzyka zabezpieczenia.

Nie. Samo wejście w życie przepisów nie oznacza, że muszą one zostać wykorzystane. Procedura uznania dostawcy za dostawcę wysokiego ryzyka, która została zawarta w ustawie o KSC, daje możliwość eliminacji niebezpiecznego sprzętu lub usług z kluczowych dla funkcjonowania państwa systemów informacyjnych. Ponadto, nawet w przypadku zastosowania tej procedury, decyzja nie będzie dotyczyła całego asortymentu danego podmiotu, a jedynie typów sprzętu lub oprogramowania wskazanych w samej decyzji.

Organy właściwe do spraw cyberbezpieczeństwa sprawują nadzór nad podmiotami kluczowymi i podmiotami ważnymi. Sektor wraz z organem właściwym: Energia - Minister Energii Transport - Minister Infrastruktury Bankowość i infrastruktura rynków finansowych - Komisja Nadzoru Finansowego Ochrona zdrowia - Minister Zdrowia; Minister Obrony Narodowej Zaopatrzenie w wodę pitną i jej dystrybucja - Minister Infrastruktury Zbiorowe odprowadzanie ścieków - Minister Infrastruktury Infrastruktura cyfrowa ✓ Infrastruktura cyfrowa z wyłączeniem komunikacji elektronicznej - Minister Cyfryzacji, Minister Obrony Narodowej ✓ Komunikacja elektroniczna - Prezes Urzędu Komunikacji Elektronicznej Zarządzanie usługami ICT - Minister Cyfryzacji Przestrzeń kosmiczna - Minister Finansów i Gospodarki Podmioty publiczne - Minister Cyfryzacji, Minister Finansów i Gospodarki, Minister Obrony Narodowej Usługi pocztowe - Prezes Urzędu Komunikacji Elektronicznej Inwestycje energetyki jądrowej - Minister Energii Gospodarowanie odpadami - Minister Klimatu i Środowiska Produkcja, wytwarzanie i dystrybucja chemikaliów - Minister Finansów i Gospodarki Produkcja, przetwarzanie i dystrybucja żywności - Minister Rolnictwa i Rozwoju Wsi Produkcja ✓ Produkcja wyrobów medycznych i wyrobów medycznych do diagnostyki in vitro - Minister Zdrowia ✓ Produkcja komputerów, wyrobów elektronicznych i optycznych - Minister Finansów i Gospodarki ✓ Produkcja urządzeń elektrycznych - Minister Finansów i Gospodarki ✓ Produkcja maszyn i urządzeń, gdzie indziej niesklasyfikowana - Minister Finansów i Gospodarki ✓ Produkcja pojazdów samochodowych, przyczep i naczep - Minister Finansów i Gospodarki ✓ Produkcja pozostałego sprzętu transportowego - Minister Finansów i Gospodarki Dostawcy usług cyfrowych - Minister Cyfryzacji Badania naukowe - Minister Nauki, Minister Obrony Narodowej Podmioty publiczne - Minister Cyfryzacji

Organy właściwe do spraw cyberbezpieczeństwa będą mogły wspólnie sprawować nadzór, w tym wspólnie prowadzić kontrole, nad podmiotami kluczowymi lub podmiotami ważnymi. Ponadto będą mogły przyjąć wspólną metodykę nadzoru nad podmiotami, które podlegają pod kilka organów. Jednym z elementów tej metodyki powinno być przyjęcie mechanizmu, który przeciwdziałałby wydawaniu wzajemnie sprzecznych zaleceń pokontrolnych wobec tego samego podmiotu.

Co do zasady organem właściwym do spraw cyberbezpieczeństwa dla podmiotów publicznych jest Minister Cyfryzacji. Wyjątki: Dla podmiotów podległych Ministrowi Obrony Narodowej lub przez niego nadzorowanych oraz dla urzędu obsługującego tego Ministra - Minister Obrony Narodowej. Organem właściwym do spraw cyberbezpieczeństwa w sektorze podmiotów publicznych dla jednostek organizacyjnych podległych ministrowi właściwemu do spraw finansów publicznych lub przez niego nadzorowanych, urzędu obsługującego tego ministra oraz spółki Aplikacje Krytyczne, jest minister właściwy do spraw finansów publicznych. Dla podmiotów publicznych, który jest wymieniony w innym sektorze niż sektor podmiotów publicznych organem właściwym do spraw cyberbezpieczeństwa jest organ właściwy dla danego sektora przykładem jest Rządowa Agencja Rezerw Strategicznych dla której organem właściwym będzie Minister Energii. Wyjątek ten nie dotyczy samorządowych podmiotów publicznych.

Spośród czynności nadzorczych warto wskazać: • podejmowanie kontroli przez organ właściwy do spraw cyberbezpieczeństwa • nakazanie audytu ad hoc • przeprowadzenie oceny bezpieczeństwa systemu informacyjnego • żądanie udzielenia informacji, danych i dokumentów od podmiotu • wniosek o udzielenie dowodów realizacji wymogów SZBI Organ właściwy do spraw cyberbezpieczeństwa może wystąpić do podmiotu z ostrzeżeniem, w którym wskaże czynności które należy podjąć w celu dostosowania się do wymogów ustawy. Organ właściwy do spraw cyberbezpieczeństwa może nakazać środki egzekwujące obowiązki ustawowe wobec podmiotu kluczowego: • Nakaz: o podjęcia określonych czynności dotyczących obsługi incydentu o zaniechania naruszania przepisów ustawy o zapewnienia zgodności SZBI z wymogami ustawy o zgłoszenia incydentu poważnego o poinformowania użytkowników usług o cyberzagrożeniu oraz o możliwych środkach które należy podjąć w reakcji na to zagrożenie o wdrożenia zaleceń wydanych w wyniku audytu bezpieczeństwa systemu informacyjnego o Podanie do wiadomości publicznej informacji o naruszeniu przepisów ustawy lub o incydencie poważnym w podmiocie • Wyznaczyć urzędnika monitorującego działalność danego podmiotu, nie dłużej niż przez miesiąc. Środkiem ostatecznym jest wniosek o zawieszenie, ograniczenie lub cofnięcie zezwolenia czy koncesji na daną działalność.

Spośród czynności nadzorczych warto wskazać: • podejmowanie kontroli przez organ właściwy do spraw cyberbezpieczeństwa • nakazanie audytu ad hoc • przeprowadzenie oceny bezpieczeństwa systemu informacyjnego • żądanie udzielenia informacji, danych i dokumentów od podmiotu • wniosek o udzielenie dowodów realizacji wymogów SZBI. Organ właściwy do spraw cyberbezpieczeństwa może wystąpić do podmiotu z ostrzeżeniem, w którym wskaże czynności które należy podjąć w celu dostosowania się do wymogów ustawy. Organ właściwy do spraw cyberbezpieczeństwa może nakazać środki egzekwujące obowiązki ustawowe wobec podmiotu ważnego: • Nakaz: o podjęcia określonych czynności dotyczących obsługi incydentu o zaniechania naruszania przepisów ustawy o zapewnienia zgodności SZBI z wymogami ustawy o zgłoszenia incydentu poważnego o poinformowania użytkowników usług o cyberzagrożeniu oraz o możliwych środkach które należy podjąć w reakcji na to zagrożenie o wdrożenia zaleceń wydanych w wyniku audytu bezpieczeństwa systemu informacyjnego o Podanie do wiadomości publicznej informacji o naruszeniu przepisów ustawy lub o incydencie poważnym w podmiocie.

Organ właściwy do spraw cyberbezpieczeństwa może prosić podmiot kluczowy lub podmiot ważny o przedstawienie dowodów realizacji systemu zarządzania bezpieczeństwem informacji. Mogą być dokumenty np. procedury, polityki, upoważnienia, zakresy obowiązków ale również relacje personelu. Wymagane jest udowodnienie stosowania przepisów ustawy a nie przedstawienie formalnie poprawnych dokumentów.

Nie, kary pieniężne będą nakładane dopiero po 2 latach od wejścia w życie ustawy, tj. po 3.04.2028. Wyjątkiem jest kara ekstraordynaryjna.

Kary pieniężne są nakładane na podmioty ważne i kluczowe przez organ właściwy do sprawy cyberbezpieczeństwa w danym sektorze. Dla przykładu kary pieniężne dla sektora usług pocztowych będzie nakładał Prezes Urzędu Komunikacji Elektronicznej. W szczególnych przypadkach kary pieniężne będzie mógł również nakładać Minister właściwy do spraw informatyzacji. Karze takiej podlega: • podmiot świadczący usługi rejestracji nazw domen, który nie wykonuje obowiązków, o których mowa w art. 16b i art. 16c; • rejestr nazw domen najwyższego poziomu (TLD), który nie wykonuje obowiązków, o których mowa w art. 16b i art. 16c; • producent lub dostawca, który nie przekazał dokumentacji badanego produktu ICT lub usługi ICT na wezwanie CSIRT MON, CSIRT NASK lub CSIRT GOV; Natomiast w przypadku podmiotu finansowego w rozumieniu rozporządzenia 2022/2554 kary nakłada organ w rozumieniu tego rozporządzenia.

Kary są jednym ze środków nadzorczych, niezależnym od pozostałych. Środki nadzorcze mają charakter prewencyjny oraz następczy. Decyzja o wydaniu kary pieniężnej poprzedzona jest ostrzeżeniem i informowaniem o wstępnych ustaleniach. Kary pieniężne dzielą się na fakultatywne, obligatoryjne, okresowe oraz karę ekstraordynaryjną - karę do 100 mln zł.

W celu przymuszenia podmiotu do wykonania nałożonych na niego obowiązków, organ właściwy do spraw cyberbezpieczeństwa może nałożyć na ten podmiot, w drodze decyzji, okresową karę pieniężną. Nakładana jest za każdy dzień opóźnienia wykonania decyzji, w wysokości od 500 zł do 100 000 zł.

Jest to specjalna kara stosowana tylko przy poważnych naruszeniach. Kara ta może wynosić maksymalnie 100 mln zł, a przesłankami do jej nałożenia są: ✓ bezpośrednie i poważne cyberzagrożenie dla obronności, bezpieczeństwa państwa, bezpieczeństwa i porządku publicznego lub życia i zdrowia ludzi, ✓ oraz zagrożenie wywołania poważnej szkody majątkowej lub poważnych utrudnień w świadczeniu usług.

Tak, w przypadku uzasadnionego podejrzenia, że działania lub zaniechania podmiotu kluczowego lub podmiotu ważnego mogą naruszać przepisy ustawy, organ właściwy do spraw cyberbezpieczeństwa kieruje do tego podmiotu pismo w formie elektronicznej z ostrzeżeniem, w którym wskazuje czynności, jakie należy podjąć w celu zapobieżenia lub zaprzestania naruszania przepisów ustawy wraz z terminem na ich wykonanie.

Tak, organ właściwy do spraw cyberbezpieczeństwa przed zastosowaniem środków oraz przed nałożeniem kary pieniężnej, informuje podmiot o wstępnych ustaleniach, które mogą prowadzić do wydania decyzji. Informacja zawiera szczegółowe uzasadnienie potwierdzające zasadność zamiaru zastosowania środków lub nałożenia kary pieniężnej. Organ właściwy do spraw cyberbezpieczeństwa może odstąpić od poinformowania o wstępnych ustaleniach w przypadku, gdy utrudniłoby to natychmiastowe działanie w celu zapobieżenia incydentom, reakcji na nie lub mogłoby mieć niekorzystny wpływ na bezpieczeństwo państwa lub porządek publiczny. Jednocześnie podmiot może w terminie 7 dni, przedstawić swoje stanowisko, do którego organ właściwy do spraw cyberbezpieczeństwa musi się ustosunkować, uwzględniając stanowisko lub odrzucając wraz ze stosownym uzasadnieniem.

Karze pieniężnej podlega podmiot kluczowy lub podmiot ważny, który: • Nie wpisał się do wykazu w terminie, • nie uzupełnił brakujących danych w wykazie, • nie dokonał korekty danych pomimo wezwania, • wprowadził niezgodne ze stanem faktycznym dane do wykazu, • nie przeprowadza systematycznego szacowania ryzyka wystąpienia incydentu i nie zarządza tym ryzykiem, • nie wdrożył SZBI, • nie wyznaczył osoby odpowiedzialnej za utrzymywanie kontaktów z podmiotami KSC, • nie przeprowadził audytu w terminie, • uniemożliwia wykonywanie kontroli, • uniemożliwia lub utrudnia pracę urzędnikowi monitorującemu, • nie przekazuje na żądanie organu właściwego ds. cyberbezpieczeństwa informacji i dokumentów niezbędnych do wykonywania obowiązków z zakresu nadzoru i kontroli, • nie wykonał w wyznaczonym terminie zaleceń pokontrolnych, • w przypadku decyzji (wydanej dostawcy wysokiego ryzyka) nie wycofał na sprzętu lub oprogramowania, • nie przekazał informacji pomimo wniosku o wycofanych typach produktów ICT, rodzajach usług ICT i konkretnych procesach ICT, • nie wdrożył w terminie określonym w poleceniu zabezpieczającym określonego zachowania, • nie współpracuje podczas obsługi incydentu poważnego lub krytycznego z właściwym CSIRT, • nie usunął podatności po wezwaniu przez właściwy CSIRT, • nie powołał wewnętrznej struktury odpowiedzialnej za cyberbezpieczeństwo lub nie zawarł umowy z podmiotem świadczącym usługi z zakresu cyberbezpieczeństwa, • nie korzysta z systemu teleinformatycznego na podstawie porozumienia zawartego z ministrem.

Karze pieniężnej może podlegać kierownik podmiotu kluczowego lub podmiotu ważnego, który: • nie wykonuje co najmniej jednego z obowiązków dotyczących wykazu, • nie wykonuje co najmniej jednego z obowiązków dotyczących SZBI, • nie przeszedł raz do roku obowiązkowego szkolenia z zakresu cyberbezpieczeństwa, • nie dopilnował, aby osoba realizująca zadania z zakresu cyberbezpieczeństwa przed rozpoczęciem ich wykonywania przedstawiła zaświadczenie o niekaralności za przestępstwa przeciwko ochronie informacji, • nie wyznaczył co najmniej dwóch osób do kontaktu z podmiotami KSC, • nie zapewnił użytkownikowi możliwości zgłoszenia cyberzagrożenia, • Nie wykonuje co najmniej jednego z obowiązków dotyczących postępowania z dokumentacją, • nie wykonuje co najmniej jednego z obowiązków dotyczących obsługi incydentów, • przekazał sprawozdanie końcowe, niezawierające określonych elementów, • nie wykonuje obowiązku dotyczącego sprawozdań, • nie wykonuje obowiązku dotyczącego wewnętrznych struktur, • nie wykonuje co najmniej jednego z obowiązków dotyczących audytu.

Głównymi kryteriami analizy przed nałożeniem kary pieniężnej jest waga naruszenia i znaczenie naruszonych przepisów ustawy, czas trwania naruszenia, wcześniejsze poważne naruszenia ze strony danego podmiotu oraz wysokość przychodu uzyskanego z działalności gospodarczej w roku obrotowym poprzedzającym wymierzenie kary pieniężnej, gdzie dla podmiotu prywatnego głównym kryterium jest wysokość przychodu, dla podmiotów publicznych możliwości finansowe oparte o m.in. środki budżetowe, a dla kierownika podmiotu jego możliwości finansowe.

Tak, jeżeli waga naruszenia i znaczenie naruszonych przepisów są znikome, a podmiot albo kierownik podmiotu zaprzestał naruszania prawa lub naprawił wyrządzoną szkodę organ może odstąpić od nałożenia kary.

Co do zasady tak, ale tylko na zasadach określonych w Kodeksie Postępowania Administracyjnego, w szczególności gdy postępowanie stało się bezprzedmiotowe.

Elementami poważnego naruszenia jest m.in.: • powtarzające się naruszenie, • niezgłoszenie lub nieobsłużenie incydentów poważnych, • nieusunięcie uchybień zgodnie z wiążącymi nakazami organów właściwych do spraw cyberbezpieczeństwa, • utrudnianie prowadzenia audytów lub działań monitorujących nakazanych przez organ właściwy do spraw cyberbezpieczeństwa po stwierdzeniu naruszenia, • dostarczanie nieprawdziwych lub rażąco niedokładnych informacji w odniesieniu do środków zarządzania ryzykiem w cyberbezpieczeństwie lub obowiązków zgłaszania incydentów poważnych.

Tak. Działając na podstawie upoważnienia zawartego w art. 21 ust. 5 dyrektywy NIS 2 Komisja Europejska wydała rozporządzenie wykonawcze Komisji (UE) 2024/2690 https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32024R2690 . Rozporządzenie to zostało oparte na następujących dokumentach normalizacyjnych: • ISO/IEC 27001 • ISO/IEC 27002 • ETSI EN 319401 - General Policy Requirements for Trust Service Providers • CEN/TS 18026:2024 - Three-level approach for a set of cybersecurity requirements for cloud services Środki techniczne i organizacyjne określono w załączniku do rozporządzenia. W niektórych przypadkach, gdy załącznik posługuje się wyrażeniami np.: "w stosownych przypadkach" można odstąpić od stosowania wskazanych w załączniku środków, jeżeli nie jest to właściwe - wymaga to jednak udokumentowania. Przykład: zakres zdarzeń, które podmioty kluczowe i podmioty ważne monitorują w swoich systemach. Ponadto podmioty kluczowe z podsektora energii elektrycznej stosują, w ramach systemu zarządzania bezpieczeństwem informacji i ciągłości działania środki określone w rozporządzeniu delegowanym Komisji (UE) 2024/1366 z dnia 11 marca 2024 r. uzupełniające rozporządzenie Parlamentu Europejskiego i Rady (UE) 2019/943 poprzez ustanowienie kodeksu sieci dotyczącego zasad sektorowych w zakresie aspektów cyberbezpieczeństwa w transgranicznych przepływach energii elektrycznej.

W zakresie sektora bankowości i infrastruktury rynków finansowych ustawa wskazuje, że pierwszeństwo przed nią mają przepisy rozporządzenia DORA. Ma to wyeliminować wątpliwości wynikające z funkcjonowania w tym obszarze, tych dwóch aktów prawnych. Dyrektywa NIS 2 w artykule 4 wskazuje na pierwszeństwo sektorowych aktów unijnych z zakresu cyberbezpieczeństwa w zakresie środków zarządzania ryzykiem oraz zgłaszania incydentów. Komunikat Komisji - Wytyczne Komisji dotyczące stosowania art. 4 ust. 1 i 2 dyrektywy (UE) 2022/2555 (NIS 2) 2023/C 328/02 wskazuje, że rozporządzenie DORA jest takim aktem w zakresie podmiotów kluczowych i podmiotów ważnych z sektora bankowości i infrastruktury rynków finansowych. Zgodnie z art. 8i ustawy o KSC, pierwszeństwo nad ustawą o KSC mają regulacje DORA, z tym że do podmiotów kluczowych i podmiotów ważnych z sektora bankowości i infrastruktury rynków finansowych stosuje się przepisy art. 3a (czynności dopuszczalne w ramach obsługi incydentów), art. 5 ust. 1-3 (kryteria podmiotu kluczowego i podmiotu ważnego), art. 7-7m (przepisy o wykazie podmiotów kluczowych i podmiotów ważnych), art. 8 ust. 1 pkt 1 (obowiązek prowadzenia systematycznego szacowania ryzyka wystąpienia incydentu) i pkt 2 lit. j (obowiązek stosowania podstawowych zasad cyberhigieny), art. 8h (dopuszczalność wymiany informacji), art. 9 (obowiązki w zakresie wyznaczenia osób kontaktowych), art. 11 ust. 1 pkt 5 i 6 (współdziałanie z CSIRT podczas zgłoszenia incydentów), art. 13 (dobrowolne przekazywanie informacji do CSIRT), art. 16 (stosowanie obowiązków po raz pierwszy), art. 26a ust. 2-4 (zgłoszenia podatności w ramach skoordynowanego ujawniania podatności), art. 32 (uprawnienie CSIRT do wykonywania niezbędnych działań technicznych), art. 33 ust. 5, 7 oraz 8 (rekomendacje Pełnomocnika), art. 36a, art. 36b (ocena bezpieczeństwa), art. 37 (wyłączenie ustawy z dnia 6 września 2021 r. o dostępie do informacji publicznej przy informacjach o podatnościach, incydentach i cyberzagrożeniach), art. 43 (uprawnienie organu do żądania informacji), art. 45 ust. 3, art. 46 ust. 1 pkt 1, 2, 4-7 i oraz ust. 4-6 (obowiązek korzystania z systemu teleinformatycznego S46), art. 67a (rekomendacje Pełnomocnika), art. 67c, art. 67d oraz, art. 67g, art. 67h oraz art. 67i (postępowanie w sprawie uznania za dostawcę wysokiego ryzyka oraz polecenie zabezpieczające) ustawy o KSC.

Nie. REACH i ustawa o KSC regulują różne obszary. O objęciu ustawą o KSC decyduje identyfikacja podmiotu jako podmiotu ważnego lub kluczowego w rozumieniu wyłącznie NIS2 oraz ustawy o Krajowym Systemie Cyberbezpieczeństwa, w tym wypadku kluczowy będzie załącznik nr 2 do ustawy wskazujący na sektory ważne.

Nie zawsze. Dyrektywa NIS 2 w tym sektorze jedynie w zakresie definicyjnym odwołuje się do REACH i nie wskazuje, że podmiot należący do tego sektora zawsze objęty jest wskazanymi w REACH obowiązkami. To REACH definiuje jakiego rodzaju podmioty objęte są obowiązkami wynikającymi z tego aktu.

Nie. Dyrektywa NIS2 w sektorze „Produkcja, wytwarzanie i dystrybucja chemikaliów” w zakresie definicyjnym odwołuje się do rozporządzenia REACH, z uwagi na to Rozporządzenie REACH należy brać pod uwagę przy identyfikacji w zakresie definiującym wyrób, producenta i dystrybutora.

Co do zasady nie. W załączniku nr 2 (podmioty ważne) ustawy o KSC, ta kategoria odsyła wprost do definicji z rozporządzenia REACH, tj. producenta substancji praz dystrybutora. „Dalszy użytkownik” jest odrębną kategorią w rozporządzeniu REACH i nie jest wskazany w tym odesłaniu.

Usługę należy rozumieć szeroko, jako działalność gospodarczą służącą do zaspokajana potrzeb ludzi. W tym znaczeniu usługą będzie również produkcja. Usługą jest także zadanie publiczne realizowane przez podmiot publiczny.

Zachęcamy przy tym do regularnego korzystania ze strony https://cyber.gov.pl/ oraz serwisu CERT Polska https://moje.cert.pl/ aby na bieżąco podnosić wiedzę z zakresu cyberbezpieczeństwa. Ministerstwo Cyfryzacji zachęca do stosowania z mechanizmów uwierzytelniania wieloskładnikowego, tam gdzie jest to możliwe. Poza tym polecamy materiał przygotowany przez zespół CERT Polska https://cert.pl/posts/2022/01/rekomendacje-techniczne-systemow-uwierzytelniania/ oraz https://cert.pl/posts/2022/01/kompleksowo-o-haslach/. Ministerstwo Cyfryzacji prowadzi bezpłatne szkolenia dla podmiotów krajowego systemu cyberbezpieczeństwa - harmonogram jest dostępny pod adresem: https://www.gov.pl/web/baza-wiedzy/harmonogramszkolen.