Jakie wymagania stawia firmie NIS2 i ustawa o KSC?

• a) polityka analizy ryzyka i bezpieczeństwa systemów informatycznych,
• b) obsługa incydentu,
• c) ciągłość działania, na przykład kopie zapasowe i przywracanie działania po sytuacji nadzwyczajnej, oraz zarządzanie kryzysowe,
• d) bezpieczeństwo łańcucha dostaw, w tym relacje z bezpośrednimi dostawcami i usługodawcami,
• e) bezpieczeństwo nabywania, rozwoju i utrzymania sieci i systemów, w tym postępowanie z podatnościami,
• f) polityki i procedury oceny skuteczności środków,
• g) podstawowe praktyki cyberhigieny i szkolenia z cyberbezpieczeństwa,
• h) polityki i procedury stosowania kryptografii, a w stosownych przypadkach szyfrowania,
• i) bezpieczeństwo zasobów ludzkich, polityka kontroli dostępu i zarządzanie aktywami,
• j) w stosownych przypadkach uwierzytelnianie wieloskładnikowe lub ciągłe i zabezpieczona łączność.

1. 1

   Rejestracja

   Wniosek o wpis do wykazu w ciągu 6 miesięcy od spełnienia przesłanek (art. 7c ust. 1), zmiany danych w 14 dni (art. 7c ust. 3).

2. 2

   SZBI

   Szacowanie ryzyka, polityki, bezpieczeństwo fizyczne, łańcuch dostaw ICT, plany ciągłości działania, monitorowanie w trybie ciągłym, edukacja personelu, kryptografia, zarządzanie aktywami i kontrola dostępu (art. 8 ust. 1 pkt 2).

3. 3

   Obsługa incydentów

   Wczesne ostrzeżenie o incydencie poważnym w ciągu 24 godzin od wykrycia, zgłoszenie w ciągu 72 godzin od wykrycia, sprawozdanie końcowe w ciągu miesiąca od zgłoszenia, do właściwego CSIRT sektorowego (art. 11 ust. 1 pkt 4, 4a i 4c).

4. 4

   Rola kierownika

   Kierownik decyduje o SZBI, planuje środki finansowe, przydziela zadania i zapewnia, że personel zna swoje obowiązki (art. 8d). Raz w roku kalendarzowym przechodzi udokumentowane szkolenie (art. 8e).

5. 5

   Weryfikacja ludzi

   Osoba, która ma realizować zadania z art. 8 lub 11, przedstawia informację z Krajowego Rejestru Karnego o niekaralności za przestępstwa przeciwko ochronie informacji (art. 8f).

6. 6

   Audyt

   Podmiot kluczowy przeprowadza audyt co najmniej raz na 3 lata, pierwszy w ciągu 24 miesięcy, i przekazuje kopię raportu organowi właściwemu (art. 15).

Na wdrożenie obowiązków z rozdziału 3 ustawy, w tym SZBI i zgłaszania incydentów, podmiot ma 12 miesięcy od spełnienia przesłanek (art. 16). Dla firm spełniających je 3 kwietnia 2026 r. termin mija 3 kwietnia 2027 r., a dawni operatorzy usług kluczowych zgłaszają incydenty według nowych zasad po 6 miesiącach od wejścia ustawy w życie (art. 33 ustawy zmieniającej).

Dlatego procedura obsługi incydentu powinna od razu pytać, czy naruszenie dotyczy danych osobowych, i prowadzić oba terminy równolegle. Terminy liczy się od różnych zdarzeń: w ustawie o KSC od wykrycia incydentu, w RODO od stwierdzenia naruszenia.

1. 1

   Inwentarz

   Systemy, dane, dostawcy ICT i właściciele. To także podstawa zarządzania aktywami.

2. 2

   Szacowanie ryzyka

   Dla każdego systemu wpływającego na usługę: zagrożenia, prawdopodobieństwo, skutki, obecne zabezpieczenia.

3. 3

   Plan środków

   Luki względem listy z art. 8 ust. 1 pkt 2, z właścicielem i terminem.

4. 4

   Procedura incydentu

   Kto wykrywa, kto ocenia, kto zgłasza do CSIRT sektorowego w 24 i 72 godziny, kto sprawdza, czy naruszenie dotyczy danych osobowych.

5. 5

   Łańcuch dostaw

   Wymagania bezpieczeństwa w umowach z dostawcami sprzętu, oprogramowania i usług ICT.

6. 6

   Szkolenia i przegląd

   Szkolenie kierownika raz w roku, edukacja personelu, ocena skuteczności środków.

• Kara dla podmiotu kluczowego nie może być niższa niż 20 000 zł, a dla ważnego niż 15 000 zł.
• Gdy naruszenie powoduje bezpośrednie i poważne cyberzagrożenie dla bezpieczeństwa państwa, życia i zdrowia ludzi albo zagrożenie poważną szkodą majątkową, kara może sięgnąć 100 mln zł (art. 73 ust. 5).
• Kierownikowi grozi kara do 300% wynagrodzenia, a w podmiocie publicznym do 100% (art. 73a ust. 4 i 5).
• Pierwsze kary mogą być nałożone po 3 kwietnia 2028 r. (art. 35 ustawy zmieniającej).

• Ryzyka: ocena przed i po zabezpieczeniach, próg od 1 do 25, powyżej którego firma działa, właściciel i termin ponownej oceny.
• Audyty i kontrole: audyt z normą, audytorem, oceną i liczbą niezgodności; z kontroli urzędu jednym przyciskiem powstaje projekt z zadaniami.
• Systemy i narzędzia: inwentarz systemów z właścicielami i dostawcami, czyli podstawa zarządzania aktywami.
• Procedury i Checklisty: obsługa incydentu z krokami i terminami pod ręką.
• Szkolenia i Polityki firmowe: materiały i potwierdzenia zapoznania z datą i wersją.

EXCORE nie zgłasza incydentów do CSIRT i nie zastępuje audytu. Tekst ma charakter informacyjny i nie zastępuje porady, więc zakres obowiązków firmy warto skonsultować z prawnikiem i audytorem bezpieczeństwa.