Nie jesteś operatorem usługi kluczowej? Czy spełniasz te wymogi?

Jeżeli Twoja jednostka nie otrzymała decyzji o uznaniu za operatora usługi kluczowej,
sprawdź obowiązki podmiotów publicznych w obszarze cyberbezpieczeństwa.

Do krajowego systemu cyberbezpieczeństwa włączono wszystkie podmioty wymienione w art. 4 pkt 7–15, zaś obowiązki wynikające z rozdziału III komentowanej ustawy (tj. obowiązki dot. operatorów usług kluczowych) przewidziane są jedynie dla tych podmiotów publicznych, które realizują zadanie publiczne zależne od systemu informacyjnego.

Uwzględniając obowiązujące przepisy oraz naszą dotychczasową praktykę, za podmioty publiczne należy uznać m. in.:

a) jednostki sektora finansów publicznych, o których mowa
w art. 9 pkt 1 – 4 w ustawy o finansach publicznych:

b) spółki prawa handlowego wykonujące zadania o charakterze użyteczności publicznej w rozumieniu art. 1 ust. 2 ustawy z dnia 20 grudnia 1996 r. o gospodarce komunalnej (Dz. U. z 2017 r. poz. 827 oraz z 2018 r. poz. 1496).

1. (art. 21 ust. 1 KSC) Obowiązek wyznaczenia osoby odpowiedzialnej za utrzymywanie kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa.

Organ administracji publicznej może wyznaczyć jedną osobę odpowiedzialną za utrzymywanie kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa w zakresie zadań publicznych zależnych od systemów informacyjnych, realizowanych przez jednostki jemu podległe lub przez niego nadzorowane (art. 21 ust. 2 KSC).

Jednostka samorządu terytorialnego może wyznaczyć jedną osobę odpowiedzialną za utrzymywanie kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa w zakresie zadań publicznych zależnych od systemów informacyjnych, realizowanych przez jej jednostki organizacyjne. (art. 21 ust. 3 KSC).

Uwaga: Podmiot publiczny ma wskazać osobę do określonego zadania. Prawodawca nie określił formy, w jakiej należy wyznaczyć tę osobę. Podmiot publiczny musi zatem wykazać, iż dokonał czynności wyznaczenia osoby do tego zadania, a osoba ta przyjęła tę funkcję. Formą wyznaczenia może być zarówno umowa o pracę, aneks do umowy powierzający pełnienie tej funkcji lub też zawarcie odrębnej umowy, gdy usługi takie mają być realizowane na innej podstawie świadczenia pracy. Jest to obowiązek analogiczny do obowiązku operatora usług kluczowych dot. wyznaczenia osoby do kontaktu z podmiotami krajowego systemu cyberbezpieczeństwa. Różnica jest jednak taka, że w przeciwieństwie do operatorów usług kluczowych, podmioty publiczne niebędące takimi operatorami nie zostały objęte karami finansowymi za brak wyznaczenia osoby odpowiedzialnej za kontakty z podmiotami krajowego systemu cyberbezpieczeństwa.

Uwaga: Prawodawca nie zdecydował się określić wymagań kompetencyjnych osób wyznaczonych do kontaktu z podmiotami krajowego systemu cyberbezpieczeństwa. Warto jednak zauważyć, że w skład krajowego systemu cyberbezpieczeństwa wchodzą bardzo wyspecjalizowane podmioty, w tym m.in. CSIRT NASK, sektorowe zespoły cyberbezpieczeństwa, organy właściwe do spraw cyberbezpieczeństwa, Pojedynczy Punkt Kontaktowy, a nawet Pełnomocnik Rządu do Spraw Cyberbezpieczeństwa. Podmioty te używają języka specjalistycznego, a zatem osoba z podmiotu publicznego wyznaczona do kontaktu z innymi podmiotami krajowego systemem cyberbezpieczeństwa również powinna posługiwać się językiem specjalistycznym właściwym dla innych podmiotów z tego samego gremium. Co więcej, zgodnie z art. 26 ust. 3 pkt 3 do zadań CSIRT MON, CSIRT NASK i CSIRT GOV należy przekazywanie niezbędnych informacji dotyczących incydentów i ryzyk podmiotom krajowego systemu cyberbezpieczeństwa. Osoba wyznaczona w podmiocie publicznym musi potrafić zinterpretować przekazaną jej informację i w odpowiedni sposób ją wdrożyć.

Uwaga: Zgodnie z art. 22 ust. 1 pkt 5 podmioty publiczne zobowiązane do wyznaczenia osoby do kontaktu z podmiotami krajowego systemu cyberbezpieczeństwa muszą przekazać właściwemu CSIRT w terminie 14 dni od dnia wyznaczenia tej osoby jej imię, nazwisko, numer telefonu oraz adres poczty elektronicznej. W przypadku zmiany tych danych – m.in. wyznaczenia innej osoby, podmiot publiczny również ma 14 dni na poinformowanie o tym właściwego CSIRT.

Uwaga: Przepisy prawa nie regulują sposobu przekazania informacji o wyznaczeniu osoby odpowiedzialnej za kontakt z podmiotami krajowego systemu cyberbezpieczeństwa. Można przyjąć analogicznie do innych przepisów ustawy, że zgłoszenie to odbywa się w postaci elektronicznej, a w przypadku braku możliwości przekazania go w postaci elektronicznej – przy użyciu innych dostępnych środków komunikacji. Forma takiej komunikacji wydaje się oczywista, jednakże art. 22 ust. 2 dotyczy jedynie zgłoszeń, o których mowa w art. 22 ust. 1 pkt 2, a nie pkt 5. Wydaje się jednak, że jest to raczej niedopatrzenie prawodawcy niż chęć wprowadzenia innej ścieżki przekazywania informacji do właściwego CSIRT.

2. (art. 22 ust. 1 pkt 1 KSC) zapewnia zarządzanie incydentem w podmiocie publicznym;

Uwaga: Zgodnie z art. 2 pkt 9 przez incydent w podmiocie publicznym należy rozumieć incydent, który powoduje lub może spowodować obniżenie jakości lub przerwanie realizacji zadania publicznego realizowanego przez podmiot publiczny.

Aby zatem wystąpił incydent w podmiocie publicznym, musi wystąpić kilka elementów:

a) musi zaistnieć zdarzenie, które ma lub może mieć niekorzystny wpływ na cyberbezpieczeństwo;
b) musi ono powodować lub być może spowodować obniżenie jakości bądź przerwanie realizacji zadania publicznego;
c) musi wystąpić w podmiocie publicznym.

Prawodawca posłużył się sformułowaniem „zapewnia”, które zobowiązuje podmioty publiczne do dostarczenia adekwatnych zasobów osobowych i finansowych do kompleksowej obsługi incydentu w podmiocie publicznym. Zarządzanie incydentem to inaczej obsługa incydentu (art. 2 pkt 18 KSC) rozumiana jako, wyszukiwanie powiązań między incydentami, usuwanie przyczyn ich wystąpienia oraz opracowywanie wniosków wynikających z obsługi incydentu. Przez zarządzanie incydentem rozumie się zatem ogół czynności związanych z incydentem. Podmiot publiczny musi również potrafić usunąć przyczyny ich wystąpienia, tzn. przywrócić pełną zdolność systemu informacyjnego do realizacji zadania publicznego, a także opracować wnioski wynikające z obsługi incydentu, tzn. stworzyć lub umieć zaimplementować procedury i narzędzia chroniące podmiot publiczny w przyszłości przed zaistnieniem analogicznego incydentu.

Uwaga: Obowiązkiem nałożonym na podmioty publiczne, choć niewyartykułowanym wprost w art. 22, jest obowiązek prowadzenia dokumentacji (rejestracji) wszystkich incydentów w podmiocie publicznym. Obowiązek ten wynika z definicji zarządzania incydentem oraz jego obsługi. Podmiot publiczny powinien prowadzić rejestr incydentów, w którym umieszczone będą informacje o każdym incydencie. W rejestrze tym powinny się znaleźć wszystkie niezbędne informacje umożliwiające kontrolę wywiązania się podmiotu publicznego z obowiązków ustawowych.

3. (art. 22 ust. 1 pkt 2 KSC) zgłasza incydent w podmiocie publicznym;

Uwaga: Zgłoszenie powinno nastąpić niezwłocznie, nie później niż w ciągu 24 godzin od momentu wykrycia, do właściwego CSIRT GOV, MON, NASK. Termin maksymalnie 24 godzin biegnie zatem nie od zaistnienia incydentu, lecz od jego wykrycia, tj. od faktycznego otrzymania informacji o wystąpieniu incydentu. Termin na zgłoszenie jest niezwykle krótki – niezwłocznie nie dłużej niż 24 godziny. Zasadą jest zatem dokonywanie zgłoszeń niezwłocznie. Nie należy przedłużać procedury zgłaszania incydentu (szczególnie incydentów o poważnych konsekwencjach) aż do 24 godzin, gdyż może to być odczytane jako przekroczenie terminu. Tak krótki okres na zgłoszenie wymaga od podmiotów publicznych wcześniejszego opracowania procedur wewnętrznych, podziału kompetencji oraz wzorów dokumentów niezbędnych do zgłoszenia. Zgłoszenie powinno nastąpić zgodnie z wytycznymi uregulowanymi w art. 23 KSC w postaci elektronicznej, a w przypadku braku możliwości przekazania go w postaci elektronicznej – przy użyciu innych dostępnych środków komunikacji.

Uwaga: Brzmienie art. 22 ust. 1 pkt 2 KSC nakazuje zgłaszanie wszystkich incydentów w podmiotach publicznych. Co ważne, przez incydent należy rozumieć również zdarzenie, które może spowodować obniżenie jakości realizacji zadania publicznego wykonywanego przez podmiot publiczny. Incydent taki nie musi zatem spowodować przerwania realizacji zadania publicznego, ale może jedynie hipotetycznie spowodować obniżenie jakości jego świadczenia.

4. (art. 22 ust. 1 pkt 3 KSC) zapewnia obsługę incydentu w podmiocie publicznym i incydentu krytycznego we współpracy z CSIRT NASK przekazując niezbędne dane, w tym dane osobowe;

Uwaga: Artykuł 22 ust. 1 pkt 3 obliguje podmiot publiczny do obsługi incydentu w podmiocie publicznym, a także incydentu krytycznego we współpracy z właściwym CSIRT. Wyżej wymieniony przepis stanowi również podstawę prawną do przekazania niezbędnych danych do współpracy, w tym również danych osobowych. Ponadto obliguje przede wszystkim do obsługi incydentu krytycznego. Incydent krytyczny zdefiniowany został w art. 2 pkt 6 jako incydent skutkujący znaczną szkodą dla bezpieczeństwa lub porządku publicznego, interesów międzynarodowych, interesów gospodarczych, działania instytucji publicznych, praw i wolności obywatelskich lub zdrowia ludzi, klasyfikowany przez właściwy CSIRT MON, CSIRT NASK lub CSIRT GOV. Nie ulega wątpliwości, że niektóre incydenty w podmiotach publicznych będą miały również znamiona incydentów krytycznych.

5. (art. 22 ust. 1 pkt 4 KSC) zapewnia osobom, na rzecz których zadanie publiczne jest realizowane, dostęp do wiedzy pozwalającej na zrozumienie zagrożeń cyberbezpieczeństwa i stosowanie skutecznych sposobów zabezpieczania się przed tymi zagrożeniami, w szczególności przez publikowanie informacji w tym zakresie na swojej stronie internetowej;

WAŻNE

W art. 25 KSC wskazano możliwość wydawania decyzji o uznaniu za operatora usługi kluczowej także względem podmiotów wymienionych w art. 4 pkt 7–15 ustawy o KSC, (tj. m.in. jednostek samorządu terytorialnego oraz ich związki, związków metropolitalnych, jednostek budżetowych, samorządowych zakładów budżetowych, spółek prawa handlowego wykonujących zadania o charakterze użyteczności publicznej w rozumieniu art. 1 ust. 2 ustawy z dnia 20 grudnia 1996 r. o gospodarce komunalnej (Dz. U. z 2017 r. poz. 827 oraz z 2018 r. poz. 1496).).

Uznać należy, że nie wszystkie z podmiotów publicznych będą spełniały kryteria identyfikacji operatorów usług kluczowych. W takim przypadku podlegać będą jedynie obowiązkom w zakresie cyberbezpieczeństwa, o których mowa w art. 21–24 ustawy o KSC.

CBI24 sp. z o.o. udziela kompleksowego wsparcia placówkom leczniczym w zakresie cyberbezpieczeństwa, pomagając spełnić obowiązkowe wymogi wynikające z obowiązującego stanu prawnego.

Nasz zespół składa się z ponad 100 specjalistów z dziedzin: cyberbezpieczeństwa, prawa, ochrony danych osobowych i systemów teleinformatycznych podmiotów publicznych.

Zadzwoń 82/570 33 03 lub napisz do nas.

Nieodpłatnie postaramy się udzielić wyczerpujących odpowiedzi.