Ministerstwo Cyfryzacji opublikowało na swojej stronie prezentację z informacjami na temat projektu ustawy o Krajowym Systemie Cyberbezpieczeństwa. Nowelizacja ustawy koncentruje się na wytycznych dyrektywy NIS2, Krajowym Planie Odbudowy i Zwiększaniu Odporności a także Toolbox 5G (jest to zestaw środków dotyczący minimalnej harmonizacji i standaryzacji na poziomie Unii Europejskiej rozwiązań cyberbezpieczeństwa sieci 5G). Ustawa ma na celu istotnie wzmocnić ochronę obywateli oraz instytucji przed rosnącymi zagrożeniami w cyberprzestrzeni. Nomios od lat dostarcza rozwiązania z zakresu cyberbezpieczeństwa dla przedsiębiorstw i organizacji. Możemy również pomóc przygotować się do wejścia w życie nowej ustawy o KSC.
Ustawa wprowadza zmiany w zakresie:
- podmiotów kluczowych i ważnych,
- zespołów CSIRT,
- systemu S46 i Pojedynczego Punktu Kontaktowego,
- wprowadzenia polecenia zabezpieczającego
- nadzoru i środków egzekwowania przepisów przez organy właściwe ds. cyberbezpieczeństwa,
- kompetencji Ministra Cyfryzacji,
- zmiany obowiązków Pełnomocnika ds. cyberbezpieczeństwa i Kolegium ds. cyberbezpieczeństwa,
- instytucji dostawcy wysokiego ryzyka.
Nie wiesz jak przygotować swoją firmę do wymogów ustawy o KSC? Wypełnij formularz kontaktowy a nasi specjaliści pomogą w wyborze rozwiązań cyberbezpieczeństwa odpowiadających na potrzeby Twojej organizacji, aby w pełni przygotować Cię do wejścia ustawy w życie.
Nomios jest niezależnym dostawcą nowoczesnych systemów cyberbezpieczeństwa, sieci krytycznych dla biznesu, rozwiązań chmurowych i usług zarządzanych. W 2023 uzyskaliśmy status partnera programu PWCyber!
W jaki sposób nabywa się status podmiotu kluczowego i ważnego?
W dyrektywie NIS2 została znacząco rozszerzona grupa podmiotów, które mają status kluczowy lub ważny. W porównaniu do poprzedniej wersji dyrektywy dołączyły do nich między innymi organizacje z branży: ścieki, zarządzanie usługami ICT, przestrzeń kosmiczna, usługi pocztowe, gospodarowanie odpadami, produkcja, wytwarzanie i dystrybucja chemikaliów, produkcja, przetwarzanie i dystrybucja żywności, produkcja, badania naukowe.
Podczas gdy wcześniej operatorzy kluczowi byli wyznaczani poprzez decyzję administracyjną, obecnie przez znacznie większą ilość takich podmiotów będzie się to odbywało na podstawie mechanizmu samoidentyfikacji - podmioty będą obowiązane zarejestrować się w nowym systemie – np. poprzez stronę internetową. Status podmiotu kluczowego lub ważnego nabywa organizacja w mocy prawa w momencie spełnienia warunków. Będzie też możliwy szczególny tryb uznania za podmiot kluczowy lub ważny na podstawie decyzji administracyjnej.
Dzięki takiemu podejściu łatwiejsze będzie prowadzenie wykazu podmiotów kluczowych i ważnych. Umożliwi to organom odpowiedzialnym za cyberbezpieczeństwo wykonywanie działań nadzorczych oraz przekazywanie informacji do Komisji Europejskiej oraz Agencji Unii Europejskiej ds. Cyberbezpieczeństwa.
Najważniejsze obowiązki
- Wprowadzenie systemu zarządzania bezpieczeństwem informacji w procesach służących świadczeniu usług - odpowiednie do wymogów wskazanych w art. 21 dyrektywy NIS2. Podejście oparte na ryzyku.
- Obowiązek przeprowadzania audytu cyberbezpieczeństwa co 2 lata.
- Odpowiedzialność za wykonanie tych zadań spoczywa na kierowniku podmiotu kluczowego lub ważnego. W przypadku niewywiązania się mogą zostać nałożone kary. Kierownik podmiotu zobowiązany jest również do odbycia stosownego szkolenia z zakresu cyberbezpieczeństwa.
- Obowiązek do korzystania z systemu S46 służącego wymianie informacji o incydentach, cyberzagrożeniach i podatnościach.
Zgłaszanie incydentów
Gdzie będą zgłaszane incydenty? Zgodnie z nowym projektem ustawy poważne incydenty będą zgłaszane do CISRT.
Jaki jest tryb zgłaszania incydentu?
- Wczesne ostrzeżenie o incydencie poważnym. Zostaje nałożony obowiązek zgłoszenia incydentu ważnego nie później niż 12 lub 24 godziny po jego wykryciu (w zależności od branży podmiotu). Wczesne ostrzeżenie może zawierać np. wniosek o wsparcie techniczne przy obsłudze incydentu.
- Zgłoszenie incydentu poważnego - nie później niż 72 godziny po jego wykryciu.
- Sporządzanie sprawozdań okresowych i końcowych w trakcie obsługi incydentu.
- CSIRT sektorowy przekazuje informację do organu właściwego nie później niż 8 godzin po jego otrzymaniu.
Dzięki tak usystematyzowanemu działaniu zapewnione jest szybkie reagowanie na incydenty poważne oraz raportowanie z ich przebiegu.
Dodatkowo ustawa przewiduje wprowadzenie polecenia zabezpieczającego, którym będzie można nakazać danej grupie podmiotów określone zachowanie przeciwdziałające incydentowi krytycznemu – np. „zainstaluj poprawkę bezpieczeństwa” lub „wycofaj oprogramowanie”.
Dodatkowe informacje
Projekt ustawy został opublikowany a konsultacje publiczne będą trwały do 24 maja 2024.
Poniżej zamieściliśmy prezentację przygotowaną i opublikowaną przez Ministerstwo Cyfryzacji. Znajdują się tam dodatkowe informacje na temat projektu nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa.
Materiał dostępny jest również na stronie internetowej Ministerstwa Cyfryzacji.
