Firmy i instytucje objęte znowelizowaną ustawą o Krajowym Systemie Cyberbezpieczeństwa mają czas do 3 października na pierwsze formalne obowiązki: wpis do wykazu podmiotów kluczowych lub ważnych oraz gotowość rejestrową w systemie S46.
Eksperci Stormshield i DAGMA Bezpieczeństwo IT ostrzegają, że największy problem sprawia dziś samoidentyfikacja, czyli ustalenie, czy dana organizacja podlega nowym wymogom. Błąd może oznaczać nie tylko chaos organizacyjny, ale też ryzyko kar.
KSC to krajowe przepisy dotyczące cyberbezpieczeństwa. Po nowelizacji obejmują znacznie więcej organizacji niż wcześniej: od energetyki, transportu i ochrony zdrowia po odpady, żywność, usługi cyfrowe, administrację czy część dostawców technologii.
Dla wielu podmiotów pierwszym zaskoczeniem może być samo pismo z administracji. Niektóre urzędy i instytucje są wpisywane do wykazu z urzędu, bo państwo ma już ich dane w rejestrach publicznych. Wtedy organizacja dostaje zawiadomienie o wpisie i wezwanie do uzupełnienia brakujących informacji.
– W praktyce podmioty otrzymują indywidualne wezwanie do uzupełnienia brakujących informacji. Otrzymanie zawiadomienia oznacza, że administracja zakwalifikowała dany podmiot jako podmiot kluczowy lub ważny i wpisała go do wykazu. Wiele organizacji dopiero w tym momencie odkrywa, że podlega nowym regulacjom – mówi Aleksander Kostuch, inżynier Stormshield i doradca cyberbezpieczeństwa.
Wpis do wykazu KSC. Kto musi działać sam?
Organizacje wpisane automatycznie muszą uzupełnić dane w terminie sześciu miesięcy od doręczenia wezwania. Procedura odbywa się przez stronę wykaz-ksc.gov.pl. Trzeba zalogować się jako osoba uprawniona do reprezentowania podmiotu, wprowadzić kod wezwania, uzupełnić brakujące pola, zweryfikować dane i wskazać administratora konta w systemie S46.
Inaczej wygląda sytuacja firm i innych podmiotów komercyjnych, które nie dostały pisma. One muszą samodzielnie ocenić, czy ustawa ich obejmuje. I właśnie tu pojawia się najwięcej ryzyka.
– Wiele organizacji błędnie zakłada, że brak otrzymanego pisma oznacza brak konieczności dokonania wpisu, a to niestety nie jest równoznaczne. Osobiście zalecam, aby dla własnego bezpieczeństwa sprawdzić, jak jest w przypadku naszej organizacji, bo przecież brak spełnienia obowiązków może prowadzić do nałożenia kar – dodaje Piotr Zielaskiewicz, menadżer w Dagma Bezpieczeństwo IT.
Samoidentyfikacja oznacza więc nie tylko sprawdzenie, czy firma działa w danym sektorze. Trzeba też przeanalizować właściwy kod PKD, wielkość podmiotu i szczególne przesłanki zapisane w ustawie.
Sektor i wielkość decydują o statusie
Nowe obowiązki rozróżniają podmioty kluczowe i ważne. Do pierwszej grupy należą m.in. organizacje działające w energetyce, transporcie, bankowości, infrastrukturze rynków finansowych, ochronie zdrowia, zaopatrzeniu w wodę pitną, ściekach, infrastrukturze cyfrowej, administracji publicznej, przestrzeni kosmicznej oraz zarządzaniu usługami ICT. W tej grupie mieszczą się też dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa, czyli MSSP.
Podmiotami ważnymi mogą być m.in. firmy i instytucje z sektorów usług pocztowych i kurierskich, gospodarowania odpadami, produkcji i dystrybucji chemikaliów, produkcji, przetwarzania i dystrybucji żywności, produkcji wyrobów przemysłowych, usług cyfrowych, badań naukowych oraz inwestorzy obiektów energetyki jądrowej.
Znaczenie ma też skala działalności. Co do zasady duże przedsiębiorstwa są podmiotami kluczowymi, a średnie – ważnymi. Punktem odniesienia jest unijne rozporządzenie 651/2014. Średnia firma zatrudnia mniej niż 250 pracowników, a jej roczny obrót nie przekracza 50 mln euro lub roczna suma bilansowa nie przekracza 43 mln euro. Duża firma zatrudnia co najmniej 250 osób.
Sama liczba pracowników nie wystarczy jednak do kwalifikacji. Eksperci przypominają, że przesłanki sektorowe i wielkościowe trzeba spełnić łącznie. Ustawa przewiduje też wyjątki: część podmiotów podlega przepisom niezależnie od wielkości.
Dotyczy to m.in. firm świadczących usługi w obszarze rejestrów TLD, usług DNS, kwalifikowanych dostawców usług zaufania i rejestratorów domen. Aleksander Kostuch zwraca uwagę, że wyjątki obejmują także sektory krytyczne, np. wodno-kanalizacyjny, energetykę, obiekty energetyki jądrowej oraz ciepłownictwo. Dlatego lokalne wodociągi lub ciepłownie mogą podlegać ustawie, nawet jeśli ich skala sugerowałaby coś innego.
Gminy, szkoły i zakłady komunalne z pytaniami
Wątpliwości widać szczególnie w samorządach. Eksperci DAGMA opisują przypadek jednostki samorządu terytorialnego, która wykonuje zadania publiczne przez kilka jednostek organizacyjnych. W jej strukturze działają m.in. wodociągi i kanalizacja, szkoły, ośrodek pomocy społecznej oraz centrum usług wspólnych.
Problem polega na tym, czy status podmiotu kluczowego dotyczy tylko jednostki wodno-ściekowej, czy całej struktury. Dochodzi też pytanie, jak traktować szkoły zatrudniające powyżej 50 pracowników.
– Z tych jednostek ta odpowiedzialna za obszar wodociągów i kanalizacji realizuje działalność uznawaną w myśl przepisów za sektor krytyczny, a pozostałe wykonują zadania publiczne o innym charakterze. Pojawia się konieczność rozstrzygnięcia kwestii, czy status podmiotu kluczowego dotyczy wyłącznie jednostki wodno-ściekowej – mówi Paweł Pudo, audytor systemów zarządzania w Dagma Bezpieczeństwo IT.
– Z drugiej strony wątpliwości organizacji dotyczą tego, czy szkoły zatrudniające powyżej 50 pracowników powinny zostać zakwalifikowane jako podmioty ważne czy kluczowe? A przede wszystkim czy każdą jednostkę należy analizować indywidualnie lub jako część struktury JST. Oceniam, że podobne pytania padają w niejednej polskiej gminie – dodaje ekspert.
Według przedstawionego rozstrzygnięcia urząd gminy zatrudniający ponad 50 pracowników jest podmiotem kluczowym. Zakład komunalny, ośrodek pomocy społecznej, szkoły i przedszkola to osobne jednostki organizacyjne, które mają status podmiotów ważnych niezależnie od liczby pracowników.
Hotel, restauracja i infrastruktura na własne potrzeby
Nie każda duża organizacja automatycznie wejdzie jednak do KSC tylko dlatego, że ma wielu pracowników. Eksperci jako przykład wzięli też hotel zatrudniający ponad 250 osób, który prowadzi także restaurację i przygotowuje żywność dla gości.
Na pierwszy rzut oka pojawia się skojarzenie z sektorem żywności. Rozstrzygnięcie jest jednak inne: hotelarstwo oraz gastronomia przygotowująca posiłki bezpośrednio dla konsumentów końcowych są wyłączone z zakresu ustawy. KSC dotyczy przemysłowego przetwórstwa żywności.
Podobnie trzeba uważać przy infrastrukturze wodociągowej i kanalizacyjnej wykorzystywanej wyłącznie na własne potrzeby. Jeśli przedsiębiorstwo ma taką instalację, ale nie świadczy usług wodno-kanalizacyjnych dla odbiorców zewnętrznych, nie staje się z tego powodu dostawcą w rozumieniu KSC.
W opisanym przez ekspertów przykładzie obowiązki nie powstają, bo ustawa obejmuje dostawców i podmioty gospodarujące zasobami wodnymi dla ludności. Samo zużycie wewnętrzne nie wystarcza.
B2B może liczyć się do progu zatrudnienia
Osobny problem dotyczy firm balansujących na granicy progów wielkościowych. Część organizacji zatrudnia liczbę pracowników bliską ustawowego progu i jednocześnie korzysta z osób pracujących w modelu B2B.
W takim przypadku znaczenie ma sposób obliczenia personelu w rocznych jednostkach pracy, czyli RJP. Eksperci wskazują, że do limitu trzeba wliczyć jednoosobowe działalności gospodarcze, jeśli sposób współpracy ma cechy stosunku pracy.
Chodzi o sytuacje, w których samozatrudniony świadczy usługi osobiście, stale, w miejscu i czasie wyznaczonym przez firmę oraz pod jej nadzorem. Taka relacja może zostać uwzględniona w limicie personelu, nawet jeśli formalnie opiera się na kontrakcie B2B.
– I w zależności od przyjętej metody obliczeń może być zaliczona zarówno do kategorii poniżej, jak i powyżej progu 50 pracowników. Abstrahując od troski o bezpieczeństwo własnych zasobów, podleganie obowiązkom ustawy rodzi konsekwencje dla organizacji. Nie dziwi więc zatem, że kwestia tego, jak prawidłowo ustalić poziom zatrudnienia na potrzeby samoidentyfikacji spędza sen z powiek zarządu – mówi Paweł Pudo.
System S46 ma być kanałem kontaktu z państwem
Wpis do wykazu łączy się z przygotowaniem do korzystania z systemu S46. Ma on być podstawowym kanałem komunikacji między podmiotami kluczowymi i ważnymi a właściwymi organami oraz krajowymi zespołami CSIRT, czyli zespołami reagowania na incydenty bezpieczeństwa komputerowego.
Gotowość formalno-rejestrową do działania w S46 również trzeba osiągnąć do 3 października. Do tego czasu organizacja musi być technicznie i organizacyjnie przygotowana do realizacji obowiązków ustawowych przez system. Musi też mieć potwierdzoną identyfikację jako podmiot kluczowy albo ważny przez wpis do Wykazu KSC.
– Przy czym spełnienie wymogów technicznych obejmuje wskazanie niezbędnych danych organizacji, wyznaczenie osób uprawnionych do działania w systemie z zapewnieniem dostępu do środowiska S46 Cyber Hub – wyjaśnia Aleksander Kostuch ze Stormshield.
To ważny etap, bo po wejściu w obowiązki komunikacja z administracją i zespołami reagowania będzie przechodzić właśnie przez ten system. Braki rejestrowe mogą więc szybko zamienić się w problem operacyjny.
Dostawcy też mogą odczuć skutki KSC
Nowa ustawa może wpłynąć także na firmy, które same nie są podmiotami kluczowymi ani ważnymi. Jeśli współpracują z organizacjami objętymi przepisami, mogą zostać poproszone o spełnienie dodatkowych wymogów bezpieczeństwa.
Powód jest prosty: ataki na łańcuch dostaw stały się jednym z istotnych ryzyk cyberbezpieczeństwa. Dlatego podmioty kluczowe i ważne mają obowiązek weryfikować dostawców usług IT i cyberbezpieczeństwa.
– Ataki na łańcuch dostaw to coraz powszechniejsza praktyka. To skłania szczególnie większe organizacje do oczekiwania spełnienia przez dostawców wymogów bezpieczeństwa, w duchu zasad określonych w nowej ustawie KSC. Oczekiwania te mogą dotyczyć między innymi zarządzania ryzykiem, kontroli dostępu, aktualizacji i usuwania podatności, ochrony wymienianych informacji za pomocą tuneli szyfrowanych mocnymi algorytmami, zgłaszania incydentów, zapewnienia ciągłości działania oraz poddawania się audytom bezpieczeństwa. Spełnienie tych warunków może zostać zapisane w umowie i stanowić warunek rozpoczęcia lub kontynuowania współpracy – dodaje Aleksander Kostuch.
Dla firm najważniejsze są teraz trzy rzeczy: sprawdzić, czy podlegają ustawie, prawidłowo policzyć swoją wielkość i przygotować dane do rejestru oraz systemu S46. Termin 3 października nie dotyczy więc wyłącznie administracyjnego formularza. To moment, w którym wiele organizacji musi formalnie wejść w nowy reżim cyberbezpieczeństwa.
Przeczytaj także:
- Trzech na czterech ponownie założyłoby własną firmę. Innym już tak łatwo jej nie polecają
- Mężczyźni częściej zyskują na premiach. Tak może powiększać się luka płacowa
- Aneks do kredytu może wrócić podczas procesu z bankiem. Te zapisy trzeba sprawdzić
