Krajowy System Cyberbezpieczeństwa rozwiewamy wątpliwości przedsiębiorców Ministerstwo Cyfryzacji Portal Gov pl

Posted August 8, 2023

Z tego względu obniżenie wymagań, do poziomu który nie narusza bezpieczeństwa, jest wskazane. Zwiększa to szanse na skuteczną implementację obowiązków, które nawet w złagodzonej wersji podniosą bezpieczeństwo samorządów i mieszkańców” – dodaje Piotr Zielaskiewicz, menadżer DAGMA Bezpieczeństwo IT. Pojawiło się także pytanie dotyczące odesłań do Krajowego Schematu Certyfikacji Cyberbezpieczeństwa, pojawiających się w tekście ustawy. Według art. 15 projektu, KSCC ma zostać określony fakultatywnym rozporządzeniem, zatem przepisy nie będą działać do czasu wydania odpowiedniego dokumentu. Tak samo jak na gruncie przepisów obecnie obowiązującej ustawy, w jej znowelizowanej wersji przewidziano przyjęcie przez Radę Ministrów w formie uchwały Strategii Cyberbezpieczeństwa RP. Stroną postępowania uznania za HRV jest każdy wobec kogo wszczęto postępowanie – czyli kto został zawiadomiony lub który jest wskazany w BIP na stronie ministra właściwego ds.

Przejawia się to choćby wyłączeniem wymogu spełnienia poszczególnych obowiązków wynikających z nowelizacji ustawy o KSC przez podmioty z sektora bankowego i infrastruktury rynków finansowych. Obowiązków z zakresu systemu zarządzania bezpieczeństwem informacji i zgłaszania poważnych incydentów, jednak z pewnymi wyjątkami określonymi w art. 8i nowelizowanej ustawy o KSC. W praktyce oznaczać to będzie wykorzystanie S46 do wymiany informacji zarówno o charakterze operacyjnym, jak i organizacyjnym przez wszystkie podmioty KSC. Przykładem tego drugiego typu danych będzie prowadzenie wykazu podmiotów kluczowych i ważnych (art. 46 ust. 1a projektu).

Natomiast projekt uKSC rozszerza zakres podmiotów objętych regulacjami z zakresu cyberbezpieczeństwa i nakłada dodatkowe obowiązki na sektory, które nie są objęte dyrektywą NIS2. 7 października pojawiła się druga wersja projektu nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa (ustawy o KSC), implementującej do polskiego porządku prawnego dyrektywę unijną NIS 2. I uwzględnia dużą część uwag zgłoszonych w ramach konsultacji publicznych i uzgodnień międzyresortowych. W przypadku uznania za HRV podmioty kluczowe i ważne mają obowiązek wycofania typów produktów, rodzajów usług i procesów ICT, objętych decyzją ministra, nie później niż 7 lat od dnia ogłoszenia decyzji lub udostępnienia o niej informacji. Z kolei w przypadku określonych przedsiębiorców telekomunikacyjnych ten termin ulega skróceniu do 4 lat i obejmuje również produkty, usługi i procesy ujęte w wykazie kategorii funkcji krytycznych dla bezpieczeństwa sieci i usług17. Wszystkie te podmioty mają także zakaz wprowadzania do użytkowania rzeczonych produktów, usług i procesów objętych decyzją.

Skuteczność i egzekwowalność nowych przepisów

Według nowelizacji uKSC podmiotami kluczowymi będą także niezależnie od wielkości dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa, czyli np. Aby zapewnić zgodność z nowymi przepisami, nowelizacja wprowadza szczegółowy system kar pieniężnych. Te sankcje mają na celu egzekwowanie przestrzegania przepisów zarówno przez podmioty kluczowe W domu refinansowania kredytów hipotecznych – wybór brokera i ważne, jak i przez osoby zarządzające tymi podmiotami.

Zgodnie z projektowanym art. 4c KRSU, Centralna Informacja będzie mogła udostępniać dane w trybie sieciowym bezpłatnie, pod warunkiem uprzedniego uzyskania decyzji Ministra Sprawiedliwości, o której mowa w projektowanym art. 4d KRSU. Podkreślę – neutralnych, ponieważ jak w każdym obszarze, jest także grono organizacji pozarządowych, które zdecydowały się przyjmować granty od stron sporu o kształt cyberbezpieczeństwa, jawnie lub niejawnie wchodząc w rolę adwokatów np. Wielkich dostawców zainteresowanych określonym kształtem zapisów polecenia zabezpieczającego czy analizy ryzyka w odniesieniu do dostawców itd. Ich udział oczywiście groziłby degeneracją, korupcją całego procesu prawodawczego.

Produkcja sprzętów i maszyn a NIS2

Ogłoszenie o naborze i nazwy stanowisk mają być neutralne pod względem płci, a sam proces rekrutacyjny – przebiegać w sposób niedyskryminujący – ustawa trafi teraz do prezydenta, Sejm przyjął poprawkę Senatu. Zgodnie z przepisami prawa unijnego, kary mogą być nakładane dopiero po pełnym wdrożeniu ustawy. Koszty badań laboratoryjnych potrzebnych do uzyskania certyfikatu ponosi przedsiębiorca – wskazało MC i zaznaczyło, że sama ustawa nie reguluje kwestii cen, co ma zapewnić konkurencyjność i elastyczność ofert rynkowych. Powstałaby zapewne ogromna całościowa, kompletna ustawa, ale nasze doświadczenie wskazuje, że niezwykle trudno takie dokumenty procedować i wdrażać.

Nowe przepisy wejdą w życie pierwszego dnia miesiąca następującego po upływie 14 dni od dnia ogłoszenia.
Ważnym obowiązkiem dla CSIRT sektorowych w przypadku przyjęcia wczesnego ostrzeżenia o incydencie poważnym jest przekazanie podmiotowi zgłaszającemu wytycznych dotyczących wdrożenia odpowiednich środków lub udzielenie wsparcia technicznego.
1 KRSU, od dnia wpisu do rejestru nikt nie może zasłaniać się nieznajomością wpisu, z wyjątkiem czynności dokonanych w ciągu 16 dni od dnia wpisu, jeśli osoba trzecia wykaże brak wiedzy o wpisie.
W artykule odpowiadamy na kluczowe pytania dotyczące AI Act i analizujemy jego główne założenia.

Zarządzanie ryzykiem: tylko ICT zobowiązane ustawowo do strzeżenia łańcucha dostaw

Jej celem jest ochrona przed coraz bardziej wyrafinowanymi atakami cybernetycznymi i zapewnienie ciągłości działania. Zmiany w omawianym zakresie są prawdopodobnie przyczyną dużych rozbieżności w szacunkach dotyczących liczby podmiotów, które zostaną objęte regulacją uKSC po nowelizacji. Wynikają wprost z tego, czy oszacowania dokonywano na gruncie dyrektywy NIS2, czy już z uwzględnieniem rozszerzonego zakresu podmiotowego wskazanego w projekcie uKSC. Przed wydaniem polecenia przeprowadzana jest analiza ryzyka i skutków incydentu.

Polska wprowadza przełomowe połączenie kwantowe – nowy standard bezpieczeństwa danych

Od strony gramatycznej czy logicznej są tu zapisy, które przy uważnej redakcji nie powinny się w projekcie znaleźć. Odnoszę wrażenie, że obecna wersja projektu ma strukturę patchworku. Przypadkowy dobór spraw, mniej lub bardziej ważnych, mniej lub bardziej dokładnie opisanych i w konsekwencji wielki nieporządek.

W nowelizacji został dodany zupełnie nowy w stosunku do obowiązującej wersji ustawy rozdział 13a, dotyczący Krajowego planu reagowania na incydenty i sytuacje kryzysowe w cyberbezpieczeństwie na dużą skalę (dalej w tekście jako ,,Krajowy plan”). Podobnie jak w przypadku Strategii Cyberbezpieczeństwa RP, Rada Ministrów przyjmuje ten dokument w drodze uchwały. Jest on opracowywany przez ministra Alpari: Ponad 600 nowych CFD dla akcji amerykańskich firm właściwego do spraw informatyzacji we współpracy z Pełnomocnikiem, Rządowym Centrum Bezpieczeństwa oraz innymi ministrami i właściwymi kierownikami urzędów centralnych. Krajowy Plan podlega aktualizacji nie rzadziej niż raz na dwa lata. Zgodnie z projektem nowelizacji minister właściwy do spraw informatyzacji udostępnia w swoim Biuletynie Informacji Publicznej minimalne wymagania techniczne i funkcjonalne korzystania z systemu S46.

Jeśli one go nie przyjmą – bo będzie dla nich niezrozumiały, nieprzejrzysty, nielogiczny – to nie będzie prawdziwie działającym systemem, na który czekamy, tylko tworem pozostającym w sferze papierologii.
Miałaby ona powiązanie z Krajowym Systemem Cyberbezpieczeństwa, ale pierwszym krokiem jest sam system certyfikacji, a dopiero w kolejnym kroku pomyślimy, jak obligatoryjne musiałoby być jego działanie.
Jeżeli wprowadzono zapisy pozwalające konsolidować CSIRT sektorowe, to sądzę, że będziemy obserwować to zjawisko.
Każda wybrana osoba przygotowuje stanowisko w zakresie swojej właściwości, przekazywane następnie do całego zespołu.
Dla tych spółek prawa handlowego, które wykonują zadania o charakterze publicznym.

Chcielibyśmy nie naruszyć kolejnego terminu – pół roku później – którym jest data dostarczenia do Komisji Europejskiej wykazu podmiotów kluczowych i ważnych. Ten termin także jest wyzwaniem, ale w pełni możemy mu sprostać, choć spodziewamy się samorejestracji około 40 tys. Wówczas połowa przyszłego roku, zgodnie z zapowiedzią wicepremiera Krzysztofa Gawkowskiego, będzie terminem, kiedy ustawa zacznie działać. Procedura jest uruchamiana z urzędu w chwili, kiedy organ posiądzie taką wiedzę.

CERT NASK obsługujący CSIRT krajowy dobiega już 30-lecia działalności i jest jednym z bardziej rozpoznawalnych i szanowanych w Europie i na świecie. Wierzę, że czwarty sektor mógłby się przysłużyć dobrze temu projektowi. Wymaga to oczywiście pieniędzy, ale środki przeznaczone na cel takiej szerokiej konsultacji ze strony neutralnych gremiów i organizacji – z pewnością by się zwróciły. Same drobne błędy budują przekonanie o niechlujności, pośpiechu jaki musiał towarzyszyć powstawaniu dokumentu. I rodzi podejrzenie, że jeśli w małych sprawach nie dochowano staranności, to tym bardziej w zasadniczych… Niestety szybko się to potwierdza. Co chwila w zapisach powstaje nowy wektor oddziaływania i zmienia się kierunek myślenia.

Dlatego cieszy fakt, że niebawem pojawią się przepisy ustawowe w tym zakresie. Podczas rozpatrywania samej zawartości projektu, większość zgłoszonych poprawek miała charakter redakcyjny. Zdziwienie przedstawicieli Biura Legislacyjnego Sejmu wzbudził jednak zapis art. 4 ust. Ich zdaniem, przepis dotyczący nierealizowania nadzoru nad państwowymi instytutami badawczymi przez tę samą komórkę w urzędzie obsługującym ministra ds. Jak wyjaśniał wiceminister Paweł Olszewski, dokument dostosuje polskie prawo do rozporządzenia unijnego znanego jako Akt o cyberbezpieczeństwie. Zwiększenie odporności cyfrowej instytucji publicznych czy firm, a także wsparcie nowoczesnych technologii w sektorze ICT.

CSIRT sektorowy

W projektowanych zmianach nałożono obowiązki na podmioty kluczowe i ważne. Dotychczasowa dyrektywa NIS w sposób bardzo ogólny regulowała obowiązki w zakresie zarządzania ryzykiem. Teraz ulegnie to zmianie, ponieważ dyrektywa NIS 2 wprowadza o wiele szersze i bardziej konkretne wymagania w zakresie środków zarządzania ryzykiem w cyberbezpieczeństwie.

Polecenie określa obowiązki dla podmiotów, takie jak ocena ryzyka, aktualizacje bezpieczeństwa czy ograniczenia technologiczne i jest natychmiast wykonalne na okres do dwóch lat. Podsumowując, jako przedsiębiorca musisz aktywnie monitorować procedury uznawania dostawców za DWR, być gotowym do szybkiego reagowania i dostosowywania swojej działalności do nowych regulacji. Wdrożenie odpowiednich procedur zarządzania ryzykiem i planów awaryjnych jest kluczowe dla zapewnienia ciągłości operacyjnej Twojej firmy. Po uzyskaniu opinii Kolegium, Minister Cyfryzacji podejmuje decyzję o uznaniu dostawcy DWR. Decyzja ta jest natychmiast publikowana w Dzienniku Urzędowym „Monitor Polski” i podlega natychmiastowemu wykonaniu. Oznacza to, że podmioty kluczowe mają obowiązek przystąpić do jej realizacji bez zwłoki.

Komisja Cyfryzacji, Innowacyjności i Nowoczesnych Technologii przyjęła we wtorek projekt ustawy o krajowym systemie certyfikacji cyberbezpieczeństwa. Wprowadziła do niego kilkanaście poprawek legislacyjnych, które nie zmieniają charakteru projektu. Zakładając realnie, 17 października możemy nie mieć jeszcze obowiązującej ustawy.

Kierownik takiego podmiotu będzie obowiązany również do przejścia stosownego szkolenia z zakresu cyberbezpieczeństwa. Choć termin implementacji dyrektywy NIS 2 upłynął w październiku 2024 r., a według zapowiedzi Ministerstwa Cyfryzacji projekt nowelizacji ustawy o KSC miał trafić to Sejmu na początku 2025 r., to nad projektem wciąż trwają intensywne prace rządowe. Nie twierdzę, że te kwestie powinny być bardzo szczegółowo określone, ale przynajmniej powinna z tych zapisów wynikać determinacja regulatora do wdrożenia reżimu ćwiczeń, testowania odporności naszej cybersfery. Jeżeli mówimy, że kierownik podmiotu, który obowiązuje ustawa, musi raz na rok przejść szkolenie, a jednocześnie projekt ustawy nie wspomina nawet, jak często warto zorganizować sprawdzenie Krajowego Systemu Cyberbezpieczeństwa, to jest to metodycznie niepoprawne. Być może skończy się na tym, że CSIRT-y krajowe dostaną większe budżety do ich obsługi.

Niezależnie od tego, CERT-y należą do różnych gremiów i przestrzeni wymiany wiedzy, te najlepsze oczywiście do najbardziej zaawansowanych, do których aspirują te młodsze. Rzeczywiście, przedstawiam krytyczną ocenę, ale o zarzut bezczynności się nie obawiam. Jako Fundacja Gospodarka USA zwolniła po zwycięstwie Bidena od 2012 roku organizujemy w Polsce ćwiczenia Cyber-EXE Polska, nie musimy nikomu udowadniać, że poważnie podchodzimy do tematu. Trzeba jednak zrozumieć, jak rozłożone są siły sprawcze do stworzenia tak kompleksowego tworu, jak system prawno-organizacyjny cyberbezpieczeństwa. Tymczasem od 2018 roku przeprowadziliśmy raptem jedne ćwiczenia Krajowego Systemu Cyberbezpieczeństwa – w 2020 roku, za kadencji ministra Marka Zagórskiego. Nieskromnie powiem, że udały się przy mocnym udziale Fundacji Bezpieczna Cyberprzestrzeń, we współpracy z NASK i Ministerstwem.