Krajowy System Cyberbezpieczeństwa – „nowe RODO”
Ustawą o Krajowym Systemie Cyberbezpieczeństwa stanowi realizację dyrektywy NIS (Network and Information Systems Directive) przyjętej przez Unię Europejską. Jak pisze „Business Insider”, dla ponad 2 tysięcy podmiotów nowe prawo będzie miało równie znaczące skutki jak Rozporządzenie o Ochronie Danych Osobowych. Krajowy System Cyberbezpieczeństwa obejmie podmioty uznane za kluczowych usługodawców.
Kluczowi usługodawcy – pisze „Business Insider” – powinni otrzymać z Ministerstwa Cyfryzacji stosowne powiadomienia, w których zostaną poinformowani o obowiązku dostosowania się do nowych przepisów. Formalnie powinno to nastąpić już listopadzie. Jednak z informacji uzyskanych przez portal wynika, że wysyłanie dopiero się rozpoczynam. Adresaci powiadomień powinni zastosować się do wymogów wynikających z ustawy w ciągu 3 miesięcy.
“Business Insider“ cytuje wyjaśnienia resortu: Powiadomienia otrzymuje każdy zidentyfikowany podmiot w postaci doręczenia stosownej decyzji administracyjnej o uznaniu podmiotu za operatora usługi kluczowej. Termin rozsyłania decyzji administracyjnych przez organy właściwe był uwarunkowany terminem wejścia w życie rozporządzenia Rady Ministrów z 11 września 2018 r. w sprawie wykazu usług kluczowych oraz progów istotności skutku zakłócającego incydentu dla świadczenia usług kluczowych, co miało miejsce 22 września br.
Ile podmiotów obejmie Krajowy System Cyberbezpieczeństwa?
Dyrektywa NIS jest regulacją wprowadzoną przez Unię Europejską. Obejmie ona w Polsce – według szacunków Ministerstwa Cyfryzacji – 360 podmiotów. W tej grupie znajdą się przede wszystkim szpitale. Będzie ich 131. Drugą pod względem liczebności grupę stanowić będą instytucje finansowe (47). Jednak zdaniem cytowanych przez “Business Insider” ekspertów Grant Thornton do grupy tej może zostać zakwalifikowanych aż 2,1 tysiąca podmiotów.
Na bazie NIS powstaje Krajowy System Cyberbezpieczeństwa. Zostaną do niego włączone firmy o kluczowym znaczeniu dla gospodarki. Jak podaje Ministerstwo Cyfryzacji – Faktyczny wpływ na liczbę podmiotów miały kryteria progów istotności skutku zakłócającego incydentu dla świadczenia usług kluczowych zawartych we wspomnianym rozporządzeniu, które weszło w życie 22 września. (cytat za „Business Insider”)
Otrzymanie zawiadomienia z ministerstwa oznacza, że dany podmiot został uznany za Operatora Usługi Kluczowej (UOK). W związku z tym instytucja zobowiązana jest do wprowadzenia systemu zarządzania bezpieczeństwem oraz ciągłego monitorowania poziomu tego bezpieczeństwa. Instytucja będzie musiała informować niezwłocznie specjalny podmiot o nazwie CSIRT (od Computer Security Incident Response Team), jeśli stwierdzi poważny incydent naruszający cyberbezpieczeństwo.
Nowe koszty
Krajowy System Cyberbezpieczeństwa wiązał się będzie z dodatkowymi kosztami dla podmiotów. Operatorzy Usługi Kluczowej będą musieli zatrudnić osobę odpowiedzialną za sprawy związane z bezpieczeństwem teleinformatycznym. Jak podaje “Business Insider”, koszt zatrudnienia specjalisty w tej dziedzinie szacowany jest przez ministerstwo na 5 do 10 tysięcy zł.
OUK zobowiązani też będą pokryć koszty audytu zewnętrznego w wysokości 50 tysięcy zł. Będzie się on odbywał co 2 lata, po raz pierwszy w 2019 roku. Utrzymanie Operacyjnego Centrum Bezpieczeństwa może kosztować około 2 mln zł. Suma ta będzie wyższa w przypadku zatrudnienia zewnętrznych operatorów.
Najpóźniej w ciągu 6 miesięcy od otrzymania powiadomienia firmy będą musiały – pisze “Business Insider” – spełnić wymagania w zakresie bezpieczeństwa fizycznego, zarządzania ciągłością działania, obsługi i zarządzania incydentem, zarządzania podatnościami, objęcia systemu informacyjnego wykorzystywanego do świadczenia usługi kluczowej systemem monitorowania w trybie ciągłym oraz stosowania środków łączności umożliwiających prawidłową i bezpieczną komunikację.
Autor: Waldemar Kubielski
Źródło: Business Insider
Dodaj komentarz