Source: http://www.it-professional.pl/archiwum/art,8878,struktury-organizacyjne-operatorow-uslug-kluczowych.html
Timestamp: 2020-06-02 14:59:51
Legal References Found: art. 14
 art. 8
 art. 7
 art. 10
 art. 12
 art. 13

Document Content:
IT Professional / Archiwum / Struktury organizacyjne operatorów usług kluczowych
Strona główna Archiwum Kwiecień 2020 Zarządzanie i prawo IT Struktury organizacyjne operatorów usług kluczowych
Data publikacji: 26-03-2020 Autor: Tomasz Cygan
W życie weszło rozporządzenie Ministra Cyfryzacji z dnia 4 grudnia 2019 r. w sprawie warunków organizacyjnych i technicznych dla podmiotów świadczących usługi z zakresu cyberbezpieczeństwa oraz wewnętrznych struktur organizacyjnych operatorów usług kluczowych, odpowiedzialnych za cyberbezpieczeństwo (DzU z 2019 r., poz. 2479). W rozporządzeniu prawodawca niektóre obowiązki nakazuje realizować personelowi, który w określonych obszarach musi posiadać szczególne umiejętności – dlatego warto przeanalizować wytyczne, aby poznać listę wspomnianych umiejętności oraz dowiedzieć się, w jaki sposób dokumentować ich posiadanie. Nie oznacza to, że inne obowiązki wewnętrznej struktury organizacyjnej operatorów usług kluczowych odpowiedzialnych za cyberbezpieczeństwo może realizować każdy. Z uwagi na konieczność zapewnienia ochrony i status usług kluczowych oraz funkcje ich operatorów specjalistyczne umiejętności są konieczne, jednak nie zawsze ich posiadanie przez personel jest obowiązkiem prawnym wymagającym udokumentowania.
> WPROWADZONE ZMIANY
W uzasadnieniu projektu rozporządzenia z dnia 7 czerwca 2019 r. znaleźć można jedynie dwie informacje dla uzasadnienia wprowadzenia zmian w tym zakresie: wyartykułowaną na spotkaniach roboczych potrzebę rozbicia obowiązków typu „czynności z zakresu informatyki śledczej” na poszczególne obowiązki oraz informację, że „Projektowany § 1 wskazuje warunki organizacyjne, jakie musi spełniać podmiot świadczący usługi z zakresu cyberbezpieczeństwa oraz wewnętrzna struktura organizacyjna operatora usługi kluczowej”.
Do ciekawych wniosków prowadzi jednak analiza zmian w przepisach rozporządzenia, zwłaszcza w zestawieniu z przepisami ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (DzU z 2018 r., poz. 1560), a także brakiem jakichkolwiek wskazówek prawodawcy dotyczących sposobu dokumentowania posiadania określonych umiejętności przez personel wewnętrznych struktur organizacyjnych operatorów usług kluczowych odpowiedzialnych za cyberbezpieczeństwo.
Rozpocząć jednak należy od wskazania, że wewnętrzne struktury organizacyjne odpowiedzialne za bezpieczeństwo cybernetyczne powołuje się w celu realizacji określonych zadań wskazanych w ustawie z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (DzU z 2018 r., poz. 1560). Ich zakres jest tożsamy z zakresem zadań realizowanych przez operatora usługi kluczowej w celu zapewnienia cyberbezpieczeństwa. Pozwala to na przyjęcie, że każdy operator usługi kluczowej musi posługiwać się specjalistami. Może to przyjąć postać umowy z podmiotem zewnętrznym albo ustanowienia wewnętrznej struktury organizacyjnej. W tym zakresie wybór należy wyłącznie do operatora usługi kluczowej.
> REALIZOWANE ZADANIA
Zgodnie z art. 14 wspomnianej ustawy wewnętrzną strukturę organizacyjną odpowiedzialną za cyberbezpieczeństwo powołuje się w celu realizacji następujących zadań:•Zgodnie z art. 8 ustawy wdrożenia systemu zarządzania bezpieczeństwem w systemie informacyjnym wykorzystywanym do świadczenia usługi kluczowej, zapewniającego:
1) wyznaczenia osoby odpowiedzialnej za utrzymywanie kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa;
2) zapewnienia użytkownikowi usługi kluczowej dostępu do wiedzy pozwalającej na zrozumienie zagrożeń cyberbezpieczeństwa i stosowanie skutecznych sposobów zabezpieczania się przed tymi zagrożeniami w zakresie związanym ze świadczoną usługą kluczową, w szczególności przez publikowanie informacji na ten temat na swojej stronie internetowej;
3) przekazania organowi właściwemu do spraw cyberbezpieczeństwa danych, o których mowa w art. 7 ust. 2 pkt 8 i 9 ustawy, nie później niż w terminie 3 miesięcy od zmiany tych danych.
Zgodnie z art. 10 ust. 1–3 ustawy opracowania, stosowania i aktualizowania dokumentacji dotyczącej cyberbezpieczeństwa systemu informacyjnego wykorzystywanego do świadczenia usługi kluczowej, a także sprawowania nadzoru nad dokumentacją dotyczącą cyberbezpieczeństwa systemu informacyjnego wykorzystywanego do świadczenia usługi kluczowej, zapewniającego:
4) przechowywanie dokumentacji dotyczącej cyberbezpieczeństwa systemu informacyjnego wykorzystywanego do świadczenia usługi kluczowej przez co najmniej 2 lata od dnia jej wycofania z użytkowania lub zakończenia świadczenia usługi kluczowej, z uwzględnieniem przepisów ustawy z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach (DzU z 2018 r., poz. 217, 357, 398 i 650).
1) zapewnienia obsługi incydentu;
2) zapewnienia dostępu do informacji o rejestrowanych incydentach właściwemu CSIRT MON, CSIRT NASK lub CSIRT GOV w zakresie niezbędnym do realizacji jego zadań;
3) klasyfikowania incydentu jako poważnego na podstawie progów uznawania incydentu za poważny określonych w rozporządzeniu Rady Ministrów z dnia 31 października 2018 r. w sprawie progów uznania incydentu za poważny (DzU z 2018 r., poz. 2180).
Zgodnie z art. 12 ustawy dokonywania zgłoszeń incydentu poważnego niezwłocznie, nie później niż w ciągu 24 godzin od momentu jego wykrycia, do właściwego CSIRT MON, CSIRT NASK lub CSIRT GOV.
Zgodnie z art. 13 ustawy przekazywania do właściwego CSIRT MON, CSIRT NASK lub CSIRT GOV informacji: