Source: https://opensecurity.pl/cyberustawa-czyli-ustawa-o-krajowym-systemie-cyberbezpieczenstwa/
Timestamp: 2019-10-15 18:38:06
Legal References Found: Art. 8

Art. 9

Art. 10

Art. 11

Art. 14
 art. 8

art. 9
 art. 10
 art. 11
 art. 12
 art. 13

Art. 15
 art. 10
 art. 15

Art. 17

Art. 18

Art. 4
 art. 9

Art. 21

Art. 22
 art. 4
 art. 21

Document Content:
Cyberustawa, czyli Ustawa o Krajowym Systemie Cyberbezpieczeństwa ⋆ OpenSecurity.pl
Cyberustawa, czyli Ustawa o Krajowym Systemie Cyberbezpieczeństwa
2019-09-22 Jakub Staśkiewicz Audyty bezpieczeństwa, Incydenty bezpieczeństwa, Ochrona danych, Zarządzanie bezpieczeństwem
Ustawa o Krajowym Systemie Cyberbezpieczeństwa?
O zagrożeniach związanych z cyberprzestępczością i cyberterroryzmem mówi się ostatnio coraz częściej. Pierwszą falę wzmożonego zainteresowania zagadnieniami bezpieczeństwa komputerowego wywołało wejście w życie przepisów RODO. Od tego czasu minął już ponad rok, a bezpieczeństwo w dalszym ciągu wydaje się być jednym z popularniejszych zagadnień w branży IT. Pod koniec 2018 roku uwagę środowiska zwróciła bowiem tzw. „cyberustawa”, czyli Ustawa o Krajowym Systemie Cyberbezpieczeństwa. Obejmuje ona swoim zakresem jedynie operatorów usług kluczowych z punktu widzenia państwa, więc nie budzi już takich emocji medialnych, jednak w sektorach gospodarki związanych z energetyką, transportem czy ochroną zdrowia jest to jeden z gorętszych tematów.
Czy Ustawa o Krajowym Systemie Cyberbezpieczeństwa jest potrzebna?
Trudno na tę chwilę przewidzieć realne efekty wejścia w życie nowych przepisów. Niezależnie jednak od tego, jakie one będą, na pewno są to zmiany konieczne. Warto przypomnieć, że już jakiś czas temu NATO uznało cyberprzestrzeń za jeden z obszarów prowadzenia działań bojowych, do którego obrony należy się przygotować. W efekcie tego na początku 2019 r. ogłoszono decyzję o powołaniu w Polsce Wojsk Obrony Cyberprzestrzeni. Że takie działania są konieczne mieliśmy się okazję przekonać chociażby przy okazji organizacji konferencji bliskowschodniej, która odbyła się w lutym 2019 w Warszawie. Niezadowoleni z jej organizacji irańscy hackerzy przypuścili zmasowany atak na około 90 portali rządowych. Przy okazji rykoszetem niejako dostało się wielu portalom informacyjnym i firmom prywatnym. Ataki siłowe na hasła do systemów CMS i podmiany stron www zakłóciły pracę wielu organizacji. Na tego typu zagrożenia zdecydowanie należy się przygotować pamiętając o tym, że ich skala mogłaby być o dużo większa, a skutki poważniejsze gdyby były elementem działań wojennych.
Kogo obowiązuje Ustawa o Krajowym Systemie Cyberbezpieczeństwa?
Do stosowania zawartych w ustawie przepisów zobligowane zostały dwa typy podmiotów:
Operatorzy usług kluczowych, którzy zostają za takowych uznani w wyniku decyzji administracyjnej, jeżeli:
świadczą usługę, która ma kluczowe znaczenie dla utrzymania krytycznej działalności społecznej lub gospodarczej, zwaną dalej „usługą kluczową”, wymienioną w wykazie usług kluczowych;
świadczenie tej usługi kluczowej zależy od systemów informacyjnych;
incydent bezpieczeństwa miałby istotny skutek zakłócający dla świadczenia usługi kluczowej przez tego operatora.
Dostawcy usług cyfrowych, czyli usług świadczonych drogą elektroniczną (w rozumieniu ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną) będących internetową platformą handlową, wyszukiwarką internetową, lub usługą przetwarzania w chmurze. Przy czym jako internetową platformę handlową zdefiniowano „usługę, która umożliwia konsumentom lub przedsiębiorcom zawieranie umów z przedsiębiorcami drogą elektroniczną”.
Do pierwszej grupy zaliczane będą przede wszystkim podmioty należące do jednego z sektorów:
Energetyka (Energia elektryczna, Ropa naftowa, Gaz)
Transport (lotniczy, kolejowy, wodny, drogowy)
Infrastruktura cyfrowa (DNS, IXP)
Decyzja o uznaniu za operatora usługi kluczowej podlega natychmiastowemu wykonaniu, co wiąże się z koniecznością spełnienia szeregu wymogów.
Poniżej zacytuję fragmenty artykułów definiujących najistotniejsze obowiązki operatorów usług kluczowych.
Art. 8. (w całości)
Operator usługi kluczowej wdraża system zarządzania bezpieczeństwem w systemie informacyjnym, wykorzystywanym do świadczenia usługi kluczowej, zapewniający:
wdrożenie odpowiednich i proporcjonalnych do oszacowanego ryzyka środków
technicznych i organizacyjnych, uwzględniających najnowszy stan wiedzy, w tym:
bezpieczeństwo i ciągłość dostaw usług, od których zależy świadczenie usługi
wdrażanie, dokumentowanie i utrzymywanie planów działania umożliwiających
ciągłe i niezakłócone świadczenie usługi kluczowej oraz poufność, integralność,
dostępność i autentyczność informacji,
objęcie systemu informacyjnego wykorzystywanego do świadczenia usługi
kluczowej systemem monitorowania w trybie ciągłym;
zbieranie informacji o zagrożeniach cyberbezpieczeństwa i podatnościach na incydenty
systemu informacyjnego wykorzystywanego do świadczenia usługi kluczowej;
stosowanie środków zapobiegających i ograniczających wpływ incydentów na
bezpieczeństwo systemu informacyjnego wykorzystywanego do świadczenia usługi
kluczowej, w tym:
stosowanie mechanizmów zapewniających poufność, integralność, dostępność
i autentyczność danych przetwarzanych w systemie informacyjnym,
niezwłoczne podejmowanie działań po dostrzeżeniu podatności lub zagrożeń
stosowanie środków łączności umożliwiających prawidłową i bezpieczną komunikację
w ramach krajowego systemu cyberbezpieczeństwa.
Art. 9. (fragment)
zapewnia użytkownikowi usługi kluczowej dostęp do wiedzy pozwalającej na
zrozumienie zagrożeń cyberbezpieczeństwa i stosowanie skutecznych sposobów zabezpieczania się przed tymi zagrożeniami w zakresie związanym ze świadczoną usługą kluczową, w szczególności przez publikowanie informacji w tym zakresie na swojej stronie internetowej;
Art. 10. (fragment)
Operator usługi kluczowej opracowuje, stosuje i aktualizuje dokumentację
dotyczącą cyberbezpieczeństwa systemu informacyjnego wykorzystywanego do świadczenia usługi kluczowej.
Operator usługi kluczowej jest obowiązany do ustanowienia nadzoru nad
dokumentacją dotyczącą cyberbezpieczeństwa systemu informacyjnego wykorzystywanego do świadczenia usługi kluczowej, zapewniającego:
oznaczanie kolejnych wersji dokumentów umożliwiające określenie zmian dokonanych w dokumentach.
Operator usługi kluczowej przechowuje dokumentację dotyczącą cyberbezpieczeństwa systemu informacyjnego wykorzystywanego do świadczenia usługi kluczowej przez co najmniej 2 lata od dnia jej wycofania z użytkowania lub zakończenia świadczenia usługi kluczowej.
Art. 11. (fragment)
klasyfikuje incydent jako poważny na podstawie progów uznawania incydentu za
poważny;
zgłasza incydent poważny niezwłocznie, nie później niż w ciągu 24 godzin od momentu wykrycia, do właściwego CSIRT MON, CSIRT NASK lub CSIRT GOV;
współdziała podczas obsługi incydentu poważnego i incydentu krytycznego z właściwym CSIRT MON, CSIRT NASK lub CSIRT GOV, przekazując niezbędne
dane, w tym dane osobowe;
Art. 14. (fragment)
Operator usługi kluczowej, w celu realizacji zadań, o których mowa w art. 8,
art. 9, art. 10 ust. 1–3, art. 11 ust. 1–3, art. 12 oraz w art. 13, powołuje wewnętrzne struktury odpowiedzialne za cyberbezpieczeństwo lub zawiera umowę z podmiotem świadczącym usługi z zakresu cyberbezpieczeństwa.
Wewnętrzne struktury powołane przez operatora usługi kluczowej odpowiedzialne za
cyberbezpieczeństwo oraz podmioty świadczące usługi z zakresu cyberbezpieczeństwa są obowiązane:
dysponować pomieszczeniami służącymi do świadczenia usług z zakresu reagowania na incydenty zabezpieczonymi przed zagrożeniami fizycznymi i środowiskowymi;
stosować zabezpieczenia w celu zapewnienia poufności, integralności, dostępności i autentyczności przetwarzanych informacji z uwzględnieniem bezpieczeństwa osobowego, eksploatacji i architektury systemów.
Art. 15. (fragment)
Operator usługi kluczowej ma obowiązek zapewnić przeprowadzenie co
najmniej raz na dwa lata audytu bezpieczeństwa systemu informacyjnego, wykorzystywanego do świadczenia usługi kluczowej, zwanego dalej „audytem”.
Terminy obowiązujące w Ustawie o Krajowym Systemie Cyberbezpieczeństwa
Ustawodawca zdefiniował też precyzyjnie ile czasu mają operatorzy usług kluczowych na dostosowanie się do poszczególnych wymogów zawartych w ustawie. I tak:
W ciągu 3 m-cy od wydania decyzji o uznaniu za operatora usługi kluczowej, operator taki powinien:
wdrożyć proces systematycznego szacowania ryzyka i zarządzania ryzykiem wystąpienia incydentu,
wdrożyć proces zarządzania incydentami obejmujący ich klasyfikację i zgłaszanie incydentów poważnych do odpowiedniego CSIRT nie później, niż w przeciągu 24 godzin od wykrycia,
wyznaczyć osobę odpowiedzialną za utrzymywanie kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa,
zapewnić użytkownikowi usługi kluczowej dostęp do wiedzy pozwalającej na
zrozumienie zagrożeń cyberbezpieczeństwa i stosowanie skutecznych sposobów
zabezpieczania się przed tymi zagrożeniami, w szczególności przez publikowanie informacji w tym zakresie na swojej stronie internetowej,
w ramach koordynacji obsługi incydentu, na wniosek organu właściwego do spraw cyberbezpieczeństwa usuwać podatności, które doprowadziły do powstania incydentu poważnego, istotnego lub krytycznego,
powołuje wewnętrzne struktury odpowiedzialne za cyberbezpieczeństwo lub zawiera umowę z podmiotem świadczącym usługi z zakresu cyberbezpieczeństwa.
W ciągu 6 m-cy od wydania decyzji o uznaniu za operatora usługi kluczowej, operator taki powinien:
wdrożyć odpowiednie i proporcjonalne do oszacowanego ryzyka środki
techniczne i organizacyjne (art. 8.2),
zbierać informacje o zagrożeniach cyberbezpieczeństwa i podatnościach na incydenty
systemu informacyjnego wykorzystywanego do świadczenia usługi kluczowej (art. 8.3),
stosować środki zapobiegające i ograniczające wpływ incydentów na bezpieczeństwo systemu informacyjnego (art. 8.5),
stosować środki łączności umożliwiające prawidłową i bezpieczną komunikację
w ramach krajowego systemu cyberbezpieczeństwa (art. 8.6),
opracowuje dokumentację, ustanawia nadzór nad nią i przechowuje ją zgodnie z zapisami art. 10. ust. 1-3.
W ciągu 12 m-cy od wydania decyzji o uznaniu za operatora usługi kluczowej, operator taki powinien:
wykonać audyt bezpieczeństwa systemu informacyjnego, o którym mowa w art. 15 ust. 1
Również względem dostawców usług cyfrowych zdefiniowane zostały określone wymogi z zakresu cyberbezpieczeństwa. Poniżej wybór najistotniejszych artykułów:
Art. 17. (fragment)
2. Dostawca usługi cyfrowej podejmuje odpowiednie i proporcjonalne środki techniczne
i organizacyjne określone w rozporządzeniu wykonawczym 2018/151 w celu zarządzania
ryzykiem, na jakie narażone są systemy informacyjne wykorzystywane do świadczenia usługi
cyfrowej. Środki te zapewniają cyberbezpieczeństwo odpowiednie do istniejącego ryzyka
oraz uwzględniają:
najnowszy stan wiedzy, w tym zgodność z normami międzynarodowymi, o których
mowa w rozporządzeniu wykonawczym 2018/151.
3. Dostawca usługi cyfrowej podejmuje środki zapobiegające i minimalizujące wpływ
incydentów na usługę cyfrową w celu zapewnienia ciągłości świadczenia tej usługi.
Art. 18. (fragment)
zapewnia obsługę incydentu istotnego i incydentu krytycznego we współpracy
z właściwym CSIRT MON, CSIRT NASK lub CSIRT GOV, przekazując niezbędne
przekazuje operatorowi usługi kluczowej, który świadczy usługę kluczową za
pośrednictwem tego dostawcy usługi cyfrowej, informacje dotyczące incydentu
mającego wpływ na ciągłość świadczenia usługi kluczowej tego operatora.
Kogo jeszcze obowiązuje Ustawa o Krajowym Systemie Cyberbezpieczeństwa?
Poza opisanymi wyżej operatorami usług kluczowych i dostawcami usług cyfrowych, w artykule 4. ustawy zdefiniowano szereg innych instytucji objętych jej zapisami:
Art. 4. Krajowy system cyberbezpieczeństwa obejmuje:
jednostki sektora finansów publicznych, o których mowa w art. 9 pkt 1–6, 8 i 9 oraz 11 i 12 ustawy z dnia 27 sierpnia 2009 r. o finansach publicznych (Dz. U. z 2017 r. poz. 2077 oraz z 2018 r. poz. 62);
Narodowy Fundusz Ochrony Środowiska i Gospodarki Wodnej oraz wojewódzkiefundusze ochrony środowiska i gospodarki wodnej;
spółki prawa handlowego wykonujące zadania o charakterze użyteczności publicznejw rozumieniu ustawy z dnia 20 grudnia 1996 r. o gospodarce komunalnej (Dz. U.z 2017 r. poz. 827);
Pojedynczy Punkt Kontaktowy do spraw cyberbezpieczeństwa
Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa
Kolegium do Spraw Cyberbezpieczeństwa.
Wymienione powyżej w artykule 4. punkt 7-15 podmioty publiczne również obarczone zostały obowiązkami z zakresu cyberbezpieczeństwa. Ich zakres wymieniony został w przytoczonych poniżej dwóch artykułach:
Art. 21. (fragment)
Art. 22. (fragment)
Podmiot publiczny, o którym mowa w art. 4 pkt 7–15, realizujący zadanie
publiczne zależne od systemu informacyjnego:
zgłasza incydent w podmiocie publicznym niezwłocznie, nie później niż w ciągu
24 godzin od momentu wykrycia, do właściwego CSIRT MON, CSIRT NASK lub
przekazuje do właściwego CSIRT MON, CSIRT NASK lub CSIRT GOV dane osoby, o której mowa w art. 21, zawierające imię i nazwisko, numer telefonu, adres poczty elektronicznej, w terminie 14 dni od dnia jej wyznaczenia, a także informacje o zmianie tych danych w terminie 14 dni od dnia ich zmiany.
Co istotne, podmiot publiczny może również zostać uznany za operatora usługi kluczowej. Wówczas obowiązują go odpowiednio wszystkie opisane wcześniej wymogi względem tych operatorów.
Kary za niespełnienie wymogów Ustawy o Krajowym Systemie Cyberbezpieczeństwa
Zarówno operatorzy usług kluczowych, jak i dostawcy usług cyfrowych mogą zostać ukarani za niedostosowanie się do przepisów ustawy. Kary za niedopełnienie poszczególnych obowiązków wynoszą od 15 000 do nawet 200 000 zł. Przy czym niektóre z nich mogą być naliczone za każdy stwierdzony przypadek, np. 20 000 zł za każdy niezgłoszony istotny incydent bezpieczeństwa.
Ponadto, jeżeli w wyniku kontroli organ właściwy stwierdzi, że operator usługi kluczowej bądź
dostawca usługi cyfrowej uporczywie narusza przepisy ustawy powodując:
bezpośrednie i poważne zagrożenie cyberbezpieczeństwa dla obronności,
bezpieczeństwa państwa, bezpieczeństwa i porządku publicznego lub życia i zdrowia
zagrożenie wywołania poważnej szkody majątkowej lub poważnych utrudnień
w świadczeniu usług kluczowych
organ właściwy nakłada na niego karę w wysokości do 1 000 000 złotych.
Podmiotom, które zapisami ustawy zostały zobligowane do określonych działań z zakresu zarządzania bezpieczeństwem informacji pomóc mogą poniższe artykuły:
Polityka bezpieczeństwa cz.2, klasyfikacja informacji i inwentaryzacja procesów.
Obsługa incydentu bezpieczeństwa, przygotowanie na incydent
cyberustawaoperator usługi kluczowejUstawa o Krajowym Systemie Cyberbezpieczeństwa
Previous Post:Automatyzacja procesów IT security
Next Post:Inteligentny dom, ale czy bezpieczny?