incydent w zakresie cyberbezpieczeństwa

1. Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa wdraża dyrektywę NIS 2, definjuje CSIRT (zespoły reagowania na incydenty cyberbezpieczeństwa) jako centralne elementy systemu oraz precyzuje obowiązki podmiotów kluczowych i ważnych w zakresie raportowania incydentów cyberbezpieczeństwa.
2. W Polsce funkcjonują CSIRT krajowe (CSIRT GOV, CSIRT MON, CSIRT NASK) oraz nadchodzące CSIRT sektorowe, które tworzą komplementarny system reagowania: CSIRT sektorowy odpowiada za pierwszy poziom koordynacji, a CSIRT krajowy wchodzi w grę przy incydentach o większej skali lub transgranicznych.
3. Rola CSIRT wykracza poza reakcję na incydent cyberbezpieczeństwa: zespoły analizują zagrożenia, prowadzą skanowania podatności, wspierają podmioty kluczowe i ważne, a także uczestniczą w zarządzaniu incydentami na dużą skalę, w tym poprzez współpracę międzynarodową zgodnie z wymogami NIS 2.

• Rozszerzony katalog podmiotów KSC: Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa wdraża dyrektywę NIS 2, obejmując sektory jak energia, transport, bankowość, ochrona zdrowia, ICT i produkcja; podział na podmioty kluczowe (duży wpływ systemowy) i ważne wymaga samoidentyfikacji na podstawie skali działalności i roli w łańcuchach dostaw.
• Obowiązki i samoidentyfikacja: Podmioty objęte KSC muszą wdrożyć zarządzanie ryzykiem cyberbezpieczeństwa, raportowanie incydentów do CSIRT, polityki bezpieczeństwa i ciągłości działania; kierownictwo ponosi odpowiedzialność, a brak samooceny grozi sankcjami podczas kontroli.
• Zasada proporcjonalności i praktyka biznesowa: Obowiązki dostosowane do skali (rygorystyczne dla kluczowych), analogia do RODO; przedsiębiorcy powinni weryfikować status dynamicznie, zwłaszcza w ochronie zdrowia i ICT, przygotowując SZBI i relacje z dostawcami.

Ewa Lewańska

radca prawny specjalizujący się w przepisach dot. ochrony danych osobowych