Podmiot kluczowy w rozumieniu ustawy o krajowym systemie cyberbezpieczeństwa (KSC) musi nie tylko wdrożyć zabezpieczenia techniczne, lecz także wykazać, że stale zarządza ryzykiem, dokumentuje działania i umie reagować na incydenty. Poniżej wyjaśniamy, jak ustalić status organizacji, od czego zacząć przygotowania oraz jak wybrać partnera do wdrożenia wymagań KSC.
Czym jest podmiot kluczowy według ustawy o KSC i jakie ma obowiązki?
Podmiot kluczowy to organizacja działająca w sektorze wskazanym w załączniku nr 1 do ustawy o KSC, która spełnia kryteria ustawowe dotyczące rodzaju działalności i – w wielu przypadkach – wielkości przedsiębiorstwa. Status ten może też wynikać wprost z rodzaju podmiotu, niezależnie od jego wielkości.
Ustawa obejmuje m.in. sektory energii, transportu, bankowości i infrastruktury rynków finansowych, ochrony zdrowia, dostaw wody pitnej, infrastruktury cyfrowej, zarządzania usługami ICT, przestrzeni kosmicznej oraz podmiotów publicznych. W praktyce regulacja dotyczy np. przedsiębiorstw energetycznych, przewoźników, zarządców infrastruktury, szpitali, dostawców chmury, centrów przetwarzania danych, dostawców usług zarządzanych i instytucji publicznych.
Co do zasady podmiotem kluczowym jest organizacja z sektora kluczowego, która przewyższa kryteria średniego przedsiębiorstwa. Ustawa wskazuje również grupy objęte statusem niezależnie od wielkości, w tym dostawców usług DNS, kwalifikowanych dostawców usług zaufania, podmioty krytyczne, określone podmioty publiczne oraz operatorów obiektów energetyki jądrowej.
Do podstawowych obowiązków podmiotu kluczowego należą:
- wdrożenie Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) dla systemów wpływających na świadczenie usług;
- systematyczne szacowanie ryzyka wystąpienia incydentu i zarządzanie nim;
- stosowanie proporcjonalnych środków technicznych i organizacyjnych;
- prowadzenie oraz aktualizowanie dokumentacji bezpieczeństwa;
- monitorowanie systemów informacyjnych w trybie ciągłym;
- zarządzanie incydentami, podatnościami i cyberzagrożeniami;
- zapewnienie ciągłości działania, planów awaryjnych i planów odtworzenia;
- wyznaczenie co najmniej dwóch osób do kontaktu z podmiotami krajowego systemu cyberbezpieczeństwa;
- szkolenie kierownictwa i personelu w zakresie cyberbezpieczeństwa;
- przeprowadzanie audytu bezpieczeństwa co najmniej raz na 3 lata.
Podmiot powinien złożyć wniosek o wpis do wykazu podmiotów kluczowych i ważnych w ciągu 6 miesięcy od spełnienia przesłanek ustawowych. Zmianę danych objętych wpisem należy zgłosić w terminie 14 dni od ich zmiany.
Istotne są również terminy obsługi incydentów poważnych. Wczesne ostrzeżenie należy przekazać nie później niż w ciągu 24 godzin od wykrycia, a zgłoszenie incydentu poważnego – nie później niż w ciągu 72 godzin. Sprawozdanie końcowe składa się co do zasady w ciągu miesiąca od zgłoszenia.
Od czego zacząć wdrożenie wymagań KSC – analiza luk i ocena ryzyka
Pierwszym krokiem powinny być analiza luk i ryzyka, ponieważ bez rozpoznania obecnego stanu organizacja nie wie, które obowiązki już spełnia, a gdzie istnieją braki. Taki przegląd pozwala ustalić priorytety wdrożenia, odpowiedzialności oraz kolejność działań technicznych i organizacyjnych.
Audyt otwierający nie powinien ograniczać się do sprawdzenia polityk zapisanych w dokumentach. Należy porównać deklarowane zasady z rzeczywistym sposobem działania infrastruktury, zespołów i dostawców.
W ramach analizy warto objąć przeglądem przede wszystkim:
- status organizacji: sektor, rodzaj działalności, wielkość podmiotu i zakres systemów wykorzystywanych do świadczenia usług;
- wykaz aktywów: systemy, urządzenia, aplikacje, konta uprzywilejowane, dane, usługi chmurowe i połączenia sieciowe;
- istniejące polityki bezpieczeństwa, instrukcje, procedury oraz rejestry;
- sposób zarządzania dostępami, w tym zasadę minimalnych uprawnień i proces odbierania uprawnień;
- aktualizacje oprogramowania, kopie zapasowe, ochronę antywirusową i monitorowanie środowiska;
- procedury reagowania na incydenty oraz gotowość do zgłoszeń w terminach wymaganych przez ustawę;
- plany ciągłości działania, plany awaryjne i procedury odtworzenia po awarii;
- bezpieczeństwo dostawców oraz zależności w łańcuchu dostaw produktów i usług ICT;
- poziom świadomości personelu oraz sposób dokumentowania szkoleń;
- dowody realizacji działań, np. zapisy operacyjne i dzienniki systemowe.
Ocena ryzyka powinna wskazywać, jakie zdarzenia mogą zagrozić poufności, integralności, dostępności i autentyczności danych lub usług. Następnie organizacja określa środki ograniczające ryzyko oraz osoby odpowiedzialne za ich wdrożenie i kontrolę.
Wyniki analizy luk powinny przełożyć się na plan działań z jasno przypisanymi właścicielami, terminami i dowodami wykonania. ICT Future może wesprzeć ten etap audytem środowiska IT i uporządkowaniem priorytetów, aby działania compliance były powiązane z rzeczywistą infrastrukturą organizacji.
Jak wdrożyć System Zarządzania Bezpieczeństwem Informacji i polityki bezpieczeństwa zgodne z KSC?
SZBI to uporządkowany sposób zarządzania bezpieczeństwem informacji w systemach, które wpływają na świadczenie usług przez podmiot kluczowy. Nie jest to pojedynczy dokument ani jednorazowy projekt, lecz zestaw zasad, procedur, odpowiedzialności i kontroli stosowanych w codziennej działalności.
Ustawa wymaga, aby SZBI obejmował m.in. zarządzanie ryzykiem, ochronę systemów w całym ich cyklu życia, bezpieczeństwo fizyczne, ochronę zasobów ludzkich, ciągłość działania, bezpieczeństwo łańcucha dostaw, monitorowanie, kryptografię, zarządzanie aktywami oraz kontrolę dostępu.
Wdrożenie warto podzielić na praktyczne etapy:
- Ustalenie zakresu SZBI – określenie usług, procesów, systemów i danych, które wpływają na świadczenie usługi.
- Inwentaryzacja aktywów – spisanie wykorzystywanych urządzeń, aplikacji, usług ICT, kont, połączeń i zasobów danych.
- Ocena ryzyka – rozpoznanie zagrożeń, podatności, skutków incydentów i istniejących zabezpieczeń.
- Dobór zabezpieczeń – wdrożenie środków technicznych i organizacyjnych adekwatnych do ryzyka, wielkości organizacji oraz znaczenia świadczonych usług.
- Przygotowanie polityk i procedur – opisanie zasad działania w sposób zrozumiały dla osób, które będą je stosować.
- Wdrożenie operacyjne – konfiguracja kontroli dostępu, backupu, aktualizacji, monitorowania, ochrony sieci i obsługi incydentów.
- Szkolenia personelu i kierownictwa – przekazanie zasad cyberhigieny, zgłaszania problemów i reagowania na incydenty.
- Testowanie oraz przeglądy – sprawdzenie, czy procedury działają w praktyce, a nie wyłącznie na papierze.
- Dokumentowanie działań – przechowywanie dowodów realizacji polityk, w tym zapisów operacyjnych i logów.
Kierownik podmiotu odpowiada za przygotowanie, wdrażanie, stosowanie, przegląd i nadzór nad SZBI. Powierzenie zadań zewnętrznemu dostawcy nie przenosi tej odpowiedzialności z kierownictwa organizacji.
Jakie dokumenty i procedury są wymagane przez ustawę o KSC?
Ustawa wymaga dokumentacji normatywnej i operacyjnej dotyczącej bezpieczeństwa systemów informacyjnych używanych do świadczenia usług. Dokumenty muszą być aktualne, dostępne tylko dla osób upoważnionych, chronione przed utratą i oznaczone wersjami umożliwiającymi śledzenie zmian.
Do kluczowych dokumentów i procedur należą:
- dokumentacja Systemu Zarządzania Bezpieczeństwem Informacji;
- polityka szacowania ryzyka oraz polityka bezpieczeństwa systemu informacyjnego;
- polityki tematyczne, w tym dotyczące kontroli dostępu, kryptografii, zarządzania aktywami i cyberhigieny;
- procedura zarządzania incydentami oraz procedury zgłaszania incydentów poważnych;
- plan ciągłości działania;
- plan awaryjny;
- plan odtworzenia działalności po zdarzeniu przekraczającym własne zdolności odbudowy organizacji;
- dokumentacja techniczna systemów informacyjnych;
- dokumentacja ochrony infrastruktury, obejmująca ocenę stanu ochrony, szacowanie ryzyka i opis zabezpieczeń;
- procedury bezpieczeństwa w procesie nabywania, rozwoju, utrzymania i eksploatacji systemów;
- zasady zarządzania aktualizacjami i podatnościami;
- procedury bezpieczeństwa łańcucha dostaw;
- rejestry i zapisy operacyjne potwierdzające wykonywanie działań, w tym dzienniki systemowe;
- udokumentowane szkolenia kierownika podmiotu oraz osób realizujących zadania w obszarze cyberbezpieczeństwa.
Dokumentację należy przechowywać co najmniej przez 2 lata od jej wycofania z użytkowania lub zakończenia świadczenia usługi, z uwzględnieniem zasad wskazanych w ustawie. ICT Future może pomóc przełożyć wymagania prawne na dokumentację dopasowaną do infrastruktury, procesów i podziału odpowiedzialności w organizacji.
Co powinno oferować kompleksowe wsparcie we wdrożeniu KSC – jak wybrać właściwego partnera?
Kompleksowe wsparcie wdrożenia KSC powinno łączyć kompetencje compliance, cyberbezpieczeństwa i infrastruktury IT. Partner, który przygotuje wyłącznie dokumenty albo tylko skonfiguruje narzędzia, nie zamknie całego zakresu obowiązków wynikających z ustawy.
Przy wyborze firmy wspierającej warto sprawdzić, czy jej oferta obejmuje:
- audyt i analizę luk – identyfikację braków w dokumentacji, procesach, zabezpieczeniach i organizacji pracy;
- ocenę ryzyka – wskazanie zagrożeń, podatności, skutków oraz działań ograniczających ryzyko;
- wdrożenie SZBI i polityk – przygotowanie zasad, procedur i rejestrów możliwych do stosowania przez organizację;
- testy bezpieczeństwa i pentesty – weryfikację podatności systemów, aplikacji i infrastruktury sieciowej;
- wsparcie w obsłudze incydentów – przygotowanie procesu wykrywania, analizy, dokumentowania i zgłaszania incydentów;
- szkolenia z cyberbezpieczeństwa – dla pracowników, osób odpowiedzialnych za IT oraz kierownictwa;
- zarządzanie infrastrukturą – utrzymanie sieci, urządzeń, aktualizacji, dostępów, monitoringu i usług IT;
- backup oraz odtwarzanie danych – wdrożenie kopii zapasowych oraz testów możliwości odtworzenia;
- wsparcie compliance – pomoc w utrzymaniu dokumentacji, przygotowaniu do audytu i realizacji zaleceń.
Rzetelny partner powinien jasno określić zakres odpowiedzialności po obu stronach. Powinien też umieć wykazać, jakie działania zostaną wykonane, jakie dowody ich realizacji pozostaną w organizacji oraz jak będą prowadzone przeglądy po wdrożeniu.
Warto wybierać firmę, która rozumie zależności między bezpieczeństwem a ciągłością działania. Przykładowo, test bezpieczeństwa bez sprawdzonych kopii zapasowych lub planu odtworzenia nie rozwiązuje problemu dostępności usługi po incydencie.
Jak ICT Future wspiera organizacje w spełnieniu wymagań ustawy o KSC?
ICT Future wspiera organizacje w przygotowaniu infrastruktury, procesów i dokumentacji potrzebnych do realizacji wymagań KSC oraz NIS2. Zakres prac może obejmować zarówno etap rozpoznania ryzyka, jak i wdrożenie oraz bieżące utrzymanie środowiska IT.
Wsparcie może obejmować:
- audyty i analizę luk w odniesieniu do wymagań KSC;
- ocenę ryzyka oraz przygotowanie planu działań;
- wdrożenie SZBI i polityk bezpieczeństwa;
- przygotowanie procedur zarządzania incydentami, ciągłością działania i odtwarzaniem;
- pentesty oraz weryfikację podatności;
- szkolenia z cyberbezpieczeństwa dla pracowników i kadry zarządzającej;
- outsourcing IT, serwis IT i administrację infrastrukturą;
- konfigurację oraz zabezpieczenie sieci LAN/Wi-Fi i dostępu do Internetu;
- wdrożenie usług backupu oraz testowanie odtwarzania danych;
- wsparcie compliance i porządkowanie dokumentacji wymaganej w procesie audytowym.
Firma działa we Wrocławiu i na terenie Polski, oferując wsparcie dla małych i średnich przedsiębiorstw, jednostek samorządowych, instytucji kultury, szpitali oraz organizacji z branży gospodarowania odpadami. Indywidualne podejście pozwala dopasować zakres prac do systemów wykorzystywanych przez konkretną organizację, zamiast wdrażać jednolity zestaw dokumentów niezależnie od jej ryzyk.
Dobrze zaplanowane wdrożenie powinno zostawić organizacji działające procesy, uporządkowaną dokumentację i możliwość wykazania zgodności podczas audytu lub kontroli. Jeśli chcesz omówić status swojej organizacji i zakres potrzebnych działań, skontaktuj się z ICT Future w sprawie wstępnej konsultacji.
Najczęstsze pytania o wymagania KSC dla podmiotów kluczowych
Czy każde przedsiębiorstwo musi spełniać wymagania ustawy o KSC?
Nie. Obowiązki dotyczą podmiotów spełniających przesłanki wskazane w ustawie, w tym działających w sektorach kluczowych i ważnych. O statusie decydują rodzaj działalności, wielkość podmiotu albo szczególne kryteria ustawowe.
Czym różni się podmiot kluczowy od podmiotu ważnego w ustawie o KSC?
Podmioty kluczowe należą przede wszystkim do sektorów wskazanych w załączniku nr 1, a podmioty ważne – do sektorów z załącznika nr 2 lub do części podmiotów z sektora kluczowego spełniających inne kryteria. Wobec podmiotów kluczowych ustawa przewiduje nadzór prewencyjny i następczy, a wobec podmiotów ważnych zasadniczo nadzór następczy.
Jakie kary grożą za niespełnienie wymagań KSC?
Dla podmiotu kluczowego kara może wynieść do 10 000 000 euro albo 2% przychodów z działalności gospodarczej w poprzednim roku obrotowym – stosuje się kwotę wyższą. Dla podmiotu ważnego limit wynosi do 7 000 000 euro albo 1,4% przychodów, również z zastosowaniem kwoty wyższej.
Ile czasu zajmuje wdrożenie wymagań KSC w organizacji?
Ustawa przewiduje co do zasady 12 miesięcy na realizację obowiązków od dnia spełnienia przesłanek uznania za podmiot kluczowy lub ważny. Faktyczny czas prac zależy od stanu infrastruktury, istniejącej dokumentacji, liczby systemów i dojrzałości procesów bezpieczeństwa.
Czy ustawa o KSC dotyczy również jednostek samorządowych i szpitali?
Tak. Ustawa obejmuje określone podmioty publiczne, w tym m.in. urzędy gmin zatrudniające co najmniej 50 osób w przeliczeniu na pełny wymiar czasu pracy. Podmioty lecznicze niebędące przedsiębiorcami są podmiotami ważnymi przy zatrudnieniu od 50 do 249 osób, a podmiotami kluczowymi przy zatrudnieniu co najmniej 250 osób.
Jaka jest różnica między KSC a dyrektywą NIS2?
NIS2 to dyrektywa Unii Europejskiej określająca wspólny poziom wymagań cyberbezpieczeństwa dla państw członkowskich. Ustawa o KSC wdraża te wymagania do polskiego prawa i określa krajowe zasady dotyczące podmiotów, obowiązków, zgłaszania incydentów, nadzoru oraz kar.