Kluczowe informacje o kwalifikacji
MSSP może wejść w zakres KSC/NIS2 jako podmiot kluczowy.
Czy dostawca usług zarządzanych cyberbezpieczeństwa (MSSP) podlega KSC/NIS2?
Ten widok pokazuje, jak wielkość organizacji wpływa na prawdopodobny status, jakie pytania warunkowe mogą zmienić wynik oraz jakie obowiązki wchodzą w zakres dla możliwej klasyfikacji. Wszystko poniżej jest liczone z modelu prawnego IRNIS przy publikacji tej strony — nie pisane ręcznie.
sektor: Zarządzanie usługami ICT
małe przedsiębiorstwo: podmiot kluczowy
średnie przedsiębiorstwo: podmiot kluczowy
duże przedsiębiorstwo: podmiot kluczowy
stosujecie też CIR
źródło: model IRNIS
Ważne:
To jest karta informacyjna i punkt startowy do analizy. Wynik należy potwierdzić na podstawie faktycznej działalności, wielkości organizacji, usług oraz ewentualnych decyzji organów.
Co musicie jeszcze sprawdzić?
Wielkość organizacji, zakres usług, ewentualne wpisy lub decyzje administracyjne oraz obowiązki przypisane do właściwej klasy.
Jaki jest kolejny krok?
Przejdźcie przez kwalifikator KSC albo umówcie konsultację z Inteca, aby ustalić zakres obowiązków, dowodów i działań wdrożeniowych.
Status zależny od wielkości organizacji
| Wielkość podmiotu | Klasa | Podstawa |
|---|---|---|
| małe przedsiębiorstwo | podmiot kluczowy | art. 5 UKSC |
| średnie przedsiębiorstwo | podmiot kluczowy | art. 5 UKSC |
| duże przedsiębiorstwo | podmiot kluczowy | art. 5 UKSC |
Pełne brzmienie każdej przesłanki cytujemy w sekcji „Z czego wynika ta kwalifikacja?”.
Czy istnieje szczególny warunek prawny, który wyłącza tę organizację z tej kwalifikacji? (5)
- przepis szczególnyPodmiot cyfrowy z art. 26 ust. 1 lit. b) dyrektywy NIS2 — przepis szczególny wskazuje ten rodzaj podmiotu — jego obowiązki dochodzą do zestawienia niżej, gdy warunek jest spełniony.Adresaci przepisu: „podmiot, o którym mowa w ust. 1 lit. b)” (art. 26 NIS2)
- przepis szczególnyPodmiot cyfrowy z art. 5a ust. 3 ustawy — przepis szczególny wskazuje ten rodzaj podmiotu — jego obowiązki dochodzą do zestawienia niżej, gdy warunek jest spełniony.Adresaci przepisu: „Podmiot, o którym mowa w ust. 3” (art. 5a UKSC)
- przepis szczególnyDziesięć rodzajów dostawców cyfrowych (art. 8b ust. 1 ustawy) — przepis szczególny wskazuje ten rodzaj podmiotu — jego obowiązki dochodzą do zestawienia niżej, gdy warunek jest spełniony.Adresaci przepisu: „Dostawcy usług DNS, rejestry nazw domen najwyższego poziomu (TLD), dostawcy usług chmurowych, dostawcy usługi centrum przetwarzania danych, dostawcy sieci dostarczania treści, dostawcy usług zarządzanych, dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa, dostawcy internetowych platform handlowych, dostawcy wyszukiwarek internetowych oraz dostawcy platform usług sieci społecznościowych” (art. 8b UKSC)
- przepis szczególnyMSSP świadczący usługę obsługi incydentów — przepis szczególny wskazuje ten rodzaj podmiotu — jego obowiązki dochodzą do zestawienia niżej, gdy warunek jest spełniony.Adresaci przepisu: „Podmiot kluczowy będący dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa świadczącym usługę obsługi incydentów” (art. 8g UKSC)Warunek: świadczy usługę obsługi incydentów
- wyłączeniePodmiot kluczowy lub ważny inny niż dostawca cyfrowy z art. 8b ust. 1 — przepis szczególny wyłącza ten rodzaj podmiotu ze swojego zakresu.Adresaci przepisu: „podmioty kluczowe lub podmioty ważne, inne niż określone w ust. 1” (art. 8b UKSC)
Obowiązki, które mogą Was dotyczyć
Model wskazuje, że na podstawie przepisu szczególnego „Dziesięć rodzajów dostawców cyfrowych (art. 8b ust. 1 ustawy)” stosujecie też CIR — jego obowiązki są uwzględnione w zestawieniach niżej, o ile silnik zasięgu je zwraca.
Jeśli jesteście podmiotem kluczowym (małe przedsiębiorstwo)
Obowiązki z ustawy o KSC i rozporządzenia CIR, które model wiąże z tą klasą.
Ustawa o KSC (UKSC) — 46 obowiązkówwiąże Was wprost — każdy obowiązek prowadzi do ścieżki zgodności
- Zbieranie informacji o cyberzagrożeniach i podatnościach na incydenty systemu informacyjnego wykorzystywanego do świadczenia usługi. OB_KSC_8_1_INFOart. 8 ust. 1 UKSC
- Katalog środków technicznych i organizacyjnych SZBI (pkt 2 lit. a–f, h–k, m, n: polityki ryzyka, cykl życia systemu, bezpieczeństwo fizyczne, zasoby ludzkie, łańcuch dostaw, ciągłość działania, ocena skuteczności, edukacja, cyberhigiena, kryptografia, aktywa, kontrola dostępu) wraz z zarządzaniem incydentami (pkt 4). OB_KSC_8_1_KATALOGart. 8 ust. 1 UKSC
- Objęcie systemu informacyjnego wykorzystywanego do świadczenia usługi systemem monitorowania w trybie ciągłym. OB_KSC_8_1_MONITORINGart. 8 ust. 1 UKSC
- Wdrożenie systemu zarządzania bezpieczeństwem informacji zapewniającego systematyczne szacowanie ryzyka i zarządzanie nim, wdrożenie odpowiednich i proporcjonalnych do ryzyka środków technicznych i organizacyjnych oraz stosowanie środków zapobiegających i ograniczających wpływ incydentów. OB_KSC_8_1_SZBIart. 8 ust. 1 UKSC
- Wdrażając środki bezpieczeństwa łańcucha dostaw, podmiot kluczowy lub podmiot ważny uwzględnia wyniki postępowania, o którym mowa w art. 67b. OB_KSC_8_2_POSTEPOWANIEart. 8 ust. 2 UKSC
- Odbiorca wymienianej informacji dotyczącej cyberbezpieczeństwa udostępnia ją dalej wyłącznie w zakresie określonym przez wytwórcę informacji. OB_KSC_8H_DALSZE_UDOSTEPNIANIEart. 8h UKSC
- Obsługa incydentu i współdziałanie z krajowym systemem cyberbezpieczeństwa: dostęp CSIRT do informacji o incydentach, klasyfikacja incydentów według progów, współdziałanie podczas obsługi, usuwanie podatności z informowaniem organu oraz kanał teleinformatyczny zgłoszeń. OB_KSC_11_1_OBSLUGAart. 11 UKSC
- Podmiot oznacza we wczesnym ostrzeżeniu lub zgłoszeniu informacje stanowiące tajemnice prawnie chronione, w tym tajemnicę przedsiębiorstwa. OB_KSC_12_8_OZNACZANIEart. 12 UKSC
- Realizacja obowiązków rozdziału 3 w terminie 12 miesięcy od dnia spełnienia przesłanek uznania za podmiot kluczowy lub podmiot ważny. OB_KSC_16_1_WDROZENIEart. 16 UKSC
- Zapewnienie przeprowadzenia audytu po raz pierwszy w terminie 24 miesięcy od dnia spełnienia przesłanek uznania za podmiot kluczowy. OB_KSC_16_2_PIERWSZY_AUDYTart. 16 UKSC
Rozporządzenie wykonawcze CIR 2024/2690 — 16 obowiązkówwiąże wprost dostawców cyfrowych — każdy obowiązek prowadzi do ścieżki zgodności
- Odpowiednie podmioty ustanawiają politykę bezpieczeństwa sieci i systemów informatycznych o zawartości określonej w pkt 1.1.1, poddają ją przeglądowi i aktualizacji oraz określają, przydzielają i przeglądają funkcje, obowiązki i uprawnienia w zakresie tego bezpieczeństwa (doprecyzowanie art. 21 ust. 2 lit. a NIS2). OB_CIR_ZAL_1załącznik pkt 1 CIR 2024/2690
- Odpowiednie podmioty obsługują incydenty zgodnie z wymogami załącznika pkt 3: ustanawiają i utrzymują politykę obsługi incydentów, monitorują i rejestrują działania w sieciach i systemach informatycznych, umożliwiają zgłaszanie zdarzeń, oceniają i klasyfikują zdarzenia, reagują na incydenty oraz przeprowadzają przeglądy po ich wystąpieniu. OB_CIR_ZAL_3załącznik pkt 3 CIR 2024/2690
- Odpowiednie podmioty zapewniają ciągłość działania i zarządzanie kryzysowe: określają i utrzymują plan ciągłości działania i przywrócenia normalnego działania oparty na ocenie ryzyka i analizie wpływu na działalność, zarządzają kopiami zapasowymi i redundancją wraz z testami odzyskiwania oraz wprowadzają proces zarządzania kryzysowego. OB_CIR_ZAL_4załącznik pkt 4 CIR 2024/2690
- Odpowiednie podmioty ustanawiają, wdrażają i stosują politykę bezpieczeństwa łańcucha dostaw (kryteria wyboru dostawców i usługodawców, klauzule umowne, przegląd i monitorowanie), a także prowadzą i aktualizują rejestr bezpośrednich dostawców i usługodawców (doprecyzowanie art. 21 ust. 2 lit. d NIS2). OB_CIR_ZAL_5załącznik pkt 5 CIR 2024/2690
- Odpowiednie podmioty ustanawiają, wdrażają i stosują politykę i procedury oceny, czy środki zarządzania ryzykiem w cyberbezpieczeństwie są skutecznie wdrażane i utrzymywane (parametry monitorowania i pomiaru lit. a–f), oraz dokonują ich przeglądu i aktualizacji. OB_CIR_ZAL_7załącznik pkt 7 CIR 2024/2690
- Odpowiednie podmioty klasyfikują aktywa według poziomów klauzuli tajności, ustanawiają i stosują polityki postępowania z aktywami oraz zarządzania nośnikami wymiennymi, prowadzą kompletny wykaz aktywów oraz zapewniają zdeponowanie, zwrot lub usunięcie aktywów po zakończeniu zatrudnienia. OB_CIR_ZAL_12załącznik pkt 12 CIR 2024/2690
Jeśli jesteście podmiotem kluczowym (średnie przedsiębiorstwo, duże przedsiębiorstwo)
Obowiązki z ustawy o KSC i rozporządzenia CIR, które model wiąże z tą klasą.
Ustawa o KSC (UKSC) — 45 obowiązkówwiąże Was wprost — każdy obowiązek prowadzi do ścieżki zgodności
- Zbieranie informacji o cyberzagrożeniach i podatnościach na incydenty systemu informacyjnego wykorzystywanego do świadczenia usługi. OB_KSC_8_1_INFOart. 8 ust. 1 UKSC
- Katalog środków technicznych i organizacyjnych SZBI (pkt 2 lit. a–f, h–k, m, n: polityki ryzyka, cykl życia systemu, bezpieczeństwo fizyczne, zasoby ludzkie, łańcuch dostaw, ciągłość działania, ocena skuteczności, edukacja, cyberhigiena, kryptografia, aktywa, kontrola dostępu) wraz z zarządzaniem incydentami (pkt 4). OB_KSC_8_1_KATALOGart. 8 ust. 1 UKSC
- Objęcie systemu informacyjnego wykorzystywanego do świadczenia usługi systemem monitorowania w trybie ciągłym. OB_KSC_8_1_MONITORINGart. 8 ust. 1 UKSC
- Wdrożenie systemu zarządzania bezpieczeństwem informacji zapewniającego systematyczne szacowanie ryzyka i zarządzanie nim, wdrożenie odpowiednich i proporcjonalnych do ryzyka środków technicznych i organizacyjnych oraz stosowanie środków zapobiegających i ograniczających wpływ incydentów. OB_KSC_8_1_SZBIart. 8 ust. 1 UKSC
- Wdrażając środki bezpieczeństwa łańcucha dostaw, podmiot kluczowy lub podmiot ważny uwzględnia wyniki postępowania, o którym mowa w art. 67b. OB_KSC_8_2_POSTEPOWANIEart. 8 ust. 2 UKSC
- Odbiorca wymienianej informacji dotyczącej cyberbezpieczeństwa udostępnia ją dalej wyłącznie w zakresie określonym przez wytwórcę informacji. OB_KSC_8H_DALSZE_UDOSTEPNIANIEart. 8h UKSC
- Obsługa incydentu i współdziałanie z krajowym systemem cyberbezpieczeństwa: dostęp CSIRT do informacji o incydentach, klasyfikacja incydentów według progów, współdziałanie podczas obsługi, usuwanie podatności z informowaniem organu oraz kanał teleinformatyczny zgłoszeń. OB_KSC_11_1_OBSLUGAart. 11 UKSC
- Podmiot oznacza we wczesnym ostrzeżeniu lub zgłoszeniu informacje stanowiące tajemnice prawnie chronione, w tym tajemnicę przedsiębiorstwa. OB_KSC_12_8_OZNACZANIEart. 12 UKSC
- Realizacja obowiązków rozdziału 3 w terminie 12 miesięcy od dnia spełnienia przesłanek uznania za podmiot kluczowy lub podmiot ważny. OB_KSC_16_1_WDROZENIEart. 16 UKSC
- Zapewnienie przeprowadzenia audytu po raz pierwszy w terminie 24 miesięcy od dnia spełnienia przesłanek uznania za podmiot kluczowy. OB_KSC_16_2_PIERWSZY_AUDYTart. 16 UKSC
Rozporządzenie wykonawcze CIR 2024/2690 — 16 obowiązkówwiąże wprost dostawców cyfrowych — każdy obowiązek prowadzi do ścieżki zgodności
- Odpowiednie podmioty ustanawiają politykę bezpieczeństwa sieci i systemów informatycznych o zawartości określonej w pkt 1.1.1, poddają ją przeglądowi i aktualizacji oraz określają, przydzielają i przeglądają funkcje, obowiązki i uprawnienia w zakresie tego bezpieczeństwa (doprecyzowanie art. 21 ust. 2 lit. a NIS2). OB_CIR_ZAL_1załącznik pkt 1 CIR 2024/2690
- Odpowiednie podmioty obsługują incydenty zgodnie z wymogami załącznika pkt 3: ustanawiają i utrzymują politykę obsługi incydentów, monitorują i rejestrują działania w sieciach i systemach informatycznych, umożliwiają zgłaszanie zdarzeń, oceniają i klasyfikują zdarzenia, reagują na incydenty oraz przeprowadzają przeglądy po ich wystąpieniu. OB_CIR_ZAL_3załącznik pkt 3 CIR 2024/2690
- Odpowiednie podmioty zapewniają ciągłość działania i zarządzanie kryzysowe: określają i utrzymują plan ciągłości działania i przywrócenia normalnego działania oparty na ocenie ryzyka i analizie wpływu na działalność, zarządzają kopiami zapasowymi i redundancją wraz z testami odzyskiwania oraz wprowadzają proces zarządzania kryzysowego. OB_CIR_ZAL_4załącznik pkt 4 CIR 2024/2690
- Odpowiednie podmioty ustanawiają, wdrażają i stosują politykę bezpieczeństwa łańcucha dostaw (kryteria wyboru dostawców i usługodawców, klauzule umowne, przegląd i monitorowanie), a także prowadzą i aktualizują rejestr bezpośrednich dostawców i usługodawców (doprecyzowanie art. 21 ust. 2 lit. d NIS2). OB_CIR_ZAL_5załącznik pkt 5 CIR 2024/2690
- Odpowiednie podmioty ustanawiają, wdrażają i stosują politykę i procedury oceny, czy środki zarządzania ryzykiem w cyberbezpieczeństwie są skutecznie wdrażane i utrzymywane (parametry monitorowania i pomiaru lit. a–f), oraz dokonują ich przeglądu i aktualizacji. OB_CIR_ZAL_7załącznik pkt 7 CIR 2024/2690
- Odpowiednie podmioty klasyfikują aktywa według poziomów klauzuli tajności, ustanawiają i stosują polityki postępowania z aktywami oraz zarządzania nośnikami wymiennymi, prowadzą kompletny wykaz aktywów oraz zapewniają zdeponowanie, zwrot lub usunięcie aktywów po zakończeniu zatrudnienia. OB_CIR_ZAL_12załącznik pkt 12 CIR 2024/2690
Z czego wynika ta kwalifikacja?
„Dostawca usług zarządzanych w zakresie cyberbezpieczeństwa”
Załącznik nr 1 UKSC, sektor „Zarządzanie usługami ICT”. Treść cytowana z modelu, nie przepisywana.
- małe przedsiębiorstwo: podmiot kluczowy — art. 5 UKSC: „dostawca usług zarządzanych w zakresie cyberbezpieczeństwa, który co najmniej spełnia wymogi dla małego albo średniego przedsiębiorcy określone w art. 2 ust. 1 załącznika I do rozporządzenia 651/2014/UE lub je przewyższa”
- średnie przedsiębiorstwo: podmiot kluczowy — art. 5 UKSC: „dostawca usług zarządzanych w zakresie cyberbezpieczeństwa, który co najmniej spełnia wymogi dla małego albo średniego przedsiębiorcy określone w art. 2 ust. 1 załącznika I do rozporządzenia 651/2014/UE lub je przewyższa”
- duże przedsiębiorstwo: podmiot kluczowy — art. 5 UKSC: „dostawca usług zarządzanych w zakresie cyberbezpieczeństwa, który co najmniej spełnia wymogi dla małego albo średniego przedsiębiorcy określone w art. 2 ust. 1 załącznika I do rozporządzenia 651/2014/UE lub je przewyższa”
Co dalej?
Przejdźcie od karty podmiotu do działań
Ta karta pokazuje zakres modelowy. Kolejny krok to sprawdzenie obowiązków, porównanie z ISO 27001 albo rozmowa o interpretacji wyniku.
Umówcie konsultację i potwierdźcie, czy ten rodzaj podmiotu pasuje do Waszej organizacji
Inteca pomoże zinterpretować kartę, zweryfikować status podmiotu, wskazać obowiązki i przygotować listę działań do zgodności KSC/NIS2.