Kluczowe informacje o kwalifikacji
Uczelnia może wejść w zakres KSC/NIS2 jako podmiot ważny — sektor publiczny.
Czy uczelnia lub inny podmiot szkolnictwa wyższego i nauki podlega KSC/NIS2?
Ten widok pokazuje, jak wielkość organizacji wpływa na prawdopodobny status, jakie pytania warunkowe mogą zmienić wynik oraz jakie obowiązki wchodzą w zakres dla możliwej klasyfikacji. Wszystko poniżej jest liczone z modelu prawnego IRNIS przy publikacji tej strony — nie pisane ręcznie.
sektor: Badania naukowe
średnie przedsiębiorstwo: podmiot ważny — sektor publiczny
duże przedsiębiorstwo: podmiot ważny — sektor publiczny
podmiot nieprowadzący działalności gospodarczej: podmiot ważny — sektor publiczny
źródło: model IRNIS
Ważne:
To jest karta informacyjna i punkt startowy do analizy. Wynik należy potwierdzić na podstawie faktycznej działalności, wielkości organizacji, usług oraz ewentualnych decyzji organów.
Co musicie jeszcze sprawdzić?
Wielkość organizacji, zakres usług, ewentualne wpisy lub decyzje administracyjne oraz obowiązki przypisane do właściwej klasy. Ten rodzaj podmiotu ma też 2 pytania warunkowe — odpowiedź na nie zmienia wynik (sekcja niżej).
Jaki jest kolejny krok?
Przejdźcie przez kwalifikator KSC albo umówcie konsultację z Inteca, aby ustalić zakres obowiązków, dowodów i działań wdrożeniowych.
Status zależny od wielkości organizacji
| Wielkość podmiotu | Klasa | Podstawa |
|---|---|---|
| średnie przedsiębiorstwo | podmiot ważny — sektor publiczny | art. 8 ust. 3 UKSC |
| duże przedsiębiorstwo | podmiot ważny — sektor publiczny | art. 8 ust. 3 UKSC |
| podmiot nieprowadzący działalności gospodarczej | podmiot ważny — sektor publiczny | art. 8 ust. 3 UKSC |
Pełne brzmienie każdej przesłanki cytujemy w sekcji „Z czego wynika ta kwalifikacja?”.
Dodatkowe pytania wpływające na kwalifikację (2)
- warunek koniecznyCzy realizujecie zadanie publiczne z wykorzystaniem systemów informacyjnych?obowiązki zestawione niżej zakładają odpowiedź „tak” na to pytanie — bez niej ten rodzaj podmiotu Was nie obejmuje
- wyłączenieCzy jesteście organizacją badawczą?odpowiedź „tak” wyłącza Was z tego rodzaju podmiotu; zestawienie niżej zakłada, że NIE odpowiadacie na to pytanie
Obowiązki, które mogą Was dotyczyć
Jeśli jesteście podmiotem ważnym z sektora publicznego
Obowiązki z ustawy o KSC i rozporządzenia CIR, które model wiąże z tą klasą.
Ustawa o KSC (UKSC) — 46 obowiązkówwiąże Was wprost — każdy obowiązek prowadzi do ścieżki zgodności
- Zbieranie informacji o cyberzagrożeniach i podatnościach na incydenty systemu informacyjnego wykorzystywanego do świadczenia usługi. OB_KSC_8_1_INFOart. 8 ust. 1 UKSC
- Katalog środków technicznych i organizacyjnych SZBI (pkt 2 lit. a–f, h–k, m, n: polityki ryzyka, cykl życia systemu, bezpieczeństwo fizyczne, zasoby ludzkie, łańcuch dostaw, ciągłość działania, ocena skuteczności, edukacja, cyberhigiena, kryptografia, aktywa, kontrola dostępu) wraz z zarządzaniem incydentami (pkt 4). OB_KSC_8_1_KATALOGart. 8 ust. 1 UKSC
- Objęcie systemu informacyjnego wykorzystywanego do świadczenia usługi systemem monitorowania w trybie ciągłym. OB_KSC_8_1_MONITORINGart. 8 ust. 1 UKSC
- Wdrożenie systemu zarządzania bezpieczeństwem informacji zapewniającego systematyczne szacowanie ryzyka i zarządzanie nim, wdrożenie odpowiednich i proporcjonalnych do ryzyka środków technicznych i organizacyjnych oraz stosowanie środków zapobiegających i ograniczających wpływ incydentów. OB_KSC_8_1_SZBIart. 8 ust. 1 UKSC
- Wdrażając środki bezpieczeństwa łańcucha dostaw, podmiot kluczowy lub podmiot ważny uwzględnia wyniki postępowania, o którym mowa w art. 67b. OB_KSC_8_2_POSTEPOWANIEart. 8 ust. 2 UKSC
- Podmiot ważny publiczny dokumentuje realizację działań wskazanych do realizacji w systemie zarządzania bezpieczeństwem informacji. OB_KSC_8_3_DOKUMENTOWANIEart. 8 ust. 3 UKSC
- Podmiot ważny publiczny dokonuje przeglądu systemu zarządzania bezpieczeństwem informacji bezzwłocznie po wydaniu przez Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa rekomendacji dotyczącej jego systemów informacyjnych, produktów ICT lub usług ICT. OB_KSC_8_3_PRZEGLAD_REKOMENDACJAart. 8 ust. 3 UKSC
- Odbiorca wymienianej informacji dotyczącej cyberbezpieczeństwa udostępnia ją dalej wyłącznie w zakresie określonym przez wytwórcę informacji. OB_KSC_8H_DALSZE_UDOSTEPNIANIEart. 8h UKSC
- Obsługa incydentu i współdziałanie z krajowym systemem cyberbezpieczeństwa: dostęp CSIRT do informacji o incydentach, klasyfikacja incydentów według progów, współdziałanie podczas obsługi, usuwanie podatności z informowaniem organu oraz kanał teleinformatyczny zgłoszeń. OB_KSC_11_1_OBSLUGAart. 11 UKSC
- Podmiot oznacza we wczesnym ostrzeżeniu lub zgłoszeniu informacje stanowiące tajemnice prawnie chronione, w tym tajemnicę przedsiębiorstwa. OB_KSC_12_8_OZNACZANIEart. 12 UKSC
- Realizacja obowiązków rozdziału 3 w terminie 12 miesięcy od dnia spełnienia przesłanek uznania za podmiot kluczowy lub podmiot ważny. OB_KSC_16_1_WDROZENIEart. 16 UKSC
Z czego wynika ta kwalifikacja?
„Podmioty, o których mowa w art. 7 ust. 1 pkt 1–4, 6–7 ustawy z dnia 20 lipca 2018 r. – Prawo o szkolnictwie wyższym i nauce”
Załącznik nr 2 UKSC, sektor „Badania naukowe”. Treść cytowana z modelu, nie przepisywana.
- średnie przedsiębiorstwo: podmiot ważny — sektor publiczny — art. 8 ust. 3 UKSC: „Podmiot ważny będący podmiotem publicznym albo podmiotem, o którym mowa w art. 7 ust. 1 pkt 1–4 i 6–7 ustawy z dnia 20 lipca 2018 r. – Prawo o szkolnictwie wyższym i nauce, niebędącym organizacją badawczą w zakresie, w jakim realizuje zadania publiczne z wykorzystaniem systemów informacyjnych”
- duże przedsiębiorstwo: podmiot ważny — sektor publiczny — art. 8 ust. 3 UKSC: „Podmiot ważny będący podmiotem publicznym albo podmiotem, o którym mowa w art. 7 ust. 1 pkt 1–4 i 6–7 ustawy z dnia 20 lipca 2018 r. – Prawo o szkolnictwie wyższym i nauce, niebędącym organizacją badawczą w zakresie, w jakim realizuje zadania publiczne z wykorzystaniem systemów informacyjnych”
- podmiot nieprowadzący działalności gospodarczej: podmiot ważny — sektor publiczny — art. 8 ust. 3 UKSC: „Podmiot ważny będący podmiotem publicznym albo podmiotem, o którym mowa w art. 7 ust. 1 pkt 1–4 i 6–7 ustawy z dnia 20 lipca 2018 r. – Prawo o szkolnictwie wyższym i nauce, niebędącym organizacją badawczą w zakresie, w jakim realizuje zadania publiczne z wykorzystaniem systemów informacyjnych”
Co dalej?
Przejdźcie od karty podmiotu do działań
Ta karta pokazuje zakres modelowy. Kolejny krok to sprawdzenie obowiązków, porównanie z ISO 27001 albo rozmowa o interpretacji wyniku.
Umówcie konsultację i potwierdźcie, czy ten rodzaj podmiotu pasuje do Waszej organizacji
Inteca pomoże zinterpretować kartę, zweryfikować status podmiotu, wskazać obowiązki i przygotować listę działań do zgodności KSC/NIS2.