Kluczowe informacje o kwalifikacji
Urząd gminy może wejść w zakres KSC/NIS2 jako podmiot kluczowy.
Czy urząd gminy podlega KSC/NIS2?
Ten widok pokazuje, jak wielkość organizacji wpływa na prawdopodobny status, jakie pytania warunkowe mogą zmienić wynik oraz jakie obowiązki wchodzą w zakres dla możliwej klasyfikacji. Wszystko poniżej jest liczone z modelu prawnego IRNIS przy publikacji tej strony — nie pisane ręcznie.
sektor: Podmioty publiczne
każda wielkość: podmiot kluczowy
źródło: model IRNIS
Ważne:
To jest karta informacyjna i punkt startowy do analizy. Wynik należy potwierdzić na podstawie faktycznej działalności, wielkości organizacji, usług oraz ewentualnych decyzji organów.
Co musicie jeszcze sprawdzić?
Wielkość organizacji, zakres usług, ewentualne wpisy lub decyzje administracyjne oraz obowiązki przypisane do właściwej klasy. Ten rodzaj podmiotu ma też 1 pytanie warunkowe — odpowiedź na nie zmienia wynik (sekcja niżej).
Jaki jest kolejny krok?
Przejdźcie przez kwalifikator KSC albo umówcie konsultację z Inteca, aby ustalić zakres obowiązków, dowodów i działań wdrożeniowych.
Status zależny od wielkości organizacji
| Wielkość podmiotu | Klasa | Podstawa |
|---|---|---|
| każda wielkość | podmiot kluczowy | art. 5 UKSC |
„Każda wielkość” oznacza, że przepis nie różnicuje statusu według wielkości organizacji.
Pełne brzmienie każdej przesłanki cytujemy w sekcji „Z czego wynika ta kwalifikacja?”.
Dodatkowe pytania wpływające na kwalifikację (1)
- warunek koniecznyCzy Wasz urząd gminy zatrudnia na dzień 1 stycznia danego roku, w przeliczeniu na pełny wymiar czasu pracy na podstawie umowy o pracę, co najmniej 50 osób?obowiązki zestawione niżej zakładają odpowiedź „tak” na to pytanie — bez niej ten rodzaj podmiotu Was nie obejmuje
Czy istnieje szczególny warunek prawny, który wyłącza tę organizację z tej kwalifikacji? (7)
- przepis szczególnyPodmiot publiczny (art. 16d ustawy) — przepis szczególny wskazuje ten rodzaj podmiotu — jego obowiązki dochodzą do zestawienia niżej, gdy warunek jest spełniony.Adresaci przepisu: „Podmiot publiczny” (art. 16d UKSC)
- przepis szczególnyPodmiot publiczny (art. 8 ust. 4 ustawy) — przepis szczególny wskazuje ten rodzaj podmiotu — jego obowiązki dochodzą do zestawienia niżej, gdy warunek jest spełniony.Adresaci przepisu: „Podmiot publiczny” (art. 8 ust. 4 UKSC)
- przepis szczególnyJednostka samorządu terytorialnego (wspólna obsługa, art. 16e ust. 5) — przepis szczególny wskazuje ten rodzaj podmiotu — jego obowiązki dochodzą do zestawienia niżej, gdy warunek jest spełniony.Adresaci przepisu: „Jednostka samorządu terytorialnego” (art. 16e UKSC)
- przepis szczególnyJednostki samorządu terytorialnego (porozumienie, art. 16e ust. 6) — przepis szczególny wskazuje ten rodzaj podmiotu — jego obowiązki dochodzą do zestawienia niżej, gdy warunek jest spełniony.Adresaci przepisu: „Jednostki samorządu terytorialnego” (art. 16e UKSC)
- przepis szczególnyJST, której powierzono realizację obowiązków — przepis szczególny wskazuje ten rodzaj podmiotu — jego obowiązki dochodzą do zestawienia niżej, gdy warunek jest spełniony.Adresaci przepisu: „Jednostka samorządu terytorialnego, której powierzono realizację obowiązków, o których mowa w art. 7b ust. 4, art. 7c, art. 7f ust. 3, art. 8, art. 8c– 8f, art. 8h, art. 9–12b lub art. 15” (art. 16e UKSC)Warunek: powierzono realizację obowiązków innej jednostce samorządu terytorialnego
- przepis szczególnyJednostka wyznaczona (art. 16e ustawy) — przepis szczególny wskazuje ten rodzaj podmiotu — jego obowiązki dochodzą do zestawienia niżej, gdy warunek jest spełniony.Adresaci przepisu: „Jednostka wyznaczona, o której mowa w art. 16e” (art. 16h UKSC)Warunek: jest jednostką wyznaczoną w rozumieniu art. 16e ustawy
- przepis szczególnyPodmiot publiczny obsługiwany przez jednostkę wyznaczoną (art. 16f) — przepis szczególny wskazuje ten rodzaj podmiotu — jego obowiązki dochodzą do zestawienia niżej, gdy warunek jest spełniony.Adresaci przepisu: „Podmioty publiczne, dla których jednostka wyznaczona realizuje obowiązki z zakresu cyberbezpieczeństwa” (art. 16f UKSC)Warunek: jednostka wyznaczona realizuje dla niego obowiązki z zakresu cyberbezpieczeństwa (art. 16e ustawy)
Obowiązki, które mogą Was dotyczyć
Jeśli jesteście podmiotem kluczowym
Obowiązki z ustawy o KSC i rozporządzenia CIR, które model wiąże z tą klasą.
Ustawa o KSC (UKSC) — 48 obowiązkówwiąże Was wprost — każdy obowiązek prowadzi do ścieżki zgodności
- Zbieranie informacji o cyberzagrożeniach i podatnościach na incydenty systemu informacyjnego wykorzystywanego do świadczenia usługi. OB_KSC_8_1_INFOart. 8 ust. 1 UKSC
- Katalog środków technicznych i organizacyjnych SZBI (pkt 2 lit. a–f, h–k, m, n: polityki ryzyka, cykl życia systemu, bezpieczeństwo fizyczne, zasoby ludzkie, łańcuch dostaw, ciągłość działania, ocena skuteczności, edukacja, cyberhigiena, kryptografia, aktywa, kontrola dostępu) wraz z zarządzaniem incydentami (pkt 4). OB_KSC_8_1_KATALOGart. 8 ust. 1 UKSC
- Objęcie systemu informacyjnego wykorzystywanego do świadczenia usługi systemem monitorowania w trybie ciągłym. OB_KSC_8_1_MONITORINGart. 8 ust. 1 UKSC
- Wdrożenie systemu zarządzania bezpieczeństwem informacji zapewniającego systematyczne szacowanie ryzyka i zarządzanie nim, wdrożenie odpowiednich i proporcjonalnych do ryzyka środków technicznych i organizacyjnych oraz stosowanie środków zapobiegających i ograniczających wpływ incydentów. OB_KSC_8_1_SZBIart. 8 ust. 1 UKSC
- Wdrażając środki bezpieczeństwa łańcucha dostaw, podmiot kluczowy lub podmiot ważny uwzględnia wyniki postępowania, o którym mowa w art. 67b. OB_KSC_8_2_POSTEPOWANIEart. 8 ust. 2 UKSC
- Odbiorca wymienianej informacji dotyczącej cyberbezpieczeństwa udostępnia ją dalej wyłącznie w zakresie określonym przez wytwórcę informacji. OB_KSC_8H_DALSZE_UDOSTEPNIANIEart. 8h UKSC
- Obsługa incydentu i współdziałanie z krajowym systemem cyberbezpieczeństwa: dostęp CSIRT do informacji o incydentach, klasyfikacja incydentów według progów, współdziałanie podczas obsługi, usuwanie podatności z informowaniem organu oraz kanał teleinformatyczny zgłoszeń. OB_KSC_11_1_OBSLUGAart. 11 UKSC
- Podmiot oznacza we wczesnym ostrzeżeniu lub zgłoszeniu informacje stanowiące tajemnice prawnie chronione, w tym tajemnicę przedsiębiorstwa. OB_KSC_12_8_OZNACZANIEart. 12 UKSC
- Realizacja obowiązków rozdziału 3 w terminie 12 miesięcy od dnia spełnienia przesłanek uznania za podmiot kluczowy lub podmiot ważny. OB_KSC_16_1_WDROZENIEart. 16 UKSC
- Zapewnienie przeprowadzenia audytu po raz pierwszy w terminie 24 miesięcy od dnia spełnienia przesłanek uznania za podmiot kluczowy. OB_KSC_16_2_PIERWSZY_AUDYTart. 16 UKSC
- Jeżeli jednostka samorządu terytorialnego korzysta z uprawnienia do zapewnienia wspólnej obsługi realizacji obowiązków cyberbezpieczeństwa, do wyznaczenia jednostki obsługującej i obsługiwanej stosuje odpowiednio przepisy ustaw samorządowych o wspólnej obsłudze. OB_KSC_16E_WSPOLNA_OBSLUGAart. 16e UKSC
Z czego wynika ta kwalifikacja?
„4) w odniesieniu do samorządu gminy: urząd gminy, jeżeli zatrudnia na dzień 1 stycznia danego roku w przeliczeniu na pełny wymiar czasu pracy na podstawie umowy o pracę co najmniej 50 osób”
Załącznik nr 1 UKSC, sektor „Podmioty publiczne”. Treść cytowana z modelu, nie przepisywana.
- każda wielkość: podmiot kluczowy — art. 5 UKSC: „podmiot publiczny wskazany w załączniku nr 1 do ustawy w sektorze podmioty publiczne”
Co dalej?
Przejdźcie od karty podmiotu do działań
Ta karta pokazuje zakres modelowy. Kolejny krok to sprawdzenie obowiązków, porównanie z ISO 27001 albo rozmowa o interpretacji wyniku.
Umówcie konsultację i potwierdźcie, czy ten rodzaj podmiotu pasuje do Waszej organizacji
Inteca pomoże zinterpretować kartę, zweryfikować status podmiotu, wskazać obowiązki i przygotować listę działań do zgodności KSC/NIS2.