Ścieżka zgodności · CIR 2024/2690
Bezpieczeństwo fizyczne i środowiskowe — jak spełnić załącznik pkt 13 CIR 2024/2690 krok po kroku
Odpowiednie podmioty zapobiegają awariom i zakłóceniom usług pomocniczych (zasilanie, telekomunikacja, chłodzenie), chronią sieci i systemy informatyczne przed zagrożeniami fizycznymi i środowiskowymi w oparciu o ocenę ryzyka, zapobiegają nieuprawnionemu fizycznemu dostępowi i monitorują go (granice bezpieczeństwa, kontrole wejścia, zabezpieczenia obiektów) oraz cyklicznie testują, przeglądają i aktualizują te środki. Poniżej ta norma rozłożona na warstwy: wymagania → kontrole standardów → rozwiązania, a przy każdym wymaganiu rezultat NIST CSF 2.0, któremu ono służy. Zacznijcie od pytania, czy ten obowiązek Was wiąże — odpowiedź jest pierwszą sekcją pod spodem.
Krok zero
Kogo wiąże ten obowiązek?
Zanim przeczytacie choć jedno wymaganie — sprawdźcie, czy ta ścieżka jest Wasza. Odpowiedź nie jest pisana ręcznie: wynika z zakresu obowiązku zapisanego w modelu prawnym.
Dostawcy cyfrowi z art. 8b ust. 1 UKSC
Dostawcy usług DNS, rejestry nazw domen najwyższego poziomu (TLD), dostawcy usług chmurowych, dostawcy usługi centrum przetwarzania danych, dostawcy sieci dostarczania treści, dostawcy usług zarządzanych, dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa, dostawcy internetowych platform handlowych, dostawcy wyszukiwarek internetowych oraz dostawcy platform usług sieci społecznościowych. Dla Was rozporządzenie CIR 2024/2690 jest obowiązkiem — ta ścieżka to Wasza lista zadań.
Pozostałe podmioty kluczowe i ważne
CIR Was nie obowiązuje — art. 8b ust. 2 UKSC odsyła do przyszłych aktów wykonawczych Komisji Europejskiej dla Waszego rodzaju podmiotu. Wasz wiążący obowiązek to art. 8b ust. 2 UKSC — tę ścieżkę czytajcie jako sprawdzony wzorzec, nie jako listę wymagań audytora.
Sprawdźcie swój rodzaj podmiotu
Klasa podmiotu to nie wszystko — decyduje rodzaj podmiotu, sektor i wielkość. Kwalifikator KSC wskaże Wasz rodzaj, a wynik powie wprost, czy ten obowiązek jest w Waszym katalogu.
Ten blok wygląda tak samo na każdej ścieżce: obowiązek z UKSC pokaże tu klasy podmiotów (kluczowy / ważny / publiczny), obowiązek z CIR — dostawców cyfrowych. Dyrektywa NIS2 nie ma własnych ścieżek — pokazujemy ją niżej, jako źródło obowiązku.
Skąd ten obowiązek
Zdanie dyrektywy i akty, które je wypełniają
Dyrektywa NIS2 wiąże państwa, nie Was — dlatego nie ma osobnej ścieżki. Konkrety dopisały akty, które ją wykonują — ten, na którym jesteście, i jego krajowe odbicie.
Art. 21 ust. 2 lit. c, e, i NIS2
Środki zarządzania ryzykiem obejmują: lit. c ciągłość działania, np. zarządzanie kopiami zapasowymi i przywracanie normalnego działania po wystąpieniu sytuacji nadzwyczajnej, i zarządzanie kryzysowe. lit. e bezpieczeństwo w procesie nabywania, rozwoju i utrzymania sieci i systemów informatycznych, w tym postępowanie w przypadku podatności i ich ujawnianie. lit. i bezpieczeństwo zasobów ludzkich, politykę kontroli dostępu i zarządzanie aktywami.
Tyle mówi dyrektywa. Co konkretnie zrobić — mówią akty obok. Treść cytowana z modelu, nie przepisywana.
Załącznik pkt 13 CIR 2024/2690
„13.1.1. Do celów art. 21 ust. 2 lit. c) dyrektywy (UE) 2022/2555 odpowiednie podmioty zapobiegają utracie, uszkodzeniu lub narażeniu na szwank sieci i systemów informatycznych lub przerwie w działaniu sieci i systemów informatycznych ze względu na awarię i zakłócenia usług pomocniczych. 13.1.2. W tym celu odpowiednie…"
Komisja Europejska rozpisała lit. c, lit. e, lit. i na 20 wymagań wiążących — ale tylko dla dostawców cyfrowych z art. 8b ust. 1 UKSC. To jest ścieżka, na której jesteście. Treść cytowana z modelu, nie pisana.
Te same przepisy w ustawie o KSC
Polska przeniosła te same przepisy do ustawy — tam wiążą one podmioty w klasach z zakresu każdego z tych obowiązków, także dostawców cyfrowych.
- Katalog środków bezpieczeństwa SZBI (art. 8 ust. 1 UKSC · kluczowy i ważny)
- Środki bezpieczeństwa podmiotu publicznego (art. 8 ust. 3) (art. 8 ust. 3 UKSC · tylko ważny (sektor publiczny))
- Ponowna weryfikacja niekaralności (art. 8f UKSC · kluczowy i ważny)
- Weryfikacja niekaralności (art. 8f UKSC · kluczowy i ważny)
Przebieg ścieżki
Od rozporządzenia do narzędzia i szablonu
Diagram pokazuje jedną nitkę ścieżki — wymaganie 9 z 20 wiążących — w komplecie warstw. Tabela niżej rozwija pozostałe wymagania.
przepis
obowiązek
wymaganie
rezultat NIST CSF
kontrola standardu
rozwiązanie
Diagram wygenerowany z żywego modelu IRNIS przy publikacji tej strony.
Warstwa wymagań i kontroli
Wymagania tego obowiązku i ich odpowiedniki w standardach
Każdy wiersz to jedno atomowe wymaganie — dokładnie w brzmieniu z modelu, o które zapyta audytor — z kontrolami, na które mapuje je model, i rozwiązaniami referencyjnymi, które te kontrole realizują. Wiersze pogrupowane po charakterze wymagania.
| Wymaganie (brzmienie z modelu) | Charakter | Kontrole standardów | Rezultat NIST CSF 2.0 |
|---|---|---|---|
| Organizacja i politykiwymagania wiążące — organizacyjne | |||
| Podmiot rozważa stosowanie redundancji w usługach pomocniczych. | organizacyjne | ENISA TIG · 13.1.2-03 ISO 27001 · A.8.14 → Szablon: Plan ciągłości działania z BIA |
PR.IR-03 |
| Procesy i procedurywymagania wiążące — proceduralne | |||
| Podmiot testuje, przegląda oraz, w razie potrzeby, aktualizuje środki ochrony przed awariami i zakłóceniami usług pomocniczych, zarówno cyklicznie, jak i po wystąpieniu poważnych incydentów lub istotnych zmian w działalności lub poziomie ryzyka. | proceduralne | ENISA TIG · 13.1.3-01 ENISA TIG · 13.1.3-02 ISO 27001 · A.7.11 ISO 27001 · 9.1 → CISO Assistant · Probo · Szablon: Metodyka zarządzania ryzykiem |
ID.IM-02 ID.IM-03 |
| Podmiot określa minimalne i maksymalne progi kontroli zagrożeń fizycznych i środowiskowych. | proceduralne | ISO 27001 · A.7.5 brak rozwiązania referencyjnego w modelu |
DE.CM-02 PR.IR-02 |
| Podmiot testuje, przegląda oraz, w razie potrzeby, aktualizuje środki ochrony przed zagrożeniami fizycznymi i środowiskowymi, zarówno cyklicznie, jak i po wystąpieniu poważnych incydentów lub istotnych zmian w działalności lub poziomie ryzyka. | proceduralne | ENISA TIG · 13.2.3-01 ISO 27001 · A.7.5 ISO 27001 · 9.1 → CISO Assistant · Probo · Szablon: Metodyka zarządzania ryzykiem |
ID.IM-02 ID.IM-03 |
| Podmiot testuje, przegląda oraz, w razie potrzeby, aktualizuje środki kontroli dostępu fizycznego, zarówno cyklicznie, jak i po wystąpieniu poważnych incydentów lub istotnych zmian w działalności lub poziomie ryzyka. | proceduralne | ENISA TIG · 13.3.3-01 ENISA TIG · 13.3.3-02 ENISA TIG · 13.3.3-03 ISO 27001 · 9.1 → CISO Assistant · Probo · Szablon: Metodyka zarządzania ryzykiem |
ID.IM-02 ID.IM-03 |
| Umowy z dostawcamiwymagania wiążące — kontraktowe | |||
| Podmiot zawiera umowy na dostawy awaryjne odpowiednich usług, takich jak paliwo do awaryjnego zasilania. | kontraktowe | ENISA TIG · 13.1.2-03 ISO 27001 · A.7.11 brak rozwiązania referencyjnego w modelu |
GV.SC-05 PR.IR-03 |
| Technikawymagania wiążące — techniczne | |||
| Podmiot monitoruje usługi pomocnicze w zakresie energii elektrycznej i telekomunikacji służące do przesyłu danych lub sieci i systemów informatycznych i zgłasza właściwemu personelowi wewnętrznemu lub zewnętrznemu zdarzenia mające wpływ na te usługi, wykraczające poza minimalne i maksymalne progi kontrolne. | techniczne | ENISA TIG · 13.1.2-03 ISO 27001 · A.7.11 brak rozwiązania referencyjnego w modelu |
DE.CM-02 DE.CM-06 |
| Podmiot monitoruje parametry środowiskowe i zgłasza właściwemu personelowi wewnętrznemu lub zewnętrznemu zdarzenia wykraczające poza minimalne i maksymalne progi kontrolne. | techniczne | ISO 27001 · A.7.5 brak rozwiązania referencyjnego w modelu |
DE.CM-02 |
| Bezpieczeństwo fizycznewymagania wiążące — fizyczne | |||
| Podmiot zapobiega utracie, uszkodzeniu lub narażeniu na szwank sieci i systemów informatycznych lub przerwie w działaniu sieci i systemów informatycznych ze względu na awarię i zakłócenia usług pomocniczych. | fizyczne | ENISA TIG · 13.1.1-01 ENISA TIG · 13.1.1-02 ISO 27001 · A.7.11 brak rozwiązania referencyjnego w modelu |
PR.IR-02 PR.IR-03 |
| Podmiot chroni obiekty przed awariami zasilania i innymi zakłóceniami spowodowanymi awariami usług pomocniczych, takich jak energia elektryczna, telekomunikacja, zaopatrzenie w wodę, gaz, ścieki, wentylacja i klimatyzacja. | fizyczne | ENISA TIG · 13.1.2-03 ISO 27001 · A.7.11 brak rozwiązania referencyjnego w modelu |
PR.IR-02 PR.IR-03 |
| Podmiot chroni przed przechwyceniem i uszkodzeniem usług pomocniczych w zakresie energii elektrycznej i telekomunikacji, które służą do przesyłu danych lub sieci i systemów informatycznych. | fizyczne | ISO 27001 · A.7.11 ISO 27001 · A.7.12 brak rozwiązania referencyjnego w modelu |
PR.AA-06 PR.DS-02 PR.IR-02 |
| Podmiot zapewnia ciągłą skuteczność, monitorowanie, utrzymywanie i testowanie dostaw sieci i systemów informatycznych niezbędnych do działania oferowanej usługi, w szczególności energii elektrycznej, kontroli temperatury i wilgotności, połączeń telekomunikacyjnych i internetowych. | fizyczne | ENISA TIG · 13.1.2-03 ENISA TIG · 13.1.3-01 ISO 27001 · A.7.11 brak rozwiązania referencyjnego w modelu |
DE.CM-02 PR.IR-03 PR.IR-04 |
| Podmiot zapobiega skutkom zdarzeń wynikających z zagrożeń fizycznych i środowiskowych, takich jak klęski żywiołowe i inne zamierzone lub niezamierzone zagrożenia, lub ogranicza te skutki w oparciu o wyniki oceny ryzyka. | fizyczne | ENISA TIG · 13.2.1-01 ENISA TIG · 13.2.1-02 ENISA TIG · 13.2.1-03 ENISA TIG · 13.2.2-01 ISO 27001 · A.7.5 brak rozwiązania referencyjnego w modelu |
PR.IR-02 |
| Podmiot opracowuje i wdraża środki ochrony przed zagrożeniami fizycznymi i środowiskowymi. | fizyczne | ENISA TIG · 13.2.2-01 ENISA TIG · 13.2.2-02 ENISA TIG · 13.2.2-03 ENISA TIG · 13.2.2-04 ISO 27001 · A.7.5 brak rozwiązania referencyjnego w modelu |
PR.IR-02 |
| Podmiot zapobiega nieuprawnionemu fizycznemu dostępowi, uszkodzeniom i ingerencjom w swoje sieci i systemy informatyczne. | fizyczne | ENISA TIG · 13.3.1-01 ENISA TIG · 13.3.2-03 ISO 27001 · A.7.1 brak rozwiązania referencyjnego w modelu |
PR.AA-06 |
| Podmiot monitoruje przypadki nieuprawnionego fizycznego dostępu, uszkodzeń i ingerencji w swoje sieci i systemy informatyczne. | fizyczne | ENISA TIG · 13.3.2-04 ISO 27001 · A.7.4 NIST SP 800-61 · DE.CM-02.R1 brak rozwiązania referencyjnego w modelu |
DE.CM-02 |
| Podmiot na podstawie oceny ryzyka określa i stosuje granice bezpieczeństwa w celu ochrony obszarów, w których znajdują się sieci i systemy informatyczne oraz inne powiązane aktywa. | fizyczne | ENISA TIG · 13.3.2-01 ENISA TIG · 13.3.2-02 ISO 27001 · A.7.1 brak rozwiązania referencyjnego w modelu |
PR.AA-06 |
| Podmiot chroni obszary objęte granicami bezpieczeństwa za pomocą odpowiednich kontroli wejścia i punktów dostępu. | fizyczne | ENISA TIG · 13.3.1-01 ENISA TIG · 13.3.2-04 ISO 27001 · A.7.2 brak rozwiązania referencyjnego w modelu |
PR.AA-06 |
| Podmiot projektuje i wdraża zabezpieczenia fizyczne biur, pomieszczeń i obiektów. | fizyczne | ENISA TIG · 13.3.2-03 ENISA TIG · 13.3.2-04 ISO 27001 · A.7.3 brak rozwiązania referencyjnego w modelu |
PR.AA-06 |
| Podmiot stale monitoruje swoje pomieszczenia pod kątem nieupoważnionego fizycznego dostępu. | fizyczne | ENISA TIG · 13.3.2-04 ISO 27001 · A.7.4 NIST SP 800-61 · DE.CM-02.R1 brak rozwiązania referencyjnego w modelu |
DE.CM-02 |
Komplet wymagań tego obowiązku — 20 wierszy, generowanych z modelu przy każdej publikacji. Każde mapowanie na kontrolę ma w modelu pisemne uzasadnienie i ocenę dopasowania — na stronie pokazujemy cel mapowania. Rezultat NIST CSF 2.0 to cel, któremu służy wymaganie — nie kontrola; nie wlicza się do mapowań ani nie prowadzi do rozwiązań. Wersja krajowa tych przepisów (wiąże każdy podmiot w swoim zakresie): Katalog środków bezpieczeństwa SZBI, Środki bezpieczeństwa podmiotu publicznego (art. 8 ust. 3), Ponowna weryfikacja niekaralności, Weryfikacja niekaralności.
Kolumna „kontrole" mówi Wam, gdzie tę samą rzecz mierzy Wasz certyfikat ISO albo profil NIST — jeśli kontrolę już macie wdrożoną i udokumentowaną, ta część ścieżki jest do reużycia, nie do budowy od zera.
Dlaczego NIST CSF 2.0 stoi osobno
NIST CSF 2.0 opisuje rezultaty — „co ma być osiągnięte" — i sam odsyła po zabezpieczenia do katalogów takich jak ISO 27001 czy CIS. Dlatego na tej ścieżce rezultat CSF mówi, po co jest wymaganie, a kolumna kontroli — czym je spełnić.
Warstwa rozwiązań
Czym to zrealizować — rekomendacje referencyjne
Rozwiązanie trafia na ścieżkę tylko wtedy, gdy realizuje kontrolę, na którą mapuje wymaganie tego obowiązku. 4 rozwiązania obejmują 4 z 20 wymagań; dla 16 model nie wskazuje rozwiązania — i strona mówi to wprost. Wasze własne narzędzie realizujące te same kontrole domyka ścieżkę tak samo.
CISO Assistant
Narzędzie open source do prowadzenia SZBI: rejestr ryzyk, plan postępowania, dowody skuteczności środków — z gotowymi ramami ISO 27001 i NIST CSF, na które mapuje ta ścieżka.
Probo
Narzędzie open source do oceny i monitorowania dostawców: rejestr dostawców, oceny ryzyka, śledzenie zobowiązań umownych — operacyjna strona łańcucha dostaw.
Szablon: Metodyka zarządzania ryzykiem
Autorski szablon metodyki szacowania i postępowania z ryzykiem — kryteria, skale, rejestr i cykl przeglądów pod wymagania SZBI.
Szablon: Plan ciągłości działania z BIA
Autorski szablon planu ciągłości działania z analizą wpływu (BIA) — scenariusze, role, procedury odtworzenia, testy.
16 wymagań bez rozwiązania referencyjnego
Ich kontrole (ENISA TIG, ISO 27001 i NIST SP 800-61) nie mają w modelu narzędzia ani szablonu, który je realizuje:
- Podmiot zapobiega utracie, uszkodzeniu lub narażeniu na szwank sieci i systemów informatycznych lub przerwie w działaniu sieci i systemów…
- Podmiot chroni obiekty przed awariami zasilania i innymi zakłóceniami spowodowanymi awariami usług pomocniczych, takich jak energia…
- Podmiot chroni przed przechwyceniem i uszkodzeniem usług pomocniczych w zakresie energii elektrycznej i telekomunikacji, które służą do…
- Podmiot monitoruje usługi pomocnicze w zakresie energii elektrycznej i telekomunikacji służące do przesyłu danych lub sieci i systemów…
- Podmiot zawiera umowy na dostawy awaryjne odpowiednich usług, takich jak paliwo do awaryjnego zasilania.
- Podmiot zapewnia ciągłą skuteczność, monitorowanie, utrzymywanie i testowanie dostaw sieci i systemów informatycznych niezbędnych do…
- Podmiot zapobiega skutkom zdarzeń wynikających z zagrożeń fizycznych i środowiskowych, takich jak klęski żywiołowe i inne zamierzone lub…
- Podmiot opracowuje i wdraża środki ochrony przed zagrożeniami fizycznymi i środowiskowymi.
- Podmiot określa minimalne i maksymalne progi kontroli zagrożeń fizycznych i środowiskowych.
- Podmiot monitoruje parametry środowiskowe i zgłasza właściwemu personelowi wewnętrznemu lub zewnętrznemu zdarzenia wykraczające poza…
- Podmiot zapobiega nieuprawnionemu fizycznemu dostępowi, uszkodzeniom i ingerencjom w swoje sieci i systemy informatyczne.
- Podmiot monitoruje przypadki nieuprawnionego fizycznego dostępu, uszkodzeń i ingerencji w swoje sieci i systemy informatyczne.
- Podmiot na podstawie oceny ryzyka określa i stosuje granice bezpieczeństwa w celu ochrony obszarów, w których znajdują się sieci i systemy…
- Podmiot chroni obszary objęte granicami bezpieczeństwa za pomocą odpowiednich kontroli wejścia i punktów dostępu.
- Podmiot projektuje i wdraża zabezpieczenia fizyczne biur, pomieszczeń i obiektów.
- Podmiot stale monitoruje swoje pomieszczenia pod kątem nieupoważnionego fizycznego dostępu.
Uczciwie o granicach
Czego ta ścieżka nie zrobi za Was
Nie zastąpi dowodów operacyjnych
Ścieżka daje strukturę i uzasadnienia — mapę tego, co wykazać. Zapisy, decyzje, logi i podpisane dokumenty musicie wytworzyć u siebie; o oczekiwaniach audytora więcej na stronie audyt KSC/NIS2.
Chcecie przejść tę ścieżkę z przewodnikiem?
Inteca poprowadzi wdrożenie warstwa po warstwie: od wymagań przepisu, przez kontrole standardów, po narzędzia i bazę dowodową pod audyt.