Ścieżka zgodności · CIR 2024/2690

Bezpieczeństwo zasobów ludzkich — jak spełnić załącznik pkt 10 CIR 2024/2690 krok po kroku

Odpowiednie podmioty zapewniają, aby pracownicy oraz bezpośredni dostawcy i usługodawcy rozumieli i wypełniali swoje obowiązki w zakresie bezpieczeństwa (mechanizmy cyberhigieny, świadomości ról uprzywilejowanych i organów zarządzających, zatrudniania wykwalifikowanego personelu), sprawdzają przeszłość osób pełniących funkcje tego wymagające, zabezpieczają umownie obowiązki bezpieczeństwa trwające po zakończeniu lub zmianie zatrudnienia oraz utrzymują procedurę dyscyplinarną na wypadek naruszenia polityki bezpieczeństwa sieci i systemów informatycznych. Poniżej ta norma rozłożona na warstwy: wymagania → kontrole standardów → rozwiązania, a przy każdym wymaganiu rezultat NIST CSF 2.0, któremu ono służy. Zacznijcie od pytania, czy ten obowiązek Was wiąże — odpowiedź jest pierwszą sekcją pod spodem.

wiąże wprost: dostawców cyfrowych z art. 8b ust. 1 UKSC załącznik pkt 10 CIR 2024/2690 doprecyzowuje art. 21 ust. 2 lit. i NIS2 ENISA Technical Implementation Guidance · ISO/IEC 27001:2022 rezultaty: NIST CSF 2.0

Zaplanujcie wdrożenie z Inteca Przegląd ścieżek

                16
                wymagań wiążących wyprowadzonych z załącznik pkt 10 CIR 2024/2690.
              

57 mapowań na 45 kontroli katalogów: ENISA Technical Implementation Guidance i ISO/IEC 27001:2022 — każde z pisemnym uzasadnieniem.

16 z 16 wymagań ma rozwiązanie referencyjne, które realizuje ich kontrole.

6 rozwiązań referencyjnych na końcu ścieżki: narzędzia open source i szablony dokumentów Inteca, każde przypisane do kontroli, które realizuje.

Krok zero

Kogo wiąże ten obowiązek?

Zanim przeczytacie choć jedno wymaganie — sprawdźcie, czy ta ścieżka jest Wasza. Odpowiedź nie jest pisana ręcznie: wynika z zakresu obowiązku zapisanego w modelu prawnym.

wiąże wprost

Dostawcy cyfrowi z art. 8b ust. 1 UKSC

Dostawcy usług DNS, rejestry nazw domen najwyższego poziomu (TLD), dostawcy usług chmurowych, dostawcy usługi centrum przetwarzania danych, dostawcy sieci dostarczania treści, dostawcy usług zarządzanych, dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa, dostawcy internetowych platform handlowych, dostawcy wyszukiwarek internetowych oraz dostawcy platform usług sieci społecznościowych. Dla Was rozporządzenie CIR 2024/2690 jest obowiązkiem — ta ścieżka to Wasza lista zadań.

nie wiąże — wzorzec

Pozostałe podmioty kluczowe i ważne

CIR Was nie obowiązuje — art. 8b ust. 2 UKSC odsyła do przyszłych aktów wykonawczych Komisji Europejskiej dla Waszego rodzaju podmiotu. Wasz wiążący obowiązek to art. 8b ust. 2 UKSC — tę ścieżkę czytajcie jako sprawdzony wzorzec, nie jako listę wymagań audytora.

nie wiecie?

Sprawdźcie swój rodzaj podmiotu

Klasa podmiotu to nie wszystko — decyduje rodzaj podmiotu, sektor i wielkość. Kwalifikator KSC wskaże Wasz rodzaj, a wynik powie wprost, czy ten obowiązek jest w Waszym katalogu.

Ten blok wygląda tak samo na każdej ścieżce: obowiązek z UKSC pokaże tu klasy podmiotów (kluczowy / ważny / publiczny), obowiązek z CIR — dostawców cyfrowych. Dyrektywa NIS2 nie ma własnych ścieżek — pokazujemy ją niżej, jako źródło obowiązku.

Skąd ten obowiązek

Zdanie dyrektywy i akty, które je wypełniają

Dyrektywa NIS2 wiąże państwa, nie Was — dlatego nie ma osobnej ścieżki. Konkrety dopisały akty, które ją wykonują — ten, na którym jesteście, i jego krajowe odbicie.

źródło · dyrektywa

Art. 21 ust. 2 lit. i NIS2

„Środki zarządzania ryzykiem obejmują bezpieczeństwo zasobów ludzkich, politykę kontroli dostępu i zarządzanie aktywami."

Tyle mówi dyrektywa. Co konkretnie zrobić — mówią akty obok. Treść cytowana z modelu, nie przepisywana.

ta ścieżka · CIR 2024/2690

Załącznik pkt 10 CIR 2024/2690

„10.1.1. Do celów art. 21 ust. 2 lit. i) dyrektywy (UE) 2022/2555 odpowiednie podmioty zapewniają, aby ich pracownicy oraz bezpośredni dostawcy i usługodawcy, w stosownych przypadkach, rozumieli swoje obowiązki w zakresie bezpieczeństwa i zobowiązali się do ich wypełniania, stosownie do oferowanych usług i wykonywanej…"

Komisja Europejska rozpisała lit. i na 16 wymagań wiążących — ale tylko dla dostawców cyfrowych z art. 8b ust. 1 UKSC. To jest ścieżka, na której jesteście. Treść cytowana z modelu, nie pisana.

drugie wcielenie · UKSC

Ta sama litera w ustawie o KSC

Polska przeniosła tę samą literę do ustawy — tam wiąże ona podmioty w klasach z zakresu każdego z tych obowiązków, także dostawców cyfrowych.

Katalog środków bezpieczeństwa SZBI (art. 8 ust. 1 UKSC · kluczowy i ważny)
Środki bezpieczeństwa podmiotu publicznego (art. 8 ust. 3) (art. 8 ust. 3 UKSC · tylko ważny (sektor publiczny))
Ponowna weryfikacja niekaralności (art. 8f UKSC · kluczowy i ważny)
Weryfikacja niekaralności (art. 8f UKSC · kluczowy i ważny)

Przebieg ścieżki

Od rozporządzenia do narzędzia i szablonu

Diagram pokazuje jedną nitkę ścieżki — wymaganie 1 z 16 wiążących — w komplecie warstw. Tabela niżej rozwija pozostałe wymagania.

przepis obowiązek wymaganie rezultat NIST CSF kontrola standardu rozwiązanie

Diagram wygenerowany z żywego modelu IRNIS przy publikacji tej strony.

Warstwa wymagań i kontroli

Wymagania tego obowiązku i ich odpowiedniki w standardach

Każdy wiersz to jedno atomowe wymaganie — dokładnie w brzmieniu z modelu, o które zapyta audytor — z kontrolami, na które mapuje je model, i rozwiązaniami referencyjnymi, które te kontrole realizują. Wiersze pogrupowane po charakterze wymagania.

Wymaganie (brzmienie z modelu)	Charakter	Kontrole standardów	Rezultat NIST CSF 2.0
Organizacja i politykiwymagania wiążące — organizacyjne
Podmiot zapewnia, aby jego pracownicy oraz bezpośredni dostawcy i usługodawcy, w stosownych przypadkach, rozumieli swoje obowiązki w zakresie bezpieczeństwa i zobowiązali się do ich wypełniania, stosownie do oferowanych usług i wykonywanej pracy oraz zgodnie z polityką podmiotu w zakresie bezpieczeństwa sieci i systemów informatycznych.	organizacyjne	ENISA TIG · 10.1.1-01 ENISA TIG · 10.1.1-02 ENISA TIG · 10.1.1-03 ENISA TIG · 10.1.1-04 ENISA TIG · 10.1.1-05 ISO 27001 · A.6.2 ISO 27001 · A.6.3 → Szablon: Polityka bezpieczeństwa zasobów ludzkich · Szablon: Program budowania świadomości bezpieczeństwa	GV.RR-02 GV.RR-04 GV.SC-02
Podmiot stosuje mechanizmy zapewniające, aby wszyscy pracownicy, bezpośredni dostawcy i usługodawcy, w stosownych przypadkach, rozumieli i stosowali standardowe praktyki cyberhigieny stosowane przez podmiot.	organizacyjne	ENISA TIG · 10.1.2-01 ENISA TIG · 10.1.2-02 ENISA TIG · 10.1.2-03 ISO 27001 · A.6.3 → Szablon: Program budowania świadomości bezpieczeństwa	PR.AT-01
Podmiot stosuje mechanizmy zapewniające, aby wszyscy użytkownicy z dostępem administracyjnym lub uprzywilejowanym byli świadomi swoich funkcji, obowiązków i uprawnień oraz działali zgodnie z nimi.	organizacyjne	ENISA TIG · 10.1.2-04 ISO 27001 · A.6.3 → Szablon: Program budowania świadomości bezpieczeństwa	PR.AT-02
Podmiot stosuje mechanizmy zapewniające, aby członkowie organów zarządzających rozumieli swoje funkcje, obowiązki i uprawnienia w zakresie bezpieczeństwa sieci i systemów informatycznych oraz działali zgodnie z nimi.	organizacyjne	ENISA TIG · 10.1.2-06 ISO 27001 · A.6.3 → Szablon: Program budowania świadomości bezpieczeństwa	GV.RR-01 PR.AT-02
Podmiot wprowadza kryteria określające, które funkcje, obowiązki i uprawnienia mogą być wykonywane wyłącznie przez osoby, których przeszłość sprawdzono.	organizacyjne	ENISA TIG · 10.2.2-01 ISO 27001 · A.6.1 → Szablon: Polityka bezpieczeństwa zasobów ludzkich	GV.RR-04
Procesy i procedurywymagania wiążące — proceduralne
Podmiot stosuje mechanizmy zatrudniania personelu posiadającego kwalifikacje do pełnienia odpowiednich funkcji, takie jak kontrole referencji, procedury weryfikacji, zatwierdzanie certyfikatów lub testy pisemne.	proceduralne	ENISA TIG · 10.1.2-07 ENISA TIG · 10.1.2-08 ENISA TIG · 10.1.2-09 ENISA TIG · 10.1.2-10 ENISA TIG · 10.1.2-11 ISO 27001 · A.6.1 ISO 27001 · 7.2 → Szablon: Polityka bezpieczeństwa zasobów ludzkich · Szablon: Program budowania świadomości bezpieczeństwa	GV.RR-04
Podmiot dokonuje przeglądu przydziału personelu do określonych funkcji, a także zaangażowania zasobów ludzkich w tym zakresie, w zaplanowanych odstępach czasu i co najmniej raz w roku.	proceduralne	ENISA TIG · 10.1.3-01 ISO 27001 · A.5.2 ISO 27001 · 7.1 → CISO Assistant · Probo · Szablon: Polityka nadrzędna bezpieczeństwa informacji	GV.RR-02 GV.RR-03 GV.RR-04
Podmiot aktualizuje przydział personelu do określonych funkcji.	proceduralne	ENISA TIG · 10.3.1-01 ISO 27001 · A.5.2 → CISO Assistant · Probo · Szablon: Polityka nadrzędna bezpieczeństwa informacji	GV.RR-02
Podmiot zapewnia sprawdzenie przeszłości swoich pracowników oraz, w stosownych przypadkach, bezpośrednich dostawców i usługodawców.	proceduralne	ENISA TIG · 10.2.1-01 ENISA TIG · 10.2.1-02 ENISA TIG · 10.2.2-03 ENISA TIG · 10.2.2-05 ENISA TIG · 10.2.2-06 ISO 27001 · A.6.1 → Szablon: Polityka bezpieczeństwa zasobów ludzkich	GV.RR-04 GV.SC-05
Podmiot zapewnia, aby sprawdzenie przeszłości osób pełniących funkcje zastrzeżone dla osób sprawdzonych miało miejsce przed rozpoczęciem wykonywania przez nie tych funkcji, obowiązków i uprawnień, z uwzględnieniem obowiązujących przepisów ustawowych, wykonawczych i zasad etycznych, proporcjonalnie do wymogów biznesowych, klasyfikacji aktywów oraz sieci i systemów informatycznych, do których ma być uzyskany dostęp, a także postrzeganego ryzyka.	proceduralne	ENISA TIG · 10.2.2-02 ENISA TIG · 10.2.2-04 ISO 27001 · A.6.1 → Szablon: Polityka bezpieczeństwa zasobów ludzkich	GV.RR-04
Podmiot dokonuje przeglądu i, w stosownych przypadkach, aktualizacji polityki sprawdzania przeszłości w zaplanowanych odstępach czasu oraz w razie potrzeby.	proceduralne	ENISA TIG · 10.2.3-01 ISO 27001 · A.5.1 → CISO Assistant · Probo · Szablon: Polityka nadrzędna bezpieczeństwa informacji	GV.PO-02
Podmiot ustanawia, przekazuje i utrzymuje procedurę dyscyplinarną dotyczącą postępowania w przypadku naruszenia polityki bezpieczeństwa sieci i systemów informatycznych.	proceduralne	ENISA TIG · 10.4.1-01 ENISA TIG · 10.4.1-03 ISO 27001 · A.5.28 ISO 27001 · A.6.4 → Szablon: Polityka bezpieczeństwa zasobów ludzkich	GV.PO-01 GV.RR-04
W procedurze dyscyplinarnej uwzględnia się odpowiednie wymogi prawne, ustawowe, umowne i biznesowe.	proceduralne	ENISA TIG · 10.4.1-02 ISO 27001 · A.6.4 → Szablon: Polityka bezpieczeństwa zasobów ludzkich	GV.OC-03 GV.RR-04
Podmiot dokonuje przeglądu i, w stosownych przypadkach, aktualizacji procedury dyscyplinarnej w zaplanowanych odstępach czasu oraz w razie potrzeby ze względu na zmiany prawne lub znaczące zmiany w działalności lub poziomie ryzyka.	proceduralne	ENISA TIG · 10.4.2-01 ISO 27001 · A.5.1 ISO 27001 · 9.1 → CISO Assistant · Probo · Szablon: Metodyka zarządzania ryzykiem · Szablon: Polityka nadrzędna bezpieczeństwa informacji	GV.PO-02 GV.RR-04 ID.IM-03
Umowy z dostawcamiwymagania wiążące — kontraktowe
Podmiot zapewnia, aby obowiązki i odpowiedzialność w zakresie bezpieczeństwa sieci i systemów informatycznych, które pozostają ważne po zakończeniu lub zmianie zatrudnienia jego pracowników, były określone w umowie i egzekwowane.	kontraktowe	ENISA TIG · 10.3.1-01 ENISA TIG · 10.3.2-02 ISO 27001 · A.6.5 → CISO Assistant · Szablon: Polityka bezpieczeństwa zasobów ludzkich	GV.RR-02 GV.RR-04
Podmiot uwzględnia w warunkach zatrudnienia, umowie lub porozumieniu dotyczącym danej osoby obowiązki i odpowiedzialność, które są nadal ważne po zakończeniu zatrudnienia lub umowy, takie jak klauzule poufności.	kontraktowe	ENISA TIG · 10.3.2-01 ENISA TIG · 10.3.2-03 ISO 27001 · A.6.2 ISO 27001 · A.6.5 ISO 27001 · A.6.6 → CISO Assistant · Probo · Szablon: Polityka bezpieczeństwa zasobów ludzkich	GV.RR-02 GV.RR-04

Komplet wymagań tego obowiązku — 16 wierszy, generowanych z modelu przy każdej publikacji. Każde mapowanie na kontrolę ma w modelu pisemne uzasadnienie i ocenę dopasowania — na stronie pokazujemy cel mapowania. Rezultat NIST CSF 2.0 to cel, któremu służy wymaganie — nie kontrola; nie wlicza się do mapowań ani nie prowadzi do rozwiązań. Wersja krajowa tych przepisów (wiąże każdy podmiot w swoim zakresie): Katalog środków bezpieczeństwa SZBI, Środki bezpieczeństwa podmiotu publicznego (art. 8 ust. 3), Ponowna weryfikacja niekaralności, Weryfikacja niekaralności.

Kolumna „kontrole" mówi Wam, gdzie tę samą rzecz mierzy Wasz certyfikat ISO albo profil NIST — jeśli kontrolę już macie wdrożoną i udokumentowaną, ta część ścieżki jest do reużycia, nie do budowy od zera.

Dlaczego NIST CSF 2.0 stoi osobno

NIST CSF 2.0 opisuje rezultaty — „co ma być osiągnięte" — i sam odsyła po zabezpieczenia do katalogów takich jak ISO 27001 czy CIS. Dlatego na tej ścieżce rezultat CSF mówi, po co jest wymaganie, a kolumna kontroli — czym je spełnić.

Warstwa rozwiązań

Czym to zrealizować — rekomendacje referencyjne

Rozwiązanie trafia na ścieżkę tylko wtedy, gdy realizuje kontrolę, na którą mapuje wymaganie tego obowiązku. 6 rozwiązań obejmuje 16 z 16 wymagań. Wasze własne narzędzie realizujące te same kontrole domyka ścieżkę tak samo.

CISO Assistant

Narzędzie open source do prowadzenia SZBI: rejestr ryzyk, plan postępowania, dowody skuteczności środków — z gotowymi ramami ISO 27001 i NIST CSF, na które mapuje ta ścieżka.

open sourcenarzędzierealizuje 5 kontroli · obejmuje 6 z 16 wymagań

Probo

Narzędzie open source do oceny i monitorowania dostawców: rejestr dostawców, oceny ryzyka, śledzenie zobowiązań umownych — operacyjna strona łańcucha dostaw.

open sourcenarzędzierealizuje 4 kontrole · obejmuje 5 z 16 wymagań

Szablon: Metodyka zarządzania ryzykiem

Autorski szablon metodyki szacowania i postępowania z ryzykiem — kryteria, skale, rejestr i cykl przeglądów pod wymagania SZBI.

szablon Intecaszablon proceduryrealizuje 1 kontrolę · obejmuje 1 z 16 wymagań

Szablon: Polityka bezpieczeństwa zasobów ludzkich

Autorski szablon polityki bezpieczeństwa zasobów ludzkich — obowiązki przed zatrudnieniem, w trakcie i po jego zakończeniu, weryfikacja, szkolenia, sankcje.

rekomendowaneszablon Intecaszablon dokumentu / politykarealizuje 5 kontroli · obejmuje 9 z 16 wymagań

Szablon: Polityka nadrzędna bezpieczeństwa informacji

Dokument, od którego zaczyna się SZBI: ramy systemu, polityki tematyczne, role i przeglądy — autorski szablon polityki nadrzędnej bezpieczeństwa informacji.

szablon Intecaszablon dokumentu / politykarealizuje 3 kontrole · obejmuje 4 z 16 wymagań

Szablon: Program budowania świadomości bezpieczeństwa

Autorski szablon programu budowania świadomości bezpieczeństwa — plan szkoleń, grupy docelowe, mierniki skuteczności.

szablon Intecaszablon planurealizuje 2 kontrole · obejmuje 5 z 16 wymagań

Macie już własne narzędzie?

Ścieżka definiuje, co rozwiązanie musi realizować — nie narzuca produktu. Tabela wymagań wyżej to gotowa lista kontrolna do oceny narzędzia, które już posiadacie.

dowolna realizacja

Uczciwie o granicach

Czego ta ścieżka nie zrobi za Was

Nie zastąpi dowodów operacyjnych

Ścieżka daje strukturę i uzasadnienia — mapę tego, co wykazać. Zapisy, decyzje, logi i podpisane dokumenty musicie wytworzyć u siebie; o oczekiwaniach audytora więcej na stronie audyt KSC/NIS2.

Chcecie przejść tę ścieżkę z przewodnikiem?

Inteca poprowadzi wdrożenie warstwa po warstwie: od wymagań przepisu, przez kontrole standardów, po narzędzia i bazę dowodową pod audyt.

Umówcie konsultację Wróćcie do przeglądu ścieżek