Ścieżka zgodności · CIR 2024/2690

Ciągłość działania i zarządzanie kryzysowe — jak spełnić załącznik pkt 4 CIR 2024/2690 krok po kroku

Odpowiednie podmioty zapewniają ciągłość działania i zarządzanie kryzysowe: określają i utrzymują plan ciągłości działania i przywrócenia normalnego działania oparty na ocenie ryzyka i analizie wpływu na działalność, zarządzają kopiami zapasowymi i redundancją wraz z testami odzyskiwania oraz wprowadzają proces zarządzania kryzysowego. Poniżej ta norma rozłożona na warstwy: wymagania → kontrole standardów → rozwiązania, a przy każdym wymaganiu rezultat NIST CSF 2.0, któremu ono służy. Zacznijcie od pytania, czy ten obowiązek Was wiąże — odpowiedź jest pierwszą sekcją pod spodem.

wiąże wprost: dostawców cyfrowych z art. 8b ust. 1 UKSC załącznik pkt 4 CIR 2024/2690 doprecyzowuje art. 21 ust. 2 lit. c NIS2 CIS Critical Security Controls v8.1 · ENISA Technical Implementation Guidance · ISO 22301:2019 · ISO/IEC 27001:2022 · NIST SP 800-30 Rev. 1 · NIST SP 800-34 Rev. 1 · NIST SP 800-61 Rev. 3 rezultaty: NIST CSF 2.0

Zaplanujcie wdrożenie z Inteca Przegląd ścieżek

                41
                wymagań wiążących wyprowadzonych z załącznik pkt 4 CIR 2024/2690.
              

183 mapowania na 107 kontroli katalogów: CIS Critical Security Controls v8.1, ENISA Technical Implementation Guidance, ISO 22301:2019, ISO/IEC 27001:2022, NIST SP 800-30 Rev. 1, NIST SP 800-34 Rev. 1 i NIST SP 800-61 Rev. 3 — każde z pisemnym uzasadnieniem.

34 z 41 wymagań ma rozwiązanie referencyjne, które realizuje ich kontrole.

8 rozwiązań referencyjnych na końcu ścieżki: narzędzia open source i szablony dokumentów Inteca, każde przypisane do kontroli, które realizuje.

Krok zero

Kogo wiąże ten obowiązek?

Zanim przeczytacie choć jedno wymaganie — sprawdźcie, czy ta ścieżka jest Wasza. Odpowiedź nie jest pisana ręcznie: wynika z zakresu obowiązku zapisanego w modelu prawnym.

wiąże wprost

Dostawcy cyfrowi z art. 8b ust. 1 UKSC

Dostawcy usług DNS, rejestry nazw domen najwyższego poziomu (TLD), dostawcy usług chmurowych, dostawcy usługi centrum przetwarzania danych, dostawcy sieci dostarczania treści, dostawcy usług zarządzanych, dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa, dostawcy internetowych platform handlowych, dostawcy wyszukiwarek internetowych oraz dostawcy platform usług sieci społecznościowych. Dla Was rozporządzenie CIR 2024/2690 jest obowiązkiem — ta ścieżka to Wasza lista zadań.

nie wiąże — wzorzec

Pozostałe podmioty kluczowe i ważne

CIR Was nie obowiązuje — art. 8b ust. 2 UKSC odsyła do przyszłych aktów wykonawczych Komisji Europejskiej dla Waszego rodzaju podmiotu. Wasz wiążący obowiązek to art. 8b ust. 2 UKSC — tę ścieżkę czytajcie jako sprawdzony wzorzec, nie jako listę wymagań audytora.

nie wiecie?

Sprawdźcie swój rodzaj podmiotu

Klasa podmiotu to nie wszystko — decyduje rodzaj podmiotu, sektor i wielkość. Kwalifikator KSC wskaże Wasz rodzaj, a wynik powie wprost, czy ten obowiązek jest w Waszym katalogu.

Ten blok wygląda tak samo na każdej ścieżce: obowiązek z UKSC pokaże tu klasy podmiotów (kluczowy / ważny / publiczny), obowiązek z CIR — dostawców cyfrowych. Dyrektywa NIS2 nie ma własnych ścieżek — pokazujemy ją niżej, jako źródło obowiązku.

Skąd ten obowiązek

Zdanie dyrektywy i akty, które je wypełniają

Dyrektywa NIS2 wiąże państwa, nie Was — dlatego nie ma osobnej ścieżki. Konkrety dopisały akty, które ją wykonują — ten, na którym jesteście, i jego krajowe odbicie.

źródło · dyrektywa

Art. 21 ust. 2 lit. c NIS2

„Środki zarządzania ryzykiem obejmują ciągłość działania, np. zarządzanie kopiami zapasowymi i przywracanie normalnego działania po wystąpieniu sytuacji nadzwyczajnej, i zarządzanie kryzysowe."

Tyle mówi dyrektywa. Co konkretnie zrobić — mówią akty obok. Treść cytowana z modelu, nie przepisywana.

ta ścieżka · CIR 2024/2690

Załącznik pkt 4 CIR 2024/2690

„4.1.1. Do celów art. 21 ust. 2 lit. c) dyrektywy (UE) 2022/2555 odpowiednie podmioty określają i utrzymują plan ciągłości działania i przywrócenia normalnego działania po wystąpieniu sytuacji nadzwyczajnej, który ma zastosowanie w przypadku incydentów. 4.1.2. Działalność odpowiednich podmiotów przywraca się zgodnie z…"

Komisja Europejska rozpisała lit. c na 41 wymagań wiążących — ale tylko dla dostawców cyfrowych z art. 8b ust. 1 UKSC. To jest ścieżka, na której jesteście. Treść cytowana z modelu, nie pisana.

drugie wcielenie · UKSC

Ta sama litera w ustawie o KSC

Polska przeniosła tę samą literę do ustawy — tam wiąże ona podmioty w klasach z zakresu każdego z tych obowiązków, także dostawców cyfrowych.

Katalog środków bezpieczeństwa SZBI (art. 8 ust. 1 UKSC · kluczowy i ważny)
Środki bezpieczeństwa podmiotu publicznego (art. 8 ust. 3) (art. 8 ust. 3 UKSC · tylko ważny (sektor publiczny))

Przebieg ścieżki

Od rozporządzenia do narzędzia i szablonu

Diagram pokazuje jedną nitkę ścieżki — wymaganie 14 z 41 wiążących — w komplecie warstw. Tabela niżej rozwija pozostałe wymagania.

przepis obowiązek wymaganie rezultat NIST CSF kontrola standardu rozwiązanie

Diagram wygenerowany z żywego modelu IRNIS przy publikacji tej strony.

Warstwa wymagań i kontroli

Wymagania tego obowiązku i ich odpowiedniki w standardach

Każdy wiersz to jedno atomowe wymaganie — dokładnie w brzmieniu z modelu, o które zapyta audytor — z kontrolami, na które mapuje je model, i rozwiązaniami referencyjnymi, które te kontrole realizują. Wiersze pogrupowane po charakterze wymagania.

Wymaganie (brzmienie z modelu)	Charakter	Kontrole standardów	Rezultat NIST CSF 2.0
Organizacja i politykiwymagania wiążące — organizacyjne
Podmiot określa i utrzymuje plan ciągłości działania i przywrócenia normalnego działania po wystąpieniu sytuacji nadzwyczajnej, mający zastosowanie w przypadku incydentów.	organizacyjne	ENISA TIG · 4.1.1-01 ENISA TIG · 4.1.1-02 ENISA TIG · 4.1.3-02 ENISA TIG · 4.1.4-11 ISO 27001 · A.5.29 ISO 27001 · A.5.30 NIST SP 800-34 · 3.1 NIST SP 800-34 · 3.6 NIST SP 800-61 · ID.IM-04.R1 NIST SP 800-61 · RS.MA-01.R3 → CISO Assistant · Proxmox Backup Server · Szablon: Plan ciągłości działania z BIA	ID.IM-04
Plan ciągłości działania i przywrócenia normalnego działania opiera się na wynikach oceny ryzyka przeprowadzanej zgodnie z pkt 2.1 załącznika do rozporządzenia 2024/2690.	organizacyjne	ISO 27001 · A.5.30 → CISO Assistant · Proxmox Backup Server · Szablon: Plan ciągłości działania z BIA	ID.RA-05 ID.RA-06
Plan ciągłości działania i przywrócenia normalnego działania zawiera cel, zakres i odbiorców planu.	organizacyjne	ENISA TIG · 4.1.1-01 ISO 22301 · 8.4.4 NIST SP 800-34 · 4.1 → Szablon: Plan ciągłości działania z BIA	ID.IM-04
Plan ciągłości działania i przywrócenia normalnego działania zawiera funkcje i obowiązki.	organizacyjne	ENISA TIG · 4.1.4-09 ISO 27001 · A.5.30 NIST SP 800-34 · 3.4.6 NIST SP 800-61 · RC.RP-01.R2 → CISO Assistant · Proxmox Backup Server · Szablon: Plan ciągłości działania z BIA	GV.RR-02 ID.IM-04
Plan ciągłości działania i przywrócenia normalnego działania zawiera kluczowe osoby do kontaktu oraz wewnętrzne i zewnętrzne kanały komunikacji.	organizacyjne	CIS Controls · 17.2 CIS Controls · 17.6 ENISA TIG · 4.1.1-01 NIST SP 800-34 · 4.2.2 brak rozwiązania referencyjnego w modelu	ID.IM-04
Plan ciągłości działania i przywrócenia normalnego działania zawiera wymagane zasoby, w tym kopie zapasowe i redundancje.	organizacyjne	ENISA TIG · 13.1.2-01 ENISA TIG · 4.1.2-03 ENISA TIG · 4.1.2-06 ENISA TIG · 4.1.2-07 ENISA TIG · 4.1.2-08 ISO 27001 · A.5.30 NIST SP 800-34 · 3.2.2 NIST SP 800-34 · 3.4.4 NIST SP 800-61 · ID.IM-04.R4 → CISO Assistant · Proxmox Backup Server · Szablon: Plan ciągłości działania z BIA	PR.DS-11 PR.IR-03 PR.IR-04
Podmiot przeprowadza analizę wpływu na działalność w celu oceny potencjalnego wpływu poważnych zakłóceń na jego działalność gospodarczą.	organizacyjne	ISO 27001 · A.5.30 NIST SP 800-30 · Task 2-5 NIST SP 800-34 · 3.2.1 NIST SP 800-34 · 3.2.2 → CISO Assistant · Proxmox Backup Server · Szablon: Plan ciągłości działania z BIA	GV.OC-04 ID.RA-04
Podmiot ustanawia wymogi dotyczące ciągłości dla sieci i systemów informatycznych na podstawie wyników analizy wpływu na działalność.	organizacyjne	ENISA TIG · 4.1.3-01 ISO 27001 · A.5.30 NIST SP 800-34 · 3.2.1 NIST SP 800-34 · 3.2.3 → CISO Assistant · Proxmox Backup Server · Szablon: Plan ciągłości działania z BIA	GV.OC-04 ID.AM-05
Podmiot zapewnia wystarczające dostępne zasoby, w tym obiekty, sieci i systemy informatyczne oraz personel, aby zagwarantować odpowiedni poziom redundancji.	organizacyjne	ENISA TIG · 4.2.1-01 ENISA TIG · 4.2.4-01 ISO 27001 · A.8.14 NIST SP 800-34 · 3.4.3 → Szablon: Plan ciągłości działania z BIA	PR.IR-03 PR.IR-04
Plan tworzenia kopii zapasowych obejmuje okresy przechowywania na podstawie wymogów biznesowych i regulacyjnych.	organizacyjne	ENISA TIG · 4.2.2-02 ISO 27001 · A.8.13 → Proxmox Backup Server	GV.OC-03 PR.DS-11
Podmiot zapewnia wystarczającą dostępność zasobów dzięki co najmniej częściowej redundancji, na podstawie wyników oceny ryzyka przeprowadzonej zgodnie z pkt 2.1 załącznika do rozporządzenia 2024/2690 oraz planu ciągłości działania.	organizacyjne	ENISA TIG · 4.2.4-01 ISO 27001 · A.8.14 NIST SP 800-34 · 5.1.1 NIST SP 800-34 · 5.1.6 → Szablon: Plan ciągłości działania z BIA	PR.IR-03 PR.IR-04
Podmiot zapewnia co najmniej częściową redundancję personelu z niezbędnymi obowiązkami, uprawnieniami i kompetencjami.	organizacyjne	ENISA TIG · 4.2.4-01 ISO 27001 · A.5.30 NIST SP 800-34 · 3.4.6 → CISO Assistant · Proxmox Backup Server · Szablon: Plan ciągłości działania z BIA	GV.RR-03 PR.IR-03
Podmiot wprowadza proces zarządzania kryzysowego.	organizacyjne	ENISA TIG · 4.3.1-01 ENISA TIG · 4.3.1-02 ISO 27001 · A.5.24 → DFIR-IRIS · Szablon: Plan reagowania na incydenty i komunikacji	ID.IM-04
Proces zarządzania kryzysowego obejmuje funkcje i obowiązki personelu oraz, w stosownych przypadkach, dostawców i usługodawców, określające podział funkcji w sytuacjach kryzysowych, w tym konkretne działania, które należy podjąć.	organizacyjne	CIS Controls · 17.5 ENISA TIG · 4.3.1-01 ISO 27001 · A.5.24 NIST SP 800-34 · 3.4.6 NIST SP 800-34 · 4.3.3 NIST SP 800-61 · RC.CO-03.R4 → DFIR-IRIS · Szablon: Plan reagowania na incydenty i komunikacji	GV.RR-02 GV.SC-08
Procesy i procedurywymagania wiążące — proceduralne
Działalność podmiotu przywraca się zgodnie z planem ciągłości działania i przywrócenia normalnego działania po wystąpieniu sytuacji nadzwyczajnej.	proceduralne	ENISA TIG · 4.1.2-01 ISO 27001 · A.5.30 NIST SP 800-34 · 4.3.2 NIST SP 800-61 · RC.RP-01.R1 → CISO Assistant · Proxmox Backup Server · Szablon: Plan ciągłości działania z BIA	RC.RP-01 RC.RP-05
Plan ciągłości działania i przywrócenia normalnego działania zawiera warunki aktywacji i dezaktywacji planu.	proceduralne	ENISA TIG · 4.1.1-01 NIST SP 800-34 · 4.2.1 NIST SP 800-34 · 4.4 NIST SP 800-61 · RS.MA-01.R3 NIST SP 800-61 · RS.MA-05.R1 NIST SP 800-61 · RS.MA-05.R2 brak rozwiązania referencyjnego w modelu	RC.RP-06 RS.MA-05
Plan ciągłości działania i przywrócenia normalnego działania zawiera kolejność przywracania działalności.	proceduralne	CIS Controls · 11.1 ENISA TIG · 4.1.2-02 NIST SP 800-34 · 3.2.3 NIST SP 800-34 · 4.3.1 NIST SP 800-61 · ID.AM-05.R1 NIST SP 800-61 · RC.RP-02.R2 NIST SP 800-61 · RC.RP-04.R1 brak rozwiązania referencyjnego w modelu	RC.RP-02
Plan ciągłości działania i przywrócenia normalnego działania zawiera plany przywrócenia normalnego działania w odniesieniu do konkretnej działalności, w tym cele w zakresie przywrócenia normalnego działania.	proceduralne	ENISA TIG · 4.1.3-01 ISO 27001 · A.5.30 NIST SP 800-34 · 3.2.1 NIST SP 800-34 · 4.3.2 NIST SP 800-61 · RC.RP-02.R1 → CISO Assistant · Proxmox Backup Server · Szablon: Plan ciągłości działania z BIA	GV.OC-04 RC.RP-02 RC.RP-04
Plan ciągłości działania i przywrócenia normalnego działania zawiera przywrócenie i wznowienie działalności w wyniku zastosowania środków tymczasowych.	proceduralne	ENISA TIG · 4.1.1-01 NIST SP 800-34 · 3.4.3 NIST SP 800-34 · 4.4 brak rozwiązania referencyjnego w modelu	RC.RP-02 RC.RP-04
Plan ciągłości działania i plan przywrócenia normalnego działania po wystąpieniu sytuacji nadzwyczajnej są testowane, poddawane przeglądowi i, w stosownych przypadkach, aktualizowane w planowanych odstępach czasu i w następstwie poważnych incydentów lub znaczących zmian w działalności lub poziomie ryzyka.	proceduralne	ENISA TIG · 4.1.4-01 ENISA TIG · 4.1.4-02 ENISA TIG · 4.1.4-03 ENISA TIG · 4.1.4-04 ENISA TIG · 4.1.4-05 ENISA TIG · 4.1.4-06 ISO 27001 · A.5.30 NIST SP 800-34 · 3.5.1 NIST SP 800-34 · 3.5.3 NIST SP 800-34 · 3.6 NIST SP 800-61 · ID.IM-04.R2 NIST SP 800-61 · RC.RP-02.R3 → CISO Assistant · Proxmox Backup Server · Szablon: Plan ciągłości działania z BIA	ID.IM-02 ID.IM-03 ID.IM-04
Plany ciągłości działania i przywrócenia normalnego działania uwzględniają wnioski wyciągnięte z testów tych planów.	proceduralne	ENISA TIG · 4.1.4-07 ENISA TIG · 4.1.4-08 NIST SP 800-34 · 3.5.4 brak rozwiązania referencyjnego w modelu	ID.IM-02 ID.IM-04
Podmiot ustanawia plany tworzenia kopii zapasowych na podstawie wyników oceny ryzyka przeprowadzonej zgodnie z pkt 2.1 załącznika do rozporządzenia 2024/2690 oraz planu ciągłości działania.	proceduralne	CIS Controls · 11.1 ENISA TIG · 13.1.2-02 ENISA TIG · 4.2.2-03 ISO 27001 · A.8.13 NIST SP 800-34 · 3.4.2 NIST SP 800-34 · 5.1.1 → Proxmox Backup Server	PR.DS-11
Plan tworzenia kopii zapasowych obejmuje przywrócenie danych z kopii zapasowych.	proceduralne	CIS Controls · 11.1 ENISA TIG · 4.2.2-01 ISO 27001 · A.8.13 NIST SP 800-34 · 4.3.2 NIST SP 800-61 · RC.RP-02.R1 → Proxmox Backup Server	PR.DS-11 RC.RP-03 RC.RP-05
Monitorowanie i dostosowywanie zasobów, w tym wyposażenia, systemów i personelu, jest należycie oparte na wymogach dotyczących tworzenia kopii zapasowych i redundancji.	proceduralne	ENISA TIG · 4.2.5-01 ISO 27001 · A.8.13 ISO 27001 · A.8.14 → Proxmox Backup Server · Szablon: Plan ciągłości działania z BIA	GV.RR-03 PR.IR-03 PR.IR-04
Podmiot dokumentuje wyniki testów odzyskiwania kopii zapasowych i redundancji.	proceduralne	ISO 27001 · 9.1 → CISO Assistant · Probo · Szablon: Metodyka zarządzania ryzykiem	ID.IM-02 PR.DS-11
Podmiot podejmuje w razie potrzeby działania naprawcze w następstwie testów odzyskiwania kopii zapasowych i redundancji.	proceduralne	ENISA TIG · 4.2.6-02 ISO 27001 · 10.1 NIST SP 800-34 · 3.5.4 → CISO Assistant · Probo	ID.IM-02
Proces zarządzania kryzysowego obejmuje odpowiednie środki komunikacji między podmiotem a odpowiednimi właściwymi organami.	proceduralne	ENISA TIG · 4.3.2-01 ISO 27001 · A.5.5 NIST SP 800-61 · RS.CO-02.R5 → CISO Assistant · Probo · Szablon: Plan reagowania na incydenty i komunikacji	RS.CO-02 RS.CO-03
Przepływ informacji między podmiotem a odpowiednimi właściwymi organami obejmuje zarówno komunikację obowiązkową, obejmującą zgłoszenia incydentów i związane z nimi harmonogramy, jak i komunikację nieobowiązkową.	proceduralne	ENISA TIG · 4.3.2-01 ISO 27001 · A.5.24 ISO 27001 · A.5.5 NIST SP 800-61 · RS.CO-02.R3 → CISO Assistant · DFIR-IRIS · Probo · Szablon: Plan reagowania na incydenty i komunikacji	RS.CO-02 RS.CO-03
Podmiot wdraża proces zarządzania i wykorzystywania informacji otrzymywanych od CSIRT lub, w stosownych przypadkach, od właściwych organów, dotyczących incydentów, podatności, zagrożeń lub możliwych środków ograniczających ryzyko.	proceduralne	ENISA TIG · 4.3.3-01 ISO 27001 · A.5.7 NIST SP 800-61 · DE.AE-02.R2 NIST SP 800-61 · DE.CM.C1 brak rozwiązania referencyjnego w modelu	DE.AE-07 ID.RA-02 ID.RA-08
Podmiot testuje, przegląda oraz, w razie potrzeby, aktualizuje plan zarządzania kryzysowego, zarówno cyklicznie, jak i po wystąpieniu poważnych incydentów lub istotnych zmian w działalności lub poziomie ryzyka.	proceduralne	ENISA TIG · 4.3.4-01 ENISA TIG · 4.3.4-02 ENISA TIG · 4.3.4-03 ENISA TIG · 4.3.4-04 NIST SP 800-34 · 3.6 NIST SP 800-61 · ID.IM-04.R2 brak rozwiązania referencyjnego w modelu	ID.IM-02 ID.IM-03 ID.IM-04
Technikawymagania wiążące — techniczne
Podmiot przechowuje kopie zapasowe danych.	techniczne	CIS Controls · 11.2 ENISA TIG · 4.2.2-01 ISO 27001 · A.8.13 NIST SP 800-34 · 3.4.2 NIST SP 800-34 · 5.1.2 → Proxmox Backup Server	PR.DS-11
Plan tworzenia kopii zapasowych obejmuje czas przywrócenia normalnego działania.	techniczne	ENISA TIG · 4.2.2-01 ISO 27001 · A.8.13 NIST SP 800-34 · 3.4.1 → Proxmox Backup Server	GV.OC-04 PR.DS-11
Plan tworzenia kopii zapasowych obejmuje zapewnienie kompletności i dokładności kopii zapasowych, w tym danych dotyczących konfiguracji i danych przechowywanych w środowisku usług chmurowych.	techniczne	ENISA TIG · 4.2.2-03 ENISA TIG · 4.2.3-01 ISO 27001 · A.8.13 NIST SP 800-34 · 5.1.2 NIST SP 800-34 · 5.1.3 → Proxmox Backup Server	PR.DS-11 RC.RP-03
Plan tworzenia kopii zapasowych obejmuje przechowywanie kopii zapasowych (online lub offline) w bezpiecznym miejscu lub miejscach, które nie znajdują się w tej samej sieci co system i znajdują się w wystarczającej odległości, aby uniknąć wszelkich szkód spowodowanych sytuacją nadzwyczajną w głównej lokalizacji.	techniczne	CIS Controls · 11.4 ENISA TIG · 4.1.2-06 ENISA TIG · 4.2.2-01 ENISA TIG · 4.2.2-03 ISO 27001 · A.8.13 NIST SP 800-34 · 5.1.5 → Proxmox Backup Server	PR.DS-11 PR.IR-02
Plan tworzenia kopii zapasowych obejmuje odpowiednie środki fizycznej i logicznej kontroli dostępu do kopii zapasowych, zgodnie z poziomem klasyfikacji aktywów.	techniczne	CIS Controls · 11.3 ENISA TIG · 4.2.2-01 ISO 27001 · A.5.15 ISO 27001 · A.8.13 → Keycloak · Proxmox Backup Server	PR.AA-05 PR.AA-06 PR.DS-11
Podmiot przeprowadza regularne kontrole integralności kopii zapasowych.	techniczne	CIS Controls · 11.5 ENISA TIG · 4.2.3-01 ISO 27001 · A.8.13 NIST SP 800-61 · RC.RP-03.R1 → Proxmox Backup Server	PR.DS-11 RC.RP-03
Podmiot zapewnia co najmniej częściową redundancję sieci i systemów informatycznych.	techniczne	CIS Controls · 12.2 ENISA TIG · 4.2.4-01 ISO 27001 · A.8.14 NIST SP 800-34 · 5.1.6 → Szablon: Plan ciągłości działania z BIA	PR.IR-03 PR.IR-04
Podmiot zapewnia co najmniej częściową redundancję odpowiednich kanałów komunikacji.	techniczne	ENISA TIG · 4.1.2-04 ENISA TIG · 4.1.2-05 ENISA TIG · 4.2.4-01 ISO 27001 · A.8.14 → Szablon: Plan ciągłości działania z BIA	PR.IR-03
Podmiot przeprowadza regularne testy odzyskiwania kopii zapasowych i redundancji gwarantujące, że w sytuacji wymagającej odzyskiwania można na nich polegać i że obejmują one kopie, procesy i wiedzę umożliwiające przeprowadzenie skutecznego odzyskiwania.	techniczne	CIS Controls · 11.5 ENISA TIG · 4.2.3-01 ENISA TIG · 4.2.6-01 ENISA TIG · 4.2.6-03 ISO 27001 · A.8.13 ISO 27001 · A.8.14 NIST SP 800-34 · 3.5.1 → Proxmox Backup Server · Szablon: Plan ciągłości działania z BIA	PR.DS-11
Proces zarządzania kryzysowego obejmuje stosowanie odpowiednich środków w celu zapewnienia utrzymania bezpieczeństwa sieci i systemów informatycznych w sytuacjach kryzysowych.	techniczne	ENISA TIG · 4.3.1-01 ISO 27001 · A.5.29 → Szablon: Plan ciągłości działania z BIA	PR.IR-03
Bezpieczeństwo fizycznewymagania wiążące — fizyczne
Podmiot zapewnia co najmniej częściową redundancję aktywów, w tym wyposażenia, sprzętu i materiałów eksploatacyjnych.	fizyczne	ENISA TIG · 4.2.4-01 ISO 27001 · A.8.14 NIST SP 800-34 · 3.4.4 → Szablon: Plan ciągłości działania z BIA	PR.IR-03 PR.IR-04

Komplet wymagań tego obowiązku — 41 wierszy, generowanych z modelu przy każdej publikacji. Każde mapowanie na kontrolę ma w modelu pisemne uzasadnienie i ocenę dopasowania — na stronie pokazujemy cel mapowania. Rezultat NIST CSF 2.0 to cel, któremu służy wymaganie — nie kontrola; nie wlicza się do mapowań ani nie prowadzi do rozwiązań. Wersja krajowa tych przepisów (wiąże każdy podmiot w swoim zakresie): Katalog środków bezpieczeństwa SZBI, Środki bezpieczeństwa podmiotu publicznego (art. 8 ust. 3).

Kolumna „kontrole" mówi Wam, gdzie tę samą rzecz mierzy Wasz certyfikat ISO albo profil NIST — jeśli kontrolę już macie wdrożoną i udokumentowaną, ta część ścieżki jest do reużycia, nie do budowy od zera.

Dlaczego NIST CSF 2.0 stoi osobno

NIST CSF 2.0 opisuje rezultaty — „co ma być osiągnięte" — i sam odsyła po zabezpieczenia do katalogów takich jak ISO 27001 czy CIS. Dlatego na tej ścieżce rezultat CSF mówi, po co jest wymaganie, a kolumna kontroli — czym je spełnić.

Warstwa rozwiązań

Czym to zrealizować — rekomendacje referencyjne

Rozwiązanie trafia na ścieżkę tylko wtedy, gdy realizuje kontrolę, na którą mapuje wymaganie tego obowiązku. 8 rozwiązań obejmuje 34 z 41 wymagań; dla 7 model nie wskazuje rozwiązania — i strona mówi to wprost. Wasze własne narzędzie realizujące te same kontrole domyka ścieżkę tak samo.

CISO Assistant

Narzędzie open source do prowadzenia SZBI: rejestr ryzyk, plan postępowania, dowody skuteczności środków — z gotowymi ramami ISO 27001 i NIST CSF, na które mapuje ta ścieżka.

rekomendowaneopen sourcenarzędzierealizuje 4 kontrole · obejmuje 14 z 41 wymagań

DFIR-IRIS

Platforma open source do obsługi incydentów: sprawy, oś czasu, artefakty i zadania zespołu reagowania — operacyjny zapis tego, o co zapyta CSIRT i audytor.

open sourcenarzędzierealizuje 1 kontrolę · obejmuje 3 z 41 wymagań

Keycloak

Serwer tożsamości open source — realizacja polityk kontroli dostępu i zarządzania tożsamością: role, uprawnienia, MFA, federacja.

open sourcenarzędzierealizuje 1 kontrolę · obejmuje 1 z 41 wymagań

Probo

Narzędzie open source do oceny i monitorowania dostawców: rejestr dostawców, oceny ryzyka, śledzenie zobowiązań umownych — operacyjna strona łańcucha dostaw.

open sourcenarzędzierealizuje 3 kontrole · obejmuje 4 z 41 wymagań

Proxmox Backup Server

Open source serwer kopii zapasowych: deduplikacja, szyfrowanie, weryfikacja kopii i odtwarzanie — techniczny fundament planów ciągłości i odtworzenia.

open sourcenarzędzierealizuje 2 kontrole · obejmuje 21 z 41 wymagań

Szablon: Metodyka zarządzania ryzykiem

Autorski szablon metodyki szacowania i postępowania z ryzykiem — kryteria, skale, rejestr i cykl przeglądów pod wymagania SZBI.

szablon Intecaszablon proceduryrealizuje 1 kontrolę · obejmuje 1 z 41 wymagań

Szablon: Plan ciągłości działania z BIA

Autorski szablon planu ciągłości działania z analizą wpływu (BIA) — scenariusze, role, procedury odtworzenia, testy.

szablon Intecaszablon planurealizuje 4 kontrole · obejmuje 19 z 41 wymagań

Szablon: Plan reagowania na incydenty i komunikacji

Autorski szablon planu reagowania na incydenty i komunikacji — klasyfikacja, eskalacja, terminy zgłoszeń, komunikaty do stron.

szablon Intecaszablon planurealizuje 2 kontrole · obejmuje 4 z 41 wymagań

7 wymagań bez rozwiązania referencyjnego

Ich kontrole (CIS Controls, ENISA TIG, ISO 27001, NIST SP 800-34 i NIST SP 800-61) nie mają w modelu narzędzia ani szablonu, który je realizuje:

Plan ciągłości działania i przywrócenia normalnego działania zawiera kluczowe osoby do kontaktu oraz wewnętrzne i zewnętrzne kanały…
Plan ciągłości działania i przywrócenia normalnego działania zawiera warunki aktywacji i dezaktywacji planu.
Plan ciągłości działania i przywrócenia normalnego działania zawiera kolejność przywracania działalności.
Plan ciągłości działania i przywrócenia normalnego działania zawiera przywrócenie i wznowienie działalności w wyniku zastosowania środków…
Plany ciągłości działania i przywrócenia normalnego działania uwzględniają wnioski wyciągnięte z testów tych planów.
Podmiot wdraża proces zarządzania i wykorzystywania informacji otrzymywanych od CSIRT lub, w stosownych przypadkach, od właściwych organów,…
Podmiot testuje, przegląda oraz, w razie potrzeby, aktualizuje plan zarządzania kryzysowego, zarówno cyklicznie, jak i po wystąpieniu…

dowolna realizacja

Uczciwie o granicach

Czego ta ścieżka nie zrobi za Was

Nie zastąpi dowodów operacyjnych

Ścieżka daje strukturę i uzasadnienia — mapę tego, co wykazać. Zapisy, decyzje, logi i podpisane dokumenty musicie wytworzyć u siebie; o oczekiwaniach audytora więcej na stronie audyt KSC/NIS2.

Chcecie przejść tę ścieżkę z przewodnikiem?

Inteca poprowadzi wdrożenie warstwa po warstwie: od wymagań przepisu, przez kontrole standardów, po narzędzia i bazę dowodową pod audyt.

Umówcie konsultację Wróćcie do przeglądu ścieżek