Ścieżka zgodności · CIR 2024/2690

Cyberhigiena i szkolenia — jak spełnić załącznik pkt 8 CIR 2024/2690 krok po kroku

Odpowiednie podmioty zapewniają świadomość ryzyka i praktyki cyberhigieny wśród pracowników, członków organów zarządzających oraz bezpośrednich dostawców i usługodawców (program podnoszenia świadomości z właściwościami a–c, testowany i aktualizowany), a pracownikom o funkcjach istotnych dla bezpieczeństwa zapewniają regularne szkolenia w ramach programu szkoleniowego dostosowanego do stanowisk, ocenianego pod kątem skuteczności i okresowo aktualizowanego. Poniżej ta norma rozłożona na warstwy: wymagania → kontrole standardów → rozwiązania, a przy każdym wymaganiu rezultat NIST CSF 2.0, któremu ono służy. Zacznijcie od pytania, czy ten obowiązek Was wiąże — odpowiedź jest pierwszą sekcją pod spodem.

wiąże wprost: dostawców cyfrowych z art. 8b ust. 1 UKSC załącznik pkt 8 CIR 2024/2690 doprecyzowuje art. 21 ust. 2 lit. g NIS2 CIS Critical Security Controls v8.1 · ENISA Technical Implementation Guidance · ISO/IEC 27001:2022 · NIST SP 800-34 Rev. 1 · NIST SP 800-61 Rev. 3 rezultaty: NIST CSF 2.0

Zaplanujcie wdrożenie z Inteca Przegląd ścieżek

                18
                wymagań wiążących wyprowadzonych z załącznik pkt 8 CIR 2024/2690.
              

72 mapowania na 35 kontroli katalogów: CIS Critical Security Controls v8.1, ENISA Technical Implementation Guidance, ISO/IEC 27001:2022, NIST SP 800-34 Rev. 1 i NIST SP 800-61 Rev. 3 — każde z pisemnym uzasadnieniem.

18 z 18 wymagań ma rozwiązanie referencyjne, które realizuje ich kontrole.

1 rozwiązanie referencyjne na końcu ścieżki (narzędzie open source albo szablon dokumentu Inteca), przypisane do kontroli, które realizuje.

Krok zero

Kogo wiąże ten obowiązek?

Zanim przeczytacie choć jedno wymaganie — sprawdźcie, czy ta ścieżka jest Wasza. Odpowiedź nie jest pisana ręcznie: wynika z zakresu obowiązku zapisanego w modelu prawnym.

wiąże wprost

Dostawcy cyfrowi z art. 8b ust. 1 UKSC

Dostawcy usług DNS, rejestry nazw domen najwyższego poziomu (TLD), dostawcy usług chmurowych, dostawcy usługi centrum przetwarzania danych, dostawcy sieci dostarczania treści, dostawcy usług zarządzanych, dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa, dostawcy internetowych platform handlowych, dostawcy wyszukiwarek internetowych oraz dostawcy platform usług sieci społecznościowych. Dla Was rozporządzenie CIR 2024/2690 jest obowiązkiem — ta ścieżka to Wasza lista zadań.

nie wiąże — wzorzec

Pozostałe podmioty kluczowe i ważne

CIR Was nie obowiązuje — art. 8b ust. 2 UKSC odsyła do przyszłych aktów wykonawczych Komisji Europejskiej dla Waszego rodzaju podmiotu. Wasz wiążący obowiązek to art. 8b ust. 2 UKSC — tę ścieżkę czytajcie jako sprawdzony wzorzec, nie jako listę wymagań audytora.

nie wiecie?

Sprawdźcie swój rodzaj podmiotu

Klasa podmiotu to nie wszystko — decyduje rodzaj podmiotu, sektor i wielkość. Kwalifikator KSC wskaże Wasz rodzaj, a wynik powie wprost, czy ten obowiązek jest w Waszym katalogu.

Ten blok wygląda tak samo na każdej ścieżce: obowiązek z UKSC pokaże tu klasy podmiotów (kluczowy / ważny / publiczny), obowiązek z CIR — dostawców cyfrowych. Dyrektywa NIS2 nie ma własnych ścieżek — pokazujemy ją niżej, jako źródło obowiązku.

Skąd ten obowiązek

Zdanie dyrektywy i akty, które je wypełniają

Dyrektywa NIS2 wiąże państwa, nie Was — dlatego nie ma osobnej ścieżki. Konkrety dopisały akty, które ją wykonują — ten, na którym jesteście, i jego krajowe odbicie.

źródło · dyrektywa

Art. 21 ust. 2 lit. g NIS2

„Środki zarządzania ryzykiem obejmują podstawowe praktyki cyberhigieny i szkolenia w zakresie cyberbezpieczeństwa."

Tyle mówi dyrektywa. Co konkretnie zrobić — mówią akty obok. Treść cytowana z modelu, nie przepisywana.

ta ścieżka · CIR 2024/2690

Załącznik pkt 8 CIR 2024/2690

„8.1.1. Do celów art. 21 ust. 2 lit. g) dyrektywy (UE) 2022/2555 odpowiednie podmioty zapewniają, aby ich pracownicy, w tym członkowie organów zarządzających, a także bezpośredni dostawcy i usługodawcy byli świadomi ryzyka, byli informowani o znaczeniu cyberbezpieczeństwa i stosowali praktyki cyberhigieny. 8.1.2. Do…"

Komisja Europejska rozpisała lit. g na 18 wymagań wiążących — ale tylko dla dostawców cyfrowych z art. 8b ust. 1 UKSC. To jest ścieżka, na której jesteście. Treść cytowana z modelu, nie pisana.

drugie wcielenie · UKSC

Ta sama litera w ustawie o KSC

Polska przeniosła tę samą literę do ustawy — tam wiąże ona podmioty w klasach z zakresu każdego z tych obowiązków, także dostawców cyfrowych.

Katalog środków bezpieczeństwa SZBI (art. 8 ust. 1 UKSC · kluczowy i ważny)
Środki bezpieczeństwa podmiotu publicznego (art. 8 ust. 3) (art. 8 ust. 3 UKSC · tylko ważny (sektor publiczny))

Przebieg ścieżki

Od rozporządzenia do narzędzia i szablonu

Diagram pokazuje jedną nitkę ścieżki — wymaganie 5 z 18 wiążących — w komplecie warstw. Tabela niżej rozwija pozostałe wymagania.

przepis obowiązek wymaganie rezultat NIST CSF kontrola standardu rozwiązanie

Diagram wygenerowany z żywego modelu IRNIS przy publikacji tej strony.

Warstwa wymagań i kontroli

Wymagania tego obowiązku i ich odpowiedniki w standardach

Każdy wiersz to jedno atomowe wymaganie — dokładnie w brzmieniu z modelu, o które zapyta audytor — z kontrolami, na które mapuje je model, i rozwiązaniami referencyjnymi, które te kontrole realizują. Wiersze pogrupowane po charakterze wymagania.

Wymaganie (brzmienie z modelu)	Charakter	Kontrole standardów	Rezultat NIST CSF 2.0
Organizacja i politykiwymagania wiążące — organizacyjne
Podmiot zapewnia, aby jego pracownicy, w tym członkowie organów zarządzających, a także bezpośredni dostawcy i usługodawcy byli świadomi ryzyka, byli informowani o znaczeniu cyberbezpieczeństwa i stosowali praktyki cyberhigieny.	organizacyjne	CIS Controls · 14.1 ENISA TIG · 8.1.1-01 ISO 27001 · A.6.3 → Szablon: Program budowania świadomości bezpieczeństwa	PR.AT-01
Podmiot oferuje swoim pracownikom, w tym członkom organów zarządzających, a także bezpośrednim dostawcom i usługodawcom, w stosownych przypadkach, program podnoszenia świadomości.	organizacyjne	CIS Controls · 14.1 ENISA TIG · 8.1.1-01 ISO 27001 · A.6.3 → Szablon: Program budowania świadomości bezpieczeństwa	PR.AT-01
Program podnoszenia świadomości jest zaplanowany w czasie, tak aby działania były powtarzane i obejmowały nowych pracowników.	organizacyjne	CIS Controls · 14.1 ENISA TIG · 8.1.3-01 ISO 27001 · A.6.3 → Szablon: Program budowania świadomości bezpieczeństwa	PR.AT-01
Program podnoszenia świadomości jest ustanawiany zgodnie z polityką bezpieczeństwa sieci i informacji, politykami tematycznymi i odpowiednimi procedurami dotyczącymi bezpieczeństwa sieci i informacji.	organizacyjne	ENISA TIG · 8.1.2-02 ISO 27001 · A.6.3 → Szablon: Program budowania świadomości bezpieczeństwa	PR.AT-01
Program podnoszenia świadomości uwzględnia odpowiednie cyberzagrożenia, obowiązujące środki zarządzania ryzykiem w cyberbezpieczeństwie, punkty kontaktowe i zasoby na potrzeby dodatkowych informacji i porad w kwestiach cyberbezpieczeństwa, a także praktyki w zakresie cyberhigieny dla użytkowników.	organizacyjne	CIS Controls · 14.2 CIS Controls · 14.3 CIS Controls · 14.4 CIS Controls · 14.5 ENISA TIG · 8.1.2-01 ENISA TIG · 8.1.2-02 ENISA TIG · 8.1.2-03 ENISA TIG · 8.1.2-04 ENISA TIG · 8.1.2-05 ISO 27001 · A.6.3 → Szablon: Program budowania świadomości bezpieczeństwa	PR.AT-01
Podmiot wskazuje pracowników, których funkcje wymagają zestawów umiejętności i wiedzy fachowej istotnych z punktu widzenia bezpieczeństwa.	organizacyjne	ENISA TIG · 8.2.1-01 ISO 27001 · A.6.3 ISO 27001 · 7.2 → Szablon: Program budowania świadomości bezpieczeństwa	PR.AT-02
Podmiot ustanawia, wdraża i stosuje program szkoleniowy zgodny z polityką bezpieczeństwa sieci i informacji, politykami tematycznymi i innymi odpowiednimi procedurami dotyczącymi bezpieczeństwa sieci i informacji, określający potrzeby szkoleniowe w odniesieniu do niektórych funkcji i stanowisk w oparciu o kryteria.	organizacyjne	CIS Controls · 14.9 ENISA TIG · 8.2.1-03 ENISA TIG · 8.2.2-01 ENISA TIG · 8.2.2-02 ENISA TIG · 8.2.2-03 ISO 27001 · A.6.3 ISO 27001 · 7.2 → Szablon: Program budowania świadomości bezpieczeństwa	PR.AT-02
Procesy i procedurywymagania wiążące — proceduralne
Program podnoszenia świadomości testuje się pod kątem skuteczności.	proceduralne	ENISA TIG · 8.1.3-02 ENISA TIG · 8.1.3-03 ISO 27001 · A.6.3 → Szablon: Program budowania świadomości bezpieczeństwa	ID.IM-01 PR.AT-01
Program podnoszenia świadomości aktualizuje się i oferuje w zaplanowanych odstępach czasu, z uwzględnieniem zmian w praktykach cyberhigieny oraz aktualnego krajobrazu zagrożeń i ryzyka stwarzanego dla podmiotu.	proceduralne	CIS Controls · 14.1 ENISA TIG · 8.1.3-04 ISO 27001 · A.6.3 → Szablon: Program budowania świadomości bezpieczeństwa	PR.AT-01
Podmiot zapewnia, aby pracownicy, których funkcje wymagają zestawów umiejętności i wiedzy fachowej istotnych z punktu widzenia bezpieczeństwa, byli regularnie szkoleni w zakresie bezpieczeństwa sieci i systemów informatycznych.	proceduralne	CIS Controls · 14.9 CIS Controls · 16.9 ENISA TIG · 8.2.1-02 ENISA TIG · 8.2.5-01 ISO 27001 · A.6.3 NIST SP 800-34 · 3.5.2 → Szablon: Program budowania świadomości bezpieczeństwa	PR.AT-02
Szkolenie w zakresie bezpieczeństwa sieci i systemów informatycznych jest dostosowane do stanowiska pracownika.	proceduralne	CIS Controls · 14.9 CIS Controls · 16.9 ENISA TIG · 8.2.2-01 ISO 27001 · A.6.3 NIST SP 800-34 · 3.5.2 NIST SP 800-61 · PR.AT-02.R1 → Szablon: Program budowania świadomości bezpieczeństwa	PR.AT-02
Skuteczność szkolenia w zakresie bezpieczeństwa sieci i systemów informatycznych poddawana jest ocenie.	proceduralne	ENISA TIG · 8.2.3-02 ISO 27001 · A.6.3 → Szablon: Program budowania świadomości bezpieczeństwa	ID.IM-01 PR.AT-02
Szkolenia uwzględniają obowiązujące środki bezpieczeństwa.	proceduralne	CIS Controls · 14.3 CIS Controls · 14.4 CIS Controls · 14.7 ENISA TIG · 8.2.3-01 ISO 27001 · A.6.3 → Szablon: Program budowania świadomości bezpieczeństwa	PR.AT-02
Szkolenia obejmują instrukcje dotyczące bezpiecznej konfiguracji i działania sieci i systemów informatycznych, w tym urządzeń mobilnych.	proceduralne	CIS Controls · 14.7 CIS Controls · 14.8 ENISA TIG · 8.2.3-01 ISO 27001 · A.6.3 → Szablon: Program budowania świadomości bezpieczeństwa	PR.AT-02
Szkolenia obejmują informacje na temat znanych cyberzagrożeń.	proceduralne	CIS Controls · 14.2 CIS Controls · 14.8 ENISA TIG · 8.2.3-01 ISO 27001 · A.6.3 → Szablon: Program budowania świadomości bezpieczeństwa	PR.AT-02
Szkolenia obejmują szkolenia z zachowania w przypadku wystąpienia zdarzeń istotnych z punktu widzenia bezpieczeństwa.	proceduralne	CIS Controls · 14.6 ENISA TIG · 8.2.3-01 ISO 27001 · A.6.3 NIST SP 800-61 · PR.AT-02.R1 → Szablon: Program budowania świadomości bezpieczeństwa	PR.AT-02
Podmiot przeprowadza szkolenia dla pracowników, którzy przenoszą się na nowe stanowiska lub funkcje wymagające zestawów umiejętności i wiedzy fachowej istotnych z punktu widzenia bezpieczeństwa.	proceduralne	ENISA TIG · 8.2.4-01 ISO 27001 · A.6.3 → Szablon: Program budowania świadomości bezpieczeństwa	GV.RR-04 PR.AT-02
Program szkoleniowy jest okresowo aktualizowany i prowadzony z uwzględnieniem mających zastosowanie polityk i zasad, przypisanych funkcji, obowiązków, a także znanych cyberzagrożeń i nowych rozwiązań technologicznych.	proceduralne	ENISA TIG · 8.2.5-02 ISO 27001 · A.6.3 → Szablon: Program budowania świadomości bezpieczeństwa	PR.AT-02

Komplet wymagań tego obowiązku — 18 wierszy, generowanych z modelu przy każdej publikacji. Każde mapowanie na kontrolę ma w modelu pisemne uzasadnienie i ocenę dopasowania — na stronie pokazujemy cel mapowania. Rezultat NIST CSF 2.0 to cel, któremu służy wymaganie — nie kontrola; nie wlicza się do mapowań ani nie prowadzi do rozwiązań. Wersja krajowa tych przepisów (wiąże każdy podmiot w swoim zakresie): Katalog środków bezpieczeństwa SZBI, Środki bezpieczeństwa podmiotu publicznego (art. 8 ust. 3).

Kolumna „kontrole" mówi Wam, gdzie tę samą rzecz mierzy Wasz certyfikat ISO albo profil NIST — jeśli kontrolę już macie wdrożoną i udokumentowaną, ta część ścieżki jest do reużycia, nie do budowy od zera.

Dlaczego NIST CSF 2.0 stoi osobno

NIST CSF 2.0 opisuje rezultaty — „co ma być osiągnięte" — i sam odsyła po zabezpieczenia do katalogów takich jak ISO 27001 czy CIS. Dlatego na tej ścieżce rezultat CSF mówi, po co jest wymaganie, a kolumna kontroli — czym je spełnić.

Warstwa rozwiązań

Czym to zrealizować — rekomendacje referencyjne

Rozwiązanie trafia na ścieżkę tylko wtedy, gdy realizuje kontrolę, na którą mapuje wymaganie tego obowiązku. 1 rozwiązanie obejmuje 18 z 18 wymagań. Wasze własne narzędzie realizujące te same kontrole domyka ścieżkę tak samo.

Szablon: Program budowania świadomości bezpieczeństwa

Autorski szablon programu budowania świadomości bezpieczeństwa — plan szkoleń, grupy docelowe, mierniki skuteczności.

rekomendowaneszablon Intecaszablon planurealizuje 2 kontrole · obejmuje 18 z 18 wymagań

Macie już własne narzędzie?

Ścieżka definiuje, co rozwiązanie musi realizować — nie narzuca produktu. Tabela wymagań wyżej to gotowa lista kontrolna do oceny narzędzia, które już posiadacie.

dowolna realizacja

Uczciwie o granicach

Czego ta ścieżka nie zrobi za Was

Nie zastąpi dowodów operacyjnych

Ścieżka daje strukturę i uzasadnienia — mapę tego, co wykazać. Zapisy, decyzje, logi i podpisane dokumenty musicie wytworzyć u siebie; o oczekiwaniach audytora więcej na stronie audyt KSC/NIS2.

Chcecie przejść tę ścieżkę z przewodnikiem?

Inteca poprowadzi wdrożenie warstwa po warstwie: od wymagań przepisu, przez kontrole standardów, po narzędzia i bazę dowodową pod audyt.

Umówcie konsultację Wróćcie do przeglądu ścieżek