Katalog środków bezpieczeństwa SZBI — jak spełnić art. 8 ust. 1 UKSC krok po kroku

Podmioty kluczowe i Podmioty ważne

Ten obowiązek wiąże podmioty kluczowe i podmioty ważne. Jeśli jesteście w wykazie w tej klasie, ta ścieżka jest Waszą listą zadań.

Podmioty ważne — sektor publiczny

Ten obowiązek Was nie wiąże — art. 8 ust. 3 UKSC daje Wam własny zestaw wymagań. Wasza ścieżka to Środki bezpieczeństwa podmiotu publicznego (art. 8 ust. 3).

Sprawdźcie swój rodzaj podmiotu

Klasa podmiotu to nie wszystko — decyduje rodzaj podmiotu, sektor i wielkość. Kwalifikator KSC wskaże Wasz rodzaj, a wynik powie wprost, czy ten obowiązek jest w Waszym katalogu.

Art. 21 ust. 2 lit. a–i NIS2

Środki zarządzania ryzykiem obejmują: lit. a politykę analizy ryzyka i bezpieczeństwa systemów informatycznych. lit. b obsługę incydentu. lit. c ciągłość działania, np. zarządzanie kopiami zapasowymi i przywracanie normalnego działania po wystąpieniu sytuacji nadzwyczajnej, i zarządzanie kryzysowe. lit. d bezpieczeństwo łańcucha dostaw, w tym aspekty związane z bezpieczeństwem dotyczące stosunków między każdym podmiotem a jego bezpośrednimi dostawcami lub usługodawcami. lit. e bezpieczeństwo w procesie nabywania, rozwoju i utrzymania sieci i systemów informatycznych, w tym postępowanie w przypadku podatności i ich ujawnianie. lit. f polityki i procedury służące ocenie skuteczności środków zarządzania ryzykiem w cyberbezpieczeństwie. lit. g podstawowe praktyki cyberhigieny i szkolenia w zakresie cyberbezpieczeństwa. lit. h polityki i procedury stosowania kryptografii i, w stosownych przypadkach, szyfrowania. lit. i bezpieczeństwo zasobów ludzkich, politykę kontroli dostępu i zarządzanie aktywami.

Model łączy ten obowiązek z 9 przepisami dyrektywy relacją „transponuje", z oceną „równoważna".

Art. 8 ust. 1 UKSC

„polityki szacowania ryzyka oraz bezpieczeństwa systemu informacyjnego, w tym polityki tematyczne"; „bezpieczeństwo w procesie nabywania, rozwoju, utrzymania i eksploatacji systemu informacyjnego, w tym testowanie systemu informacyjnego"; „bezpieczeństwo fizyczne i środowiskowe uwzględniające kontrole dostępu"; „bezpieczeństwo zasobów ludzkich"; „bezpieczeństwo i ciągłość łańcucha dostaw produktów ICT, usług ICT i procesów ICT, od których zależy świadczenie usługi, z uwzględnieniem związków pomiędzy bezpośrednim dostawcą sprzętu lub oprogramowania a podmiotem kluczowym lub podmiotem ważnym"; „wdrażanie, dokumentowanie, testowanie i utrzymywanie planów ciągłości działania umożliwiających ciągłe i niezakłócone świadczenie usługi oraz zapewniających poufność, integralność, dostępność i autentyczność informacji, planów awaryjnych oraz planów odtworzenia działalności umożliwiających odtworzenie systemu informacyjnego po zdarzeniu, które spowodowało straty przekraczające zdolności podmiotu do odbudowy za pomocą własnych środków"; „polityki i procedury oceny skuteczności środków technicznych i organizacyjnych"; „edukację z zakresu cyberbezpieczeństwa dla personelu podmiotu"; „podstawowe zasady cyberhigieny"; „polityki i procedury stosowania kryptografii, w tym w stosownych przypadkach szyfrowania"; „zarządzanie aktywami"; „polityki kontroli dostępu"; „zarządzanie incydentami"

Polska przeniosła te przepisy do ustawy — to wiersze tabeli niżej (13 wymagań wiążących). Treść cytowana z modelu, nie pisana.

Jesteście dostawcą cyfrowym? Komisja rozpisała te przepisy

Rozporządzenie wykonawcze CIR 2024/2690 rozkłada te same przepisy dyrektywy na szczegółowe wymagania — ale wiąże tylko dostawców cyfrowych z art. 8b ust. 1 UKSC. Oni realizują ten katalog przez ścieżki CIR; dla pozostałych podmiotów CIR to wzorzec, nie obowiązek.

• lit. a: Polityka bezpieczeństwa sieci i systemów (załącznik pkt 1 CIR 2024/2690)
• lit. a: Zarządzanie ryzykiem (załącznik pkt 2 CIR 2024/2690)
• lit. b: Obsługa incydentów (załącznik pkt 3 CIR 2024/2690)
• lit. c: Ciągłość działania i zarządzanie kryzysowe (załącznik pkt 4 CIR 2024/2690)
• lit. d: Bezpieczeństwo łańcucha dostaw (załącznik pkt 5 CIR 2024/2690)
• lit. e: Bezpieczny rozwój i utrzymanie systemów (załącznik pkt 6 CIR 2024/2690)
• lit. f: Ocena skuteczności zabezpieczeń (załącznik pkt 7 CIR 2024/2690)
• lit. g: Cyberhigiena i szkolenia (załącznik pkt 8 CIR 2024/2690)
• lit. h: Kryptografia (załącznik pkt 9 CIR 2024/2690)
• lit. i: Bezpieczeństwo zasobów ludzkich (załącznik pkt 10 CIR 2024/2690)
• lit. i: Kontrola dostępu (załącznik pkt 11 CIR 2024/2690)
• lit. i: Zarządzanie aktywami (załącznik pkt 12 CIR 2024/2690)
• lit. c, lit. e, lit. i: Bezpieczeństwo fizyczne i środowiskowe (załącznik pkt 13 CIR 2024/2690)

Nie zastąpi dowodów operacyjnych

Ścieżka daje strukturę i uzasadnienia — mapę tego, co wykazać. Zapisy, decyzje, logi i podpisane dokumenty musicie wytworzyć u siebie; o oczekiwaniach audytora więcej na stronie audyt KSC/NIS2.

Nie zastąpi szacowania ryzyka

Katalog to środki „odpowiednie i proporcjonalne do oszacowanego ryzyka" — dobór i skala każdego z nich wynikają z Waszej analizy ryzyka. Samo prowadzenie tej analizy to osobny obowiązek tego samego przepisu, wymieniony obok.

Inne obowiązki z tego samego przepisu (art. 8 ust. 1 UKSC)

Ten przepis rozpada się w modelu na osobne obowiązki — każdy z własną ścieżką. Ta strona to jeden z nich; pozostałe:

• Zbieranie informacji o zagrożeniach i podatnościach (art. 8 ust. 1 UKSC)
• Bezpieczna komunikacja w KSC (art. 8 ust. 1 UKSC)
• Monitorowanie w trybie ciągłym (art. 8 ust. 1 UKSC)
• System zarządzania bezpieczeństwem informacji (SZBI) (art. 8 ust. 1 UKSC)