Na ile jesteście gotowi na KSC? Samoocena w strukturze NIST CSF 2.0

Podmiot stosuje, w ramach systemu zarządzania bezpieczeństwem informacji, o którym mowa w art. 8 ust. 1 ustawy, środki zarządzania ryzykiem dla danego rodzaju podmiotu określone w aktach wykonawczych Komisji Europejskiej wydanych na podstawie art. 21 ust. 5 dyrektywy 2022/2555.

Dokumentacja normatywna obejmuje dokumentację wynikającą ze specyfiki świadczonej usługi w danym sektorze lub podsektorze.

Kierownik podmiotu zapewnia zgodność działania podmiotu z przepisami prawa oraz z wewnętrznymi regulacjami podmiotu.

Podmiot nie przekazuje danych osobowych w ramach wymiany informacji dotyczących cyberbezpieczeństwa.

Dokumentacja ochrony infrastruktury zawiera ocenę aktualnego stanu ochrony infrastruktury.

Środki techniczne i organizacyjne obejmują polityki i procedury oceny skuteczności środków technicznych i organizacyjnych.

Dokumentacja normatywna obejmuje dokumentację systemu zarządzania bezpieczeństwem informacji.

Dokumentacja normatywna obejmuje dokumentację ochrony infrastruktury, z wykorzystaniem której jest świadczona usługa.

Dokumentacja dotycząca bezpieczeństwa systemu informacyjnego wykorzystywanego w procesie świadczenia usługi obejmuje dokumentację normatywną.

Podmiot opracowuje dokumentację dotyczącą bezpieczeństwa systemu informacyjnego wykorzystywanego w procesie świadczenia usługi.

Podmiot stosuje dokumentację dotyczącą bezpieczeństwa systemu informacyjnego wykorzystywanego w procesie świadczenia usługi.

Podmiot ustanawia nadzór nad dokumentacją dotyczącą bezpieczeństwa systemu informacyjnego wykorzystywanego w procesie świadczenia usługi.

Środki techniczne i organizacyjne obejmują polityki szacowania ryzyka oraz bezpieczeństwa systemu informacyjnego, w tym polityki tematyczne.

Podmiot wdraża system zarządzania bezpieczeństwem informacji w systemie informacyjnym wykorzystywanym w procesach wpływających na świadczenie usługi przez ten podmiot.

Podmiot aktualizuje dokumentację dotyczącą bezpieczeństwa systemu informacyjnego wykorzystywanego w procesie świadczenia usługi.

Nadzór nad dokumentacją zapewnia oznaczanie kolejnych wersji dokumentów umożliwiające określenie zmian dokonanych w tych dokumentach.

Kierownik podmiotu podejmuje decyzje w zakresie przygotowania, wdrażania, stosowania, przeglądu i nadzoru systemu zarządzania bezpieczeństwem informacji w podmiocie.

Kierownik podmiotu ponosi odpowiedzialność za wykonywanie przez podmiot obowiązków w zakresie cyberbezpieczeństwa, o których mowa w art. 7b ust. 4, art. 7c, art. 7f ust. 3, art. 8, art. 8d, art. 8e, art. 8f ust. 1 i 2, art. 9–12b, art. 14 i art. 15 ustawy.

Kierownik podmiotu przydziela zadania z zakresu cyberbezpieczeństwa w podmiocie i nadzoruje ich wykonanie.

Podmiot wyznacza co najmniej dwie osoby odpowiedzialne za utrzymywanie kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa.

Podmiot posiada powołane wewnętrzne struktury odpowiedzialne za cyberbezpieczeństwo albo zawartą umowę z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa, zapewniające realizację zadań, o których mowa w art. 8 oraz art. 9–13 ustawy.

Kierownik podmiotu planuje adekwatne środki finansowe na realizację obowiązków z zakresu cyberbezpieczeństwa.

Środki techniczne i organizacyjne obejmują bezpieczeństwo zasobów ludzkich.

Osoba, która ma realizować zadania, o których mowa w art. 8 lub art. 11 ustawy, przedstawia podmiotowi informację o osobie z Krajowego Rejestru Karnego stwierdzającą niekaralność za przestępstwa przeciwko ochronie informacji przed rozpoczęciem realizacji tych zadań.

Kierownik podmiotu dopuszcza osobę do realizacji zadań, o których mowa w art. 8 lub art. 11 ustawy, po otrzymaniu informacji o osobie z Krajowego Rejestru Karnego stwierdzającej niekaralność za przestępstwa przeciwko ochronie informacji.

Wymagania przedstawienia i ponownego przedstawienia informacji o osobie z Krajowego Rejestru Karnego uznaje się za spełnione, jeżeli osoba realizująca zadania, o których mowa w art. 8 i art. 11 ustawy, posiada ważne poświadczenie bezpieczeństwa upoważniające do dostępu do informacji niejawnych o klauzuli "poufne" lub wyższej.

Osoba skazana prawomocnym wyrokiem sądu za przestępstwa przeciwko ochronie informacji nie realizuje zadań, o których mowa w art. 8 lub art. 11 ustawy.

Podmiot wzywa osobę realizującą zadania, o których mowa w art. 8 lub art. 11 ustawy, do ponownego przedstawienia informacji o osobie z Krajowego Rejestru Karnego.

Środki techniczne i organizacyjne obejmują bezpieczeństwo i ciągłość łańcucha dostaw produktów ICT, usług ICT i procesów ICT, od których zależy świadczenie usługi, z uwzględnieniem związków pomiędzy bezpośrednim dostawcą sprzętu lub oprogramowania a podmiotem.

Podmiot kluczowy lub podmiot ważny uwzględnia podatności związane z dostawcą sprzętu lub oprogramowania.

Podmiot kluczowy lub podmiot ważny uwzględnia ogólną jakość produktów ICT, usług ICT i procesów ICT pochodzących od dostawcy sprzętu lub oprogramowania.

Podmiot kluczowy lub podmiot ważny uwzględnia wyniki skoordynowanej oceny bezpieczeństwa przeprowadzonej przez Grupę Współpracy.

Podmiot kluczowy lub podmiot ważny uwzględnia wyniki postępowania, o którym mowa w art. 67b.

Dokumentacja ochrony infrastruktury zawiera charakterystykę usługi oraz infrastruktury, w której świadczona jest usługa.

Dokumentacja normatywna obejmuje dokumentację techniczną systemu informacyjnego wykorzystywanego w procesie świadczenia usługi.

Podmiot potwierdza zniszczenie wycofanej z użytkowania dokumentacji dotyczącej bezpieczeństwa systemu informacyjnego wykorzystywanego w procesie świadczenia usługi protokołem brakowania.

Protokoły brakowania dokumentacji dotyczącej bezpieczeństwa systemu informacyjnego wykorzystywanego w procesie świadczenia usługi są przechowywane w sposób trwały.

Środki techniczne i organizacyjne obejmują zarządzanie aktywami.

Podmiot niepodlegający ustawie z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach przechowuje dokumentację dotyczącą bezpieczeństwa systemu informacyjnego wykorzystywanego w procesie świadczenia usługi przez okres co najmniej 2 lat od dnia jej wycofania z użytkowania lub zakończenia świadczenia usługi, liczony od dnia 1 stycznia roku następującego po roku, w którym wygasa okres jej przechowywania.

Dokumentacja normatywna obejmuje dokumentację systemu zarządzania ciągłością działania.

Środki techniczne i organizacyjne obejmują wdrażanie, dokumentowanie, testowanie i utrzymywanie planów ciągłości działania umożliwiających ciągłe i niezakłócone świadczenie usługi oraz zapewniających poufność, integralność, dostępność i autentyczność informacji, planów awaryjnych oraz planów odtworzenia działalności umożliwiających odtworzenie systemu informacyjnego po zdarzeniu, które spowodowało straty przekraczające zdolności podmiotu do odbudowy za pomocą własnych środków.

System zarządzania bezpieczeństwem informacji zapewnia zbieranie informacji o cyberzagrożeniach i podatnościach na incydenty systemu informacyjnego wykorzystywanego do świadczenia usługi.

Dokumentacja ochrony infrastruktury zawiera szacowanie ryzyka dla obiektów infrastruktury.

System zarządzania bezpieczeństwem informacji zapewnia prowadzenie systematycznego szacowania ryzyka wystąpienia incydentu.

Dokumentacja ochrony infrastruktury zawiera plan postępowania z ryzykiem.

System zarządzania bezpieczeństwem informacji zapewnia zarządzanie oszacowanym ryzykiem wystąpienia incydentu.

System zarządzania bezpieczeństwem informacji zapewnia wdrożenie środków technicznych i organizacyjnych odpowiednich i proporcjonalnych do oszacowanego ryzyka.

Dobór środków technicznych i organizacyjnych uwzględnia najnowszy stan wiedzy, koszty wdrożenia, wielkość podmiotu, prawdopodobieństwo wystąpienia incydentów, narażenie podmiotu na ryzyka oraz skutki społeczne i gospodarcze.

Środki zapobiegające i ograniczające wpływ incydentów obejmują niezwłoczne podejmowanie działań po dostrzeżeniu podatności lub cyberzagrożeń, w tym również czasowe ograniczenie ruchu sieciowego przychodzącego do infrastruktury podmiotu mogące skutkować zakłóceniem świadczonych usług, z uwzględnieniem konieczności minimalizacji skutków ograniczenia dostępności tych usług.

Podmiot zapewnia użytkownikowi usługi możliwość zgłoszenia cyberzagrożenia, incydentu lub podatności związanych ze świadczoną usługą.

Bezpieczne środki komunikacji elektronicznej uwzględniają uwierzytelnianie wieloskładnikowe w stosownych przypadkach.

Środki techniczne i organizacyjne obejmują polityki kontroli dostępu.

Nadzór nad dokumentacją zapewnia dostępność dokumentów wyłącznie dla osób upoważnionych, zgodnie z realizowanymi przez nie zadaniami.

Dokumentacja ochrony infrastruktury zawiera opis zabezpieczeń technicznych obiektów infrastruktury.

Dokumentacja ochrony infrastruktury zawiera zasady organizacji i wykonywania ochrony fizycznej infrastruktury.

Środki techniczne i organizacyjne obejmują bezpieczeństwo fizyczne i środowiskowe uwzględniające kontrole dostępu.

Środki techniczne i organizacyjne obejmują edukację z zakresu cyberbezpieczeństwa dla personelu podmiotu.

Środki techniczne i organizacyjne obejmują podstawowe zasady cyberhigieny.

Kierownik podmiotu zapewnia, że personel podmiotu jest świadomy obowiązków z zakresu cyberbezpieczeństwa i zna wewnętrzne regulacje podmiotu w tym zakresie.

Kierownik podmiotu kluczowego lub podmiotu ważnego oraz osoba, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa, przechodzą szkolenie raz w roku kalendarzowym.

Zakres szkolenia obejmuje wykonywanie obowiązków, o których mowa w art. 7b ust. 4, art. 7c, art. 7f ust. 3, art. 8, art. 8d, art. 8f ust. 1 i 2, art. 9–12b, art. 14 i art. 15 ustawy.

Udział w szkoleniu jest udokumentowany.

Środki techniczne i organizacyjne obejmują polityki i procedury stosowania kryptografii, w tym w stosownych przypadkach szyfrowania.

Nadzór nad dokumentacją zapewnia ochronę dokumentów przed uszkodzeniem, zniszczeniem, utratą, nieuprawnionym dostępem, niewłaściwym użyciem lub utratą integralności.

Środki zapobiegające i ograniczające wpływ incydentów obejmują stosowanie mechanizmów zapewniających poufność, integralność, dostępność i autentyczność danych przetwarzanych w systemie informacyjnym.

Środki zapobiegające i ograniczające wpływ incydentów obejmują ochronę przed nieuprawnioną modyfikacją w systemie informacyjnym.

Środki techniczne i organizacyjne obejmują stosowanie bezpiecznych środków komunikacji elektronicznej w ramach krajowego systemu cyberbezpieczeństwa oraz wewnątrz podmiotu.

System zarządzania bezpieczeństwem informacji zapewnia stosowanie środków zapobiegających i ograniczających wpływ incydentów na bezpieczeństwo systemu informacyjnego wykorzystywanego do świadczenia usługi.

Podmiot usuwa podatności, o których mowa w art. 32 ust. 2 ustawy.

Środki zapobiegające i ograniczające wpływ incydentów obejmują regularne przeprowadzanie aktualizacji oprogramowania, stosownie do zaleceń producenta, z uwzględnieniem analizy wpływu aktualizacji na bezpieczeństwo świadczonej usługi oraz poziomu krytyczności poszczególnych aktualizacji.

Dokumentacja operacyjna obejmuje zapisy poświadczające wykonywanie czynności wymaganych przez postanowienia zawarte w dokumentacji normatywnej, w tym automatycznie generowane zapisy w dziennikach systemów informacyjnych.

Dokumentacja dotycząca bezpieczeństwa systemu informacyjnego wykorzystywanego w procesie świadczenia usługi obejmuje dokumentację operacyjną.

Środki techniczne i organizacyjne obejmują bezpieczeństwo w procesie nabywania, rozwoju, utrzymania i eksploatacji systemu informacyjnego, w tym testowanie systemu informacyjnego.

Środki techniczne i organizacyjne obejmują objęcie systemu informacyjnego wykorzystywanego do świadczenia usługi systemem monitorowania w trybie ciągłym.

Podmiot informuje użytkowników swoich usług o incydencie poważnym.

Wczesne ostrzeżenie wskazuje moment wystąpienia i wykrycia incydentu poważnego oraz czas jego trwania.

Wczesne ostrzeżenie wskazuje, czy incydent poważny został wywołany działaniem bezprawnym lub działaniem w złej wierze, jeżeli możliwe jest dokonanie takiej oceny.

Wczesne ostrzeżenie określa, czy incydent dotyczy innych państw członkowskich Unii Europejskiej.

Zgłoszenie incydentu poważnego zawiera opis wpływu incydentu poważnego na świadczenie usługi.

Opis wpływu incydentu poważnego wskazuje usługę zgłaszającego, na którą incydent poważny miał wpływ.

Opis wpływu incydentu poważnego podaje liczbę użytkowników usługi, na których incydent poważny miał wpływ.

Opis wpływu incydentu poważnego podaje zasięg geograficzny obszaru, którego dotyczy incydent poważny.

Opis wpływu incydentu poważnego określa wpływ incydentu poważnego na świadczenie usługi przez inne podmioty.

Zgłoszenie incydentu poważnego zawiera opis przyczyn incydentu, sposób jego przebiegu oraz prawdopodobne skutki oddziaływania na systemy informacyjne lub świadczone usługi.

Zgłoszenie incydentu poważnego zawiera informacje o podjętych działaniach zapobiegawczych.

Zgłoszenie incydentu poważnego zawiera informacje o podjętych działaniach naprawczych.

Podmiot zapewnia właściwemu CSIRT MON, CSIRT NASK, CSIRT GOV lub CSIRT sektorowemu dostęp do informacji o rejestrowanych incydentach w zakresie niezbędnym do realizacji zadań tego CSIRT.

Podmiot oznacza informacje przekazywane dobrowolnie do właściwego CSIRT, które stanowią tajemnice prawnie chronione, w tym stanowiące tajemnicę przedsiębiorstwa.

Podmiot oznacza we wczesnym ostrzeżeniu lub w zgłoszeniu incydentu poważnego informacje stanowiące tajemnice prawnie chronione, w tym stanowiące tajemnicę przedsiębiorstwa.

Podmiot przekazuje w zgłoszeniu incydentu poważnego informacje znane mu w chwili dokonywania zgłoszenia.

Podmiot uzupełnia informacje przekazane w zgłoszeniu incydentu poważnego w trakcie obsługi tego incydentu.

Wymiana informacji, ostrzeżeń i zaleceń dotyczących cyberbezpieczeństwa ma na celu zapobieganie incydentom, ich wykrywanie, reagowanie na nie, przywracanie normalnego działania po incydentach lub łagodzenie ich skutków, albo zwiększanie poziomu cyberbezpieczeństwa.

Wymiana informacji, ostrzeżeń i zaleceń dotyczących cyberbezpieczeństwa odbywa się za pomocą systemu teleinformatycznego, o którym mowa w art. 46 ust. 1 ustawy, systemów teleinformatycznych zapewnianych przez organy właściwe do spraw cyberbezpieczeństwa lub w drodze porozumień w sprawie wymiany informacji.

Podmiot oznacza zakres odbiorców wymienianych informacji dotyczących cyberbezpieczeństwa.

Odbiorca wymienianej informacji dotyczącej cyberbezpieczeństwa udostępnia ją dalej wyłącznie w zakresie określonym przez wytwórcę informacji.

Podmiot informuje użytkowników swoich usług o możliwych środkach zapobiegawczych, które użytkownicy ci mogą podjąć.

Podmiot informuje użytkowników swoich usług o samym poważnym cyberzagrożeniu.

Zgłoszenie incydentu poważnego zawiera aktualizację informacji zawartych we wczesnym ostrzeżeniu, jeżeli nastąpiła ich zmiana.

System zarządzania bezpieczeństwem informacji zapewnia zarządzanie incydentami.

Podmiot zapewnia obsługę incydentu.

Podmiot współdziała podczas obsługi incydentu poważnego i incydentu krytycznego z właściwym CSIRT MON, CSIRT NASK, CSIRT GOV lub CSIRT sektorowym, przekazując niezbędne dane, w tym dane osobowe.

Podmiot klasyfikuje incydent jako poważny na podstawie progów uznawania incydentu za poważny.

Sprawozdanie końcowe zawiera szczegółowy opis incydentu poważnego, w tym spowodowane zakłócenia i szkody.

Sprawozdanie końcowe wskazuje rodzaj zagrożenia lub przyczynę, która prawdopodobnie była źródłem incydentu.

Sprawozdanie końcowe opisuje zastosowane i wdrażane środki ograniczające ryzyko.

Sprawozdanie końcowe opisuje transgraniczne skutki incydentu, jeżeli wystąpiły.

Podmiot zapewnia użytkownikowi usługi dostęp do wiedzy pozwalającej na zrozumienie cyberzagrożeń i stosowanie skutecznych sposobów zabezpieczania się przed tymi zagrożeniami w zakresie związanym ze świadczonymi usługami, w szczególności przez udostępnianie informacji na ten temat na swojej stronie internetowej.

Obowiązek zapewnienia użytkownikowi usługi dostępu do wiedzy o cyberzagrożeniach może być zrealizowany przez zamieszczenie na stronie internetowej podmiotu hiperłącza do stron internetowych organu właściwego do spraw cyberbezpieczeństwa, CSIRT MON, CSIRT NASK, CSIRT GOV lub CSIRT sektorowego.

Podmiot stosuje, w ramach systemu zarządzania bezpieczeństwem informacji, o którym mowa w art. 8 ust. 1 ustawy, środki zarządzania ryzykiem określone w rozporządzeniu wykonawczym Komisji (UE) 2024/2690.

Wykaz aktywów obejmuje listę operacji i usług oraz ich opis.

Podmiot przeprowadza analizę wpływu na działalność w celu oceny potencjalnego wpływu poważnych zakłóceń na jego działalność gospodarczą.

Podmiot ustanawia wymogi dotyczące ciągłości dla sieci i systemów informatycznych na podstawie wyników analizy wpływu na działalność.

Polityka bezpieczeństwa sieci i systemów informatycznych określa wskaźniki i środki monitorowania jej wdrażania oraz aktualnego stanu dojrzałości podmiotu w zakresie bezpieczeństwa sieci i informacji.

Podmiot regularnie dokonuje przeglądu zgodności ze swoimi politykami bezpieczeństwa sieci i systemów informatycznych, politykami tematycznymi, zasadami i normami.

Podmiot monitoruje zgodność w zaplanowanych odstępach czasu oraz w przypadku wystąpienia poważnych incydentów lub istotnych zmian w działalności lub poziomie ryzyka.

Podmiot dokonuje niezależnego przeglądu swojego podejścia do zarządzania bezpieczeństwem sieci i systemów informatycznych oraz jego wdrażania, z uwzględnieniem osób, procesów i technologii.

Podmiot opracowuje i utrzymuje procedury służące przeprowadzeniu niezależnych przeglądów, przeprowadzanych przez osoby mające odpowiednie kompetencje w zakresie audytu.

Między osobami przeprowadzającymi przegląd a personelem obszaru objętego przeglądem nie zachodzi podległość służbowa.

Podmiot wprowadza alternatywne środki gwarantujące bezstronność przeglądów.

Wyniki niezależnych przeglądów, w tym wyniki monitorowania zgodności oraz monitorowania i pomiaru, zgłasza się organom zarządzającym.

W następstwie niezależnego przeglądu podmiot podejmuje działania naprawcze lub akceptuje ryzyko rezydualne zgodnie ze stosowanymi przez siebie kryteriami akceptacji ryzyka.

Niezależne przeglądy przeprowadza się w zaplanowanych odstępach czasu oraz w przypadku wystąpienia poważnych incydentów lub istotnych zmian w działalności lub poziomie ryzyka.

Podmiot ustanawia, wdraża i stosuje politykę i procedury służące ocenie, czy zastosowane przez niego środki zarządzania ryzykiem w cyberbezpieczeństwie są skutecznie wdrażane i utrzymywane.

Polityka i procedury oceny skuteczności środków zarządzania ryzykiem w cyberbezpieczeństwie uwzględniają wyniki oceny ryzyka oraz wcześniejsze poważne incydenty.

Podmiot określa, jakie środki zarządzania ryzykiem w cyberbezpieczeństwie mają być monitorowane i mierzone, w tym procesy i środki kontroli.

Podmiot określa metody monitorowania, pomiaru, analizy i oceny, tam gdzie ma to zastosowanie, w celu zapewnienia poprawności wyników.

Podmiot określa, kiedy należy monitorować i wykonywać pomiary.

Podmiot określa, kto jest odpowiedzialny za monitorowanie i pomiar skuteczności środków zarządzania ryzykiem w cyberbezpieczeństwie.

Podmiot określa, kiedy należy analizować i oceniać wyniki monitorowania i pomiarów.

Podmiot określa, kto ma analizować i oceniać wyniki monitorowania i pomiarów.

Podmiot przekazuje politykę właściwego postępowania z aktywami każdemu, kto wykorzystuje lub obsługuje aktywa.

Podmiot przekazuje politykę zarządzania wymiennymi nośnikami danych swoim pracownikom i osobom trzecim, które obsługują wymienne nośniki danych w obiektach podmiotu lub w innych miejscach, w których nośniki te są podłączone do sieci i systemów informatycznych podmiotu.

Polityka bezpieczeństwa sieci i systemów informatycznych określa podejście podmiotu do zarządzania bezpieczeństwem jego sieci i systemów informatycznych.

Polityka bezpieczeństwa sieci i systemów informatycznych jest odpowiednia do strategii i celów biznesowych podmiotu i je uzupełnia.

Polityka bezpieczeństwa sieci i systemów informatycznych zostaje przekazana odpowiednim pracownikom i odpowiednim zainteresowanym stronom zewnętrznym oraz przyjęta przez nich do wiadomości.

Polityka bezpieczeństwa sieci i systemów informatycznych zawiera wykaz polityk tematycznych.

Polityka bezpieczeństwa sieci i systemów informatycznych określa datę formalnego zatwierdzenia przez organy zarządzające podmiotu.

Podmiot wymaga od wszystkich pracowników i osób trzecich stosowania zasad bezpieczeństwa sieci i systemów informatycznych zgodnie z ustaloną polityką bezpieczeństwa sieci i informacji, politykami tematycznymi i procedurami podmiotu.

Podmiot dokonuje przeglądu i, w stosownych przypadkach, aktualizacji polityki sprawdzania przeszłości w zaplanowanych odstępach czasu oraz w razie potrzeby.

Podmiot dokonuje przeglądu i, w stosownych przypadkach, aktualizacji polityki kontroli dostępu w zaplanowanych odstępach czasu oraz w przypadku wystąpienia poważnych incydentów lub istotnych zmian w działalności lub poziomie ryzyka.

Podmiot dokonuje przeglądu i, w stosownych przypadkach, aktualizacji polityki właściwego postępowania z aktywami w zaplanowanych odstępach czasu oraz w przypadku wystąpienia poważnych incydentów lub istotnych zmian w działalności lub ryzyku.

Podmiot dokonuje przeglądu i, w stosownych przypadkach, aktualizacji polityki zarządzania wymiennymi nośnikami danych w zaplanowanych odstępach czasu oraz w przypadku wystąpienia poważnych incydentów lub istotnych zmian w działalności lub ryzyku.

Polityka bezpieczeństwa sieci i systemów informatycznych jest poddawana przeglądowi co najmniej raz w roku i, w stosownych przypadkach, aktualizowana przez organy zarządzające w przypadku wystąpienia poważnych incydentów lub istotnych zmian w działalności lub poziomie ryzyka.

Wyniki przeglądów polityki bezpieczeństwa sieci i systemów informatycznych są dokumentowane.

Podmiot dokonuje przeglądu polityki bezpieczeństwa łańcucha dostaw w zaplanowanych odstępach czasu oraz w przypadku wystąpienia istotnych zmian w działalności, poziomie ryzyka lub poważnych incydentów związanych ze świadczeniem usług ICT lub wpływających na bezpieczeństwo produktów ICT ze strony dostawców i usługodawców.

Podmiot dokonuje przeglądu i, w razie konieczności, aktualizacji zasad bezpiecznego rozwoju w zaplanowanych odstępach czasu.

Podmiot dokonuje przeglądu i, w stosownych przypadkach, aktualizacji polityki testowania bezpieczeństwa w zaplanowanych odstępach czasu.

Podmiot dokonuje przeglądu i, w stosownych przypadkach, aktualizacji polityki i procedur oceny skuteczności środków zarządzania ryzykiem w cyberbezpieczeństwie w zaplanowanych odstępach czasu oraz w przypadku poważnych incydentów lub istotnych zmian w działalności lub poziomie ryzyka.

Podmiot dokonuje przeglądu i, w stosownych przypadkach, aktualizacji polityki i procedur związanych z kryptografią w zaplanowanych odstępach czasu, z uwzględnieniem najnowocześniejszej kryptografii.

Polityka bezpieczeństwa sieci i systemów informatycznych określa cele w zakresie bezpieczeństwa sieci i informacji.

Podmiot ustala poziom tolerancji ryzyka zgodnie ze swoją gotowością do podejmowania ryzyka.

Proces zarządzania ryzykiem w cyberbezpieczeństwie stanowi integralną część ogólnego procesu zarządzania ryzykiem podmiotu.

Co najmniej jedna osoba składa bezpośrednio organom zarządzającym sprawozdania dotyczące kwestii bezpieczeństwa sieci i systemów informatycznych.

Organy zarządzające są informowane o stanie bezpieczeństwa sieci i informacji na podstawie przeglądów zgodności za pomocą regularnych sprawozdań.

Podmiot wprowadza skuteczny system sprawozdawczości w zakresie zgodności, odpowiedni dla jego struktury, środowiska operacyjnego i krajobrazu zagrożeń.

System sprawozdawczości w zakresie zgodności zapewnia organom zarządzającym odpowiednie informacje na temat aktualnego stanu zarządzania ryzykiem.

Podmiot ustanawia i utrzymuje odpowiednie ramy zarządzania ryzykiem w celu identyfikacji ryzyka dla bezpieczeństwa sieci i systemów informatycznych i przeciwdziałania temu ryzyku.

Podmiot ustanawia procedury identyfikacji, analizy, oceny i traktowania ryzyka (proces zarządzania ryzykiem w cyberbezpieczeństwie).

W ramach procesu zarządzania ryzykiem w cyberbezpieczeństwie podmiot stosuje metodykę zarządzania ryzykiem.

Podmiot ustanawia i utrzymuje odpowiednie kryteria ryzyka.

Podmiot stosuje mechanizmy zapewniające, aby członkowie organów zarządzających rozumieli swoje funkcje, obowiązki i uprawnienia w zakresie bezpieczeństwa sieci i systemów informatycznych oraz działali zgodnie z nimi.