Jakie są obowiązki z zakresu cyberbezpieczeństwa dla samorządowych podmiotów publicznych?

Do katalogu tych podmiotów zaliczane będą również podmioty publiczne, w tym jednostki samorządu terytorialnego.

z dnia 14 grudnia 2016 r. – Prawo oświatowe oraz ich zespołów,

• Samorządowe instytucje kultury
• Spółki prawa handlowego
  wykonujące zadania o charakterze użyteczności publicznej w rozumieniu art. 1 ust. 2 ustawy o gospodarce komunalnej.

b) jednostek organizacyjnych wspierania rodziny i systemu pieczy zastępczej, o których mowa wart. 2 ust. 3 ustawy z dnia 9 czerwca 2011 r. o wspieraniu rodziny i systemie pieczy zastępczej

c) jednostek organizacyjnych, o których mowa wart. 6 pkt 5 ustawy z dnia 12 marca 2004 r. o pomocy społecznej, oprócz regionalnych ośrodków polityki społecznej,

d) wojewódzkich urzędów pracy,

e) parków krajobrazowych i ich zespołów,

• f) jednostek obsługujących, o których mowa w art. 8d ustawy z dnia 5 czerwca 1998 r. o samorządzie województwa, w zakresie w jakim prowadzą wspólną obsługę jednostek, o których mowa w lit. a–e

• w
  odniesieniu do samorządu powiatu: starostwo powiatowe
• w
  odniesieniu do samorządu gminy: urząd gminy, jeżeli zatrudnia na dzień 1 stycznia danego roku w przeliczeniu na pełny wymiar czasu pracy na podstawie umowy o pracę co najmniej 50 osób.

Każdorazowo należy przeanalizować status prawny danego podmiotu na gruncie ustawy z dnia 27 sierpnia 2009 r. o finansach publicznych.

W przypadku lokalnych wodociągów należałoby przeanalizować także podległość pod sektor:

Samorządowe podmioty publiczne również prowadzą działalność jako przedsiębiorcy telekomunikacyjni, stąd mogą wchodzić pod podsektor komunikacji elektronicznej.

Wprowadzono uproszczone wymagania dla samorządowych podmiotów publicznych, które są podmiotami ważnymi. Mają one charakter listy kontrolnej minimalnych wymogów takich jak inwentaryzacja zasobów informatycznych, weryfikacja uprawnień personelu, stosowanie oprogramowania antywirusowego, czy stosowanie zasad cyberhigieny.

Zrezygnowano więc z podejścia opartego na ryzyku, ponieważ wymagałoby to najpierw posiadania odpowiedniego personelu przez mniejsze jednostki samorządowe, który potrafiłby przeprowadzić szacowanie ryzyka i na podstawie tego wprowadzić odpowiednie środki techniczne i organizacyjne. Mniejsze jednostki samorządowe nie posiadają takich zasobów osobowych, stąd obniżono wymagania z zakresu cyberbezpieczeństwa.

Przepisy te przewidują również możliwość zawierania porozumień i wspólnego wykonywania zadań z zakresu cyberbezpieczeństwa. Oznacza to, że możliwe będzie np. wyznaczenie jednostki odpowiedzialnej za realizację ustawowych obowiązków przez pozostałe jednostki samorządu terytorialnego oraz spółki prawa handlowego wykonujące zadania o charakterze użyteczności publicznej. Mogą to być przypadki m.in. gdy jedna jednostka organizacyjna gminy będzie odpowiedzialna za obowiązki cyberbezpieczeństwa w pozostałych jednostkach organizacyjnych gminy.

Jednostka organizacyjna w jednej z JST może też odpowiadać za jednostki z innych JST, jeżeli zostanie zawarte stosowne porozumienie.

Jednostki obsługujące mogą być tworzone na poziomie gminy, powiatu lub województwa.

Przykładowy model jednostki obsługującej w obszarze cyberbezpieczeństwa w jednej gminie

Przykładowy model jednostki obsługującej w obszarze cyberbezpieczeństwa, gdy obsługuje jednostki z kilku gmin

Przykładowy schemat jednostki obsługującej z powiatu, która obsługuje jednostki z różnych JST

Przepisy ustawy umożliwią także docelowo współpracę w zakresie cyberbezpieczeństwa pomiędzy gminami i powiatami, tak aby zapewnić jeszcze większą skuteczność oraz prawidłową realizację obowiązków oraz zmitygować ich koszty. Proponowane przepisy w znacznym stopniu ułatwią wdrażanie i realizację obowiązków z zakresu cyberbezpieczeństwa, szczególnie w tych jednostkach samorządu terytorialnego, które zmagają się z problemami kadrowymi, czy niewystarczającymi środkami finansowymi.

Jednostce obsługowej mogą być powierzone wszystkie lub niektóre zadania wynikające z wdrożenia systemu zarządzania bezpieczeństwem informacji.