Co musi zrobić podmiot, żeby dostosować się do wymogów ustawy?

Przede wszystkim przedsiębiorca powinien przeanalizować swoją działalność i odpowiedzieć sobie na pytanie czy spełnia kryteria uznania za podmiot kluczowy lub podmiot ważny. Jeżeli tak, to kolejną czynnością będzie złożenie wniosku o wpis do wykazu podmiotów kluczowych lub podmiotów ważnych. We wniosku należy wskazać podstawowe informacje o podmiocie, adresy osób do kontaktu, administratora konta podmiotu w systemie S46, informacje o zakresach adresów IP i domenach wykorzystywanych przez podmiot.

Co podmiot musi zrobić żeby dostosować się do KSC:

• 1.
  Ustalenie czy podmiot kwalifikuje się jako podmiot kluczowy lub podmiot ważny (kryteria podmiotowe oraz kryteria wielkościowe)
• 2.
  Ustalenie czy podmiot podlega pod regulacje sektorowe w zakresie cyberbezpieczeństwa:
• 3.

  Podłączenie się do systemu S46

  • a.
    w tym zakresie współpraca z NASK-PIB,
  • b.
    ustalenie administratora konta podmiotu w systemie S46 i użytkowników systemu po stronie podmiotu
  • c.
    wyznaczenie stałych dyżurów przy S46 – celem zgłaszania incydentów oraz uzyskiwania informacji zwrotnych z S46 o podatnościach, cyberzagrożeniach i dobrych praktykach
• 4.

  Przygotowanie i wdrożenie SZBI

  • a.
    Ustalenie kontekstu organizacji – jaką działalność prowadzi, jakie są wymagania regulacyjne, jakie są oczekiwania klientów i innych partnerów organizacji
  • b.
    Opracowanie polityki bezpieczeństwa
  • c.
    Przydzielenie ról w organizacji – kto ma odpowiadać za cyberbezpieczeństwo w organizacji oprócz zarządu
  • d.
    Wdrożenie zarządzania ryzykiem w podmiocie albo przegląd dotychczas stosowanych polityk i procedur w tym zakresie
  • e.

    Wdrożenie proporcjonalnych środków technicznych i organizacyjnych w podmiocie zapewniających poufność, integralność i dostępność informacji w szczególności:

    • ✓
      Przegląd dotychczasowych polityk i procedur
    • ✓
      Weryfikacja obecnego i przyszłego personelu pod kątem niekaralności, przegląd aktualnych procedur HR pod kątem bezpieczeństwa zasobów ludzkich
    • ✓
      Przegląd uprawnień personelu do zasobów (aktywów) i aktualizacja tych aktywów; cofniecie uprawnień dla personelu, który nie wykonuje już tych zadań
    • ✓
      Przegląd dotychczasowych dostawców sprzętu i oprogramowania, przegląd umów zawartych z tymi dostawcami
    • ✓
      Przegląd dotychczas stosowanych środków bezpieczeństwa w systemach informacyjnych i wdrożenie dodatkowych środków tam gdzie jest to konieczne
    • ✓
      Wdrożenie stałe, automatyczne gdzie możliwe, monitoringu systemu informacyjnego pod kątem zdarzeń które mogą być incydentami, podatnościami cyberzagrożeniami
    • ✓
      Przegląd planów ciągłości działania, planów awaryjnych systemu informacyjnego, planów odtworzenia ciągłości po katastrofie
    • ✓
      Zarządzanie aktywami – identyfikacja aktywów
    • ✓
      Zarządzanie aktualizacjami – wdrożenie polityk i procedur aktualizacji
    • ✓
      Przegląd polityk i procedur w zakresie zarządzania incydentami
  • f.
    Ustalenie wewnętrznych procedur oraz kanałów komunikacji z zespołami CSIRT
• 5.
  Nawiązanie współpracy roboczej z organami właściwymi do spraw cyberbezpieczeństwa
• 6.
  Stałe monitorowanie otoczenia regulacyjnego organizacji
• 7.
  Uwzględnienie w procedurach wewnętrznych skutków wydania rekomendacji Pełnomocnika Rządu ds. Cyberbezpieczeństwa, decyzji w sprawie uznania za dostawcę wysokiego ryzyka, polecenia zabezpieczającego – w tym procedur mających na celu sprawdzenie czy w podmiocie jest sprzęt lub oprogramowanie pochodzące od dostawcy wysokiego ryzyka.