Czy istnieją wytyczne co do konkretnych rodzajów systemów teleinformatycznych (np. systemy klasy SIEM, SOC, systemy do backupu danych lub segmentacji sieci), których wdrożenie jest niezbędne dla osiągnięcia zgodności z przepisami?

Ustawa o krajowym systemie cyberbezpieczeństwa pozostaje neutralna technologicznie i nie wskazuje konkretnych klas systemów teleinformatycznych ani konkretnych rozwiązań technicznych, których wdrożenie byłoby obligatoryjne dla osiągnięcia zgodności z jej wymaganiami.

Dobór odpowiednich środków technicznych i organizacyjnych należy do danego podmiotu i powinien być dokonany z uwzględnieniem charakteru realizowanych zadań, wykorzystywanych systemów informacyjnych, skali działalności oraz wyników szacowania ryzyka. Oznacza to, że każdy podmiot powinien samodzielnie ocenić, jakie rozwiązania są niezbędne do zapewnienia odpowiedniego poziomu cyberbezpieczeństwa.