Rozdział 11. Nadzór nad podmiotami kluczowymi i ważnymi

Organy właściwe do spraw cyberbezpieczeństwa sprawują nadzór nad podmiotami kluczowymi i podmiotami ważnymi.

Sektor wraz z organem właściwym:

Energia – Minister Energii

Transport – Minister Infrastruktury

Bankowość i infrastruktura rynków finansowych – Komisja Nadzoru Finansowego

Ochrona zdrowia – Minister Zdrowia; Minister Obrony Narodowej

Zaopatrzenie w wodę pitną i jej dystrybucja – Minister Infrastruktury

Zbiorowe odprowadzanie ścieków – Minister Infrastruktury

Infrastruktura cyfrowa

• ✓
  Infrastruktura cyfrowa z wyłączeniem komunikacji elektronicznej – Minister Cyfryzacji, Minister Obrony Narodowej
• ✓
  Komunikacja elektroniczna – Prezes Urzędu Komunikacji Elektronicznej

Zarządzanie usługami ICT – Minister Cyfryzacji

Przestrzeń kosmiczna – Minister Finansów i Gospodarki

Podmioty publiczne – Minister Cyfryzacji, Minister Finansów i Gospodarki, Minister Obrony Narodowej

Usługi pocztowe – Prezes Urzędu Komunikacji Elektronicznej

Inwestycje energetyki jądrowej – Minister Energii

Gospodarowanie odpadami – Minister Klimatu i Środowiska

Produkcja, wytwarzanie i dystrybucja chemikaliów – Minister Finansów i Gospodarki

Produkcja, przetwarzanie i dystrybucja żywności – Minister Rolnictwa i Rozwoju Wsi

Produkcja

• ✓
  Produkcja wyrobów medycznych i wyrobów medycznych do diagnostyki in vitro – Minister Zdrowia
• ✓
  Produkcja komputerów, wyrobów elektronicznych i optycznych – Minister Finansów i Gospodarki
• ✓
  Produkcja urządzeń elektrycznych – Minister Finansów i Gospodarki
• ✓
  Produkcja maszyn i urządzeń, gdzie indziej niesklasyfikowana – Minister Finansów i Gospodarki
• ✓
  Produkcja pojazdów samochodowych, przyczep i naczep – Minister Finansów i Gospodarki
• ✓
  Produkcja pozostałego sprzętu transportowego – Minister Finansów i Gospodarki

Dostawcy usług cyfrowych – Minister Cyfryzacji

Badania naukowe – Minister Nauki, Minister Obrony Narodowej

Podmioty publiczne – Minister Cyfryzacji

Organy właściwe do spraw cyberbezpieczeństwa będą mogły wspólnie sprawować nadzór, w tym wspólnie prowadzić kontrole, nad podmiotami kluczowymi lub podmiotami ważnymi. Ponadto będą mogły przyjąć wspólną metodykę nadzoru nad podmiotami, które podlegają pod kilka organów. Jednym z elementów tej metodyki powinno być przyjęcie mechanizmu, który przeciwdziałałby wydawaniu wzajemnie sprzecznych zaleceń pokontrolnych wobec tego samego podmiotu.

Co do zasady organem właściwym do spraw cyberbezpieczeństwa dla podmiotów publicznych jest Minister Cyfryzacji.

Wyjątki:

Dla podmiotów podległych Ministrowi Obrony Narodowej lub przez niego nadzorowanych oraz dla urzędu obsługującego tego Ministra – Minister Obrony Narodowej.

Organem właściwym do spraw cyberbezpieczeństwa w sektorze podmiotów publicznych dla jednostek organizacyjnych podległych ministrowi właściwemu do spraw finansów publicznych lub przez niego nadzorowanych, urzędu obsługującego tego ministra oraz spółki Aplikacje Krytyczne, jest minister właściwy do spraw finansów publicznych.

Dla podmiotów publicznych, który jest wymieniony w innym sektorze niż sektor podmiotów publicznych organem właściwym do spraw cyberbezpieczeństwa jest organ właściwy dla danego sektora

przykładem jest Rządowa Agencja Rezerw Strategicznych dla której organem właściwym będzie Minister Energii. Wyjątek ten nie dotyczy samorządowych podmiotów publicznych.

Spośród czynności nadzorczych warto wskazać:

• •
  podejmowanie kontroli przez organ właściwy do spraw cyberbezpieczeństwa
• •
  nakazanie audytu ad hoc
• •
  przeprowadzenie oceny bezpieczeństwa systemu informacyjnego
• •
  żądanie udzielenia informacji, danych i dokumentów od podmiotu
• •
  wniosek o udzielenie dowodów realizacji wymogów SZBI

Organ właściwy do spraw cyberbezpieczeństwa może wystąpić do podmiotu z ostrzeżeniem, w którym wskaże czynności które należy podjąć w celu dostosowania się do wymogów ustawy.

Organ właściwy do spraw cyberbezpieczeństwa może nakazać środki egzekwujące obowiązki ustawowe wobec podmiotu kluczowego:

• •
  Nakaz:
• o
  podjęcia określonych czynności dotyczących obsługi incydentu
• o
  zaniechania naruszania przepisów ustawy
• o
  zapewnienia zgodności SZBI z wymogami ustawy
• o
  zgłoszenia incydentu poważnego
• o
  poinformowania użytkowników usług o cyberzagrożeniu oraz o możliwych środkach które należy podjąć w reakcji na to zagrożenie
• o
  wdrożenia zaleceń wydanych w wyniku audytu bezpieczeństwa systemu informacyjnego
• o
  Podanie do wiadomości publicznej informacji o naruszeniu przepisów ustawy lub o incydencie poważnym w podmiocie
• •
  Wyznaczyć urzędnika monitorującego działalność danego podmiotu, nie dłużej niż przez miesiąc.

Środkiem ostatecznym jest wniosek o zawieszenie, ograniczenie lub cofnięcie zezwolenia czy koncesji na daną działalność.

Spośród czynności nadzorczych warto wskazać:

• •
  podejmowanie kontroli przez organ właściwy do spraw cyberbezpieczeństwa
• •
  nakazanie audytu ad hoc
• •
  przeprowadzenie oceny bezpieczeństwa systemu informacyjnego
• •
  żądanie udzielenia informacji, danych i dokumentów od podmiotu
• •
  wniosek o udzielenie dowodów realizacji wymogów SZBI.

Organ właściwy do spraw cyberbezpieczeństwa może wystąpić do podmiotu z ostrzeżeniem, w którym wskaże czynności które należy podjąć w celu dostosowania się do wymogów ustawy.

Organ właściwy do spraw cyberbezpieczeństwa może nakazać środki egzekwujące obowiązki ustawowe wobec podmiotu ważnego:

• •
  Nakaz:
• o
  podjęcia określonych czynności dotyczących obsługi incydentu
• o
  zaniechania naruszania przepisów ustawy
• o
  zapewnienia zgodności SZBI z wymogami ustawy
• o
  zgłoszenia incydentu poważnego
• o
  poinformowania użytkowników usług o cyberzagrożeniu oraz o możliwych środkach które należy podjąć w reakcji na to zagrożenie
• o
  wdrożenia zaleceń wydanych w wyniku audytu bezpieczeństwa systemu informacyjnego
• o
  Podanie do wiadomości publicznej informacji o naruszeniu przepisów ustawy lub o incydencie poważnym w podmiocie.

Organ właściwy do spraw cyberbezpieczeństwa może prosić podmiot kluczowy lub podmiot ważny o przedstawienie dowodów realizacji systemu zarządzania bezpieczeństwem informacji. Mogą być dokumenty np. procedury, polityki, upoważnienia, zakresy obowiązków ale również relacje personelu. Wymagane jest udowodnienie stosowania przepisów ustawy a nie przedstawienie formalnie poprawnych dokumentów.