Rozdział 14. Inne

Tak. Działając na podstawie upoważnienia zawartego w art. 21 ust. 5 dyrektywy NIS 2 Komisja Europejska wydała rozporządzenie wykonawcze Komisji (UE) 2024/2690 https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32024R2690 .

Rozporządzenie to zostało oparte na następujących dokumentach normalizacyjnych:

• •
  ISO/IEC 27001
• •
  ISO/IEC 27002
• •
  ETSI EN 319401 - General Policy Requirements for Trust Service Providers
• •
  CEN/TS 18026:2024 - Three-level approach for a set of cybersecurity requirements for cloud services

Środki techniczne i organizacyjne określono w załączniku do rozporządzenia.

W niektórych przypadkach, gdy załącznik posługuje się wyrażeniami np.: "w stosownych przypadkach" można odstąpić od stosowania wskazanych w załączniku środków, jeżeli nie jest to właściwe - wymaga to jednak udokumentowania.

Przykład: zakres zdarzeń, które podmioty kluczowe i podmioty ważne monitorują w swoich systemach

Ponadto podmioty kluczowe z podsektora energii elektrycznej stosują, w ramach systemu zarządzania bezpieczeństwem informacji i ciągłości działania środki określone w rozporządzeniu delegowanym Komisji (UE) 2024/1366 z dnia 11 marca 2024 r. uzupełniające rozporządzenie Parlamentu Europejskiego i Rady (UE) 2019/943 poprzez ustanowienie kodeksu sieci dotyczącego zasad sektorowych w zakresie aspektów cyberbezpieczeństwa w transgranicznych przepływach energii elektrycznej.

W zakresie sektora bankowości i infrastruktury rynków finansowych ustawa wskazuje, że pierwszeństwo przed nią mają przepisy rozporządzenia DORA. Ma to wyeliminować wątpliwości wynikające z funkcjonowania w tym obszarze, tych dwóch aktów prawnych. Dyrektywa NIS 2 w artykule 4 wskazuje na

pierwszeństwo sektorowych aktów unijnych z zakresu cyberbezpieczeństwa w zakresie środków zarządzania ryzykiem oraz zgłaszania incydentów. Komunikat Komisji – Wytyczne Komisji dotyczące stosowania art. 4 ust. 1 i 2 dyrektywy (UE) 2022/2555 (NIS 2) 2023/C 328/02 wskazuje, że rozporządzenie DORA jest takim aktem w zakresie podmiotów kluczowych i podmiotów ważnych z sektora bankowości i infrastruktury rynków finansowych.

Zgodnie z art. 8i ustawy o KSC, pierwszeństwo nad ustawą o KSC mają regulacje DORA, z tym że do podmiotów kluczowych i podmiotów ważnych z sektora bankowości i infrastruktury rynków finansowych stosuje się przepisy art. 3a (czynności dopuszczalne w ramach obsługi incydentów), art. 5 ust. 1–3 (kryteria podmiotu kluczowego i podmiotu ważnego), art. 7–7m (przepisy o wykazie podmiotów kluczowych i podmiotów ważnych), art. 8 ust. 1 pkt 1 (obowiązek prowadzenia systematycznego szacowania ryzyka wystąpienia incydentu) i pkt 2 lit. j (obowiązek stosowania podstawowych zasad cyberhigieny), art. 8h (dopuszczalność wymiany informacji), art. 9 (obowiązki w zakresie wyznaczenia osób kontaktowych), art. 11 ust. 1 pkt 5 i 6 (współdziałanie z CSIRT podczas zgłoszenia incydentów), art. 13 (dobrowolne przekazywanie informacji do CSIRT), art. 16 (stosowanie obowiązków po raz pierwszy), art. 26a ust. 2–4 (zgłoszenia podatności w ramach skoordynowanego ujawniania podatności), art. 32 (uprawnienie CSIRT do wykonywania niezbędnych działań technicznych), art. 33 ust. 5, 7 oraz 8 (rekomendacje Pełnomocnika), art. 36a, art. 36b (ocena bezpieczeństwa), art. 37 (wyłączenie ustawy z dnia 6 września 2021 r. o dostępie do informacji publicznej przy informacjach o podatnościach, incydentach i cyberzagrożeniach), art. 43 (uprawnienie organu do żądania informacji), art. 45 ust. 3, art. 46 ust. 1 pkt 1, 2, 4–7 i oraz ust. 4–6 (obowiązek korzystania z systemu teleinformatycznego S46), art. 67a (rekomendacje Pełnomocnika), art. 67c, art. 67d oraz, art. 67g, art. 67h oraz art. 67i (postępowanie w sprawie uznania za dostawcę wysokiego ryzyka oraz polecenie zabezpieczające) ustawy o KSC.

Nie. REACH i ustawa o KSC regulują różne obszary. O objęciu ustawą o KSC decyduje identyfikacja podmiotu jako podmiotu ważnego lub kluczowego w rozumieniu wyłącznie NIS2 oraz ustawy o Krajowym Systemie Cyberbezpieczeństwa, w tym wypadku kluczowy będzie załącznik nr 2 do ustawy wskazujący na sektory ważne.

Nie zawsze. Dyrektywa NIS 2 w tym sektorze jedynie w zakresie definicyjnym odwołuje się do REACH i nie wskazuje, że podmiot należący do tego sektora zawsze objęty jest wskazanymi w REACH obowiązkami. To REACH definiuje jakiego rodzaju podmioty objęte są obowiązkami wynikającymi z tego aktu.

Nie. Dyrektywa NIS2 w sektorze „Produkcja, wytwarzanie i dystrybucja chemikaliów” w zakresie definicyjnym odwołuje się do rozporządzenia REACH, z uwagi na to Rozporządzenie REACH należy brać pod uwagę przy identyfikacji w zakresie definiującym wyrób, producenta i dystrybutora.

Co do zasady nie. W załączniku nr 2 (podmioty ważne) ustawy o KSC, ta kategoria odsyła wprost do definicji z rozporządzenia REACH, tj. producenta substancji praz dystrybutora. „Dalszy użytkownik” jest odrębną kategorią w rozporządzeniu REACH i nie jest wskazany w tym odesłaniu.

System informacyjne zgodnie z przewidzianą definicją to każdy z systemów, przy pomocy którego jest świadczona usługa, w tym realizowane zadanie publiczne. W tym zakresie każdy z tych systemów powinien być zinwentaryzowany oraz powinien zostać uwzględniony w SZBI na podstawie art. 8 ustawy o KSC. Zgodnie z art. 8 ustawy o KSC, podmiot kluczowy lub podmiot ważny wdraża system zarządzania bezpieczeństwem informacji w systemie informacyjnym wykorzystywanym w procesach wpływających na świadczenie usługi przez ten podmiot. W przypadku występowania kilku lub większej liczby systemów, SZBI może zostać wdrożone na poziomie całego podmiotu kluczowego

lub podmiotu ważnego, a poszczególne odwołania do systemów informacyjnych z uwagi na ich specyfikę mogą stanowić poszczególne elementy SZBI.

Tak. Zgodnie z definicją wskazaną w ustawie o KSC:

System informacyjny:

• a)
  system teleinformatyczny, o którym mowa w art. 3 pkt 3 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (Dz. U. z 2025 r. poz. 1703 oraz z 2026 r. poz. 160), lub
• b)
  urządzenie lub grupę połączonych urządzeń i oprogramowania zaprogramowanych w celu przetwarzania danych

-wraz z danymi przetwarzanymi w postaci elektronicznej;

Definicja wyraźnie odróżnia systemy teleinformatyczne i przetwarzane w nich dane oraz urządzenia i przetwarzane w nich dane. Zwrot „urządzenie lub grupę połączonych urządzeń” wskazuje, że może to być pojedyncze urządzenia służące do przetwarzania danych jak i grupa połączonych urządzeń (co wskazuje na konieczność wykorzystywania sieci telekomunikacyjnych). Nawet więc jeżeli dane urządzenie nie jest połączone z siecią telekomunikacyjną, a przetwarza dane dla potrzeb świadczenia usługi, w tym realizacji zadania publicznego, to objęte jest definicją systemu informacyjnego w rozumieniu ww. ustawy.

Informacje dotyczące podatności, incydentów, cyberzagrożeń oraz o ryzyku wystąpienia incydentów nie są udostępniane na gruncie ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej. Nie są również udostępniane na podstawie ustawy z dnia 11 sierpnia 2021 r. o otwartych danych i ponownym wykorzystywaniu informacji sektora publicznego, z wyjątkiem informacji, których udostępnienie nie zagrażałoby bezpieczeństwu państwa lub bezpieczeństwu publicznemu.

Usługę należy rozumieć szeroko, jako działalność gospodarczą służącą do zaspokajana potrzeb ludzi. W tym znaczeniu usługą będzie również produkcja.

Usługą jest także zadanie publiczne realizowane przez podmiot publiczny.

Zachęcamy przy tym do regularnego korzystania ze strony https://cyber.gov.pl/ oraz serwisu CERT Polska https://moje.cert.pl/ aby na bieżąco podnosić wiedzę z zakresu cyberbezpieczeństwa.

Ministerstwo Cyfryzacji zachęca do stosowania z mechanizmów uwierzytelniania wieloskładnikowego, tam gdzie jest to możliwe. Poza tym polecamy materiał przygotowany przez zespół CERT Polska https://cert.pl/posts/2022/01/rekomendacje-techniczne-systemow-uwierzytelniania/ oraz https://cert.pl/posts/2022/01/kompleksowo-o-haslach/.

Ministerstwo Cyfryzacji prowadzi bezpłatne szkolenia dla podmiotów krajowego systemu cyberbezpieczeństwa – harmonogram jest dostępny pod adresem: https://www.gov.pl/web/baza-wiedzy/harmonogramszkolen.

Obowiązki dotyczące cyberbezpieczeństwa podmiotów publicznych znajdują się w ustawie o KSC. Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych, będzie zmienione - zostaną z niego usunięte przepisy dotyczące wdrożenia systemu zarządzania bezpieczeństwem informacji. Będzie ono zmienione do 22 lutego 2027 r., co wynika z art. 15 ustawy z dnia 25 lipca 2025 r. o zmianie ustawy o informatyzacji działalności podmiotów realizujących zadania publiczne oraz niektórych innych ustaw. Do czasu zmiany rozporządzenia ono nadal obowiązuje.

Podmioty podlegające pod przepisy rozporządzenia DORA mogą świadczyć różne rodzaje działalności, nie tylko działalność finansową. Oznacza to, że ten sam podmiot finansowy może być jednocześnie innym rodzajem podmiotu, przykładowo może być dostawcą usług zarządzanych czy dostawcą chmury obliczeniowej. W tej sytuacji podmiot finansowy będzie podlegał pod ustawę o KSC w zakresie w jakim prowadzi działalność inną niż działalność finansowa.

Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa jest podstawową ustawą dotyczącą cyberbezpieczeństwa w Polsce. Nie ma więc konieczności, aby za każdym razem regulując działalność objętą zakresem tej ustawy wprowadzać nowe regulacje z zakresu cyberbezpieczeństwa. Jeśli jednak organ przygotowujący projekt aktu normatywnego uzna, że zasadne jest dookreślenie wymogów z zakresu cyberbezpieczeństwa dla danego rodzaju działalności to powinien przeprowadzić analizę spójności proponowanych rozwiązań z ustawą z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Wyniki tej analizy należy przedstawić w uzasadnieniu oraz OSR do projektu aktu normatywnego.

Możliwe jest wyznaczenie przez tego samego ministra czy centralny organ administracji rządowej czy wojewodę kilku jednostek wyznaczonych do realizacji zadań z zakresu cyberbezpieczeństwa dla konkretnych jednostek podległych czy nadzorowanych przez dany organ wyznaczający. Należy wtedy określić dla jakich jednostek jednostka wyznaczona realizuje zadania z zakresu cyberbezpieczeństwa oraz jakie dokładne zadania realizuje. Przepis art. 16e dopuszcza sytuację, gdy tylko część tych zadań będzie realizowanych przez daną jednostkę wyznaczoną. Można też określić, że wszystkie lub tylko niektóre zadania określone w art. 8

dotyczącym wdrożenia systemu zarządzania bezpieczeństwem informacji będą realizowane przez jednostkę wyznaczoną. Przepis przewiduje także, że na jednostkę wyznaczoną organ wyznaczający może przenieść zadania, a przede wszystkim odpowiedzialność i zadania kierownika podmiotu kluczowego lub podmiotu ważnego, określone w art. 8c-8d. Powinno to być skorelowane z pozostałymi zadaniami przeniesionymi do realizacji przez jednostkę wyznaczoną - por. pyt. 3.30. Zalecamy więc aby organ wyznaczający wyraźnie określił, że w zakresie zadań realizowanych przez jednostkę wyznaczoną przenoszona jest na nią odpowiedzialność i zadania kierownika podmiotu kluczowego lub podmiotu ważnego, określone w art. 8c-8d.