Rozdział 3. Obowiązki podmiotów kluczowych i ważnych

Wpis do wykazu podmiotów kluczowych i ważnych – 6 miesięcy od spełnienia przesłanek uznania za podmiot kluczowy lub podmiot ważny.

• ✓
  3 października 2026 r.

Podłączenie do systemu S46 – 12 miesięcy od spełnienia przesłanek uznania za podmiot kluczowy lub ważny.

• ✓
  3 kwietnia 2027 r.

Wdrożenie obowiązków z zakresu systemu zarządzania bezpieczeństwa informacji SZBI po raz pierwszy – 12 miesięcy od spełnienia przesłanek uznania za podmiot kluczowy lub ważny.

• ✓
  3 kwietnia 2027 r.

Pierwszy audyt podmiotu kluczowego – 24 miesiące od spełnienia przesłanek uznania za podmiot kluczowy lub ważny.

• ✓
  3 kwietnia 2028 r.

Przede wszystkim przedsiębiorca powinien przeanalizować swoją działalność i odpowiedzieć sobie na pytanie czy spełnia kryteria uznania za podmiot kluczowy lub podmiot ważny. Jeżeli tak, to kolejną czynnością będzie złożenie wniosku o wpis do wykazu podmiotów kluczowych lub podmiotów ważnych. We wniosku należy wskazać podstawowe informacje o podmiocie, adresy osób do kontaktu, administratora konta podmiotu w systemie S46, informacje o zakresach adresów IP i domenach wykorzystywanych przez podmiot.

Co podmiot musi zrobić żeby dostosować się do KSC:

• 1.
  Ustalenie czy podmiot kwalifikuje się jako podmiot kluczowy lub podmiot ważny (kryteria podmiotowe oraz kryteria wielkościowe)
• 2.
  Ustalenie czy podmiot podlega pod regulacje sektorowe w zakresie cyberbezpieczeństwa:
• 3.

  Podłączenie się do systemu S46

  • a.
    w tym zakresie współpraca z NASK-PIB,
  • b.
    ustalenie administratora konta podmiotu w systemie S46 i użytkowników systemu po stronie podmiotu
  • c.
    wyznaczenie stałych dyżurów przy S46 – celem zgłaszania incydentów oraz uzyskiwania informacji zwrotnych z S46 o podatnościach, cyberzagrożeniach i dobrych praktykach
• 4.

  Przygotowanie i wdrożenie SZBI

  • a.
    Ustalenie kontekstu organizacji – jaką działalność prowadzi, jakie są wymagania regulacyjne, jakie są oczekiwania klientów i innych partnerów organizacji
  • b.
    Opracowanie polityki bezpieczeństwa
  • c.
    Przydzielenie ról w organizacji – kto ma odpowiadać za cyberbezpieczeństwo w organizacji oprócz zarządu
  • d.
    Wdrożenie zarządzania ryzykiem w podmiocie albo przegląd dotychczas stosowanych polityk i procedur w tym zakresie
  • e.

    Wdrożenie proporcjonalnych środków technicznych i organizacyjnych w podmiocie zapewniających poufność, integralność i dostępność informacji w szczególności:

    • ✓
      Przegląd dotychczasowych polityk i procedur
    • ✓
      Weryfikacja obecnego i przyszłego personelu pod kątem niekaralności, przegląd aktualnych procedur HR pod kątem bezpieczeństwa zasobów ludzkich
    • ✓
      Przegląd uprawnień personelu do zasobów (aktywów) i aktualizacja tych aktywów; cofniecie uprawnień dla personelu, który nie wykonuje już tych zadań
    • ✓
      Przegląd dotychczasowych dostawców sprzętu i oprogramowania, przegląd umów zawartych z tymi dostawcami
    • ✓
      Przegląd dotychczas stosowanych środków bezpieczeństwa w systemach informacyjnych i wdrożenie dodatkowych środków tam gdzie jest to konieczne
    • ✓
      Wdrożenie stałe, automatyczne gdzie możliwe, monitoringu systemu informacyjnego pod kątem zdarzeń które mogą być incydentami, podatnościami cyberzagrożeniami
    • ✓
      Przegląd planów ciągłości działania, planów awaryjnych systemu informacyjnego, planów odtworzenia ciągłości po katastrofie
    • ✓
      Zarządzanie aktywami – identyfikacja aktywów
    • ✓
      Zarządzanie aktualizacjami – wdrożenie polityk i procedur aktualizacji
    • ✓
      Przegląd polityk i procedur w zakresie zarządzania incydentami
  • f.
    Ustalenie wewnętrznych procedur oraz kanałów komunikacji z zespołami CSIRT
• 5.
  Nawiązanie współpracy roboczej z organami właściwymi do spraw cyberbezpieczeństwa
• 6.
  Stałe monitorowanie otoczenia regulacyjnego organizacji
• 7.
  Uwzględnienie w procedurach wewnętrznych skutków wydania rekomendacji Pełnomocnika Rządu ds. Cyberbezpieczeństwa, decyzji w sprawie uznania za dostawcę wysokiego ryzyka, polecenia zabezpieczającego – w tym procedur mających na celu sprawdzenie czy w podmiocie jest sprzęt lub oprogramowanie pochodzące od dostawcy wysokiego ryzyka.

Podstawowym obowiązkiem podmiotów kluczowych i podmiotów ważnych będzie wdrożenie systemu zarządzania bezpieczeństwem informacji (SZBI) w systemie informacyjnym wykorzystywanym w procesach wpływających na świadczenie usługi przez ten podmiot obejmującego:

• 1)
  prowadzenie systematycznego szacowania ryzyka wystąpienia incydentu oraz zarządzanie tym ryzykiem – należy regularnie szacować ryzyko (identyfikować, analizować, oceniać), a następnie podejmować decyzję o podejściu do tego ryzyka;
• 2)
  wdrożenie odpowiednich i proporcjonalnych do oszacowanego ryzyka środków technicznych i organizacyjnych, uwzględniających najnowszy stan wiedzy, koszty wdrożenia, wielkość podmiotu, prawdopodobieństwo wystąpienia incydentów, narażenie podmiotu na ryzyka, skutki społeczne i gospodarcze, w szczególności:

Każda z usług świadczona przez podmioty kluczowe lub podmioty ważne ma swoją specyfikę, dlatego wdrażając środki techniczne i organizacyjne podmiot powinien wybrać takie, które będą dopasowane (odpowiednie) do jego wielkości, charakteru świadczonych usług, możliwości finansowych, aktualnej wiedzy technicznej czy cyberzagrożeń, a zarazem żeby te środki były we właściwej harmonii (proporcjonalne) między sobą (przykład – rozbudowany dział cyberbezpieczeństwa, z politykami bezpieczeństwa i odpowiednim SIEM nie będzie efektywny, jeżeli jednocześnie zaniedbane będzie szkolenie personelu z cyberhigieny). Celem jest ograniczenie nadmiernych obowiązków nakładanych na podmiot i ich urealnienie przy stosowaniu. Można to sformułowanie traktować jako uelastycznienie przepisów.

Należy więc bardzo dobrze ustalić kontekst danej organizacji, jej charakterystykę, świadczone usługi, posiadane systemy, otoczenie regulacyjne, wymogi podmiotów trzecich.

• a)
  polityki szacowania ryzyka oraz bezpieczeństwa systemu informacyjnego, w tym polityki tematyczne,

Polityka szacowania ryzyka powinna opisać proces szacowania ryzyka w danej organizacji.

Należy ustanowić politykę bezpieczeństwa systemu informacyjnego wskazującą podejście podmiotu do zarządzania bezpieczeństwem informacji wraz z przypisaniem ról w tym procesie. Polityka ta powinna być adekwatna do danego podmiotu, wskazać cele bezpieczeństwa systemu informacyjnego, zobowiązanie do ciągłego rozwoju jak również przewidywać jej przegląd. Polityka powinna być zakomunikowana osobom zatrudnionym w podmiocie.

Polityki tematyczne –są to topic specific policies, o których mowa w normie ISO 27001. Założeniem tego przepisu jest to, aby tam gdzie to konieczne organizacja opracowała polityki tematyczne. Przykładowo, jeśli przyczyni się to do lepszej ochrony to organizacja może wprowadzić politykę bezpieczeństwa urządzeń mobilnych.

• b)
  bezpieczeństwo w procesie nabywania, rozwoju, utrzymania i eksploatacji systemu informacyjnego, w tym testowanie systemu informacyjnego,

Należy opracować i wdrożyć procedury zarządzania konfiguracją urządzeń, procedury zarządzania zmianą w systemie informacyjnym, politykę i procedurę testowania systemu informacyjnego, procedury zarządzanie ryzykiem związanym z nabywaniem nowych produktów ICT, usług ICT i procesów ICT, segmentacja systemów na podstawie analizy ryzyka oraz zapewnienie ochrony przeciwko złośliwemu oprogramowaniu.

• c)
  bezpieczeństwo fizyczne i środowiskowe, uwzględniające kontrolę dostępu,

Podmiot kluczowy lub podmiot ważny powinien monitorować dostęp fizyczny do elementów systemu informacyjnego, zapobiegać cyberzagrożeniom mającym charakter fizyczny, zapobiegać utracie, uszkodzeniu urządzeń wspierających funkcjonowaniu systemu informacyjnego (np. urządzenia elektryczne).

• d)
  bezpieczeństwo zasobów ludzkich,

Należy dbać o zrozumienie wymogów bezpieczeństwa wśród personelu. Personel o szczególnym dostępie do aktywów powinien w szczególny sposób wykonywać swoje zadania w. Pamiętać należy o personelu zewnętrznego dostawcy – należy wprowadzić odpowiednie postanowienia umowne dotyczące bezpieczeństwa oraz zachowaniu w poufności

informacji. W procesie rekrutacji należy prowadzić weryfikację kandydatów (np. poprzez OSINT czy poprzez wymóg dostarczenia referencji czy zaświadczeń – przy czym należy pamiętać o wymogach RODO i poinformować kandydatów w ogłoszeniu, że takie czynności będą dokonywane i że wymagana jest ich zgoda); ponadto należy wprowadzić wewnętrzne reguły dyscyplinarne, jeśli nie wynikają z przepisów prawa powszechnie obowiązującego, dotyczące przypadków naruszenia obowiązków personelu w obszarze cyberbezpieczeństwa, wraz z możliwością wypowiedzenia umowy; w postanowieniach umownych z personelem należy zawrzeć zapisy dotyczące zachowania w poufności informacji związanych z organizacją także po zakończeniu umowy.

• e)
  bezpieczeństwo i ciągłość łańcucha dostaw produktów ICT, usług ICT i procesów ICT, od których zależy świadczenie usługi z uwzględnieniem związków pomiędzy bezpośrednim dostawcą sprzętu lub oprogramowania a podmiotem kluczowym lub podmiotem ważnym,

Należy wprowadzić politykę łańcucha dostaw obejmującą relację z bezpośrednimi dostawcami. W polityce należy wskazać kryteria wyboru dostawców. W umowach z dostawcami należy zawierać postanowienia dotyczące cyberbezpieczeństwa m. in. obowiązek zachowania informacji w poufności, obowiązek zgłaszania incydentów do podmiotu, informowanie o podatnościach, wymogi dotyczące personelu podmiotu (np. co do certyfikacji osób) itd. Pamiętać przy tym należy, że duzi dostawcy sprzętu lub oprogramowania często mają wdrożoną certyfikację własnych systemów, osób lub produktów, usług z zakresu cyberbezpieczeństwa, co z jednej strony ułatwia zarządzanie bezpieczeństwem łańcuchów dostaw, z drugiej może potencjalnie utrudnić dodatkowe wymogi, zwłaszcza, jeżeli zamawiający jest zdecydowanie mniejszym podmiotem. Tutaj wchodzi więc zasada proporcjonalnych środków technicznych i organizacyjnych. Organizacja powinna mieć aktualny wykaz bezpośrednich dostawców z danymi kontaktowymi oraz wskazaniem jakie produkty ICT, usługi ICT czy procesy ICT dostarczają.

Należy identyfikować i oceniać potencjalne ryzyko wynikające z bezpośrednich dostawców sprzętu lub oprogramowania. Konieczne jest opracowanie aktualnej listy kontaktów z dostawcami oraz listy produktów ICT, usług ICT i procesów ICT, które ci dostawcy dostarczają.

• f)

  wdrażanie, dokumentowanie, testowanie i utrzymywanie:

  • •
    planów ciągłości działania (Business continuity plan – BCP) umożliwiających ciągłe i niezakłócone świadczenie usługi oraz zapewniających poufność, integralność, dostępność i autentyczność informacji,
  • •
    planów awaryjnych (Information System Contingency Plan – ISCP), oraz
  • •
    planów odtworzenia działalności umożliwiających odtworzenie systemu informacyjnego po zdarzeniu, które spowodowało straty przekraczające zdolności podmiotu do odbudowy za pomocą własnych środków – (Disaster Recovery Plan – DRP),
• g)
  objęcie systemu informacyjnego wykorzystywanego do świadczenia usługi systemem monitorowania w trybie ciągłym,

System informacyjny powinien być monitorowany ciągle – chodzi o to, aby zapewnić rozliczalność działań podejmowanych w systemie i analizować zaistniałe zdarzenia. Niekoniecznie trzeba w tym celu zatrudniać dodatkową osobę, można skorzystać z narzędzi open-source typu SIEM i ustawić adekwatne reguły. W szczególności należy monitorować zdarzenia, które mogą być przyczyną lub skutkiem incydentu. Monitorowanie dotyczy w szczególności ruchu z i do podmiotu, dostępu do systemu, kont z uprzywilejowanym dostępem, krytyczne pliki konfiguracyjne i kopii zapasowej, logi z narzędzi cyberbezpieczeństwa (np. antywirusów, anti-spyware), zdarzenia środowiskowe, które mogą mieć wpływ na funkcjonowanie infrastruktury systemu (zalanie, pożar itd.).

• h)
  polityki i procedury oceny skuteczności środków technicznych i organizacyjnych,

Należy ustalić, które aktywności w SZBI podmiotu będą monitorowane, jakie będą wskaźniki (KPI), kiedy, w jakich interwałach będą monitorowane, kto będzie to robił, czy nastąpi ich ewaluacja oraz kto za to będzie odpowiedzialny.

• i)
  edukację z zakresu cyberbezpieczeństwa dla personelu podmiotu,

Podmiot powinien dbać o zrozumienie cyberzagrożeń wśród swojego personelu, niezależnie od roli personelu w organizacji.

• j)
  podstawowe zasady cyberhigieny – jest to klauzula generalna, zmienna z uwagi na postęp technologiczny; podmiot kluczowy i podmiot ważny musi identyfikować te zasady w oparciu o aktualny poziom wiedzy technicznej,
• k)
  polityki i procedury stosowania kryptografii, w tym w stosownych przypadkach szyfrowania,

Polityki i procedury stosowania kryptografii obejmują m. in. jakie protokoły i algorytmy, rozwiązania i praktyki są zatwierdzone do używania w podmiocie, kwestie zarządzanie kluczami oraz kwestie identyfikowania poziomu ochrony i klasyfikacji aktywów oraz przypisania adekwatnych algorytmów.

• l)

  stosowanie bezpiecznych środków komunikacji elektronicznej w ramach krajowego systemu cyberbezpieczeństwa oraz wewnątrz podmiotu,

  • uwzględniających uwierzytelnianie wieloskładnikowe w stosownych przypadkach,

Przykładowo uwierzytelnianie wieloskładnikowe powinno być stosowane przy zdalnym logowaniu, dostępie do wrażliwych informacji czy do kont administratorów oraz wszędzie tam gdzie podmiot uzna to za konieczne w świetle szacowania ryzyka.

• m)
  zarządzanie aktywami,

Należy ustalić klasyfikację aktywów, polityki i procedury właściwego zarządzania aktywami, prowadzić inwentaryzację aktywów oraz dbać o zwrot aktywów po zakończeniu umowy z personelem. Przydatna będzie również polityka zarządzania nośnikami wymiennymi w organizacji.

• n)
  polityki kontroli dostępu;

Należy ustalić politykę kontroli dostępu wskazującą kto może uzyskać dostęp fizyczny i logiczny do zasobów podmiotu. Należy zarządzać prawami dostępu i anulować dostęp dla osób, które już nie potrzebują dostępu do aktywów, w tym także personelu zewnętrznego dostawcy. Należy prowadzić rejestr udzielonych dostępów. Należy zarządzać tożsamościami użytkowników i systemów, które otrzymują dostęp do zasobów organizacji. Powinny być wdrożone bezpieczne procedury uwierzytelniania adekwatne do klasyfikacji aktywów.

• 3)
  zbieranie informacji o cyberzagrożeniach i podatnościach na incydenty systemu informacyjnego wykorzystywanego do świadczenia usługi;

Zbieranie informacji o cyberzagrożeniach i podatnościach pozwala na rozwój własnego personelu, zwiększa dojrzałość organizacji, umożliwia prewencyjne usunięcie podatności w systemie lub zabezpieczenie się przed cyberzagrożeniem.

• 4)
  zarządzanie incydentami;

Warto opracować politykę zarządzania incydentami, wprowadzić narzędzie do zgłaszania incydentów wewnątrz podmiotu, wprowadzić procedurę obsługi incydentów.

• 5)

  stosowanie środków zapobiegających i ograniczających wpływ incydentów na bezpieczeństwo systemu informacyjnego wykorzystywanego do świadczenia usługi, w tym:

  • a)
    stosowanie mechanizmów zapewniających poufność, integralność, dostępność i autentyczność danych przetwarzanych w systemie informacyjnym,

Podmiot kluczowy i podmiot ważny powinien przykładowo dokonywać kopii zapasowej.

• b)
  regularne przeprowadzanie aktualizacji oprogramowania, stosownie do zaleceń producenta, z uwzględnieniem analizy wpływu aktualizacji na bezpieczeństwo świadczonej usługi oraz poziomu krytyczności poszczególnych aktualizacji,

Podmiot kluczowy i podmiot ważny ma systematycznie przeprowadzać aktualizacje oprogramowania. Przepis ma zapobiegać sytuacji, w której aktualizacje były dokonywane zbyt rzadko. Podejmując decyzję o aktualizacji, podmiot powinien dokonać analizy wpływu aktualizacji na bezpieczeństwo świadczonej usługi oraz ocenić poziom krytyczności poszczególnych aktualizacji. Celem tej analizy jest zabezpieczenie przed sytuacją, w której konkretna aktualizacja oprogramowania w istocie zagraża bezpieczeństwu świadczonej usługi. Podmiot kluczowy i podmiot ważny jest odpowiedzialny za bezpieczeństwo swoich systemów informacyjnych. Dlatego nie powinien bezrefleksyjnie kierować się zaleceniami producenta sprzętu, ale powinien samodzielnie oceniać wpływ aktualizacji na jego systemy.

• c)
  ochronę przed nieuprawnioną modyfikacją w systemie informacyjnym,
• d)
  niezwłoczne podejmowanie działań po dostrzeżeniu podatności lub cyberzagrożeń, w tym również czasowe ograniczenie ruchu sieciowego przychodzącego do infrastruktury podmiotu kluczowego lub podmiotu ważnego, które może skutkować zakłóceniem usług świadczonych przez ten podmiot, mając na uwadze konieczność minimalizacji skutków ograniczenia dostępności tych usług, z uwagi na podjęte działania.

Należy mieć przygotowane i wdrożone procedury uruchomienia planów ciągłości działania. Możliwe jest także czasowe „odcięcie” ruchu przychodzącego, aby uchronić się przed incydentem.

Objęcie systemu informacyjnego wykorzystywanego do świadczenia usługi systemem monitorowania w trybie ciągłym należy rozumieć w ten sposób, że podmiot powinien monitorować wszelkie zdarzenia, które zaistniały w systemie informacyjnym. Celem jest nie tylko zapewnienie rozliczalności, ale także umożliwienie odtworzenia co się stało w systemie informacyjnym w danym momencie.

Należy przeanalizować procesy świadczenia usług (zadań publicznych) w organizacji oraz zidentyfikować systemy informacyjne, które są wykorzystywane w procesach mających wpływ na świadczenie tych usług.

Przy identyfikacji procesów należy nie tylko wziąć pod uwagę procesy techniczne czy organizacyjne, ale także te procesy które są związane z daną usługą i są wymagane przez przepisy prawa np. procesy służące realizacji uprawnień użytkownika, klienta, konsumenta czy abonenta.

Przy identyfikacji systemów należy zwrócić uwagę na to, czy dany system jest konieczny do świadczenia usługi, czy przetwarza dane oraz steruje procesami, od których zależy świadczenie usługi, a także czy zdarzenie w tym systemie może spowodować zaprzestanie świadczenia usługi. Każdorazowo należy wziąć pod uwagę charakter danego podmiotu. Systemy, które są w pełni odseparowane od świadczenia usługi i nie mają na nie wpływu nie podlegają obowiązkowi wdrożenia w nich systemu zarządzania bezpieczeństwem informacji. Jednocześnie może być tak, że systemy te są niezbędne w procesie świadczenia usługi, np. do zapewnienia realizacji świadczeń publicznych na rzecz obywateli niezbędne są systemy księgowe, bowiem bez nich podmiot publiczny nie będzie mógł tych świadczeń realizować. Wtedy należy również ująć te systemy w SZBI.

Obowiązkiem wdrożenia SZBI należy objąć systemy informacyjne związane z działalnością danego podmiotu zgodną z załącznikiem nr 1 lub nr 2 do ustawy.

Dokumentacja dotyczy bezpieczeństwa systemu informacyjnego wykorzystywanego w procesie świadczenia usługi i może być prowadzona w postaci elektronicznej lub w postaci papierowej.

Zakres dokumentacji podzielono na 2 części. Dokumentacja normatywna to ta część dokumentacji, która opisuje świadczoną usługę, systemy, infrastrukturę oraz funkcjonowanie bezpieczeństwa informacji w podmiocie. Dokumentacja operacyjna potwierdza wykonywanie czynności opisanych w dokumentacji normatywnej.

Zakres przedmiotowy dokumentacji ochrony infrastruktury

Może powstać z tego jeden dokument albo kilka. To należy już do decyzji podmiotu kluczowego i podmiotu ważnego. Istotne jest, aby zakres dokumentacji został zachowany.

Zakres dokumentacji operacyjnej powinien być adekwatny do danego systemu operacyjnego.

W dokumentacji SZBI powinny być ujęte wszystkie elementy wskazane w art. 8.

Ważne jest, aby podmiot dbał o bezpieczeństwo dokumentacji. Należy zapewnić dostępność dokumentacji dla uprawnionych osób (zasada need to know) w zakresie niezbędnym do realizacji zadań. Ograniczy to ryzyko ujawnienia informacji z dokumentacji osobom nieuprawnionym. Organizacja powinna ustalić kto i w jakim zakresie ma dostęp do dokumentacji – na żądanie kontroli należy przedstawić dowód przypisania dostępu do dokumentacji. Podmiot powinien także chronić dokumenty pod kątem fizycznym – ochrona przed uszkodzeniem (uszkodzenie papieru czy dysku), zniszczeniem, utratą, nieuprawnionym dostępem, niewłaściwym użyciem lub utratą integralności. Konieczne jest wskazanie kto odpowiada za dokumentację, kto ma ją chronić oraz jakie środki wdrożono, aby chronić dokumentację np. szkolenia, środki fizyczne (przechowywanie papierowej dokumentacji w zamkniętym pomieszczeniu czy szafie), środki techniczne np. szyfrowanie plików z dokumentacją. Pamiętać także należy o oznaczaniu kolejnych wersji dokumentów – ułatwi to identyfikację zmian i odnalezienie aktualnej wersji. Aby potwierdzić, że zniszczona dokumentacja w ogóle zaistniała, czynność zniszczenia potwierdza się protokołem brakowania. Te protokoły przechowuje się w sposób trwały, aby były dostępne dla kontrolerów.

Należy najpierw przejrzeć istniejące zasoby organizacji. Organizacje, które wdrożyły systemy zarządzania bezpieczeństwem informacji według jednych z dostępnych standardów mogą wykorzystać i dostosować już istniejącą dokumentację. Tak jak jednak wspomniano, sama dokumentacja to za mało, zapewnienie cyberbezpieczeństwa musi być realne, a nie papierowe.

Unijne i krajowe regulacje wymagają realnego zapewnienia cyberbezpieczeństwa. Organizacja musi być świadoma swoich aktywów, ryzyk, cyberzagrożeń i dopasować adekwatne środki techniczne i organizacyjne ograniczające ryzyko. Organizacja musi mieć wdrożone, przetestowane i stosowane w praktyce procedury zarządzania incydentami. Kupiona dokumentacja, podpisana przez zarząd i schowana w "szafie NIS2" nie zapewni realnego cyberbezpieczeństwa w organizacji.

Tak, podmiot musi edukować swój personel w obszarze cyberbezpieczeństwa. Edukacja ta powinna odbywać się na bieżąco, powinna uwzględniać obowiązki personelu podmiotu w ramach SZBI, istniejące procedury, a także cyberzagrożenia czy przykłady incydentów z jakimi mierzy się podmiot. Obowiązkowemu szkoleniu podlega także kierownik podmiotu kluczowego lub podmiotu ważnego.

Podmiot kluczowy oraz podmiot ważny jest obowiązany wdrożyć adekwatne i proporcjonalne środki techniczne i organizacyjne mające zapewnić bezpieczeństwo i ciągłość łańcucha dostaw produktów ICT, usług ICT i procesów ICT,Jak od których zależy świadczenie usługi, z uwzględnieniem związków pomiędzy bezpośrednim dostawcą sprzętu lub oprogramowania a podmiotem kluczowym lub podmiotem ważnym. W ramach tego procesu należy uwzględnić podatności związane z dostawcą sprzętu lub oprogramowania jak i ogólną jakość produktów ICT, usług ICT i procesów ICT pochodzących od dostawcy sprzętu lub oprogramowania, wyniki skoordynowanej oceny bezpieczeństwa przeprowadzonej przez Grupę Współpracy NIS oraz wyniki postępowania w sprawie uznania za dostawcę wysokiego ryzyka.

Wpisuje się to w proces zarządzania ryzykiem łańcuchów dostaw opisany w poradniku Agencji Unii Europejskiej do Spraw Cyberbezpieczeństwa3. Podmioty kluczowe i podmioty ważne powinny m.in.:

• •
  znać swój łańcuch dostaw, w tym swoich dostawców oraz ryzyka związane z nimi,
• •
  dbać o odpowiednie wymagania z zakresu cyberbezpieczeństwa w umowach, a w przypadku umów adhezyjnych z globalnymi dostawcami wybierać tych, którzy posiadają certyfikację z zakresu cyberbezpieczeństwa własnych produktów i usług,
• •
  inwentaryzować swoje zasoby, monitorować podatności związane z wykorzystywanym sprzętem i oprogramowaniem, np. poprzez sprawdzanie na stronach internetowych baz podatności, mitygować zidentyfikowane podatności, np. poprzez aktualizację oprogramowania, jeśli jest dostępna.

Ważną gwarancją prawidłowego wykonywania zadań z zakresu cyberbezpieczeństwa jest wskazanie, że zadań tych nie mogą wykonywać osoby skazane za przestępstwa przeciwko ochronie informacji, tj.: przestępstwa określone w rozdziale XXXIII Kodeksu karnego:

• •
  art. 265 (ujawnienie informacji niejawnych),
• •
  art. 266 (ujawnienie informacji służbowych),
• •
  art. 267 (nielegalne uzyskanie informacji),
• •
  art. 268 (niszczenie informacji),
• •
  art. 268a (niszczenie danych w systemach),
• •
  art. 269 (sabotaż komputerowy),
• •
  art. 269a (zakłócanie sieci i systemów),
• •
  art. 269b (bezprawne wykorzystanie programów i danych).

Daje to odpowiednią gwarancję, że zadania te będą wykonywały osoby dające rękojmię ich prawidłowej realizacji. Ograniczono się przy tym do przestępstw przeciwko ochronie informacji, ponieważ są one związane tematycznie z cyberbezpieczeństwem.

Osoba musi przedstawić zaświadczenie o niekaralności za ww. przestępstwa. Zaświadczenia w tym zakresie będą weryfikowane przez ich kierowników podmiotów kluczowych i podmiotów ważnych. Po otrzymaniu zaświadczenia kierownik dopuści taką osobę do realizacji zadań związanych z systemem zarządzania bezpieczeństwem informacji oraz zgłaszaniem incydentów. Podkreślić należy, że mogą tutaj wystąpić stosunek pracy, a także inne stosunki zatrudnienia, np. umowa zlecenia. Jest to istotne w kontekście przetwarzania danych osobowych, jako że dotyczy to danych o karalności w rozumieniu art. 10 RODO. Informacje o niekaralności będą przechowywane w dokumentacji pracowniczej albo w dokumentacji związanej z daną umową w przypadku innych stosunków zatrudnienia. Oczywiście, zgodnie z RODO, takie informacje będą musiały być należycie chronione.

Wprowadza się również uprawnienie podmiotu kluczowego i podmiotu ważnego do wezwania osoby do ponownego przedstawienia zaświadczenia o niekaralności za przestępstwa przeciwko ochronie informacji, jeżeli podmiot poweźmie uzasadnione podejrzenie, że osoba ta została skazana za przestępstwo przeciwko ochronie informacji. Podejrzenie to musi być uzasadnione, w jakimś mierze uprawdopodobnione. Przy czym sam anonim czy zgłoszenie od sygnalisty może być niewystarczające w tej mierze, trzeba wziąć pod uwagę, że takie zgłoszenie może być po prostu aktem szkalującym inną osobę. Również uzasadnionym działaniem podmiotu kluczowego i podmiotu ważnego nie będzie cykliczne wzywanie danej osoby do przedstawienia zaświadczenia o niekaralności.

Osoba, która posiada ważne poświadczenie bezpieczeństwa upoważniające w zakresie dostępu do informacji niejawnych o klauzuli „poufne” lub wyższej nie podlega weryfikacji niekaralności.

Tak, obowiązek przedstawienia zaświadczenia o niekaralności dotyczy również pracowników jednostek samorządowych realizujących zadania z zakresu systemu zarządzania bezpieczeństwem informacji oraz zgłaszania incydentów.

Tak. Nawiązując do powszechnej międzynarodowej praktyki (publikowanie informacji na podstawie wzoru zawartego w pkt. 3.3 dokumentu RFC 2350 https://datatracker.ietf.org/doc/html/rfc2350), nakłada się na dostawców usług zarządzanych z zakresu cyberbezpieczeństwa obowiązek udostępniania na stronie internetowej podstawowych informacji o swojej działalności. W celu zrealizowania tego obowiązku wystarczy zamieścić krótki plik tekstowy na stronie internetowej dostawcy usług zarządzanych z zakresu cyberbezpieczeństwa. Strona internetowa dostawcy powinna być w domenie, którą dostawca zgłosił do wykazu podmiotów kluczowych i podmiotów ważnych.

Do katalogu tych podmiotów zaliczane będą również podmioty publiczne, w tym jednostki samorządu terytorialnego.

z dnia 14 grudnia 2016 r. – Prawo oświatowe oraz ich zespołów,

• Samorządowe instytucje kultury
• Spółki prawa handlowego
  wykonujące zadania o charakterze użyteczności publicznej w rozumieniu art. 1 ust. 2 ustawy o gospodarce komunalnej.

b) jednostek organizacyjnych wspierania rodziny i systemu pieczy zastępczej, o których mowa wart. 2 ust. 3 ustawy z dnia 9 czerwca 2011 r. o wspieraniu rodziny i systemie pieczy zastępczej

c) jednostek organizacyjnych, o których mowa wart. 6 pkt 5 ustawy z dnia 12 marca 2004 r. o pomocy społecznej, oprócz regionalnych ośrodków polityki społecznej,

d) wojewódzkich urzędów pracy,

e) parków krajobrazowych i ich zespołów,

• f) jednostek obsługujących, o których mowa w art. 8d ustawy z dnia 5 czerwca 1998 r. o samorządzie województwa, w zakresie w jakim prowadzą wspólną obsługę jednostek, o których mowa w lit. a–e

• w
  odniesieniu do samorządu powiatu: starostwo powiatowe
• w
  odniesieniu do samorządu gminy: urząd gminy, jeżeli zatrudnia na dzień 1 stycznia danego roku w przeliczeniu na pełny wymiar czasu pracy na podstawie umowy o pracę co najmniej 50 osób.

Każdorazowo należy przeanalizować status prawny danego podmiotu na gruncie ustawy z dnia 27 sierpnia 2009 r. o finansach publicznych.

W przypadku lokalnych wodociągów należałoby przeanalizować także podległość pod sektor:

Samorządowe podmioty publiczne również prowadzą działalność jako przedsiębiorcy telekomunikacyjni, stąd mogą wchodzić pod podsektor komunikacji elektronicznej.

Wprowadzono uproszczone wymagania dla samorządowych podmiotów publicznych, które są podmiotami ważnymi. Mają one charakter listy kontrolnej minimalnych wymogów takich jak inwentaryzacja zasobów informatycznych, weryfikacja uprawnień personelu, stosowanie oprogramowania antywirusowego, czy stosowanie zasad cyberhigieny.

Zrezygnowano więc z podejścia opartego na ryzyku, ponieważ wymagałoby to najpierw posiadania odpowiedniego personelu przez mniejsze jednostki samorządowe, który potrafiłby przeprowadzić szacowanie ryzyka i na podstawie tego wprowadzić odpowiednie środki techniczne i organizacyjne. Mniejsze jednostki samorządowe nie posiadają takich zasobów osobowych, stąd obniżono wymagania z zakresu cyberbezpieczeństwa.

Przepisy te przewidują również możliwość zawierania porozumień i wspólnego wykonywania zadań z zakresu cyberbezpieczeństwa. Oznacza to, że możliwe będzie np. wyznaczenie jednostki odpowiedzialnej za realizację ustawowych obowiązków przez pozostałe jednostki samorządu terytorialnego oraz spółki prawa handlowego wykonujące zadania o charakterze użyteczności publicznej. Mogą to być przypadki m.in. gdy jedna jednostka organizacyjna gminy będzie odpowiedzialna za obowiązki cyberbezpieczeństwa w pozostałych jednostkach organizacyjnych gminy.

Jednostka organizacyjna w jednej z JST może też odpowiadać za jednostki z innych JST, jeżeli zostanie zawarte stosowne porozumienie.

Jednostki obsługujące mogą być tworzone na poziomie gminy, powiatu lub województwa.

Przykładowy model jednostki obsługującej w obszarze cyberbezpieczeństwa w jednej gminie

Przykładowy model jednostki obsługującej w obszarze cyberbezpieczeństwa, gdy obsługuje jednostki z kilku gmin

Przykładowy schemat jednostki obsługującej z powiatu, która obsługuje jednostki z różnych JST

Przepisy ustawy umożliwią także docelowo współpracę w zakresie cyberbezpieczeństwa pomiędzy gminami i powiatami, tak aby zapewnić jeszcze większą skuteczność oraz prawidłową realizację obowiązków oraz zmitygować ich koszty. Proponowane przepisy w znacznym stopniu ułatwią wdrażanie i realizację obowiązków z zakresu cyberbezpieczeństwa, szczególnie w tych jednostkach samorządu terytorialnego, które zmagają się z problemami kadrowymi, czy niewystarczającymi środkami finansowymi.

Jednostce obsługowej mogą być powierzone wszystkie lub niektóre zadania wynikające z wdrożenia systemu zarządzania bezpieczeństwem informacji.

Podmiot ważny będący podmiotem publicznym, stosujący załącznik nr 4 formalnie nie ma obowiązku przeprowadzania szacowania ryzyka. Jednakże należy podkreślić, że analiza ryzyka nie jest jakkolwiek zakazana – zgodnie z pkt II.9 załącznika nr 4 do ustawy o KSC, podmiot ważny będący podmiotem publicznym może stosować dodatkowe środki techniczne i organizacyjne, jeżeli jest to konieczne dla zapewnienia odpowiedniego poziomu bezpieczeństwa systemów informacyjnych.

Niezależnie od tego należy pamiętać o innych przepisach – jako przykład należy wskazać art. 32 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietna 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), zgodnie z którym „Uwzględniając stan

wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze zagrożenia, administrator i podmiot przetwarzający wdrażają odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający temu ryzyku (…)”. Do prawidłowego zastosowania tego przepisu niezbędne jest przeprowadzenie analizy ryzyka. Przepis ten stosuje się także do podmiotów publicznych niezależnie od ich wielkości.

Nie ma narzuconych rozwiązań technicznych czy organizacyjnych. To podmiot kluczowy lub podmiot ważny musi podjąć decyzję o tym, jakie rozwiązanie będzie adekwatne do jego sytuacji. Pamiętajmy, że ustawa obejmuje wiele bardzo zróżnicowanych podmiotów. Podmioty mogą zdecydować się na zewnętrzne, komercyjne usługi, lub postawić na budowanie własnych kompetencji, często w ramach grupy kapitałowej.

Podmioty kluczowe i podmioty ważne muszą również wyznaczyć dwie osoby do kontaktów z innymi podmiotami krajowego systemu cyberbezpieczeństwa.

Podmiot będący mikroprzedsiębiorcą lub małym przedsiębiorcą wyznaczy jedną osobę, ponieważ obowiązek wyznaczenia dwóch osób mógłby być zbyt dużym obciążeniem.

Podmioty te mają również obowiązek zapewniania użytkownikowi usługi dostępu do wiedzy pozwalającej na zrozumienie cyberzagrożeń i stosowanie skutecznych sposobów zabezpieczania się przed tymi zagrożeniami w zakresie związanym ze świadczonymi usługami. Użytkownicy muszą posiadać aktualne informacje, aby być w stanie chronić się przed zagrożeniami.

Można wykonać ten obowiązek przez odesłanie do stron internetowych organu właściwego do spraw cyberbezpieczeństwa, CSIRT MON, CSIRT NASK, CSIRT GOV lub CSIRT sektorowego.

Każdy podmiot kluczowy oraz podmiot ważny powinien zapewnić możliwość zgłaszania przez swoich użytkowników cyberzagrożeń, podatności czy incydentu związanego z usługą świadczoną przez podmiot. Forma zgłoszenia należy już do podmiotu – czy to będzie odrębny adres poczty elektronicznej, czat na stronie internetowej, adres do doręczeń elektronicznych w przypadku podmiotów zobowiązanych do stosowania ustawy o doręczeniach elektronicznych.

To może być każda osoba związana z podmiotem umową o pracę lub innym stosunkiem zatrudnienia. Nie jest wymagane określone wykształcenie, w tym związane z cyberbezpieczeństwem.

Taką osobą kontaktową może być osoba zatrudniona w jednej ze spółek w danej grupie kapitałowej, jeżeli spółka ta, w ramach umowy, obsługuje inną spółkę z tej grupy będącą podmiotem kluczowym czy podmiotem ważnym. Ważne jest, żeby umowa między spółkami obsługującą i obsługiwaną oraz stosunek prawny między spółką obsługującą i jej personelem umożliwiał nałożenie takiego obowiązku na konkretną osobę przy zapewnieniu rozliczalności oraz poufności wykonywanych obowiązków. Istotne jest też to, aby ta osoba kontaktowa mogła zwracać się do spółki obsługiwanej i przekazywać informacje uzyskane od zespołów CSIRT czy organów właściwych do spraw cyberbezpieczeństwa.

Podmiot kluczowy lub podmiot ważny realizuje zadania za pomocą wewnętrznych struktur odpowiedzialnych za cyberbezpieczeństwo (np. komórka organizacyjna w danym podmiocie, niezależnie od jej nazwy, ale zajmująca się cyberbezpieczeństwem) lub zawiera umowę z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa. Kluczowy jest tutaj spójnik „lub” – chodzi o możliwość outsourcingu tylko niektórych zadań. Decyzja o wyborze modelu realizacji zadań należy do podmiotu kluczowego lub podmiotu ważnego. Podkreślić jednak należy, że musi być ona rozsądna. Zadania z zakresu cyberbezpieczeństwa nie powinny być powierzane np. przeciążonemu działowi help-desk, ponieważ nie będą one realizowane efektywnie.

Samodzielny publiczny zakład opieki zdrowotnej, który zatrudnia poniżej 50 pracowników nie podlega pod ustawę z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa.

Rejestr dostawców usług zaufania jest dostępny pod adresem: https://www.nccert.pl/uslugi.htm .

Zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) nr 910/2014 z dnia 23 lipca 2014 r. w sprawie identyfikacji elektronicznej i usług zaufania w odniesieniu do transakcji elektronicznych na rynku wewnętrznym oraz uchylające dyrektywę 1999/93/WE (https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32014R0910) „usługa zaufania” oznacza usługę elektroniczną zazwyczaj świadczoną za wynagrodzeniem i obejmującą którąkolwiek z następujących czynności:

• •
  wydawanie certyfikatów podpisów elektronicznych, certyfikatów pieczęci elektronicznych, certyfikatów uwierzytelniania witryn internetowych lub certyfikatów do celów świadczenia innych usług zaufania;
• •
  walidację certyfikatów podpisów elektronicznych, certyfikatów pieczęci elektronicznych, certyfikatów uwierzytelniania witryn internetowych lub certyfikatów do celów świadczenia innych usług zaufania;
• •
  tworzenie podpisów elektronicznych lub pieczęci elektronicznych;
• •
  walidację podpisów elektronicznych lub pieczęci elektronicznych;
• •
  konserwację podpisów elektronicznych, pieczęci elektronicznych, certyfikatów podpisów elektronicznych lub certyfikatów pieczęci elektronicznych;
• •
  zarządzanie urządzeniami do składania podpisu elektronicznego na odległość lub urządzeniami do składania pieczęci elektronicznej na odległość;
• •
  wydawanie elektronicznych poświadczeń atrybutów;
• •
  walidację elektronicznych poświadczeń atrybutów;
• •
  tworzenie elektronicznych znaczników czasu;
• •
  walidację elektronicznych znaczników czasu;
• •
  świadczenie usług rejestrowanego doręczenia elektronicznego;
• •
  walidację danych przekazywanych za pośrednictwem usług rejestrowanego doręczenia elektronicznego i związanych z nimi dowodów;
• •
  archiwizację elektroniczną danych elektronicznych i dokumentów elektronicznych;
• •
  rejestrowanie danych elektronicznych w rejestrze elektronicznym.

Nie istnieje rejestr bezpiecznych, zweryfikowanych dostawców sprzętu i oprogramowania dla podmiotów kluczowych i podmiotów ważnych.

Podmioty kluczowe i podmioty ważne same muszą zarządzać ryzykiem związanym z łańcuchem dostaw i szacować ryzyko związane z danym dostawcą. Zamawiający, realizując obowiązki związane z zapewnieniem bezpieczeństwa teleinformatycznego oraz ciągłości działania, powinien każdorazowo dokonywać oceny nabywanych rozwiązań ICT z uwzględnieniem wiarygodności dostawcy, bezpieczeństwa oferowanego sprzętu, oprogramowania i usług, a także potencjalnych ryzyk związanych z łańcuchem dostaw.

Wybór sprzętu, oprogramowania oraz usług ICT powinien odbywać się w szczególności z uwzględnieniem, czy sprzęt, oprogramowanie lub usługa ICT pochodzą ze sprawdzonego i zaufanego źródła, od dostawców zapewniających odpowiedni poziom bezpieczeństwa i zgodność z obowiązującymi przepisami oraz standardami ochrony informacji.

Jednocześnie tacy dostawcy często sami będą podmiotami kluczowymi lub podmiotami ważnymi lub będą podlegać wymogom Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/2847 z dnia 23 października 2024 r. w sprawie horyzontalnych wymagań w zakresie cyberbezpieczeństwa w odniesieniu do produktów z elementami cyfrowymi oraz w sprawie zmiany rozporządzeń (UE) nr 168/2013 i (UE) 2019/1020 i dyrektywy (UE) 2020/1828 (akt o cyberodporności) https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32024R2847. Stąd też tacy dostawcy podlegają również wymogom z zakresu cyberbezpieczeństwa.

Podmiot leczniczy, który nie jest przedsiębiorcą:

1) jest podmiotem ważnym, jeżeli zatrudnia od 50 do 249 osób;

2) jest podmiotem kluczowym, jeżeli zatrudnia co najmniej 250 osób.

Przy ustalaniu statusu podmiotu należy wziąć pod uwagę wszystkie stosunki zatrudnienia jak zatrudnienie pracownicze, np. na umowę o pracę, oraz zatrudnienie niepracownicze, np. w oparciu o umowy cywilnoprawne. Ponadto nie rozróżnia on zatrudnienia w pełnym wymiarze czasu pracy jak i w niepełnym wymiarze.

Obowiązuje przy tym zasada, zgodnie z którą jeżeli status podmiotu kluczowego lub podmiotu ważnego zależy od wielkości podmiotu, to przesłanki uznania za podmiot kluczowy lub podmiot ważny bada się według stanu na dzień sporządzenia sprawozdania finansowego.

Urząd gminy, który ma w swojej strukturze komórkę organizacyjną zajmującą się dostarczaniem wody będzie podmiotem kluczowym. Zbiorowe zaopatrzenie w wodę i zbiorowe odprowadzanie ścieków jest zadaniem własnym gminy, stąd też jest to istotna część urzędu gminy, który zajmuje się dostarczaniem wody pitnej.

Związki jednostek samorządu terytorialnego nie zostały wpisane do sektora podmiotów publicznych. Stąd też nie będą wpisane z urzędu przez Ministra Cyfryzacji do wykazu podmiotów kluczowych i podmiotów ważnych. Jednakże mogą znaleźć się w krajowym systemie cyberbezpieczeństwa, jeżeli spełniają kryteria dla innych sektorów, przykładowo zaopatrzenia w wodę pitną i jej dystrybucji lub zbiorowego odprowadzania ścieków.

Uczelnia, która prowadzi badania aplikacyjne oraz prace rozwojowe przy pomocy systemu informacyjnego, ale nie jest to jej podstawowa działalność, nie jest organizacją badawczą. W tej sytuacji stosuje obowiązki wskazane w załączniku nr 4 do ustawy.

Jeżeli uczelnia jest organizacją badawczą to nie stosuje załącznika nr 4 do ustawy o KSC tylko wdraża pełny system zarządzania bezpieczeństwem informacji zgodny z art. 8 ust. 1 ustawy o KSC.

W okresie dostosowawczym podmiot kluczowy i podmiot ważny jest uprawniony do podejmowania czynności mających na celu przystosowanie się do nowych obowiązków. Uprawnione jest wobec tego gromadzenie danych o niekaralności personelu, który będzie realizował te zadania także po zakończeniu okresu dostosowawczego.

Weryfikacja dotyczy obecnego i przyszłego personelu.

Jeżeli wyznaczając jednostkę do realizacji obowiązków z zakresu cyberbezpieczeństwa organ wyznaczający wskazał, że będzie ona realizować również zadania kierownika podmiotu, to wtedy kierownik jednostki wyznaczonej ponosi odpowiedzialność za realizację zadań z zakresu cyberbezpieczeństwa.

Tak, ustawa nie wprowadza tutaj odrębnych wymogów.

Terminy dostosowawcze dla podmiotów kluczowych i podmiotów ważnych liczy się od dnia spełnienia przesłanek uznania za podmiot kluczowy lub podmiot ważny, a nie od dnia wpisu w wykazie podmiotów kluczowych lub podmiotów ważnych.

Obowiązek uzupełnienia danych liczony jest od dnia otrzymania wezwania do uzupełnienia danych w wykazie. Podmiot ma 6 miesięcy na zrealizowanie tego obowiązku.

Tak, ponieważ jako odrębny podmiot świadczy usługi innemu podmiotowi.

Tak, wojewódzka jednostka wyznaczona do realizacji zadań z zakresu cyberbezpieczeństwa może obsługiwać jednostki gminne i powiatowe jeżeli województwo zawrze porozumienie z gminą lub z powiatem. Wynika to z brzmienia art. 16e ust. 6 ustawy o KSC, gdzie wskazano, że to jednostki

samorządu terytorialnego - a więc gmina, powiat lub województwo mogą zawrzeć takie porozumienie.

Odpowiednie stosowanie art. 74 ustawy z dnia 8 marca 1990 r. o samorządzie gminnym, które jest wskazane w ust. 9 należy rozumieć w ten sposób, jednostki samorządu terytorialnego mogą zawierać porozumienia w sprawie powierzenia jednej z nich określonych przez nie zadań z zakresu cyberbezpieczeństwa. Jednostka samorządu terytorialnego wykonująca zadania z zakresu cyberbezpieczeństwa objęte porozumieniem przejmuje prawa i obowiązki pozostałych jednostek samorządu terytorialnego, związane z powierzonymi jej zadaniami, a jednostki te mają obowiązek udziału w kosztach realizacji powierzonego zadania.

Gminne ośrodki pomocy społecznej jako samorządowe jednostki budżetowe podlegają pod ustawę o KSC. Będą one podmiotami ważnymi.

Samorządowymi podmiotami publicznymi są:

• •
  samorządowe jednostki budżetowe, w tym urzędy gmin, starostwa powiatowe;
• •
  samorządowe zakłady budżetowe;
• •
  samorządowe instytucje kultury;
• •
  spółki wykonujące zadania o charakterze użyteczności publicznej, tzw. spółki komunalne.

Należy wziąć pod uwagę dane finansowe obejmujące całą działalność podmiotu.

Załącznik nr 4 do ustawy był prezentowany jako uproszczony zestaw wymagań i przeznaczony jest dla podmiotów ważnych będących podmiotem publicznym. Podmioty kluczowe muszą realizować wszystkie obowiązki i pełny zakres wymagań SZBI określony w art. 8 ustawy o KSC.

Załącznik nr 4 został podzielony na trzy części. Pierwsza część załącznika oznaczona numerem rzymskim I to część obowiązkowa, którą każdy podmiot ważny będący podmiotem publicznym musi spełnić. Treść wskazana w części Załącznika nr 4 oznaczona rzymską cyfrą II to część fakultatywna, która zawiera elementy, których wdrożenie podmiot ważny będący podmiotem publicznym powinien rozważyć mając na uwadze potrzebę zapewnienia cyberbezpieczeństwa i jeżeli jego uwarunkowania organizacyjne, finansowe i osobowe na to pozwalają.

Część oznaczona rzymską cyfrą III jest to część obowiązkowa odnosząca się do aktualizacji i przeglądu spełniania obowiązków określonych w poprzednich częściach Załącznika nr 4.

Celem wymagania wskazanego w obowiązkowej części Załącznika nr 4 w pkt 10 jest, aby kopia zapasowa nie była narażona na te same ryzyka, które dotyczą danych w wersji produkcyjnej używanych do bieżącej realizacji zadań. Dlatego przepis zawiera wymóg odseparowania logicznego i fizycznego tych dwóch obszarów. Ustawa nie wskazuje na obowiązek przechowywania kopi zapasowych w innych budynkach. Z punktu widzenia celów ustawy minimalnym obowiązkiem jest przechowywanie kopi zapasowych w takim miejscu, aby zapewnić możliwość spełnienia jej celu lub funkcji.

Ustawa o krajowym systemie cyberbezpieczeństwa pozostaje neutralna technologicznie i nie wskazuje konkretnych klas systemów teleinformatycznych ani konkretnych rozwiązań technicznych, których wdrożenie byłoby obligatoryjne dla osiągnięcia zgodności z jej wymaganiami.

Dobór odpowiednich środków technicznych i organizacyjnych należy do danego podmiotu i powinien być dokonany z uwzględnieniem charakteru realizowanych zadań, wykorzystywanych systemów informacyjnych, skali działalności oraz wyników szacowania ryzyka. Oznacza to, że każdy podmiot powinien samodzielnie ocenić, jakie rozwiązania są niezbędne do zapewnienia odpowiedniego poziomu cyberbezpieczeństwa.

Osobą do kontaktu z podmiotami krajowego systemu cyberbezpieczeństwa może kierownik podmiotu kluczowego lub podmiotu ważnego. Wskazując osobę, która ma wypełniać tę rolę należy wziąć pod uwagę efektywność realizacji tego zadania oraz dostępność tej osoby.

Ustawa nie nakłada obowiązku powołania pełnomocnika do spraw systemu zarządzania bezpieczeństwem informacji. Przepisy pozostawiają w tym zakresie swobodę kierownikowi podmiotu co do organizacji realizacji zadań wynikających z wdrożonego systemu zarządzania bezpieczeństwem informacji. Ustawa wskazuje, że kierownik podmiotu kluczowego lub podmiotu ważnego przydziela zadania z zakresu cyberbezpieczeństwa w tym podmiocie i nadzoruje ich wykonanie.

Jeżeli kierownik podmiotu decyduje się na powołanie pełnomocnika do spraw systemu zarządzania bezpieczeństwem informacji to powinna być to osoba, którą łączy z danym podmiotem stosunek prawny umożliwiający wydawanie jej poleceń

oraz zapewniający odpowiedzialność za realizację zadań. Powołanie takiego pełnomocnika powinno być w szczególności zgodne z przepisami ustrojowymi jak i przepisami wewnętrznymi danej jednostki organizacyjnej. W przypadku jednostek sektora finansów publicznych przed podjęciem takiej decyzji można przeprowadzić szacowanie ryzyka w ramach systemu kontroli zarządczej.

Jeżeli zadania z zakresu systemu zarządzania bezpieczeństwem informacji realizowałby zewnętrzny dostawca usług zarządzanych z zakresu cyberbezpieczeństwa należy przy tym zadbać o bezpieczeństwo łańcuchów dostaw i w umowie z samym dostawcą ująć wymogi dotyczące cyberbezpieczeństwa oraz kwestie odpowiedzialności za realizowane zadania.

Informacje te należy udostępnić na publicznie dostępnej stronie internetowej. Informacje mogą być przydatne dla klientów podmiotu oraz dla zespołów CSIRT reagujących na zgłoszony incydent.

W przypadku podmiotów, które 3 kwietnia 2026 r. spełniały przesłanki uznania za podmiot kluczowy lub podmiot ważny po raz pierwszy szkolenie kierownika podmiotu kluczowego lub podmiotu ważnego musi być przeprowadzone najpóźniej w 2027 r. Istnieje jednak możliwość, aby szkolenie to przeprowadzić jeszcze w 2026 r. a kolejne w 2027 r.

Podmiot, będący podmiotem kluczowym w tym podmiotem, który podlega rozporządzeniu UE 2024/2690 (https://eur-lex.europa.eu/legal-

content/PL/TXT/?uri=CELEX:32024R2690) nie stosuje tego rozporządzenia do całej działalności podmiotu. Stosuje to rozporządzenie w zakresie działalności jako podmiot podlegający pod to rozporządzenie - przykładowo jeżeli jest dostawcą usług zarządzanych to rozporządzenie 2024/2690 w systemach informacyjnych wykorzystywanych w procesach wpływających na świadczenie usług zarządzanych. Stosowanie rozporządzenia 2024/2690 do całej działalności podmiotu, nawet w zakresie tych działalności podmiotu, które nie są regulowane przez to rozporządzenie byłoby sprzeczne z krajową i unijną zasadą proporcjonalności.

Intencją projektodawcy art. 8f uKSC było objęcie obowiązkiem przedstawienia informacji z Krajowego Rejestru Karnego osób pozostających w bezpośredniej relacji z podmiotem kluczowym lub ważnym, tj. jego pracowników oraz osób wykonujących zadania na podstawie umów cywilnoprawnych zawartych bezpośrednio z tym podmiotem, jeżeli realizuję one zadania, o których mowa w art. 8 lub 11 uKSC.

Obowiązek ten nie obejmuje pracowników ani współpracowników podmiotów świadczących usługi na rzecz podmiotu kluczowego lub ważnego, w tym personelu wykonawców i podwykonawców. W odniesieniu do takich podmiotów zapewnienie odpowiedniego poziomu bezpieczeństwa personelu powinno następować w ramach odpowiedniego zarządzania ryzykiem związanym z łańcuchem dostaw oraz stosownych postanowień umownych.

Przedsiębiorcy telekomunikacyjni do czasu rozpoczęcia realizacji poszczególnych obowiązków z zakresu cyberbezpieczeństwa stosują dotychczasowe przepisy działu VIIa Prawa telekomunikacyjnego. Pełne rozpoczęcie realizacji obowiązków musi nastąpić najpóźniej 3 kwietnia 2027 r. Jednocześnie w tym okresie dostosowawczym możliwe jest, że przedsiębiorcy telekomunikacyjni rozpoczną realizacji części obowiązków wynikających z ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, a w pozostałym zakresie będą stosowali dotychczasowe przepisy działu VIIa Prawa telekomunikacyjnego. Celem jest płynne przejście do nowych obowiązków.