PLNOG23 - Artur Piechocki - Obowiązki i dokumentacja w zakresie cyberbezpieczeństwa

### Overview Prezentacja Artura Piechockiego na konferencji PLNOG23 poświęcona jest obowiązkom i dokumentacji z zakresu cyberbezpieczeństwa w świetle polskiej Ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC). Prelegent omawia definicje ustawowe, podmioty objęte regulacją, klasyfikację incydentów, wymogi dotyczące raportowania, a także praktyczne i prawne aspekty outsourcingu cyberbezpieczeństwa (MSP, MSSP, SOC).

### Key Topics - **Ustawa o KSC i definicje**: Cyberbezpieczeństwo definiowane jako odporność systemów informacyjnych na działania naruszające poufność, integralność, dostępność i autentyczność danych lub usług. Zarządzanie ryzykiem w cyberbezpieczeństwie porównane zostało do podejścia znanego z RODO. - **Kategorie podmiotów objętych ustawą**: Podmioty publiczne, operatorzy usług kluczowych (OUK – m.in. sektory energii, transportu, bankowości, infrastruktury rynków finansowych, ochrony zdrowia, zaopatrzenia w wodę pitną i dystrybucji) oraz dostawcy usług cyfrowych (platformy handlowe online, usługi przetwarzania w chmurze, wyszukiwarki internetowe spełniające progi zatrudnienia powyżej 50 osób lub obrotu powyżej 10 mln zł). - **Klasyfikacja incydentów**: Wyróżnienie incydentów poważnych (dotyczących usług kluczowych), istotnych (dotyczących usług cyfrowych), krytycznych (wywołujących znaczną szkodę dla bezpieczeństwa publicznego lub państwa) oraz incydentów w podmiotach publicznych. - **Obowiązki operatorów usług kluczowych**: Wdrożenie systemu zarządzania bezpieczeństwem, wyznaczenie osoby kontaktowej (zgłoszenie w ciągu 14 dni do właściwego CSIRT), edukacja użytkowników, dokumentacja bezpieczeństwa, obsługa incydentów oraz obowiązkowy audyt bezpieczeństwa (w ciągu roku od doręczenia decyzji, a następnie co 2 lata). - **Kary i kontrole**: Uprawnienia kontrolne organów właściwych (m.in. prawo wstępu, żądanie wyjaśnień, oględziny sprzętu bez drogi odwoławczej od zaleceń pokontrolnych). Kary finansowe sięgają od 15 tys. zł (brak osoby kontaktowej), 20 tys. zł (niezgłoszenie incydentu poważnego), 150 tys. zł (brak szacowania ryzyka), aż do 1 mln zł przy uporczywych naruszeniach zagrażających bezpieczeństwu państwa. Przewidziano także odpowiedzialność finansową kierownika OUK do 20% miesięcznego wynagrodzenia.

### Technical Details & Outsourcing - **Terminy raportowania**: Zgłoszenie incydentu do właściwego zespołu CSIRT (np. CSIRT NASK dla przedsiębiorstw) musi nastąpić niezwłocznie, nie później niż w ciągu 24 godzin od momentu wykrycia (w odróżnieniu od 72 godzin w RODO). - **Centra Operacji Bezpieczeństwa (SOC) i MSSP**: Przedsiębiorstwa mogą realizować wymogi ustawy poprzez outsourcing do wyspecjalizowanych podmiotów MSP/MSSP. Prelegent omawia podział na linie wsparcia SOC (L1 – monitoring i obsługa klienta, L2 – zarządzanie platformą i incydentami, L3 – zaawansowane wsparcie i ekspercka obsługa skomplikowanych incydentów), a także narzędzia klasy SIEM oraz model Security as a Service. - **Konstrukcja umów outsourcingowych**: Kluczowe elementy kontraktu obejmują dokładne zdefiniowanie przedmiotu wdrożenia (np. która linia SOC), zobowiązanie podwykonawcy do powiadomienia OUK w czasie krótszym niż 24 godziny, określenie odpowiedzialności opartej na starannym działaniu (a nie gwarancji wykrycia 100% incydentów), licencjonowanie procedur i scenariuszy reakcji, SLA definiowane czasem reakcji (a nie czasem usunięcia skutków), limity obsługiwanych incydentów w jednostce czasu oraz posiadanie przez dostawcę polisy ubezpieczeniowej cyber risk i certyfikacji (np. ISO 27001 czy świadectwa bezpieczeństwa przemysłowego).

### Takeaways Ustawa o KSC nakłada rygorystyczne obowiązki dokumentacyjne, audytowe i raportowe, których niewdrożenie grozi dotkliwymi karami finansowymi dla organizacji i kadry zarządzającej. Dla firm dostarczających usługi IT i cyberbezpieczeństwa stanowi to dużą szansę rynkową w obszarze audytów, wdrożeń oraz usług SOC/MSSP, pod warunkiem precyzyjnego uregulowania kwestii odpowiedzialności, SLA i procedur w umowach.