Now ustawy o krajowym systemie cyberbezpieczeństwa

Kolejną zmianą jest budowa sześciu CSIRT-ów sektorowych, co ma pomóc w skuteczniejszym reagowaniu na incydenty. Mowa jest też wprost o CSIRT Telco, który ma wspierać przedsiębiorców komunikacji elektronicznej w obsłudze incydentów z ich zakresu. W zakresie instytucji polecenia zabezpieczającego, to poza koniecznością przeprowadzenia przed ich wydaniem bardziej pogłębionej analizy nie zdecydowano się na wprowadzenie znaczących zmian w stosunku do wersji projektu nowelizacji UKSC z października 2021 r.

• Na wycofanie sprzętu lub oprogramowania dostawca wysokiego ryzyka będzie miał 7 lat od wydania decyzji administracyjnej; z kolei duzi przedsiębiorcy telko – 5 lat (jeżeli znajdują się w zakresie funkcji krytycznych).
• Wykorzystanie tego potencjału wymaga jednak zbiorowego zaangażowania wszystkich interesariuszy.
• Nowelizacja UKSC wprowadza też sankcje finansowe za niewywiązanie się z obowiązków nałożonych na przedsiębiorców komunikacji elektronicznej.
• „NIS 2 wprost wskazuje, że środki zarządzania ryzykiem powinny być proporcjonalne.
• Niejednoznaczność regulacji da możliwość uznaniowego wykluczania firm z państw oferujących nowoczesne i sprawdzone rozwiązania, ale pochodzących spoza kontynentu europejskiego czy amerykańskiego” – mówi Krzysztof Dyki, ekspert od cyberbezpieczeństwa i rynku telekomunikacyjnego, prezes ComCERT.

11 września w Sejmie odbędzie się dyskusja w formule wysłuchania publicznego. „Idea ochrony jest zrozumiała, ale sposób jej implementacji powinien być jeszcze przeanalizowany, paypal ogłasza wycofanie z projektu kryptowaluta libra-forex bo jest mało przejrzysty. Sama procedura opiera się na wykluczeniu dostawcy według kryterium kraju pochodzenia, a nie kraju produkcji jego urządzeń.

Kancelarii Prezydenta RP, Kancelarii Sejmu, Kancelarii Senatu, Kancelarii Prezesa Rady Ministrów, Biuru Bezpieczeństwa Narodowego, ale też sądownictwa i prokuratury, Sił Zbrojnych oraz jednostek podległych lub nadzorowanych przez MON. Prezes Rady Ministrów powoła Pełnomocnika w terminie 3 miesięcy od dnia wejścia w życie ustawy. Zagrożenia cyberbezpieczeństwa, mogące doprowadzić do sytuacji kryzysowej, po raz pierwszy zostaną ujęte w Raporcie o zagrożeniach bezpieczeństwa narodowego, który zostanie sporządzony z udziałem Pełnomocnika, po wejściu w życie ustawy. Skuteczna ochrona informacji wymaga właściwego administrowania cyfrową tożsamością. Obszary działań, w których Chief Information Security Officers powinni podejmować kroki w celu zapewnienia bezpieczeństwa swoich organizacji można podzielić na cztery kategorie.

Krajowy system cyberbezpieczeństwa – trzeba go usprawnić

Usprawnić funkcjonowanie systemu i ujednolicić procedury zgłaszania incydentów na poziomie krajowym. – Przygotowywana nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa może być niezgodna z unijnym prawem – ocenia prof. Maciej Rogalski z Uczelni Łazarskiego. O ograniczanie dostawcom sprzętu, którzy decyzją ministra zostaną wykluczeni z rynku, możliwości jej zaskarżenia. Prawnicy wskazują, że przyjęcie ustawy w obecnym kształcie wywoła spór z instytucjami i organami UE, który najprawdopodobniej znajdzie finał w Trybunale Sprawiedliwości.

Projekt zakłada powołanie w tym celu operatora strategicznej sieci bezpieczeństwa (OSSB), który będzie wyznaczany przez premiera i będzie m.in. Świadczył usługi telekomunikacyjne dla wskazanych w ustawie podmiotów. Nowelizacja UKSC zmienia w omawianym zakresie także przepisy ustawy PZP, dodając (w art. 226 ust. 1 pkt 19 ustawy PZP) kolejną podstawę odrzucenia oferty wykonawcy. Odrzuceniu będzie podlegać oferta, która obejmuje produkt, usługę lub proces ICT określone w decyzji o uznaniu dostawcy za dostawcę wysokiego ryzyka. W ramach propozycji zmiany ustawy, do krajowego systemu cyberbezpieczeństwa wprowadzono także instytucję SOC (security operations center – operacyjne centrum bezpieczeństwa).

Możliwa jest zatem sytuacja wykluczenia produktów dostawcy z kraju A, na rzecz produktów dostawcy z kraju B, pomimo tego, że produkty dostawcy z kraju B mogą powstawać w kraju A. Niejednoznaczność regulacji da możliwość uznaniowego wykluczania firm z państw oferujących nowoczesne i sprawdzone rozwiązania, ale pochodzących spoza kontynentu europejskiego czy amerykańskiego” – mówi Krzysztof Dyki, ekspert od cyberbezpieczeństwa i rynku telekomunikacyjnego, prezes ComCERT. Firmy będą musiały udowodnić, że posiadają odpowiedniej jakości sprzęt oraz oprogramowanie. W procesie oceny pod uwagę brane będą kryteria techniczne, takie jak np.

Ich zadaniem będzie analiza informacji o cyberzagrożeniach i podatnościach oraz wymiana informacji o stosowanych praktykach. W ramach 5G Toolbox państwa członkowskie UE zobowiązały się m.in. Przygotowanie ustawy poprzedzone zostało wstępnymi konsultacjami z przedstawicielami resortów kluczowych z punktu widzenia funkcjonowania krajowego systemu cyberbezpieczeństwa, przewidzianych w projekcie ustawy organów właściwych oraz z reprezentantami sektorów wskazanymi w załączniku do projektu. Ustawa realizuje zapisy Krajowych Ram Polityki Cyberbezpieczeństwa Rzeczypospolitej Polskiej na lata 2017 – 2022. Branża telekomunikacyjna, którą najbardziej mogą dotknąć nowe przepisy, uważa, że 14 dni to za mało na konsultacje. Ustawa RODO winna być traktowana jako wstęp do cyberbezpieczeństwa z punktu widzenia przedsiębiorstw, administracji czy instytucji państwowych.

Minister do spraw Unii Europejskiej w ramach uzgodnień międzyresortowych projektu nowelizacji UKSC[10]. Ponadto, równocześnie z pracami nad nowelizacją UKSC toczą się prace nad przygotowaniem ustawy prawo komunikacji elektronicznej (PKE), która ma zastąpić obecnie obowiązujące prawo telekomunikacyjne[4]. Jej głównymi adresatami będą przedsiębiorcy wskaźnik dla opcji binarnych bez ponownego rysowania komunikacji elektronicznej, którzy zgodnie z propozycją nowelizacji UKCS mają być włączeni do krajowego systemu cyberbezpieczeństwa. Co istotne, w aktualnych propozycjach brzmień PKE i nowelizacji UKSC zauważalne są bezpośrednio powiązania między aktami. Nowelizacja UKSC w wielu miejscach, w tym w zakresie definicji, zawiera odesłania do PKE.

Podnoszony jest również argument, że wprowadzenie tego uprawnienia Kolegium, jako organu o charakterze politycznym, może pośrednio otwierać drogę do wykluczenia z rynku przedsiębiorców niewygodnych dla rządu. Zintegrowany system bieżącego zarządzania bezpieczeństwem Cyberprzestrzeni RP ma za zadanie zapewnienie informacji o bieżącym stanie bezpieczeństwa teleinformatycznego niezbędnego do oceny sytuacji i stanu bezpieczeństwa cyberprzestrzeni w Polsce. System będzie dokonywał powyższej oceny na podstawie zarejestrowanych incydentów pochodzących z kluczowych sektorów gospodarki oraz korelacji i analiz własnych.

CSIRT-y sektorowe

Eksperci KPMG na bieżąco śledzą zmiany i trendy ważne dla przedsiębiorców prowadzących działalność w Polsce i na świecie. Debaty na temat prywatności, bezpieczeństwa i etyki nabierają tempa – częściowo napędzane przez regulacje, a częściowo przez opinię publiczną. Cyfrowe zaufanie, którego fundamentem jest cyberbezpieczeństwo i na którym opiera się przyszły sukces każdej działającej w zdigitalizowanym świecie firmy, coraz częściej trafia na listy priorytetów zarządów. Jeśli organizacje chcą utrzymać przewagę konkurencyjną, CISO muszą być przygotowani, aby pomóc kierownictwu w budowaniu i utrzymywaniu cyfrowego zaufania.

Kluczowa faza prac nad ustawą o KSC

Linki w tekście artykułu mogą odsyłać bezpośrednio do odpowiednich dokumentów w programie LEX. Aby móc przeglądać te dokumenty, konieczne jest zalogowanie się do programu. Dostęp do treści dokumentów w programie LEX jest zależny od posiadanych licencji. Projekt wdraża też zalecenia i standardy opublikowane w tak zwanym 5G Toolbox, czyli minimalny poziom harmonizacji na poziomie UE rozwiązań cyberbezpieczeństwa sieci 5G. OSSB będzie mieć obowiązki informacyjne wobec prezesa UKE – będzie przekazywać mu informacje o zawartej umowie, jej cenie i zakresie świadczonych usług w ciągu 14 dni od zawarcia umowy (nowa wersja art. 76i). Koordynowanie działań i realizowanie polityki rządu w zakresie zapewnienia cyberbezpieczeństwa w Rzeczypospolitej Polskiej powierza się Pełnomocnikowi.

Zachowanie cyberbezpieczeństwa[edytuj edytuj kod]

Definicja „dostawcy”, „incydentu”, wprowadzono definicję SOC wewnętrznego czy zewnętrznego (Security Operations Center). Minister właściwy do spraw informatyzacji przekazuje Komisji Europejskiej Strategię w terminie 3 miesięcy od dnia jej przyjęcia przez Radę Ministrów. Podmiot publiczny, o którym mowa w art. 4 pkt 7-15, realizujący zadanie publiczne zależne od systemu informacyjnego może przekazywać do właściwego CSIRT MON, CSIRT NASK lub CSIRT GOV informacje, o których mowa w art. 13 ust. Informacje te przekazywane są w postaci elektronicznej, a w przypadku braku możliwości przekazania ich w postaci elektronicznej – przy użyciu innych dostępnych środków komunikacji. Dostawca usługi cyfrowej może przekazywać do właściwego CSIRT MON, CSIRT NASK lub CSIRT GOV informacje, o których mowa w art. 13 ust. Świat wygląda zupełnie inaczej niż jeszcze kilka lat temu, nic więc dziwnego, że krajobraz cyberzagrożeń również nieustannie ewoluuje.

Określone podmioty mogłyby zatem nie mieć nawet świadomości, że zostały zobowiązane do danego zachowania w drodze decyzji administracyjnej, ponieważ nie zostałyby o tym bezpośrednio poinformowane. Więcej obowiązków dla ISAC, dostawców sprzętu lub oprogramowania czy przedsiębiorców telekomunikacyjnych. „NIS 2 nakłada na przedsiębiorców szereg obowiązków dotyczących obsługi incydentów. Nowelizacja KSC niezależnie od NIS 2 modyfikuje zakres tych obowiązków i robi to niespójnie z założeniami NIS 2.

Na rzecz operatorów usług kluczowych działać będą zespoły pełniące funkcję operacyjnego centrum bezpieczeństwa – tzw. SOC (Security Operations Center), które będą realizować wskazane zadania OUK w zakresie bezpieczeństwa systemów informatycznych (w tym dot. wdrożenia systemu do zarządzania bezpieczeństwem, opracowanie i stosowanie dokumentacji dot. cyberbezpieczeństwa itp.). Co ważne SOC będzie mógł zostać powołany w ramach struktur wewnętrznych OUK albo taką funkcję będzie mógł pełnić podmiot zewnętrzny na podstawie umowy z OUK. Za najbardziej kontrowersyjne założenia Projektu uznaje się jego projektowane postanowienia umożliwiające Kolegium, na wniosek jednego z członków Kolegium, ocenę ryzyka dostawcy sprzętu lub oprogramowania istotnego dla cyberbezpieczeństwa podmiotów krajowego systemu cyberbezpieczeństwa.

ETF – jak działa fundusz notowany na giełdzie i co każdy inwestor powinien o nim wiedzieć?

Określono również nowe zasady i formę powoływania i odwoływania OSSB. Potencjalny Operator strategicznej sieci bezpieczeństwa musi wyrazić zgodę na przyjęcie na siebie tej roli. Prezes Rady Ministrów wyznacza OSSB, który będzie świadczył usługi telekomunikacyjne dla wskazanych w ustawie podmiotów (dokładne zapisy an introduction to fundamental analysis in forex w tej kwestii omówimy w kolejnym tekście). O szczególnych zasadach wynagradzania osób realizujących zadania z zakresu cyberbezpieczeństwa (Dz. U. poz. 2333). Przykładowo, pojęcie „zagrożenie cyberbezpieczeństwa” zostało zastąpione pojęciem „cyberzagrożenia” (zgodnie z Aktem o cyberbezpieczeństwie – red.).

Przedsiębiorca może jednak wystosować taką informację, jeżeli nie spowoduje to zwiększenia poziomu ryzyka dla bezpieczeństwa sieci lub usług komunikacji elektronicznej. Pozostawiono również obowiązek informowania użytkowników o możliwych środkach zapobiegawczych oraz związanych z tym kosztach. Wprowadzono również dodatkowy warunek, który musi spełnić podmiot wyznaczony na OSSB, jakim jest rękojmia należytego wykonywania zadań Operatora SSB. Potwierdzono chęć wprowadzenia procedury, która miałaby pozwolić na określenie czy dostawca sprzętu lub oprogramowania – dla podmiotów usług kluczowych i cyfrowych – zostanie uznany za dostawcę wysokiego ryzyka.