Ministerstwo Energii

Rekomendacje dotyczące działań mających na celu wzmocnienie cyberbezpieczeństwa w sektorze energii oraz wytyczne sektorowe dotyczące zgłaszania incydentów

Zgodnie z art. 42 ust. 1 pkt. 5 UKSC, organy właściwe ds. cyberbezpieczeństwa przygotowują, we współpracy z CSIRT poziomu krajowego i sektorowymi zespołami cyberbezpieczeństwa, rekomendacje dotyczące działań mających na celu wzmocnienie cyberbezpieczeństwa, w tym wytyczne sektorowe w zakresie zgłaszania incydentów. W 2021 roku, organ właściwy ds. cyberbezpieczeństwa dla sektora energii, którym był Minister Klimatu i Środowiska, opracował „Rekomendacje dotyczące działań mających na celu wzmocnienie cyberbezpieczeństwa w sektorze energii oraz wytyczne sektorowe dotyczące zgłaszania incydentów”. W rekomendacjach zostały poruszone następujące kwestie:

• zarządzanie ryzykiem,
• zarządzanie stroną trzecią,
• cykl życia systemów informacyjnych,
• bezpieczeństwo osobowe,
• podnoszenie świadomości i szkolenia,
• audyty bezpieczeństwa systemów informacyjnych,
• zachowanie ciągłości działania i odbudowa,
• bezpieczeństwo fizyczne,
• bezpieczeństwo sieci łączności elektronicznej,
• bezpieczeństwo systemów informacyjnych,
• wytyczne sektorowe dotyczące zgłaszania incydentów.  

Głównym celem opracowania rekomendacji sektorowych było stworzenie zbioru szczegółowych wytycznych wspomagających realizację wymagań z zakresu cyberbezpieczeństwa w sektorze energetycznym, uwzględniających specyfikę sektora związaną z dominacją przemysłowych systemów sterowania.

Opracowanie rekomendacji sektorowych było współfinansowane przez instrument Unii Europejskiej „Łącząc Europę” w ramach projektu zwiększenia zdolności organu właściwego w zakresie cyberbezpieczeństwa sektora energii.

„Rekomendacje dotyczące działań mających na celu wzmocnienie cyberbezpieczeństwa w sektorze energii oraz wytyczne sektorowe dotyczące zgłaszania incydentów” - Ministerstwo Klimatu i Środowiska - Portal Gov.pl

 

Rekomendacje dla ustanawiania zespołów CSIRT

Publikacja jest poradnikiem, którego podstawowym celem jest wsparcie przy tworzeniu Zespołów Reagowania na Incydenty Bezpieczeństwa Komputerowego (CSIRT). Zawarte w Rekomendacjach instrukcje i wskazówki stanowią kompleksowe podsumowanie i mapę drogową koniecznych do podjęcia kroków przy tworzeniu CSIRT przy jednoczesnym podziale na działania, które należy podjąć w pierwszej kolejności.

Rekomendacje zespołu CERT Polska

 

Wytyczne do wdrażania NIS2

Wytyczne stanowią wsparcie techniczne do wdrażania dyrektywy NIS 2, opracowanie zawiera praktyczne porady, wskazówki, przykłady dowodów i zestawienia wymogów bezpieczeństwa, które mają pomóc przedsiębiorstwom we wdrożeniu rozporządzenia.

NIS2 Technical Implementation Guidance | ENISA

 

How to set up CSIRT and SOC

Publikacja ta zawiera wskazówki dla osób zainteresowanych utworzeniem zespołu reagowania na incydenty bezpieczeństwa komputerowego (CSIRT) lub operacyjnego centrum bezpieczeństwa (SOC), a także informacje na temat możliwych ulepszeń dla różnych typów CSIRT i SOC, które istnieją obecnie. Czytelnik otrzyma praktyczne wskazówki, na czym powinien się skupić na poszczególnych etapach tworzenia i doskonalenia poszczególnych struktur.

How to set up CSIRT and SOC

 

Sectorial implementation of the NIS Directive in the Energy sector

Raport dotyczący implementacji dyrektywy NIS w sektorze energii. Szczególnie rekomenduje się zapoznanie z rozdziałem 8 "Security measures for OES in the energy sector", w którym przedstawione zostały sposoby realizacji wymogów bezpieczeństwa w związku z obowiązkami nałożonymi na Operatorów Usługi Kluczowej w oparciu o międzynarodowe normy i standardy. Co więcej, zgodnie z informacjami zebranymi przez ENISA od operatorów z sektora energii, najczęściej stosowanymi normami dla sektora energetycznego są ISO 27001 i ISA / IEC 62443.  W dokumencie przedstawiono również normy właściwe dla podsektorów energii elektrycznej, ropy i gazu oraz dobre praktyki wraz z mapowaniem środków bezpieczeństwa.

Sectorial implementation of the NIS Directive in the Energy sector

 

Commission Staff Working Document Accompanying the document "Commission Recommendation on cybersecurity in the energy sector"

Jest to dokument roboczy do zaleceń Komisji Europejskiej nr 2019/553 z dnia 3 kwietnia 2019 r. w sprawie cyberbezpieczeństwa w sektorze energetycznym. Został on opracowany w celu zapewnienia źródła dodatkowych informacji dla cyberbezpieczeństwa w sektorze energetycznym w obszarze polityk, odpowiedniego podejścia do cyberbezpieczeństwa uwzględniającego specyfikę sektora, aktualnych przedsięwzięć właściwych norm międzynarodowych. W opracowaniu można również znaleźć szczegółowe odniesienia do powyższych zaleceń w związku z infrastrukturą krytyczną, wymogami czasu rzeczywistego czy efektów kaskadowych.

Commission Staff Working Document Accompanying the document "Commission Recommendation on cybersecurity in the energy sector"

 

Guidelines on assessing DSP security and OES compliance with the NISD security requirements

Niniejsze opracowanie utworzone przez ENISA zawiera w sobie wytyczne kierowane do Operatorów Usługi Kluczowej oraz Dostawców Usług Cyfrowych pozwalające zapewnić zgodność wdrażanych przez nich środków z dyrektywą NIS. W tym dokumencie zostały przedstawione warianty audytu oraz samooceny, które mogą być zastosowane przez OUK i DUC. Przedstawione wytyczne audytu oraz samooceny mogą być pomocne przy ocenianiu spełniania wymogów bezpieczeństwa nakładanych przez dyrektywę NIS, budowaniu systemu bezpieczeństwa informacji i zarządzaniu ryzykiem oraz redukcji podatności czy określaniu zadań w kontekście zapewniania bezpieczeństwa środowisk IT.

Guidelines on assessing DSP security and OES compliance with the NISD security requirements

 

Publikacja ENISA dot. standardów zarządzania ryzykiem                                              

16 marca 2022 r. Agencja Unii Europejskiej ds. Cyberbezpieczeństwa ENISA opublikowała dokument dot. standardów zarządzania ryzykiem. Celem publikacji jest zaprezentowanie standardów dotyczących zarządzania ryzykiem w zakresie cyberbezpieczeństwa, a także opisanie metodyk i narzędzi, które można wykorzystać do zapewnienia zgodności z tymi standardami bądź ich wdrożenia.

Publikacja ENISA dot. standardów zarządzania ryzykiem

 

Compendium of Risk Management Frameworks with Potential Interoperability

Dokument opublikowany w styczniu 2022 r. przez Agencję Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA). Skupia się on wokół tematyki szacowania ryzyka, którego materializacja może skutkować naruszeniem interoperacyjności lub integralności systemów oraz zawartych w nich zasobów. Dokument zawiera omówienie podstawowych metodologii szacowania oraz zarządzania ryzykiem, ze szczególnym uwzględnieniem tych ryzyk których zmaterializowanie grozi naruszeniem interoperacyjności lub integralności systemów oraz zawartych w nich zasobów.

Compendium of Risk Management Frameworks with Potential Interoperability

 

Interoperable EU Risk Management Framework

Publikacja wydana w styczniu 2022 r. przez Agencję Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA), która stanowi ośrodek wiedzy specjalistycznej w zakresie bezpieczeństwa cybernetycznego w Europie. ENISA pomaga UE i należącym do niej krajom przygotować się do zapobiegania problemom dotyczącym bezpieczeństwa informacji, a także do wykrywania takich problemów i reagowania na nie, poprzez zapewnianie praktycznych porad i rozwiązań dla sektorów zarówno publicznego jak i prywatnego w państwach UE oraz w instytucjach UE.

W niniejszym dokumencie przedstawiono propozycje metodologii oraz ram zarządzania ryzykiem ze szczególnym uwzględnieniem ryzyk, których materializacja może skutkować zakłóceniami na płaszczyźnie interpretacyjności lub integralności systemów. Proponowana przez ENISA metodologia wykorzystuje czterostopniową skalę do oceny poziomu interoperacyjności dla każdej metody i każdego zestawu połączonych cech. Opisana metodologia jest dostosowana do współczesnych wymogów oraz zagrożeń a jej wykorzystanie pozwala poszerzyć „samoświadomość” danej organizacji oraz zminimalizować potencjalne zagrożenia.

Interoperable EU Risk Management Framework

 

Narodowe Standardy Cyberbezpieczeństwa (NSC)

Jest to zbiór rekomendacji standaryzujących rozwiązania zabezpieczające w sieciach i systemach informatycznych wykorzystywanych przez podmioty chcące efektywnie zarządzać systemami bezpieczeństwa informacji. NSC zostały opracowane przez Kancelarię Prezesa Rady Ministrów i stanowią realizację interwencji 6.1 celu szczegółowego 2 Strategii Cyberbezpieczeństwa Rzeczypospolitej Polskiej na lata 2019 – 2024 w zakresie opracowania i wdrożenia Narodowych Standardów Cyberbezpieczeństwa.

 NSC zostały opracowane na podstawie standardów amerykańskiego National Institute of Science and Technology (NIST) oraz przyporządkowane obowiązującym w polskim systemie prawnym normom stosowanym w zarządzaniu bezpieczeństwem informacji przez podmioty krajowego systemu cyberbezpieczeństwa, w tym podmioty realizujące zadania publiczne, operatorów usług kluczowych i dostawców usług cyfrowych.

Narodowe Standardy Cyberbezpieczeństwa (NSC)