Informacje dotyczące obowiązków wynikających z ustawy o KSC dla sektora gospodarowania odpadami publikowane są na stronie Ministerstwa Klimatu i Środowiska. W sprawach związanych ze zgłaszaniem incydentów należy kontaktować się z właściwym zespołem CSIRT.

 

Czy mała firma odbierająca odpady komunalne podlega KSC?

Nie zawsze.

O tym, czy podmiot podlega przepisom ustawy o krajowym systemie cyberbezpieczeństwa, decydują kryteria określone w ustawie, w szczególności rodzaj prowadzonej działalności oraz wielkość przedsiębiorstwa. Samo prowadzenie działalności związanej z odbiorem odpadów nie oznacza automatycznie objęcia obowiązkami wynikającymi z KSC.

Każdy przedsiębiorca powinien samodzielnie przeanalizować swoją sytuację i sprawdzić, czy spełnia kryteria uznania za podmiot ważny lub podmiot kluczowy. W razie wątpliwości warto skorzystać z materiałów wyjaśniających publikowanych przez Ministerstwo Cyfryzacji.

Czy obowiązki KSC dotyczą także podwykonawców i dostawców usług IT?

Tak, w niektórych przypadkach.

Podmiot objęty ustawą odpowiada za bezpieczeństwo swoich usług i systemów informacyjnych, również wtedy, gdy część usług realizowana jest przez podwykonawców lub dostawców technologii. Ustawa przewiduje obowiązek uwzględniania ryzyka związanego z dostawcami oraz stosowania odpowiednich środków bezpieczeństwa w relacjach z podmiotami współpracującymi.

Oznacza to, że organizacja powinna znać swoich kluczowych dostawców, oceniać związane z nimi ryzyko oraz wymagać od nich odpowiedniego poziomu cyberbezpieczeństwa.

Czy outsourcing IT zwalnia z odpowiedzialności za cyberbezpieczeństwo?

Nie.

Przekazanie obsługi systemów informatycznych zewnętrznemu dostawcy nie zwalnia organizacji z odpowiedzialności za realizację obowiązków wynikających z ustawy o KSC. Podmiot objęty ustawą nadal odpowiada za zapewnienie bezpieczeństwa swoich systemów oraz realizację obowiązków ustawowych.

Outsourcing może wspierać realizację wymagań, ale nie przenosi odpowiedzialności prawnej za ich wykonanie.

Czy kierownik jednostki ponosi odpowiedzialność za niewdrożenie wymagań KSC?

Tak.

Nowelizacja ustawy wzmacnia odpowiedzialność kierownictwa podmiotów za realizację obowiązków związanych z cyberbezpieczeństwem. Kierownicy podmiotów odpowiadają za zapewnienie wdrożenia odpowiednich środków zarządzania ryzykiem cyberbezpieczeństwa i powinni posiadać odpowiednią wiedzę w tym zakresie.

Cyberbezpieczeństwo jest obecnie elementem zarządzania organizacją, a nie wyłącznie zadaniem działu IT.

Jakie kary mogą zostać nałożone za niewykonanie obowiązków ustawowych?

Nowelizacja KSC przewiduje możliwość nakładania kar administracyjnych za niewykonanie obowiązków wynikających z ustawy. Mogą one dotyczyć między innymi braku wdrożenia wymaganych środków bezpieczeństwa, niewykonania obowiązków związanych ze zgłaszaniem incydentów lub niewypełnienia obowiązków rejestracyjnych.

Szczegółowy zakres kar oraz przesłanki ich stosowania określają przepisy ustawy o krajowym systemie cyberbezpieczeństwa.

 

Czy zgłoszenie incydentu do CSIRT oznacza wszczęcie kontroli?

Nie.

Zgłoszenie incydentu stanowi normalny element funkcjonowania krajowego systemu cyberbezpieczeństwa i służy przede wszystkim ograniczeniu skutków zdarzenia, wsparciu podmiotu oraz wymianie informacji o zagrożeniach.

Samo zgłoszenie incydentu nie oznacza automatycznego wszczęcia kontroli ani postępowania administracyjnego. Jednocześnie organ właściwy może podejmować działania nadzorcze w przypadkach przewidzianych w ustawie.

 

Czy incydent cyberbezpieczeństwa trzeba zgłaszać również do Prezesa UODO?

To zależy od charakteru incydentu.

Jeżeli incydent spowodował naruszenie ochrony danych osobowych, mogą powstać obowiązki wynikające z przepisów o ochronie danych osobowych, niezależnie od obowiązków wynikających z ustawy o KSC.

W praktyce jeden incydent może wymagać jednoczesnej realizacji obowiązków wynikających z różnych przepisów, w tym z ustawy o KSC i z RODO. Ocena obowiązków powinna zostać dokonana indywidualnie dla każdego przypadku.(Odpowiedź ma charakter informacyjny i nie zastępuje analizy prawnej konkretnego zdarzenia.)

 

Czy cyberatak na system OT/SCADA w instalacji przetwarzania odpadów należy zgłaszać tak samo jak incydent dotyczący systemów biurowych?

Tak, oba rodzaje zdarzeń mogą podlegać obowiązkowi zgłoszenia.

W przypadku systemów OT, ICS lub SCADA konsekwencje incydentu mogą być jednak znacznie poważniejsze, ponieważ mogą wpływać bezpośrednio na procesy technologiczne, ciągłość działania instalacji lub bezpieczeństwo środowiskowe. Dlatego takie incydenty wymagają szczególnie szybkiej reakcji i współpracy z właściwym zespołem CSIRT.

Podmiot powinien posiadać procedury obejmujące zarówno systemy biurowe (IT), jak i systemy przemysłowe (OT), a osoby odpowiedzialne za cyberbezpieczeństwo powinny wiedzieć, jak postępować w przypadku obu rodzajów zdarzeń