Zostały niecałe dwa tygodnie. Do 3 października firmy objęte znowelizowaną ustawą o krajowym systemie cyberbezpieczeństwa (KSC) muszą złożyć wniosek o wpis do wykazu podmiotów kluczowych i ważnych. To jednak dopiero pierwszy krok – te same firmy mają czas tylko do 3 kwietnia 2027 r., by w pełni wdrożyć wymogi ustawy: nowe procedury bezpieczeństwa, systemy zarządzania ryzykiem i konkretne zabezpieczenia techniczne. Trzy firmy o uzupełniających się kompetencjach oferują przedsiębiorstwom kompleksowe wsparcie organizacyjne, prawne i techniczne na każdym etapie wdrożenia.

EXAsystems (grupa kapitałowa EXATEL) to telekomunikacja i cyberbezpieczeństwo. Po co więc potrzebni są partnerzy specjalizujący się w prawie i audytach?

Bartosz Gajda: Ponieważ ustawa wymaga jednocześnie wiedzy prawnej, organizacyjnej i technicznej, a koordynowanie kilku niezależnych wykonawców kosztuje firmę czas, którego przy tak napiętych terminach po prostu brakuje. EXAsystems, jako spółka z grupy EXATEL, oferuje usługi cyberbezpieczeństwa z jakością potwierdzoną certyfikatami ISO/IEC 27001 i ISO 22301 oraz doświadczonym zespołem specjalistów. Kancelaria Sterberg wnosi do tego kompetencje prawne, a ISEC – doświadczenie w audytach i testach bezpieczeństwa. Dzięki temu klient podpisuje jedną umowę i ma jednego opiekuna po stronie EXAsystems, za którą stoi cały zespół ekspertów.

Marcin Serafin, partner w kancelarii Sterberg

Termin na złożenie wniosków mija 3 października. Od czego powinna zacząć firma, która nie ma pewności, czy podlega ustawie?

Marcin Serafin: Od rzetelnej analizy, czy podlega ustawie i czy zostanie zakwalifikowana jako podmiot kluczowy, czy ważny. Przeglądamy wszystkie rodzaje prowadzonej działalności, nie tylko tę przeważającą, i liczymy wielkość firmy łącznie z podmiotami powiązanymi i partnerskimi. Zarówno sama analiza, jak i wniosek bywają bardzo złożone, zwłaszcza gdy firma działa w wielu obszarach i trzeba zidentyfikować wszystkie podstawy podlegania ustawie. Wynik tej analizy jest potrzebny nie tylko po to, by złożyć wniosek w terminie, ale też by rozpocząć wdrożenie w zakresie, w jakim jest ono konieczne. Firmy wpisane do wykazu z urzędu, które otrzymały już wezwanie do uzupełnienia danych, powinny zrobić to niezwłocznie.

Firma wie już, że podlega ustawie. Co dalej?

Franciszek Kalinowski, członek zarządu ISEC: Najpierw trzeba ocenić, czy organizacja nie spełnia już części wymagań – wiele z nich mogła wdrożyć wcześniej. Nazwa tej oceny ma tu drugorzędne znaczenie: przegląd, weryfikacja czy audyt. Kluczowe jest spojrzenie na same wymagania, które można interpretować szeroko albo wąsko, oraz dokładny przegląd procesów. Pojawiają się też wątpliwości co do tego, jak oceniać, czy organizacja rzeczywiście realizuje wymagania ustawy, na przykład w zakresie ciągłości działania. Skuteczność wdrożonych zabezpieczeń sprawdzamy dodatkowo w testach penetracyjnych.

Co w praktyce oznacza wdrożenie wymagań ustawy?

Marcin Serafin: Firmy objęte ustawą od początku mają na to czas do 3 kwietnia 2027 r. W tym czasie trzeba zbudować działający system zarządzania bezpieczeństwem informacji, obejmujący szacowanie ryzyka, polityki i procedury bezpieczeństwa, a także zarządzanie incydentami i ich zgłaszanie – z wczesnym ostrzeżeniem w ciągu 24 godzin od wykrycia i pełnym zgłoszeniem w ciągu 72 godzin. Do tego dochodzą wymagania wobec dostawców, obowiązek wyznaczenia co najmniej dwóch osób do kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa oraz coroczne szkolenie kierownika podmiotu. To właśnie kierownik odpowiada za wykonanie tych obowiązków, także wtedy, gdy powierzy ich realizację innej osobie.

Ustawa wymienia monitorowanie systemów w trybie ciągłym. Czy oznacza to, że firma musi mieć do tego własny zespół?

Bartosz Gajda: Nie musi. Ustawa wymaga środków proporcjonalnych do oszacowanego ryzyka, z uwzględnieniem m.in. kosztów wdrożenia i wielkości podmiotu. Monitoring i obsługę incydentów może przejąć centrum operacji bezpieczeństwa (SOC) EXAsystems (grupa kapitałowa EXATEL), a przed atakami DDoS chronią nasze systemy TAMA. Pozostałe zabezpieczenia – od kontroli dostępu i uwierzytelniania wieloskładnikowego po plany ciągłości działania – dobieramy indywidualnie, na podstawie wyników oceny ryzyka, a nie z gotowego katalogu produktów.

Podmioty kluczowe czeka też ustawowy audyt. Jak zachować jego niezależność, skoro jednocześnie pomagacie we wdrożeniu?

Franciszek Kalinowski: Podmioty kluczowe objęte ustawą od początku muszą przeprowadzić pierwszy audyt do 3 kwietnia 2028 r., a potem powtarzać go co najmniej raz na trzy lata. Może go wykonać akredytowana jednostka certyfikująca albo co najmniej dwóch audytorów posiadających odpowiednie certyfikaty lub praktykę zawodową. Nie może go jednak przeprowadzić osoba, która realizuje w firmie ustawowe zadania z zakresu bezpieczeństwa albo robiła to w roku poprzedzającym audyt. Dlatego u nas osoby wdrażające zmiany nigdy nie audytują tej samej firmy.

Przed 3 października i w kolejnych miesiącach wsparcia będzie szukać wiele firm jednocześnie. Czy jesteście na to przygotowani?

Bartosz Gajda: Właśnie po to łączymy siły. Każda z trzech firm robi to, w czym ma największe kompetencje, dzięki czemu prace się nie dublują, a projekty prowadzimy równolegle i etapami. Klient może powierzyć nam cały proces – od oceny, czy podlega ustawie i złożenia wniosku o wpis, przez ocenę zgodności, dobór zabezpieczeń, po wdrożenie oraz stały monitoring – albo zdecydować się tylko na wybrany etap. Po zakończeniu każdego z nich otrzymuje konkretny, mierzalny wynik.

Materiał Partnera