Baza Wiedzy

Art. 21 nakłada na podmioty kluczowe i ważne obowiązek wdrożenia odpowiednich środków technicznych i organizacyjnych zarządzania ryzykiem cyberbezpieczeństwa — m.in. analizy ryzyka, obsługi incydentów, bezpieczeństwa łańcucha dostaw, kontroli dostępu i kryptografii. Art. 23 wprowadza obowiązek wieloetapowego zgłaszania poważnych incydentów: wczesne ostrzeżenie w ciągu 24h od wykrycia, pełne zgłoszenie w ciągu 72h, oraz raport końcowy. Dyrektywa wprost wskazuje też odpowiedzialność organów zarządzających za zatwierdzanie i nadzór nad środkami zarządzania ryzykiem — brak takiego nadzoru może skutkować sankcjami osobistymi wobec kadry kierowniczej.

Nowelizacja implementująca NIS2 rozszerza katalog sektorów objętych ustawą (m.in. o gospodarkę odpadami, przestrzeń kosmiczną i administrację publiczną) oraz wprowadza podział na podmioty kluczowe i ważne z różnym reżimem nadzoru. Operator usługi kluczowej musi m.in. wyznaczyć osobę odpowiedzialną za cyberbezpieczeństwo, prowadzić system zarządzania bezpieczeństwem informacji adekwatny do skali działalności oraz zgłaszać incydenty poważne do właściwego CSIRT sektorowego. Ustawa przewiduje kary administracyjne za brak zgodności — dlatego audyt zgodności z KSC to nie tylko dobra praktyka, ale wymóg prawny.

Wydanie 2022 zreorganizowało poprzednie 114 zabezpieczeń (14 działów) w 93 zabezpieczenia pogrupowane w 4 tematy: organizacyjne (37), personalne (8), fizyczne (14) i technologiczne (34). Deklaracja stosowania (Statement of Applicability, SoA) to kluczowy dokument audytu — dla każdego zabezpieczenia organizacja musi wskazać, czy je stosuje, i uzasadnić wyłączenie, jeśli tego nie robi. Audytor IK powinien traktować SoA jako punkt wyjścia do weryfikacji: deklaracja „stosujemy” bez dowodów wdrożenia w praktyce to jedno z najczęstszych ustaleń audytowych.