Przegląd prawny

Dyrektywa NIS 2 rozszerzyła zakres podmiotów objętych wymaganiami dotyczącymi cyberbezpieczeństwa i wprowadziła podział na podmioty kluczowe oraz podmioty ważne. W Polsce jej postanowienia zostały wdrożone poprzez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa (UKSC). Dla organizacji objętych nowymi regulacjami oznacza to m.in. konieczność odpowiedniego zarządzania ryzykiem, wdrożenia środków służących ochronie systemów informacyjnych oraz przygotowania procedur pozwalających na skuteczne reagowanie na incydenty.

Zarządzanie incydentami

Podmioty kluczowe i podmioty ważne mają obowiązek wdrożyć system zarządzania bezpieczeństwem informacji, który ma zapewnić m.in. odpowiednie zarządzanie incydentami. Obowiązki te wynikają z regulacji dotyczących KSC – krajowego systemu cyberbezpieczeństwa.

Incydentem – na gruncie UKSC – jest zdarzenie, które ma lub może mieć niekorzystny wpływ na bezpieczeństwo systemów informacyjnych. Zakres obowiązków podmiotów objętych KSC – krajowym systemem cyberbezpieczeństwa zależy m.in. od tego, z jakim rodzajem incydentu mamy do czynienia. Każdy incydent wymaga jednak odpowiedniej reakcji i obsługi.

Dane przetwarzane w postaci elektronicznej

Definicja „incydentu” odwołuje się do wpływu danego zdarzenia na bezpieczeństwo systemów informacyjnych. Co istotne, zgodnie z przepisami UKSC, system informacyjny obejmuje nie tylko systemy teleinformatyczne i urządzenia, ale również dane przetwarzane elektronicznie. Incydentem na gruncie UKSC może być zatem również zdarzenie, które negatywnie wpływa lub może wpłynąć na bezpieczeństwo danych elektronicznych. Ma to szczególne znaczenie, gdy wśród tych danych znajdują się dane osobowe. Wówczas jedno zdarzenie może powodować obowiązki zarówno na gruncie przepisów dotyczących cyberbezpieczeństwa, jak i RODO.

Rodzaje incydentów w UKSC

Na gruncie UKSC rozróżnia się:

• incydent – zdarzenie, które ma lub może mieć niekorzystny wpływ na bezpieczeństwo systemów informacyjnych;
• incydent poważny – czyli taki incydent, który powoduje lub może spowodować poważne obniżenie jakości lub przerwanie ciągłości świadczenia usługi przez podmiot kluczowy lub podmiot ważny, straty finansowe dla tego podmiotu lub wpływa na inne osoby fizyczne, osoby prawne, jednostki organizacyjne nieposiadające osobowości prawnej przez wywołanie poważnej szkody materialnej lub niematerialnej;
• incydent krytyczny – czyli taki incydent, który skutkuje znaczną szkodą dla bezpieczeństwa lub porządku publicznego, interesów międzynarodowych, interesów gospodarczych, działania instytucji publicznych, praw i wolności obywatelskich lub życia i zdrowia ludzi;
• incydent w cyberbezpieczeństwie na dużą skalę – czyli taki incydent, którego skutki przekraczają możliwości reagowania państwa lub który ma poważny wpływ na inne państwo członkowskie Unii Europejskiej.

W praktyce, na poziomie pojedynczego podmiotu kluczowego lub ważnego najczęściej będziemy mieli do czynienia z incydentem albo incydentem poważnym. Jeśli zdarzenie zostanie uznane za incydent poważny, podmiot musi podjąć dodatkowe działania. Przede wszystkim powinien przekazać wczesne ostrzeżenie w ciągu 24 godzin od wykrycia incydentu, a następnie zgłosić go do właściwego CSIRT sektorowego w ciągu 72 godzin. Podmiot kluczowy lub ważny musi więc prawidłowo ocenić zdarzenie i ustalić, czy spełnia ono kryteria incydentu poważnego.

Zarządzanie incydentami cyberbezpieczeństwa

Przepisy UKSC określają podstawowe obowiązki związane z zarządzaniem incydentami. Nie ograniczają się one wyłącznie do zgłaszania incydentów poważnych. Podmiot musi zapewnić odpowiednią obsługę każdego incydentu.

Obsługa incydentu obejmuje m.in. jego wykrywanie, rejestrowanie, analizowanie i klasyfikowanie, ustalanie priorytetów, podejmowanie działań naprawczych oraz ograniczanie skutków zdarzenia. Sposób postępowania powinien wynikać z przyjętych w organizacji procedur, polityk i planów reagowania na incydenty.

Obowiązki podmiotów kluczowych i ważnych nie zaczynają się jednak dopiero w momencie wystąpienia incydentu. Istotną rolę odgrywa prewencja. Organizacja powinna regularnie szacować ryzyko wystąpienia incydentów, monitorować cyberzagrożenia i słabe punkty swoich systemów (podatności na incydenty systemu informacyjnego) oraz podejmować działania, które pomagają zapobiegać incydentom i ograniczać ich skutki.

KSC i RODO – kiedy incydent cyberbezpieczeństwa oznacza naruszenie danych?

To właśnie w przypadku incydentów najlepiej widać, jak istotne jest stworzenie spójnego systemu bezpieczeństwa informacji w organizacji. Incydent cyberbezpieczeństwa może – choć nie musi – być jednocześnie naruszeniem ochrony danych osobowych na gruncie RODO. Jeśli np. w wyniku cyberataku dojdzie do nieuprawnionego ujawnienia danych osobowych, zdarzenie należy przeanalizować zarówno pod kątem UKSC, jak i RODO.

Oznacza to, że jedno zdarzenie może uruchomić równolegle obowiązki wynikające z różnych regulacji. Organizacja powinna zatem ustalić nie tylko, czy wystąpił incydent cyberbezpieczeństwa, ale również czy doszło do naruszenia ochrony danych osobowych w rozumieniu RODO.

Jeśli w danym podmiocie funkcjonują całkowicie odrębne procedury dotyczące incydentów cyberbezpieczeństwa i naruszeń RODO, może dojść do niepotrzebnego dublowania działań. Jeszcze większym problemem może być podjęcie przez różne zespoły niespójnych lub sprzecznych decyzji.

Dlatego procedury dotyczące KSC – krajowego systemu cyberbezpieczeństwa oraz ochrony danych osobowych powinny tworzyć spójny system reagowania na incydenty. Pozwala to szybciej ocenić charakter zdarzenia, ograniczyć jego skutki i prawidłowo zrealizować obowiązki wynikające z poszczególnych regulacji.

Kamila Mizera-Płaczek
Radca prawny / Audytor wiodący SZBI ISO 27001