Działalność większości firm opiera się na wykorzystywaniu nowoczesnych rozwiązań informatycznych dla wspierania procesu zarządzania, produkcji lub świadczenia usług.

Stosowanie rozwiązań IT wiąże się jednocześnie z ryzykiem wykorzystania podatności systemów przez cyberprzestępców, np.:

• włamanie do niezabezpieczonej sieci firmowej
• zainfekowanie systemu wirusem w wyniku otwarcia przez pracownika załącznika przesłanego drogą e-mail, sms posiadającego złośliwe oprogramowanie
• braku planów ciągłości działania, które mogą skutkować zawieszeniem działalności firmy (brak kopii systemów, brak regularnych testów)
• zablokowanie dostępu do danych połączone z żądaniem okupu
• realizacja powyższych scenariuszy może powodować konsekwencje ekonomiczne, społeczne i wizerunkowe

Ustawa nakłada na Operatora Usług Kluczowych następujące obowiązki:

1. prowadzenie systematycznego szacowania ryzyka wystąpienia incydentu oraz zarządzanie tym ryzykiem

2. wdrożenie odpowiednich i proporcjonalnych do oszacowanego ryzyka środków technicznych i organizacyjnych, uwzględniających najnowszy stan wiedzy, w tym:

• utrzymanie i bezpieczną eksploatację systemu informacyjnego
• bezpieczeństwo fizyczne i środowiskowe, uwzględniające kontrolę dostępu, bezpieczeństwo i ciągłość dostaw usług, od których zależy świadczenie usługi kluczowej
• wdrażanie, dokumentowanie i utrzymywanie planów działania możliwiających ciągłe i niezakłócone świadczenie usługi kluczowej oraz zapewniających poufność, integralność, dostępność i autentyczność informacji
• objęcie systemu informacyjnego wykorzystywanego do świadczenia usługi kluczowej systemem monitorowania w trybie ciągłym; zbieranie informacji o zagrożeniach cyberbezpieczeństwa i podatnościach na incydenty systemu informacyjnego wykorzystywanego do świadczenia usługi kluczowej

3. zarządzanie incydentami

4. stosowanie środków zapobiegających i ograniczających wpływ incydentów na bezpieczeństwo systemu informacyjnego wykorzystywanego do świadczenia usługi kluczowej

5. stosowanie środków łączności umożliwiających prawidłową i bezpieczną komunikację w ramach krajowego systemu cyberbezpieczeństwa.

• obowiązek wyznaczenia osoby odpowiedzialnej za utrzymywanie kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa oraz przekazania danych tej osoby w terminie 14 dni od daty jej wyznaczenia, do właściwego CSIRT MON, CSIRT NASK, CSIRT GOV i sektorowego zespołu cyberbezpieczeństwa

CSIRT oznacza Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego

• obowiązek zapewnienia użytkownikowi usługi kluczowej dostępu do wiedzy pozwalającej na zrozumienie zagrożeń cyberbezpieczeństwa i stosowanie skutecznych sposobów zabezpieczania się przed tymi zagrożeniami w zakresie związanym ze świadczoną usługą kluczową, w szczególności przez publikowanie informacji na ten temat na swojej stronie internetowej
• obowiązek opracowania, wdrożenia i aktualizacji dokumentacji cyberbezpieczeństwa systemu informacyjnego wykorzystywanego do świadczenia usługi kluczowej
• obowiązek ustanowienia nadzoru nad dokumentacją dotyczącą cyberbezpieczeństwa systemu informacyjnego wykorzystywanego do świadczenia usługi kluczowej
• obowiązek obsługi incydentów, zgłaszania incydentów poważnych i współdziałania przy obsłudze incydentu poważnego i incydentu krytycznego;

6. obowiązek przeprowadzania audytu przez osoby wyszczególnione w Rozporządzeniu co 24 miesiące

Podmioty publiczne a Ustawa o Krajowym Systemie Cyberbezpieczeństwa

Ustawa o Krajowym Systemie Cyberbezpieczeństwa obejmuje swoim zasięgiem:

• organy władzy publicznej, w tym organy administracji rządowej, sądy
• jednostki Samorządu Terytorialnego oraz ich związki
• jednostki budżetowe

Obowiązki podmiotów publicznych:

• wyznaczenie osoby odpowiedzialnej za utrzymywanie kontaktów z podmiotami Krajowego Systemu Cyberbezpieczeństwa
• zapewnienie zarządzania incydentem w podmiocie publicznym
• zgłaszanie incydentu w podmiocie publicznym niezwłocznie, nie później niż w ciągu 24 godzin od momentu wykrycia, do właściwego CSIRT MON, CSIRT NASK lub CSIRT GOV
• zapewnienie obsługi incydentu w podmiocie publicznym i incydentu krytycznego we współpracy z właściwym CSIRT MON, CSIRT NASK lub CSIRT GOV, przekazując niezbędne dane, w tym dane osobowe
• zapewnienie osobom, na rzecz których zadanie publiczne jest realizowane, dostęp do wiedzy pozwalającej na zrozumie zagrożeń cyberbezpieczeństwa i stosowanie skutecznych sposobów zabezpieczania się przed tymi zagrożeniami, w szczególności przez publikowanie informacji w tym zakresie na swojej stronie internetowej

Należy pamiętać, że jednostki samorządu terytorialnego (JST) oprócz swoich instytucji administracyjnych, mają również szereg podległych sobie podmiotów strategicznych jak wodociągi, szpitale, etc.