NIS2 a DORA, CER i RODO: zależności, łańcuch dostaw i dostawcy wysokiego ryzyka

Sektor finansowy: ustawa o KSC a DORA

Rozporządzenie (UE) 2022/2554 (DORA) reguluje operacyjną odporność cyfrową sektora finansowego i stosuje się od 17 stycznia 2025 r. Ustawa o KSC rozstrzyga kolizję tak:

• Podmioty z sektora bankowości i infrastruktury rynków finansowych (załącznik nr 1) są podmiotami kluczowymi lub ważnymi i składają wniosek o wpis do wykazu (art. 7–7m).
• Nie stosuje się do nich przepisów ustawy o SZBI i zgłaszaniu poważnych incydentów. Stosują się wymienione wprost wyjątki, m.in. szacowanie ryzyka i cyberhigiena z art. 8, wymiana informacji, osoby do kontaktu, współpraca przy incydentach, dobrowolne zgłoszenia i przepisy o dostawcach wysokiego ryzyka (art. 8i ust. 1).
• Odpowiednio stosuje się przepisy o odpowiedzialności i szkoleniu kierownika (art. 8i ust. 2 – art. 8c–8f).
• Poważne incydenty związane z ICT zgłasza się według DORA. Organem właściwym w rozumieniu DORA jest KNF, a organy i zespoły CSIRT z ustawy o KSC współpracują z nią i wymieniają informacje (art. 2 pkt 14a).

Pozostałe podmioty finansowe objęte DORA (np. zakłady ubezpieczeń, firmy inwestycyjne), które nie są wymienione w załącznikach, nie są podmiotami kluczowymi ani ważnymi. Niektóre przepisy ustawy o KSC obejmują jednak podmioty finansowe wprost, np. polecenia zabezpieczające i procedura dostawcy wysokiego ryzyka (art. 67b ust. 1 pkt 3, art. 67g, art. 67k).

Podmioty krytyczne: dyrektywa CER

Dyrektywa (UE) 2022/2557 (CER) dotyczy odporności fizycznej i organizacyjnej podmiotów krytycznych, np. na katastrofy, sabotaż i awarie. NIS2 dotyczy odporności cyfrowej. Ustawa o KSC łączy oba reżimy:

• podmiot krytyczny w rozumieniu CER jest podmiotem kluczowym niezależnie od wielkości (art. 5 ust. 1 pkt 4 lit. c);
• minister wpisuje podmioty krytyczne do wykazu z urzędu (art. 7a ust. 2);
• organ właściwy do spraw cyberbezpieczeństwa współpracuje z organem właściwym do spraw podmiotów krytycznych w nadzorze nad podmiotem kluczowym, który jest podmiotem krytycznym (art. 42 ust. 1 pkt 13), a CSIRT MON, NASK i GOV informują ten organ o poważnych incydentach i cyberzagrożeniach (art. 26 ust. 16).

W praktyce plany ciągłości działania i analiza ryzyka powinny obejmować oba wymiary, cyfrowy i fizyczny, bez dublowania dokumentacji.

Dane osobowe: ustawa o KSC a RODO

• Dwa zgłoszenia, dwa adresaci. Incydent poważny zgłasza się do CSIRT sektorowego (24 h / 72 h / miesiąc). Jeśli dotyczy danych osobowych, administrator ocenia dodatkowo obowiązek zgłoszenia naruszenia do Prezesa UODO w ciągu 72 godzin (art. 33 RODO) i ewentualnego zawiadomienia osób (art. 34 RODO).
• Wspólny kanał w przyszłości. Ustawa przewiduje, że system S46 umożliwi także zgłaszanie naruszeń ochrony danych osobowych (art. 46 ust. 1 pkt 7). Minister ma uruchomić tę funkcję w ciągu roku od wejścia ustawy w życie (art. 36 ustawy nowelizującej).
• Przepływ informacji między organami. Organ nadzoru, który w trakcie nadzoru stwierdzi podejrzenie naruszenia ochrony danych, informuje Prezesa UODO w ciągu 7 dni (art. 59a).
• Spójność środków. Środki z art. 8 ustawy o KSC (kontrola dostępu, kryptografia, ciągłość działania) są w dużej mierze zbieżne z wymaganiami art. 32 RODO. Warto prowadzić jedną analizę ryzyka dla obu celów.

Telekomunikacja: Prawo komunikacji elektronicznej

Definicje przedsiębiorcy komunikacji elektronicznej i przedsiębiorcy telekomunikacyjnego ustawa przejmuje z Prawa komunikacji elektronicznej z 12 lipca 2024 r. (art. 2 pkt 11i–11j). Telekomunikacja jest objęta ustawą szerzej niż inne sektory: średni i duzi przedsiębiorcy są podmiotami kluczowymi, a mikro i mali – ważnymi. Przedsiębiorców telekomunikacyjnych minister wpisuje do wykazu z urzędu. Dla sieci 5G ustawa zawiera załącznik nr 3 z kategoriami funkcji krytycznych (m.in. uwierzytelnianie urządzeń, routing ruchu, zarządzanie sesjami). Ma on znaczenie przy decyzjach o dostawcach wysokiego ryzyka.

Outsourcing: MSSP i wewnętrzne struktury

• Aby realizować zadania z art. 8–13 (SZBI, kontakty, dokumentacja, incydenty), podmiot powołuje wewnętrzne struktury odpowiedzialne za cyberbezpieczeństwo albo zawiera umowę z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa (art. 14).
• Informację o umowie z MSSP i dane dostawcy podaje się we wniosku o wpis do wykazu (art. 7 ust. 2 pkt 16).
• Outsourcing nie przenosi odpowiedzialności: kierownik odpowiada także za obowiązki powierzone innym (art. 8c ust. 3).
• Osoby realizujące zadania SZBI i obsługi incydentów, także u dostawcy, muszą przedstawić informację z KRK o niekaralności za przestępstwa przeciwko ochronie informacji. Wymóg uznaje się za spełniony, jeśli osoba ma poświadczenie bezpieczeństwa co najmniej „poufne” (art. 8f).
• MSSP będący podmiotem kluczowym i obsługujący incydenty publikuje na stronie internetowej m.in. zakres wsparcia, politykę obsługi incydentów, dane kontaktowe i klucze publiczne do szyfrowanej komunikacji (art. 8g).

Łańcuch dostaw: co to oznacza dla dostawców

SZBI musi zapewniać bezpieczeństwo i ciągłość łańcucha dostaw produktów, usług i procesów ICT, od których zależy świadczenie usługi (art. 8 ust. 1 pkt 2 lit. e). Wdrażając te środki, podmiot uwzględnia (art. 8 ust. 2):

1. podatności związane z dostawcą sprzętu lub oprogramowania,
2. ogólną jakość produktów, usług i procesów ICT dostawcy,
3. wyniki skoordynowanej unijnej oceny ryzyka (Grupa Współpracy NIS),
4. wyniki krajowego postępowania w sprawie dostawcy wysokiego ryzyka.

Dla dostawców, także tych, którzy sami nie podlegają ustawie, oznacza to w praktyce ankiety bezpieczeństwa, wymagania w umowach (terminy informowania o incydentach i podatnościach, aktualizacje, prawo audytu) i ocenę przy wyborze oferty.

Dostawca wysokiego ryzyka

Minister Cyfryzacji może, w celu ochrony bezpieczeństwa państwa lub porządku publicznego, wszcząć postępowanie w sprawie uznania dostawcy sprzętu lub oprogramowania za dostawcę wysokiego ryzyka (art. 67b ust. 1). Dotyczy to sprzętu i oprogramowania używanego przez:

• podmioty kluczowe i ważne (z wyłączeniem podsektora komunikacji elektronicznej),
• przedsiębiorców komunikacji elektronicznej z przychodami z działalności telekomunikacyjnej powyżej 10 mln zł rocznie,
• podmioty finansowe (z wyjątkami z art. 16 DORA).

Skutki decyzji (art. 67c):

Do czasu wycofania dopuszcza się naprawy, modernizację, wymianę elementów i aktualizacje, jeśli są niezbędne dla jakości i ciągłości usług (art. 67c ust. 3). Na wniosek uprawnionych organów podmioty przekazują informacje o wycofywanych produktach (art. 67d). Dlatego warto już teraz prowadzić inwentaryzację aktywów z informacją o producencie i dostawcy.

Współpraca i wymiana informacji

• Podmioty kluczowe i ważne, CSIRT-y, dostawcy i organizacje branżowe mogą wymieniać informacje o cyberzagrożeniach, podatnościach i technikach ataków, także na podstawie porozumień. W systemie S46 nie przekazuje się przy tym danych osobowych (art. 8h).
• Pełnomocnik Rządu do spraw Cyberbezpieczeństwa może wydawać rekomendacje środków technicznych i organizacyjnych. Ich stosowanie jest dobrowolne (art. 67a).
• W razie incydentu krytycznego Minister Cyfryzacji może wydać polecenie zabezpieczające skierowane do nieokreślonej liczby podmiotów kluczowych, ważnych i finansowych (art. 67g).