NIS2 w samorządzie i sektorze publicznym: kto podlega, co wdrożyć i jak dzielić obowiązki

Kto w sektorze publicznym podlega ustawie

• Podmioty publiczne z załącznika nr 1 są podmiotami kluczowymi niezależnie od wielkości (art. 5 ust. 1 pkt 4 lit. d). Ustawę stosuje się do nich niezależnie od miejsca siedziby (art. 5a ust. 10).
• W przypadku podmiotu publicznego „usługą” jest także realizowane zadanie publiczne (art. 2a).
• Podmiot publiczny, który działa również w innym sektorze (np. szpital, wodociągi), podlega także regułom tego sektora. Poza samorządowymi podmiotami publicznymi właściwy jest wtedy organ tego sektora (art. 41a ust. 4).
• Podmioty publiczne minister wpisuje do wykazu z urzędu na podstawie rejestrów, a one uzupełniają brakujące dane (art. 7a ust. 2, art. 7b).

SZBI dla podmiotu ważnego w sektorze publicznym – załącznik nr 4

Podmiot ważny będący podmiotem publicznym nie stosuje pełnego katalogu z art. 8 ust. 1. Wdraża system spełniający wymogi załącznika nr 4 (art. 8 ust. 3). Obejmuje on co najmniej:

1. inwentaryzację produktów, usług i procesów ICT oraz kontrolę wersji i instalacji oprogramowania, także na urządzeniach mobilnych;
2. ochronę informacji przed kradzieżą, nieuprawnionym dostępem i uszkodzeniem – fizyczną, programową i sprzętową, a przy chmurze i centrach danych: udokumentowanie mechanizmów ochrony;
3. dostęp tylko dla uprawnionych, zasadę minimalnych uprawnień, niezwłoczne cofanie uprawnień i ich zawieszanie po miesiącu niewykonywania obowiązków, modyfikację przy zmianie zadań;
4. zasady bezpiecznej pracy mobilnej i zdalnej;
5. kontrolę usług poczty elektronicznej z mechanizmami z ustawy o zwalczaniu nadużyć w komunikacji elektronicznej;
6. kopie zapasowe odseparowane logicznie i fizycznie oraz testy kompletności i odtworzenia;
7. przygotowanie i testowanie procedury na wypadek awarii lub incydentu;
8. oprogramowanie antywirusowe i zasady cyberhigieny – także dla kierownika podmiotu;
9. monitorowanie cyklu życia produktów ICT i stosowanie stabilnych wersji bez znanych krytycznych podatności;
10. szkolenia: rodzaje cyberzagrożeń, cyberhigiena, reagowanie na incydent, skutki naruszeń;
11. procedury działania na wypadek cyberzagrożenia i incydentu.

Załącznik wskazuje też elementy fakultatywne, m.in. dedykowaną pocztę, wysoką dostępność systemów, zasady korzystania z publicznych usług chmurowych i ogólnodostępnych dużych modeli generatywnej AI, monitorowanie przez MSSP, testy cyberhigieny pracowników i klauzule bezpieczeństwa w umowach serwisowych.

Przegląd SZBI przeprowadza się co najmniej raz w roku, a także bezzwłocznie po rekomendacji Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa lub po zmianie okoliczności wpływających na ryzyko. Realizację działań trzeba dokumentować (zał. 4 cz. III–IV).

Zgłaszanie incydentów i kontakty

• Podmiot ważny będący podmiotem publicznym zgłasza incydent poważny, ale nie przekazuje wczesnego ostrzeżenia ani sprawozdań okresowych, z postępu i końcowych (art. 12c).
• Wystarczy jedna osoba do kontaktu (zamiast dwóch) (art. 9 ust. 3).
• Obowiązek informowania użytkowników o cyberzagrożeniach można spełnić, publikując link do stron organu lub CSIRT (art. 9 ust. 4).

Wspólna obsługa obowiązków

Nie każda jednostka musi budować własny zespół. Ustawa przewiduje kilka modeli (art. 16e):

• ministrowie, centralne organy administracji, wojewodowie i Prokurator Generalny mogą wyznaczyć jednostkę odpowiedzialną za obowiązki w podległych jednostkach;
• jednostka samorządu terytorialnego może zapewnić wspólną obsługę obowiązków na zasadach wspólnej obsługi z ustaw samorządowych, np. przez centrum usług wspólnych;
• samorządy mogą zawrzeć porozumienie powierzające obowiązki jednemu z nich, a ten wyznacza jednostkę, osobę prawną lub spółkę komunalną do ich realizacji.

Jednostka wyznaczona zgłasza incydenty do CSIRT w imieniu obsługiwanych podmiotów, wskazuje osobę kontaktową i korzysta z systemu S46 (art. 16h). Obsługiwane podmioty przekazują jej informacje o incydentach, wykonują decyzje dotyczące SZBI, publikują link do jej strony z informacjami o cyberbezpieczeństwie, a ich kierownicy uczestniczą w prowadzonych przez nią szkoleniach (art. 16f).

Nadzór i odpowiedzialność

• Organem właściwym dla sektora podmiotów publicznych jest co do zasady minister właściwy do spraw informatyzacji, który może powierzyć czynności nadzorcze (bez wydawania decyzji) CSIRT NASK (art. 41a ust. 1, 5).
• Kontrole jednostek samorządu terytorialnego prowadzi się według ustawy o kontroli w administracji rządowej (art. 54 pkt 3).
• Kara dla kierownika podmiotu publicznego wynosi do 100% wynagrodzenia (art. 73a ust. 5). Środków takich jak wstrzymanie działalności czy zakaz pełnienia funkcji nie stosuje się do podmiotów publicznych (art. 53 ust. 10).
• Kierownik podmiotu publicznego przechodzi szkolenie raz w roku kalendarzowym, jak w każdym podmiocie kluczowym i ważnym (art. 8e).

Od czego zacząć w gminie lub powiecie

1. Ustal status urzędu (czy 50 etatów na 1 stycznia) i wszystkich jednostek organizacyjnych oraz spółek komunalnych.
2. Sprawdź dane w wykazie i uzupełnij braki w terminie z wezwania.
3. Zdecyduj o modelu: każda jednostka osobno, wspólna obsługa czy porozumienie z innymi samorządami.
4. Dla jednostek będących podmiotami ważnymi wdrażaj listę z załącznika nr 4. Zacznij od kopii zapasowych z testem odtworzenia, uprawnień i poczty.
5. Zaplanuj coroczne szkolenie kierowników i przegląd SZBI.