Dlatego nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC 2.0) nie ogranicza się do wymogu wdrożenia środków bezpieczeństwa. Ustawa zwraca również uwagę na potrzebę regularnej oceny ich skuteczności, doskonalenia przyjętych rozwiązań oraz nadzoru nad funkcjonowaniem systemu zarządzania bezpieczeństwem informacji (SZBI). Dla podmiotów kluczowych ważnym elementem tego procesu są również audyty bezpieczeństwa.

Czego wymaga ustawa?  

W obszarze nadzoru i doskonalenia SZBI istotne są trzy wymagania.

Ocena skuteczności i doskonalenie środków bezpieczeństwa (art. 8 ust. 1 pkt 2 lit. h). Podmioty zobowiązane są stosować polityki i procedury pozwalające ocenić skuteczność środków technicznych i organizacyjnych służących zarządzaniu ryzkiem w cyberbezpieczeństwie.

Wyznaczanie i utrzymywanie osób kontaktowych (art. 9). Ustawa określa zasady wyznaczania osób odpowiedzialnych za kontakty z podmiotami krajowego systemu cyberbezpieczeństwa oraz przekazywania i aktualizowania ich danych.

Audyty bezpieczeństwa dla podmiotów kluczowych (art. 15 ust.1). Audyt należy przeprowadzać co najmniej raz na trzy lata, a pierwszy audyt w ciągu 24 miesięcy od objęcia podmiotu tym obowiązkiem. Dla podmiotów, które zostały objęte przepisami od 3 kwietnia 2026 r. oznacza to termin do 3 kwietnia 2028 r. Dotychczasowi operatorzy usług kluczowych powinni uwzględnić właściwe przepisy przejściowe. W przypadkach przewidzianych ustawą organ właściwy może również nakazać przeprowadzenie audytu podmiotowi ważnemu.

Co to oznacza w praktyce?

Ocena skuteczności zabezpieczeń

Organizacja może mieć prawidłowo opracowaną procedurę, która nie działa tak, jak zakładano. Dlatego podczas przeglądu należy sprawdzić nie tylko zgodność postępowania z przyjętymi zasadami, ale również skuteczność i adekwatność samych rozwiązań.

Przykładem może być proces odbierania uprawnień pracownikom kończącym zatrudnienie. Jeżeli ich konta pozostają aktywne, przyczyną może być brak informacji z działu kadr, niejasny podział obowiązków albo niedopasowanie procedury do rzeczywistego sposobu pracy. Usunięcie kont eliminuje skutek problemu, ale zapobieganie podobnym sytuacjom wymaga poprawy procesu, który do niej doprowadził.

Podobnej weryfikacji wymagają zabezpieczenia techniczne. Regularne wykonywanie kopii zapasowych nie gwarantuje odzyskania danych po awarii. Możliwość odtworzenia systemu, kompletności danych i czas potrzebny na przywrócenie działania należy zweryfikować podczas odpowiednio przygotowanych testów.

Podczas oceny skuteczności zabezpieczeń warto wykorzystywać informacje pochodzące z codziennej działalności organizacji, takie jak wyniki testów, doświadczenia z incydentów, ustalenia audytowe, zgłoszenia pracowników, czy nawet codzienne praktyki pracowników w zakresie stosowania/korzystania z zabezpieczeń.

Kiedy potrzebna jest decyzja kierownictwa?

Nie każdą nieprawidłowość można usunąć prostym działaniem technicznym. Czasem rozwiązanie wymaga inwestycji, zmiany organizacji pracy albo decyzji dotyczącej ryzyka, którego nie da się szybko wyeliminować.

Przykładem może być system, który nie jest już wspierany przez producenta, ale nadal jest wykorzystywany do realizacji kluczowych zadań. Brak wsparcia oznacza, że producent nie publikuje już aktualizacji bezpieczeństwa usuwających wykryte podatności. W efekcie organizacja może korzystać z rozwiązania, dla którego znane luki pozostają niezałatane, co zwiększa ryzyko skutecznego ataku. W takiej sytuacji osoby odpowiedzialne za bezpieczeństwo powinny przedstawić kierownictwu ryzyko i możliwe rozwiązania, a decyzja o dalszych działaniach powinna zostać podjęta na poziomie zarządczym.

Wnioski z przeglądu powinny prowadzić do konkretnych działań, wskazania osób odpowiedzialnych za ich realizację oraz określenia terminów wdrożenia.

Nadzór powinien nadążać za zmianami

Organizacja zmienia się na bieżąco, dlatego nadzór nad bezpieczeństwem nie może ograniczać się do okresowych przeglądów. Nowe usługi, zmiana dostawcy, modyfikacja procesów czy incydent bezpieczeństwa mogą wymagać ponownej oceny przyjętych zabezpieczeń. W praktyce oznacza to, że aspekty cyberbezpieczeństwa powinny być analizowane przy każdej zmianie wpływającej na funkcjonowanie organizacji.

Audyt bezpieczeństwa podmiotów kluczowych

Audyt pozwala spojrzeć na poziom bezpieczeństwa organizacji z niezależnej perspektywy. Może wskazać zarówno pojedyncze niezgodności, jak i szersze problemy dotyczące procesów, organizacji pracy czy stosowanych zabezpieczeń. Jego wyniki pomagają określić, które obszary wymagają poprawy i jakie zagrożenia mogą wpływać na ciągłość świadczonych usług.

Audyt przeprowadzają uprawnieni audytorzy lub odpowiednio akredytowane jednostki oceniające zgodność, spełniające wymagania dotyczące niezależności. Po zakończeniu audytu podmiot kluczowy przekazuje elektroniczną kopię raportu właściwemu organowi do spraw cyberbezpieczeństwa.

Wyniki audytu powinny stanowić punkt wyjścia do działań naprawczych i doskonalących. Warto przeanalizować stwierdzone niezgodności, określić sposób ich usunięcia oraz monitorować realizację zaplanowanych działań. Audyt nie zastępuje codziennego dbania o bezpieczeństwo. Między kolejnymi audytami organizacja powinna regularnie oceniać skuteczność zabezpieczeń i reagować na zmieniające się zagrożenia.

Osoby kontaktowe i sprawna wymiana informacji

Skuteczne reagowanie na incydenty wymaga sprawnej komunikacji. Dlatego KSC 2.0 nakłada na podmioty objęte ustawą obowiązek wyznaczenia osób kontaktowych do spraw cyberbezpieczeństwa. Zasadą jest wskazanie co najmniej dwóch osób kontaktowych, jednak mikroprzedsiębiorcy, mali przedsiębiorcy oraz podmioty ważne będące podmiotami publicznymi mogą wyznaczyć jedną osobę.

Osoby kontaktowe powinny znać zasady przekazywania informacji o zagrożeniach i incydentach oraz wiedzieć, kto odpowiada za dalsze działania. Ważne jest także zapewnienie ciągłości komunikacji podczas nieobecności pracowników lub zmian kadrowych. Brak zastępstwa czy niedostępny kanał kontaktu mogą utrudnić współpracę z właściwym CSIRT-em i opóźnić przekazywanie ważnych informacji. Dlatego warto regularnie weryfikować zarówno aktualność danych kontaktowych, jak i skuteczność przyjętych zasad komunikacji.

O czym należy pamiętać?

Nadzór nad SZBI powinien obejmować zarówno zabezpieczenia techniczne, jak i rozwiązania organizacyjne. Wyniki przeglądów i audytów warto analizować wspólnie z osobami odpowiedzialnymi za poszczególne obszary działalności, tak aby działania korygujące usuwały źródła problemów, a nie jedynie ich skutki.

Zakres i częstotliwość ocen powinny być dostosowane do charakteru działalności organizacji, znaczenia wykorzystywanych systemów oraz poziomu ryzyka. Istotne jest również dokumentowanie najważniejszych ustaleń, podejmowanych decyzji oraz realizowanych działań.

Powtarzające się nieprawidłowości mogą świadczyć o tym, że przyjęte rozwiązania wymagają ponownej oceny. Dlatego proces doskonalenia nie powinien kończyć się na wdrożeniu zmian. Dopiero sprawdzenie, czy przyniosły one oczekiwane rezultaty, pozwala ocenić skuteczność podjętych działań i potwierdzić, że SZBI jest rzeczywiście stale doskonalony.

System zarządzania bezpieczeństwem informacji nie jest jednorazowym projektem ani zadaniem, które można uznać za zakończone po wdrożeniu procedur i zabezpieczeń. To proces wymagający stałego nadzoru, regularnej oceny i dostosowywania do zmieniających się zagrożeń, technologii oraz potrzeb organizacji. Dzięki temu SZBI może skutecznie wspierać organizację w utrzymaniu bezpieczeństwa i odporności na incydenty.

Więcej informacji na temat obowiązków wynikających z ustawy KSC 2.0 oraz praktycznych sposobów ich realizacji można znaleźć w poradniku „Od wymagań do działania. Praktyczny przewodnik po nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa”.

Więcej informacji o obowiązkach wynikających z KSC 2.0 można znaleźć w publikacji NASK „Od wymagań do działania. Praktyczny przewodnik po nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa”. 

 

Artykuł wyraża jedynie poglądy autora/autorów i nie może być utożsamiany
z oficjalnym stanowiskiem Ministerstwa Cyfryzacji