Wdrożenie zgodności z cyberustawą

Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa dotyczy zarówno firm jak i instytucji.

W ustawie mowa jest o:

• operatorach usług kluczowych (OUK), w tym m.in. największe banki, firmy z sektora energetycznego, przewoźnicy lotniczy i kolejowi, armatorzy, szpitale;
• dostawcach usług cyfrowych (DUC), w tym m.in. firmy posiadające internetowe platformy handlowe;
• podmiotach publicznych.

Celem ustawy jest wdrożenie do polskiego porządku prawnego dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/1148 w sprawie środków na rzecz wysokiego wspólnego poziomu bezpieczeństwa sieci i systemów informatycznych na terytorium Unii.

Ustawa zobowiązuje firmy oraz podmioty publiczne do uruchomienia pojedynczego punktu kontaktowego do spraw cyberbezpieczeństwa oraz powołanie osób i zespołów zajmujących się reagowaniem na incydenty komputerowe.

Najważniejszym obowiązkiem jest obsługa incydentu, na którego zgłoszenie firma oraz podmiot publiczny mają tylko 24 godziny od momentu wykrycia.

Najważniejsze aspekty wdrożenia obejmują:

6. Opracowanie zasad ciągłości działania:

• regulacje wewnętrzne, w których określono zasady tworzenia, przechowywania oraz testowania kopii zapasowych danych i systemów;
• plany ciągłości działania.

7. Opracowanie zasad nadzoru nad zmianą:

• regulacje wewnętrzne opisujące wymagania w zakresie wdrażania systemów;
• regulacje wewnętrzne opisujące sposób przeprowadzania zmian w systemach teleinformatycznych.

8. Opracowanie zasad nadzoru nad dokumentacją:

• zasady zapewnienia dostępu tylko dla osób upoważnionych;
• regulacje wewnętrzne opisujące zasady zarządzania dokumentacją KSC;
• zasady zapewnienia poufności, integralności oraz dostępności dokumentacji.

9. Opracowanie standardu zabezpieczeń fizycznych.

10. Opracowanie standardów zabezpieczeń informatycznych.