Orange Polska chce więcej czasu na wdrożenie nowych przepisów o cyberbezpieczeństwie

Znowelizowane przepisy o cyberbezpieczeństwie stawiają przed przedsiębiorstwami spory zestaw nowych zadań. Orange Polska sugeruje, by termin weryfikacji dostawców przesunąć o dodatkowe 12 miesięcy, a jednocześnie wprowadzić certyfikat na wzór norm ISO, który uprościłby firmom dostosowanie się do nowych regulacji.

• Nowelizacja ustawy o KSC, wprowadzająca do polskiego prawa unijną dyrektywę NIS 2, działa od 3 kwietnia i poszerza obowiązki podmiotów kluczowych oraz ważnych.
• Orange Polska proponuje wprowadzenie certyfikatu wzorowanego na ISO oraz wydłużenie okresu przejściowego o rok w zakresie sprawdzania łańcucha dostaw usług i sprzętu.
• Spółka chce też, by weryfikacja pracowników zajmujących się cyberbezpieczeństwem była szersza i powtarzana regularnie, a kary finansowe wraz z audytami zewnętrznymi mają zacząć obowiązywać od 2028 roku.

Ustawa o krajowym systemie cyberbezpieczeństwa rodzi liczne trudności dla objętych nią podmiotów, zwłaszcza tych zaliczanych do infrastruktury krytycznej, jak Orange Polska. Problem dotyczy nie tylko zgodności wdrożenia z wymaganiami prawa, ale też kwestii praktycznych – na przykład tego, jak szczegółowo trzeba sprawdzać kandydatów do pracy przy systemie zarządzania bezpieczeństwem informacji oraz w jakim stopniu i czasie należy weryfikować dostawców.

Ustawa nakłada różnorakie obowiązki, a ich realizacja to proces trudny i wymaga przeorganizowania wielu obszarów, żeby mogło to zadziałać. To są nowe rzeczy i bardzo istotne jest, żeby były wdrożone prawidłowo, ale też żeby organizacja podołała, bo obciążenie jest duże.

Sławomir Chmielewski, dyrektor bezpieczeństwa i compliance w Orange Polska

Nowelizacja ustawy o KSC, która wdraża do polskiego prawa unijną dyrektywę NIS 2, weszła w życie 3 kwietnia br. Nowe przepisy nakładają na podmioty kluczowe i ważne obowiązki w zakresie stosowania odpowiednich środków technicznych, operacyjnych i organizacyjnych w celu zapewnienia bezpieczeństwa sieci i systemów teleinformatycznych.

Między 13 kwietnia a 6 maja tego roku minister cyfryzacji z urzędu umieścił w wykazie podmiotów kluczowych i ważnych KSC dotychczasowych operatorów usług kluczowych, dostawców usług zaufania, przedsiębiorców telekomunikacyjnych oraz podmioty publiczne. Te firmy, których wpis nie nastąpił automatycznie, mają czas do 3 października tego roku, by zgłosić się samodzielnie.

Ustawa jest bardzo obszernym dokumentem i reguluje wiele obszarów. Z naszego punktu widzenia certyfikacja na wzór ISO jest więc bardzo dobrym pomysłem. Byłaby dla nas istotną wskazówką, dzięki której wiedzielibyśmy, jak poszczególne punkty czy rozdziały ustawy należy adresować w dużej korporacji. Tego typu certyfikat – odpowiednio sprawdzony i zaudytowany – dawałby gwarancję dla naszych partnerów i klientów co do tego, że jesteśmy zgodni z przepisami prawa.

Sławomir Chmielewski, dyrektor bezpieczeństwa i compliance w Orange Polska

KSC i NIS 2: co zmienia nowelizacja i kogo obejmuje

Ministerstwo Cyfryzacji opracowało projekt listy norm i standardów, które mają pomagać w realizacji nowych obowiązków, przede wszystkim tych związanych z Systemem Zarządzania Bezpieczeństwem Informacji (SZBI). Dokument ten powinien ułatwić firmom rozpoznanie standardów odnoszących się do konkretnych obszarów działania systemu – m.in. bezpieczeństwa systemów, zarządzania ryzykiem, ciągłości działania czy łańcucha dostaw. Zestawienie ma jednak charakter pomocniczy i informacyjny, nie stanowi samodzielnego źródła prawa.

Do 3 kwietnia 2027 roku podmioty kluczowe i ważne muszą wdrożyć obowiązki wynikające z nowych przepisów. Chodzi przede wszystkim o przygotowanie i wdrożenie SZBI, zgłaszanie incydentów do zespołów CSIRT, zarządzanie incydentami oraz wyznaczanie osób odpowiedzialnych za utrzymywanie kontaktów z podmiotami KSC.

W aspekcie weryfikacji łańcucha dostaw, czyli tego, od kogo zamawiamy poszczególne komponenty usług lub sprzętu, konieczne jest wydłużenie terminu vacatio legis o 12 miesięcy. To dałoby nam większe prawdopodobieństwo dobrego sprawdzenia dostawców.

Sławomir Chmielewski

Weryfikacja łańcucha dostaw. Firmy chcą wydłużenia vacatio legis

Osobny postulat dotyczy sprawdzania personelu zajmującego się zadaniami z zakresu cyberbezpieczeństwa – pod względem niekaralności za przestępstwa związane z ochroną informacji. Na dopełnienie tego obowiązku firmy objęte ustawą również mają czas do 3 kwietnia 2027 roku.

Ważnym elementem jest to, jak weryfikujemy pracowników, którzy będą pracować przy systemie zarządzania bezpieczeństwem informacji lub rozpatrywać incydenty bezpieczeństwa informacji. Ustawa zrobiła pierwszy krok, ale naszym zdaniem powinno to być sformułowane szerzej.

Sławomir Chmielewski

Zgodnie z przepisami zadań z zakresu cyberbezpieczeństwa nie mogą wykonywać osoby prawomocnie skazane za przestępstwa przeciwko ochronie informacji – w tym ujawnienie informacji niejawnych lub służbowych, nielegalne zdobycie danych, ich zniszczenie czy zakłócanie działania sieci i systemów.

Czy weryfikacja personelu cyberbezpieczeństwa powinna być szersza?

Uważamy, że kandydat powinien być weryfikowany również pod kątem przestępstw takich jak terroryzm albo szpiegostwo, ponieważ dostęp do informacji automatycznie może kusić do tego typu działań. Kolejnym elementem jest to, aby kandydat mógł być sprawdzany pod kątem konfliktu interesów, czy nie jest powiązany z podmiotami czy państwami, z którymi nie chcielibyśmy, żeby był powiązany. Ważne jest też badanie jego rezydentury cyfrowej. Kandydat może mówić o tym, że pracuje z danego kraju, tymczasem wiemy, że cyfrowo można to zorganizować tak, że pracuje z innego.

Sławomir Chmielewski, dyrektor bezpieczeństwa i compliance w Orange Polska

Chmielewski dodaje, że taka weryfikacja nie powinna ograniczać się do jednorazowej kontroli, lecz powtarzać się regularnie, na przykład raz na dwa lata. Zwraca uwagę, że podobny postulat wybrzmiał podczas dyskusji na konferencji Urzędu Ochrony Danych Osobowych poświęconej nowym przepisom NIS 2 i KSC.

Padały też postulaty na temat uproszczenia współpracy pomiędzy organami państwowymi a podmiotami prywatnymi, jeśli chodzi o zgłaszanie incydentów bezpieczeństwa i wiele innych. Mam nadzieję, że przekuje się to również w konkretny legislacyjny materiał.

Sławomir Chmielewski

Audyty i kary od 2028 roku. Na to muszą przygotować się firmy

Zgodnie z ustawą podmioty kluczowe, które dotąd nie były operatorami usług kluczowych, będą zobowiązane do 3 kwietnia 2028 roku przeprowadzić pierwszy zewnętrzny audyt bezpieczeństwa swojego systemu informacyjnego. Kontrole te trzeba będzie powtarzać co najmniej co trzy lata, a wyniki przekazywać odpowiednim organom. Od 3 kwietnia 2028 roku organy właściwe w sprawach cyberbezpieczeństwa – w telekomunikacji jest to UKE – będą mogły nakładać kary finansowe za naruszenie obowiązków.

Świadomość firm na temat obowiązków wynikających z ustawy jest bardzo różna. W dużej mierze zależy to od tego, czy firma miała wcześniej do czynienia z infrastrukturą krytyczną, czy jest podmiotem infrastruktury krytycznej, i od tego, jaka jest jej dojrzałość. Niezależnie od świadomości i poziomu dojrzałości tak duża zmiana legislacyjna i jej wdrożenie wymagają czasu. Domyślam się, że firmy, dla których jest to novum, potrzebują jeszcze więcej czasu.

Sławomir Chmielewski, dyrektor bezpieczeństwa i compliance w Orange Polska