Cyberbezpieczeństwo JST: od wymagań do działającej ochrony.

Jakie wymagania dotyczą Twojej jednostki?

Urząd, szkoła, instytucja kultury i spółka wodociągowa nie powinny otrzymywać jednej, bezrefleksyjnie skopiowanej listy obowiązków. Najpierw ustalamy formę prawną, wykonywane zadania, sektor i systemy, od których zależą usługi publiczne. Następnie przypisujemy wymagania oraz odpowiedzialność do rzeczywistej organizacji.

KSC po wdrożeniu NIS2: art. 8 ust. 3 przewiduje dla podmiotu ważnego będącego podmiotem publicznym SZBI według załącznika nr 4, zamiast art. 8 ust. 1. Systemy dostarczane przez inne podmioty publiczne uwzględnia się w zakresie własnych kompetencji. Podstawa: art. 8 ust. 3–4 KSC.

KRI: dla systemów objętych rozporządzeniem bezpieczeństwo informacji i rozliczalność pozostają konkretnymi zadaniami organizacyjnymi oraz technicznymi. RODO wymaga osobnej oceny ochrony danych osobowych. Wdrożenie jednej usługi nie zastępuje całego systemu zarządzania.

KSC: terminy, które trzeba sprawdzić teraz

Według Ministerstwa Cyfryzacji dla podmiotów spełniających kryteria w dniu wejścia w życie nowelizacji termin wpisu do wykazu to 3 października 2026 r., a wdrożenia nowych obowiązków i podłączenia do S46 — 3 kwietnia 2027 r. Pierwszy audyt dla wskazanych w komunikacie nowych podmiotów kluczowych: 3 kwietnia 2028 r.

Trzeba zweryfikować własną kwalifikację, tryb wpisu oraz przepisy przejściowe. Harmonogram ten nie znosi obowiązków już wcześniej dotyczących jednostki. Nie odkładaj obsługi incydentów ani zabezpieczeń do końca okresu dostosowawczego. Źródło: komunikat MC o obowiązkach i terminach.

KRI: obowiązki, które powinny mieć właściciela

§ 19 KRI obejmuje m.in. utrzymywanie SZBI, inwentaryzację, analizę ryzyka, uprawnienia, szkolenia, ochronę informacji, aktualizacje i bezpieczeństwo umów serwisowych. Wymaga audytu wewnętrznego bezpieczeństwa informacji nie rzadziej niż raz w roku. Skan podatności sam w sobie go nie zastępuje. Podstawa: § 19 rozporządzenia KRI.

Od wymagania do działającego zabezpieczenia

Poniższe rozwiązania są dobieranymi do ryzyka sposobami realizacji ochrony, a nie obowiązkową listą produktów. Dobór obejmuje zgodność z aplikacjami, możliwości zespołu, koszt utrzymania i sposób potwierdzenia skuteczności.

Incydent: kto podejmuje decyzję i kto zgłasza?

W ogólnym trybie art. 11 KSC dla incydentu poważnego przewidziano wczesne ostrzeżenie do 24 godzin, zgłoszenie do 72 godzin od wykrycia i sprawozdanie końcowe do miesiąca od zgłoszenia, z regulacją trwającej obsługi w art. 12b. Art. 12c wyłącza m.in. wczesne ostrzeżenie i sprawozdania dla podmiotu ważnego będącego podmiotem publicznym. Nie stosujemy więc automatycznie całej sekwencji do każdej JST. Podstawa: art. 11–12c KSC.

Przed uruchomieniem obsługi ustalamy właściwy reżim, CSIRT, kanał zgłoszeń i przepisy przejściowe. Procedura powinna działać także podczas nieobecności głównego administratora.

• Przyjęcie zgłoszenia i zapis czasu wykrycia, źródła oraz wpływu na usługi.
• Ocena i klasyfikacja zdarzenia, zabezpieczenie materiału oraz eskalacja do osób decyzyjnych.
• Uzgodnienie izolacji urządzenia lub konta, z uwzględnieniem skutków dla pracy jednostki.
• Przygotowanie zgłoszenia przez wskazaną osobę i zachowanie potwierdzenia wysłania.
• Odtworzenie usług, analiza przyczyny i działania zapobiegające powtórzeniu.

Naruszenie danych osobowych wymaga dodatkowej oceny z udziałem IOD. Zgłoszenie do CSIRT nie zastępuje automatycznie obowiązków wobec organu nadzorczego ochrony danych.

Zewnętrzny SOC: wsparcie jednostki w codziennej obsłudze

Art. 14 KSC dopuszcza realizację zadań przez wewnętrzne struktury albo umowę z dostawcą zarządzanych usług cyberbezpieczeństwa. Podstawa prawna outsourcingu.

SOC LCPD można dobrać do istniejącej infrastruktury, bez budowy nowej serwerowni. Zakres umowy powinien odpowiadać obowiązkom jednostki i realnym możliwościom integracji.

Co powinno pozostać po wdrożeniu?

Proponujemy odbiór oparty na dowodach, które administrator i kierownictwo potrafią odczytać także po zmianie wykonawcy.

• Rejestr zasobów, właścicieli usług oraz zależności od dostawców.
• Analiza ryzyka z planem postępowania i akceptacją ryzyk pozostałych.
• Polityki i procedury odpowiadające rzeczywistym konfiguracjom, nie pusty szablon.
• Wyniki testów alarmowania, uprawnień i odtworzenia usług.
• Rejestr incydentów, zmian, przeglądów i działań naprawczych.
• Umowny zakres obsługi, lista kontaktów, zastępstwa i harmonogram ćwiczeń.

Przykładowe mierniki utrzymania: udział systemów bez wsparcia, czas zamykania istotnych podatności, skuteczność odtworzeń oraz kompletność źródeł logów. Sam wzrost liczby alarmów nie dowodzi lepszej ochrony.

Logi: obowiązek przechowywania i możliwość odczytu

§ 20 KRI przewiduje dla objętych nim dzienników okres wynikający z przepisów odrębnych, a przy ich braku dwa lata od zapisu. To nie jest automatyczna retencja wszystkich danych ani wszystkich kopii zapasowych. Podstawa: § 20 KRI.

Krótki okres szybkiego wyszukiwania w SIEM może współistnieć z dłuższym, zabezpieczonym archiwum. W projekcie określamy kompletność, integralność, dostęp, pojemność i test odzyskania zapisów. Zobacz szczegółowe zasady retencji i archiwizacji ↓.

Jak rozpocząć bez kupowania wszystkiego naraz?

Źródła i aktualność informacji