Co zmienia nowelizacja
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa wdraża dyrektywę NIS2. Obejmuje znacznie więcej podmiotów niż dotąd i dzieli je na trzy grupy. Każda musi wdrożyć system zarządzania bezpieczeństwem informacji, wyznaczyć osobę do kontaktów i zgłaszać incydenty poważne. Kierownik podmiotu odpowiada za to osobiście i co roku przechodzi szkolenie.
| Podmiot kluczowy | Podmiot ważny | Podmiot ważny publiczny | |
|---|---|---|---|
| Kto | załącznik nr 1 do ustawy | załącznik nr 2 do ustawy | m.in. samorządowe jednostki budżetowe i instytucje kultury wykonujące zadania publiczne z użyciem systemów |
| SZBI | art. 8 ust. 1 | art. 8 ust. 1 | art. 8 ust. 3 i załącznik nr 4 |
| Incydent poważny | wczesne ostrzeżenie w 24 h, zgłoszenie w 72 h, sprawozdanie końcowe | jak kluczowy | zgłoszenie w 72 h |
| Audyt | co 3 lata, pierwszy do 3 kwietnia 2028 | na polecenie organu | na polecenie organu |
| Przegląd SZBI | w ramach SZBI | w ramach SZBI | co najmniej raz w roku |
SZBI na fundamencie RODO
Jednostka, która ma uporządkowaną dokumentację RODO, ma już dużą część tego, czego wymaga SZBI: wykaz osób i stanowisk, pomieszczenia, aktywa, dostawców, analizę ryzyka i procedurę postępowania przy naruszeniu. W Cyberenu SZBI włącza się jedną cechą w danych podmiotu i korzysta z tych samych rejestrów. Dokłada to, czego RODO nie wymaga: ocenę wymagań ustawy, ciągłość działania z celami odtworzenia, incydenty bez danych osobowych, uprawnienia do systemów, dostawców ICT, audyty i przeglądy.
Zacznij od dokumentacji RODO albo od razu od obu obszarów - formy współpracy opisuje oferta.