Raport specjalny – „Ranking największych banków w Polsce”: Ustawa przeciwko hakerom

Igor Lagenda

Pod koniec kwietnia br. Rada Ministrów przyjęła projekt ustawy o krajowym systemie cyberbezpieczeństwa. Nowe przepisy mają umożliwić stworzenie specjalnego mechanizmu, który zapewni niezakłócone świadczenie usług kluczowych dla państwa i gospodarki przez osiągnięcie odpowiedniego poziomu bezpieczeństwa infrastruktury informatycznej.

„Podjęte działania mają spowodować, że Polska w sposób bardziej skoordynowany będzie przeciwdziałać zagrożeniom płynącym z cyberprzestrzeni” – podała kancelaria premiera, wyjaśniając, że przygotowując projekt ustawy, pod uwagę wzięto istniejący system bezpieczeństwa i związane z nim doświadczenia poszczególnych instytucji.

„Stworzono możliwość uwzględnienia w całości systemu sektora prywatnego i związanego z nim potencjału. W projekcie ustawy określono organizację krajowego systemu cyberbezpieczeństwa (zadania i obowiązki podmiotów do niego wchodzących), sposób sprawowania nadzoru i kontroli przestrzegania przepisów ustawy oraz tryb ustanawiania Strategii Cyberbezpieczeństwa Rzeczypospolitej Polskiej” – poinformowała Kancelaria Prezesa Rady Ministrów.

Siły szybkiego reagowania

Krajowy system cyberbezpieczeństwa będzie obejmował operatorów usług kluczowych (m.in. z sektorów: energetycznego, transportowego, bankowości i infrastruktury rynków finansowych, zaopatrzenia w wodę, zdrowotnego), dostawców usług cyfrowych, zespoły CSIRT (ang. Computer Security Incident Response Team – Zespoły Reagowania na Incydenty Bezpieczeństwa Komputerowego) poziomu krajowego, sektorowe zespoły cyberbezpieczeństwa, podmioty świadczące usługi z zakresu cyberbezpieczeństwa, organy właściwe do spraw cyberbezpieczeństwa (odpowiedzialne za nadzór nad operatorami usług kluczowych) oraz pojedynczy punkt kontaktowy do spraw cyberbezpieczeństwa, służący do komunikacji w ramach współpracy w Unii Europejskiej.

Projekt ustawy zawiera zasady wskazywania operatorów usług kluczowych i określa ich obowiązki. Dotyczą one wdrożenia efektywnego systemu zarządzania bezpieczeństwem, obejmującego m.in. zarządzanie ryzykiem, stosowanie skutecznych zabezpieczeń systemów informacyjnych, procedur i mechanizmów zgłaszania oraz postępowania z incydentami czy organizacji struktur na poziomie operatora. Operator usługi kluczowej ma również zapewnić przeprowadzenie co najmniej raz na dwa lata audytu bezpieczeństwa systemów informacyjnych, wykorzystywanych do świadczenia usługi kluczowej. Na poziomie operatorów usług kluczowych powołane zostaną również osoby odpowiedzialne za utrzymywanie kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa.

Do krajowego systemu cyberbezpieczeństwa wejdą podmioty publiczne, które będą zobowiązane do obsługi incydentów (pozostawiono im swobodę wyboru sposobu realizacji obowiązku). Rozwiązanie to uwzględnia istniejące, ale też ...