W poprzednich wpisach z serii „KSC po nowelizacji w praktyce” omówiliśmy już pierwsze kroki organizacji: ustalenie statusu podmiotu kluczowego albo ważnego, wpis do Wykazu KSC, podstawowe obowiązki związane z SZBI oraz dokumentację systemu zarządzania bezpieczeństwem informacji.
Teraz czas na temat, który w praktyce może okazać się jednym z najważniejszych: rolę kierownika podmiotu kluczowego lub ważnego.
Ustawa o krajowym systemie cyberbezpieczeństwa wyraźnie pokazuje, że cyberbezpieczeństwo nie jest wyłącznie zadaniem działu IT. Oczywiście, działania techniczne, administracja systemami, monitoring, kopie zapasowe czy obsługa incydentów wymagają wiedzy specjalistycznej. Ale odpowiedzialność za zorganizowanie tego obszaru w podmiocie ma charakter zarządczy.
Kierownik podmiotu nie musi samodzielnie konfigurować systemów, analizować logów ani prowadzić dokumentacji technicznej. Powinien jednak zapewnić, że obowiązki wynikające z ustawy są przypisane, finansowane, nadzorowane i realizowane w sposób adekwatny do danego podmiotu.
Kim jest kierownik podmiotu?
Ustawa posługuje się pojęciem kierownika podmiotu kluczowego lub podmiotu ważnego. W uproszczeniu chodzi o osobę albo organ, który kieruje danym podmiotem.
W przypadku jednostek sektora finansów publicznych kierownikiem będzie kierownik tej jednostki. FAQ Ministerstwa Cyfryzacji wskazuje również, że w przypadku samorządowej jednostki budżetowej, innej niż urząd czy starostwo, kierownikiem podmiotu kluczowego lub ważnego będzie kierownik tej jednostki, na przykład dyrektor.
W praktyce oznacza to, że nie zawsze będzie to „zarząd” w rozumieniu spółki prawa handlowego. W zależności od formy organizacyjnej może to być członek zarządu, organ zarządzający, wspólnicy prowadzący sprawy spółki, dyrektor jednostki albo inna osoba pełniąca funkcję kierowniczą zgodnie z właściwymi przepisami.
Dlatego pierwszym krokiem powinno być ustalenie, kto w konkretnym podmiocie pełni funkcję kierownika w rozumieniu ustawy o KSC.
Kierownik odpowiada za organizację cyberbezpieczeństwa
Ustawa wskazuje, że kierownik podmiotu kluczowego lub ważnego ponosi odpowiedzialność za wykonywanie przez ten podmiot obowiązków w zakresie cyberbezpieczeństwa. Chodzi m.in. o obowiązki związane z wpisem do Wykazu KSC, wdrożeniem SZBI, dokumentacją, osobami kontaktowymi, obsługą incydentów, korzystaniem z S46, strukturami odpowiedzialnymi za cyberbezpieczeństwo oraz audytami.
Nie oznacza to, że kierownik ma wykonywać wszystkie te czynności osobiście. W praktyce byłoby to nierealne. Kierownik powinien jednak zadbać, aby w organizacji było wiadomo, kto odpowiada za poszczególne obszary, jakie są zasady działania, jakie środki są potrzebne i jak będzie sprawdzane wykonanie obowiązków.
To jest właśnie zarządczy wymiar cyberbezpieczeństwa. Nie chodzi o to, aby kierownik zastępował informatyków, specjalistów ds. bezpieczeństwa albo dostawcę usług zewnętrznych. Chodzi o to, aby zapewnił warunki do tego, żeby cyberbezpieczeństwo było faktycznie zarządzane.
Powierzenie zadań nie wyłącza odpowiedzialności
Jednym z ważniejszych elementów ustawy jest wskazanie, że kierownik ponosi odpowiedzialność także wtedy, gdy niektóre albo wszystkie obowiązki zostały powierzone innej osobie za jej zgodą.
To bardzo istotne w praktyce, bo wiele podmiotów będzie korzystać ze wsparcia działu IT, administratorów systemów, zewnętrznych dostawców usług, doradców albo dostawców usług zarządzanych w zakresie cyberbezpieczeństwa. Takie wsparcie jest dopuszczalne i często konieczne, ale nie oznacza, że odpowiedzialność kierownicza znika.
Kierownik może powierzyć wykonanie zadań, ale powinien zadbać o ich prawidłowe przypisanie, nadzór i rozliczalność. Dlatego w praktyce ważne są jasne zakresy odpowiedzialności, decyzje organizacyjne, umowy, upoważnienia, procedury i sposób raportowania.
Jeżeli kierownikiem jest organ wieloosobowy
Ustawa odnosi się także do sytuacji, w której kierownikiem podmiotu jest organ wieloosobowy. Jeżeli w takim organie nie została wskazana osoba odpowiedzialna, odpowiedzialność ponoszą wszyscy członkowie tego organu.
To oznacza, że w przypadku zarządów albo innych organów kolegialnych warto uporządkować podział odpowiedzialności. Nie chodzi o sztuczne przerzucanie odpowiedzialności na jedną osobę, ale o jasne określenie, kto nadzoruje obszar cyberbezpieczeństwa i w jaki sposób informacje o stanie realizacji obowiązków trafiają do organu zarządzającego.
W praktyce może to oznaczać wskazanie osoby odpowiedzialnej za nadzór nad wdrożeniem SZBI, ustalenie cyklicznego raportowania, przyjęcie harmonogramu działań albo zatwierdzenie podstawowych regulacji wewnętrznych.
Decyzje dotyczące SZBI
Ustawa wskazuje, że kierownik podejmuje decyzje w zakresie przygotowania, wdrażania, stosowania, przeglądu i nadzoru systemu zarządzania bezpieczeństwem informacji w podmiocie.
To bardzo szerokie ujęcie. Pokazuje ono, że SZBI nie jest jednorazowym dokumentem ani wyłącznie technicznym projektem. Jest systemem, który trzeba przygotować, wdrożyć, stosować, przeglądać i nadzorować.
Kierownik powinien więc podejmować decyzje dotyczące kierunku działań, zakresu wdrożenia, organizacji prac, odpowiedzialności, zasobów i sposobu monitorowania postępów. W praktyce nie musi znać każdego technicznego szczegółu, ale powinien rozumieć, jakie obowiązki dotyczą podmiotu i jakie decyzje organizacyjne są konieczne, aby te obowiązki były realizowane.
Środki finansowe muszą być adekwatne
Jednym z zadań kierownika jest planowanie adekwatnych środków finansowych na realizację obowiązków z zakresu cyberbezpieczeństwa.
To nie oznacza, że każdy podmiot musi od razu przeznaczać bardzo wysokie budżety na wszystkie możliwe rozwiązania techniczne. FAQ Ministerstwa Cyfryzacji zwraca uwagę na adekwatność środków, czyli ich dostosowanie również do możliwości podmiotu.
W praktyce ważne jest, aby cyberbezpieczeństwo nie było pomijane w planowaniu organizacyjnym i finansowym. Jeżeli podmiot ma realizować obowiązki wynikające z ustawy, musi mieć do tego odpowiednie zasoby: ludzi, czas, narzędzia, wsparcie zewnętrzne albo środki na utrzymanie rozwiązań już wdrożonych.
Adekwatność oznacza więc rozsądne dopasowanie działań do statusu podmiotu, jego wielkości, charakteru usług albo zadań publicznych oraz realnych potrzeb.
Przydzielenie zadań i nadzór nad ich wykonaniem
Kierownik podmiotu ma także przydzielać zadania z zakresu cyberbezpieczeństwa i nadzorować ich wykonanie.
To jeden z najbardziej praktycznych obowiązków. Organizacja powinna wiedzieć, kto odpowiada za konkretne obszary: dokumentację, zgłoszenia incydentów, kontakt z podmiotami krajowego systemu cyberbezpieczeństwa, utrzymanie systemów, kopie zapasowe, nadawanie uprawnień, szkolenia, przeglądy albo współpracę z dostawcami.
Nie zawsze musi to oznaczać tworzenie nowych stanowisk. W wielu podmiotach część zadań będzie wykonywana przez osoby, które już realizują obowiązki informatyczne, organizacyjne, administracyjne albo zarządcze. Istotne jest jednak, aby zadania były przypisane i aby istniał nadzór nad ich wykonaniem.
Bez tego cyberbezpieczeństwo łatwo staje się obszarem, za który „wszyscy trochę odpowiadają”, czyli w praktyce nikt nie odpowiada w sposób wystarczająco konkretny.
Świadomość personelu
Ustawa wskazuje, że kierownik zapewnia, aby personel podmiotu był świadomy obowiązków z zakresu cyberbezpieczeństwa i znał wewnętrzne regulacje podmiotu w tym zakresie.
To ważne, bo nawet najlepiej przygotowana dokumentacja nie zadziała, jeżeli osoby, które mają ją stosować, nie wiedzą o jej istnieniu albo nie rozumieją swojej roli.
Nie chodzi wyłącznie o formalne szkolenie raz na jakiś czas. W praktyce świadomość personelu oznacza, że pracownicy wiedzą, jak bezpiecznie korzystać z systemów, jak reagować na podejrzane wiadomości, komu zgłosić incydent, jak postępować z dostępami i jakie podstawowe zasady obowiązują w organizacji.
Zakres tych działań powinien być dopasowany do podmiotu. Inaczej będzie wyglądać świadomość personelu technicznego, inaczej pracowników administracyjnych, a inaczej osób zarządzających.
Obowiązkowe szkolenie kierownika
Ustawa przewiduje, że kierownik podmiotu kluczowego lub ważnego oraz osoba, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa, raz w roku kalendarzowym przechodzi szkolenie.
FAQ Ministerstwa Cyfryzacji wskazuje, że szkolenie to dotyczy realizacji obowiązków z zakresu cyberbezpieczeństwa. Chodzi więc o to, aby osoby podejmujące decyzje miały aktualną wiedzę potrzebną do rozumienia obowiązków, ryzyk i sposobu działania systemu zarządzania bezpieczeństwem informacji.
Warto patrzeć na to szkolenie nie jak na formalność, ale jak na element zarządzania. Kierownik nie musi być ekspertem technicznym, ale powinien rozumieć, za co odpowiada, jakie decyzje powinien podejmować i jakie pytania zadawać osobom odpowiedzialnym za cyberbezpieczeństwo.
Zgodność z przepisami i regulacjami wewnętrznymi
Ustawa wskazuje również, że kierownik zapewnia zgodność działania podmiotu z przepisami prawa oraz z wewnętrznymi regulacjami podmiotu.
To oznacza, że samo przyjęcie procedur nie wystarczy. Jeżeli organizacja ustanawia określone zasady, powinny one być możliwe do stosowania i rzeczywiście wykorzystywane w codziennej pracy.
W tym miejscu wracamy do tematu z poprzedniego wpisu: dokumentacja SZBI nie powinna być oderwana od praktyki. Kierownik powinien zadbać, aby regulacje wewnętrzne nie były tylko formalnymi dokumentami, ale realnym punktem odniesienia dla działań organizacji.
Jednostka wyznaczona i podmioty publiczne
FAQ Ministerstwa Cyfryzacji odnosi się także do sytuacji podmiotów publicznych, w których może zostać wyznaczona jednostka odpowiedzialna za realizację określonych obowiązków z zakresu cyberbezpieczeństwa.
W takim przypadku jednostka wyznaczona przejmuje realizację zadań w zakresie wskazanym w ustawie. Nie zmienia to jednak potrzeby współpracy ze strony obsługiwanych podmiotów. FAQ wskazuje, że jeżeli podmiot publiczny nie współpracuje z jednostką wyznaczoną, odpowiedzialność za niewykonanie obowiązków może dotyczyć tego podmiotu, który nie współpracuje.
To ważne zwłaszcza w administracji publicznej i samorządowej. Wspólna obsługa albo wsparcie jednostki wyznaczonej nie powinny być traktowane jako całkowite zdjęcie tematu z jednostki. Nadal potrzebne są dane, decyzje, współpraca organizacyjna i realizacja działań po stronie konkretnego podmiotu.
Co to oznacza w praktyce?
Najważniejszy praktyczny wniosek jest prosty: kierownik podmiotu nie musi wykonywać wszystkich zadań z zakresu cyberbezpieczeństwa samodzielnie, ale powinien zapewnić, że są one wykonywane.
W praktyce oznacza to uporządkowanie kilku obszarów:
- ustalenie, kto w podmiocie pełni funkcję kierownika w rozumieniu ustawy,
- określenie osób odpowiedzialnych za poszczególne zadania z zakresu cyberbezpieczeństwa,
- zapewnienie adekwatnych środków organizacyjnych i finansowych,
- przyjęcie albo aktualizację podstawowych regulacji wewnętrznych,
- zapewnienie świadomości personelu,
- udział kierownika w wymaganym szkoleniu,
- nadzór nad realizacją obowiązków i reagowanie na braki.
Takie podejście nie musi oznaczać nadmiernej biurokracji. Chodzi przede wszystkim o to, aby cyberbezpieczeństwo było objęte zarządzaniem, a nie pozostawione wyłącznie jako „sprawa informatyczna”.
Twoje bezpieczeństwo to nasza pasja! 🌐 Jeśli interesuje Cię ochrona danych osobowych, bezpieczeństwo informacji czy cyberbezpieczeństwo, zajrzyj na stronę CAB oraz Platformę Cyberbezpieczeństwa. Szukasz informacji o ochronie sygnalistów? 📢 Sprawdź stronę Kanału Zgłoszeniowego. Czekają tam praktyczne porady i ekspercka wiedza!
*Ten wpis porządkuje kwestie obowiązków kierownika podmiotu kluczowego lub ważnego wyłącznie na podstawie ustawy o krajowym systemie cyberbezpieczeństwa oraz FAQ Ministerstwa Cyfryzacji.