1. Czy nasza organizacja podlega ustawie?
• podmiot kluczowy i podmiot ważny – podstawowe różnice;
• sektory objęte ustawą, ze szczególnym uwzględnieniem:
o zaopatrzenia w wodę przeznaczoną do spożycia przez ludzi,
o zbiorowego odprowadzania i oczyszczania ścieków,
o gospodarowania odpadami,
o energetyki i ciepłownictwa,
o podmiotów publicznych;
• znaczenie wielkości przedsiębiorstwa i powiązań kapitałowych;
• obowiązek samodzielnej oceny statusu podmiotu;
• wpis do wykazu podmiotów kluczowych i ważnych – termin 6 miesięcy;
• aktualizacja danych w wykazie – termin 14 dni;
• terminy na wdrożenie obowiązków wynikających z ustawy.
2. Cyberbezpieczeństwo jako osobiste zadanie kierownika podmiotu
• kto jest kierownikiem podmiotu w rozumieniu ustawy;
• odpowiedzialność zarządu wieloosobowego;
• możliwość wskazania osoby odpowiedzialnej a odpowiedzialność pozostałych członków zarządu;
• dlaczego delegowanie obowiązków nie wyłącza odpowiedzialności kierownika;
• najważniejsze zadania kadry zarządzającej:
o podejmowanie decyzji dotyczących systemu zarządzania bezpieczeństwem informacji,
o zapewnienie adekwatnego finansowania,
o przydzielenie zadań i nadzór nad ich wykonaniem,
o zapewnienie świadomości personelu,
o nadzór nad zgodnością działania organizacji z prawem i regulacjami wewnętrznymi;
• obowiązek odbywania przez kierownika corocznego, udokumentowanego szkolenia z zakresu cyberbezpieczeństwa;
• wymóg niekaralności osób wykonujących zadania związane z zarządzaniem bezpieczeństwem i obsługą incydentów.
3. Co zarząd powinien zapewnić w organizacji?
• wdrożenie systemu zarządzania bezpieczeństwem informacji;
• systematyczne szacowanie ryzyka i przyjmowanie planu postępowania z ryzykiem;
• dobór środków technicznych i organizacyjnych proporcjonalnych do ryzyka;
• inwentaryzacja systemów, procesów, usług i zasobów informacyjnych;
• bezpieczeństwo łańcucha dostaw i odpowiedzialność za zewnętrznych dostawców ICT;
• ciągłość działania, plany awaryjne i plany odtworzenia działalności;
• monitorowanie systemów informacyjnych;
• zarządzanie dostępami, aktywami, aktualizacjami i podatnościami;
• cyberhigiena oraz edukacja pracowników;
• wyznaczenie osób odpowiedzialnych za kontakty z podmiotami krajowego systemu cyberbezpieczeństwa;
• wewnętrzna komórka cyberbezpieczeństwa czy outsourcing – jak podjąć właściwą decyzję;
• dlaczego zawarcie umowy z dostawcą usług cyberbezpieczeństwa nie przenosi ustawowej odpowiedzialności zarządu.
4. Incydent cyberbezpieczeństwa – zadania zarządu przed kryzysem i w czasie kryzysu
• przygotowanie procedury obsługi incydentów;
• podział ról i odpowiedzialności – kto podejmuje decyzje, kto zgłasza incydent, a kto odpowiada za komunikację;
• klasyfikacja incydentu jako poważnego;
• ustawowa sekwencja zgłoszeń:
o wczesne ostrzeżenie – do 24 godzin,
o zgłoszenie incydentu poważnego – do 72 godzin,
o sprawozdanie końcowe – w terminie miesiąca;
• współpraca z właściwym CSIRT i organem właściwym do spraw cyberbezpieczeństwa;
• informowanie użytkowników o poważnym cyberzagrożeniu lub incydencie;
• komunikacja kryzysowa oraz ochrona tajemnic prawnie chronionych;
• dokumentowanie decyzji podejmowanych podczas incydentu;
• testowanie procedur, planów awaryjnych i kopii zapasowych.
5. Dokumentacja, audyt i nadzór nad wykonaniem obowiązków
• dokumentacja normatywna i dokumentacja operacyjna;
• polityki bezpieczeństwa, szacowanie ryzyka i plan postępowania z ryzykiem;
• dokumentowanie rzeczywistego wykonywania przyjętych procedur;
• nadzór nad dokumentacją i zarządzanie jej wersjami;
• okresowe przeglądy systemu zarządzania bezpieczeństwem informacji;
• audyt bezpieczeństwa podmiotu kluczowego – co najmniej raz na 3 lata;
• pierwszy audyt – termin 24 miesięcy od spełnienia przesłanek uznania za podmiot kluczowy;
• audyt zewnętrzny nakazany przez organ;
• jak przygotować zarząd do kontroli i wykazać dochowanie należytej staranności.
6. Odpowiedzialność podmiotu i kadry zarządzającej
• kary pieniężne nakładane na podmiot kluczowy lub podmiot ważny;
• odrębna kara nakładana bezpośrednio na kierownika podmiotu;
• możliwość ukarania wszystkich członków organu wieloosobowego;
• kara dla kierownika do 300% miesięcznego wynagrodzenia;
• kara dla kierownika podmiotu publicznego – co do zasady do 100% wynagrodzenia;
• odpowiedzialność za jednorazowe zaniechanie;
• możliwe konsekwencje braku szacowania ryzyka, dokumentacji, audytu albo zgłoszenia incydentu;
• znaczenie uchwał, raportów, protokołów i okresowych informacji dla zarządu;
• praktyczna checklista należytej staranności członka zarządu.
7. Pytania uczestników