KSC to nie ISO. Dlaczego sama dokumentacja nie wystarczy, by przejść kontrolę?
Na rynku telekomunikacyjnym obserwujemy zjawisko, przed którego konsekwencjami chcielibyśmy Państwa przestrzec. Przedsiębiorcy, stając przed koniecznością wdrożenia nowej ustawy o krajowym systemie cyberbezpieczeństwa (KSC), szukają rozwiązań, które obowiązywały do tej pory. Takim odruchem jest oparcie na rozwiązaniach związanych z wdrażaniem normy ISO 27001. W odpowiedzi na zapytanie o ofertę na „wdrożenie KSC” otrzymują propozycję, która w praktyce okazuje się być gotowym zbiorem dokumentacji opartym na standardach ISO.
Takie podejście, choć pozornie logiczne, może się okazać kosztownym błędem. Wdrożenie KSC polegające na metodzie kopiuj-wklej i uznaniu gotowego zestawu dokumentacji stworzonego „pod” normę ISO za swoją, jest fundamentalnym nieporozumieniem. Nie wystarczy drobny retusz takich dokumentów.
Iluzja zgodności
Problem polega na niezrozumieniu natury nowej regulacji. Sednem przepisów wdrażających unijną dyrektywę NIS2 nie jest posiadanie kompletu procedur, ale wdrożenie realnie działającego, mierzalnego i, co najważniejsze, udowadnialnego systemu cyberbezpieczeństwa.
Zakup „pakietu papierów”, nawet jeśli bazuje on na solidnych wzorcach ISO, jest działaniem niewystarczającym. To budowanie fasady zgodności, która nie wytrzyma realnej kontroli. Dokumentacja KSC musi „żyć”, czyli być dostosowana do konkretnego podmiotu oraz zmieniać się w toku jej stosowania (i poprawiania). Co więcej, ustawa o KSC nakłada szereg specyficznych, prawnych obowiązków, których w normie ISO po prostu nie ma. Oto tylko niektóre z najbardziej oczywistych przykładów obowiązków, które narzuca KSC, a które nie wynikają z norm ISO:
- Integracja z systemem państwowym: Obowiązek podłączenia się do systemu S46 i aktywnej, dwukierunkowej wymiany informacji z właściwym CSIRT.
- Ścisły reżim raportowania incydentów: Ustawa narzuca nieelastyczne terminy – 24 godziny na wczesne ostrzeżenie i 72 godziny na pełne zgłoszenie.
- Procedura Dostawców Wysokiego Ryzyka (DWR): To specyficzny, krajowy mechanizm, który może zmusić przedsiębiorcę do kosztownej wymiany sprzętu lub oprogramowania. Norma ISO nie zawiera tak daleko idących, prawnie wiążących procedur.
- Polecenia zabezpieczające: W przypadku incydentu krytycznego, Minister Cyfryzacji może wydać wiążące polecenie, nakazujące podjęcie natychmiastowych, konkretnych działań, np. wdrożenie określonej poprawki czy ograniczenie ruchu sieciowego.
Co naprawdę sprawdzi kontroler?
Wyobraźmy sobie dzień, w którym do firmy wkracza kontrola z Urzędu Komunikacji Elektronicznej. Czy kontrolerzy zadowolą się oświadczeniem, że „wszystkie procedury są wdrożone”? Nie.
Oni zażądają dowodów. A dowodami w świecie cyberbezpieczeństwa nie są regulaminy i opisy procedur, lecz konkretne dane. Kontroler powie: „Proszę pokazać logi z systemu SIEM z ostatnich 6 miesięcy. Chcę zobaczyć, jak zareagowaliście na informację o podatności, którą otrzymaliście z CSIRT NASK trzy miesiące temu. Kto podjął decyzję? Kiedy? Jakie kroki zostały odnotowane w systemie? Jakie są dowody na to, że personel jest regularnie szkolony, a jego wiedza weryfikowana?”.
W tym momencie kończy się teoria, a zaczyna szczegółowa weryfikacja. Jeżeli procedura istnieje tylko na papierze, a w systemach informacyjnych nie ma śladu jej faktycznej realizacji, konsekwencje mogą być bardzo dotkliwe. To właśnie jest największe wyzwanie, jakie przynosi NIS2 – konieczność wprowadzenia realnej dyscypliny organizacyjnej i jej ścisłego przestrzegania.
Porządne wdrożenie: Synergia prawa, technologii i doświadczenia
Wdrożenie KSC nie jest zadaniem dla jednego specjalisty. Próba zrealizowania tego procesu w jednym silosie – prawnym lub technicznym – jest niekompletna i ryzykowna. Skuteczne i bezpieczne wdrożenie wymaga zaangażowania interdyscyplinarnego zespołu, w którym muszą znaleźć się trzy kluczowe kompetencje:
- Prawnik specjalizujący się w KSC: To on jest odpowiedzialny za stworzenie fundamentu – dokumentacji i procedur, które są nie tylko zgodne z samą ustawą o KSC, ale również spójne z całym otoczeniem regulacyjnym przedsiębiorcy telekomunikacyjnego: Prawem komunikacji elektronicznej, RODO, ustawą o zwalczaniu nadużyć w komunikacji elektronicznej, czy przede wszystkim unijnymi wytycznymi. Bez tego każdy dokument może okazać się pułapką.
- Specjalista ds. cyberbezpieczeństwa/techniki: Jego rolą jest przełożenie prawnych wymogów na język technologii. Dobierze i wdroży adekwatne środki techniczne, skonfiguruje systemy monitorowania i zapewni, że wszystkie wymagane działania będą pozostawiały cyfrowy, niezaprzeczalny ślad w logach systemowych. To on buduje mechanizm, który dostarczy dowodów na wypadek kontroli.
- Doświadczenie we wdrażaniu: To spoiwo łączące prawo i technologię. Doświadczony zespół wie, jak dostosować ogólne wymogi do specyfiki, skali i możliwości operatora, jak uniknąć nadmiernych kosztów i jak zbudować system, który będzie realnie działał, a nie tylko istniał na papierze.
Wniosek jest prosty. Należy porzucić przekonanie, że zgodność z KSC można osiągnąć, kupując gotowy pakiet dokumentów. Taka droga może się powieść wyłącznie do pierwszej kontroli. A taka konfrontacja może okazać się znacznie bardziej kosztowna niż prawidłowe wdrożenie systemu od samego początku.
Ostatnia szansa, żeby dołączyć do 7-miesięcznego szkolenia online z Krajowego Systemu Cyberbezpieczeństwa, którego celem jest przede wszystkim nauczenie Państwa, jak skutecznie dostosować naszą najlepsza dokumentację do realiów Państwa organizacji i z niej korzystać na co dzień. Rozumiemy, że każda organizacja ma inną specyfikę, dlatego dla zainteresowanych przewidzieliśmy również możliwość indywidualnego wsparcia i poprowadzenia przez cały proces „za rękę”.
Szczegóły dostępne pod linkiem: https://kancelaria.media.pl/szkolenie/
➡️Zachęcamy do zapisania się na nasz biuletyn 📩
📣W biuletynie KPM eksperci przedstawiają aktualności ze świata rynku mediów i podpowiadają jak przygotować się na zachodzące zmiany.