Po wejściu w życie ustawy o krajowym systemie cyberbezpieczeństwa (KSC) podmioty kluczowe i ważne przygotowują się do nowych obowiązków. Mają na to czas do 3 kwietnia 2027 roku, ale przedstawiciele Orange Polska wskazują, że szczególnie weryfikacja dostawców usług i sprzętu może wymagać dodatkowego czasu. Postulują także wprowadzenie systemu certyfikacji na wzór ISO, który ułatwiałby organizacjom ocenę zgodności z nowymi przepisami, a także rozszerzenie weryfikacji pracowników zajmujących się cyberbezpieczeństwem.
– Ustawa o krajowym systemie cyberbezpieczeństwa to regulacja, która stawia przed podmiotami wiele wyzwań, szczególnie przed podmiotami infrastruktury krytycznej, takimi jak Orange Polska. Możemy mówić zarówno o kwestii zgodności wdrożenia ustawy z wymogami ustawodawcy, o aspektach formalno-praktycznych, jak np. zakres weryfikacji kandydatów do pracy przy systemie zarządzania bezpieczeństwem informacji, jak i o tym, jak dalece powinniśmy sprawdzać dostawców i w jakim czasie powinniśmy to zrobić. Ustawa nakłada różnorakie obowiązki, a ich realizacja to proces trudny i wymaga przeorganizowania wielu obszarów, żeby mogło to zadziałać – wyjaśnia w rozmowie z agencją Newseria Sławomir Chmielewski, dyrektor bezpieczeństwa i compliance w Orange Polska. – To są nowe rzeczy i bardzo istotne jest, żeby były wdrożone prawidłowo, ale też żeby organizacja podołała, bo obciążenie jest duże.
Nowelizacja ustawy o KSC, która wdraża do polskiego prawa unijną dyrektywę NIS 2, weszła w życie 3 kwietnia br. Nowe przepisy nakładają na podmioty kluczowe i ważne obowiązki w zakresie stosowania odpowiednich środków technicznych, operacyjnych i organizacyjnych w celu zapewnienia bezpieczeństwa sieci i systemów teleinformatycznych. Od 13 kwietnia do 6 maja br. minister cyfryzacji wprowadził do wykazu podmiotów kluczowych i podmiotów ważnych KSC z urzędu dotychczasowych operatorów usług kluczowych, dostawców usług zaufania, przedsiębiorców telekomunikacyjnych i podmioty publiczne. Podmioty, które nie zostały objęte wpisem z urzędu, muszą go dokonać samodzielnie do 3 października br.
– Ustawa jest bardzo obszernym dokumentem i reguluje wiele obszarów. Z naszego punktu widzenia certyfikacja na wzór ISO jest więc bardzo dobrym pomysłem. Byłaby dla nas istotną wskazówką, dzięki której wiedzielibyśmy, jak poszczególne punkty czy rozdziały ustawy należy adresować w dużej korporacji. Tego typu certyfikat – odpowiednio sprawdzony i zaudytowany – dawałby gwarancję dla naszych partnerów i klientów co do tego, że jesteśmy zgodni z przepisami pra