Progi uznania incydentu za istotny. Rząd określi zasady dla 15 sektorów, w tym energetyki i transportu

Progi uznania incydentu za istotny

Ministerstwo Cyfryzacji pracuje nad projektem rozporządzenia Rady Ministrów w sprawie progów uznana incydentu za istotny – wynika informacji zamieszczonych na wykazie prac legislacyjnych i programowych Rady Ministrów. Projektowane rozporządzenie zastępuje dotychczas obowiązujące rozporządzenie Rady Ministrów z 31 października 2018 r. w sprawie progów uznania incydentu za poważny.

Prawidłowe ustalenie progów uznania incydentu za incydent poważny z jednej strony powinno uwzględnić zdarzenia rzeczywiście niebezpieczne, z drugiej strony progi nie powinny dotyczyć zdarzeń, które mają nikły wpływ na funkcjonowanie podmiotu – wskazuje resort.

Zgodnie z ustawą o krajowym systemie cyberbezpieczeństwa progi uznania incydentu za istotny według zdarzenia w poszczególnych sektorach i podsektorach uwzględniają m.in.:

• liczbę użytkowników dotkniętych zakłóceniem,
• czas trwania zakłócenia usługi kluczowej,
• obszar geograficzny, którego dotyczy zakłócenie biorąc pod uwagę stopień odizolowania geograficznego.

Czym jest incydent poważny i jaka musi być reakcja podmiotu?

Incydent poważny, według ustawy o krajowym systemie cyberbezpieczeństwa, to incydent, który powoduje lub może spowodować poważne obniżenie jakości lub przerwanie ciągłości świadczenia usługi przez podmiot kluczowy lub podmiot ważny, straty finansowe dla tego podmiotu lub wpływa na inne osoby fizyczne, osoby prawne, jednostki organizacyjne nieposiadające osobowości prawnej przez wywołanie poważnej szkody materialnej lub niematerialnej;

Jeśli taki incydent wystąpi, podmiot kluczowy czy podmiot ważny ma obowiązek jego zgłoszenia do właściwego zespołu CSIRT sektorowego w terminie 72 godzin od momentu wykrycia. - Konieczne jest, aby incydenty poważne były zgłaszane do CSIRT sektorowych, aby mogły one zareagować na incydent i wesprzeć podmiot kluczowy lub podmiot ważny w jego obsłudze - wskazuje MC.

Brak zgłoszenia incydentu powoduje konieczność nałożenia administracyjnej kary pieniężnej na dany podmiot.

15 sektorów objętych rozporządzeniem – w tym energetyka i transport

Jak czytamy, projektowane rozporządzenie, w stosunku do obowiązujących przepisów, wprowadza zmiany polegające w szczególności na dostosowaniu progów do aktualnych realiów funkcjonowania usług oraz wymagań wynikających z prawa Unii Europejskiej.

Określenie progów uznania incydentu za poważny umożliwi podmiotom z danego sektora ustalenie momentu, w którym powstaje obowiązek zgłoszenia incydentu poważnego do właściwego zespołu CSIRT sektorowego – podkreśla resort.

Ponadto incydenty poważne negatywnie oddziałują nie tylko na sam podmiot kluczowy lub podmiot ważny, w którym incydent wystąpił, ale też w istotny sposób oddziałują na użytkowników usług danego podmiotu oraz na społeczeństwo i gospodarkę.

Projekt rozporządzenia określa progi dla w sumie 15 sektorów i podsektorów:

1. Sektor: Energia; Podsektor: Wydobywanie kopalin, Energia elektryczna, Ciepło, Ropa i paliwa, Gaz, Energetyka jądrowa, Wodór.
2. Sektor: Transport; Podsektor: Transport lotniczy, Transport kolejowy, Transport wodny, Transport drogowy.
3. Sektor: Ochrona zdrowia; Podsektor: Udzielanie świadczeń zdrowotnych i zdrowie publiczne, Produkcja i dystrybucja substancji czynnych, Produktów leczniczych i wyrobów medycznych.
4. Sektor: Zaopatrzenie w wodę pitną i jej dystrybucja.
5. Sektor: Zbiorowe odprowadzanie ścieków.
6. Sektor: Infrastruktura cyfrowa; Podsektor: Infrastruktura cyfrowa z wyłączeniem komunikacji elektronicznej, Komunikacja elektroniczna.
7. Sektor: Przestrzeń kosmiczna.
8. Sektor: Podmioty publiczne.
9. Sektor: Usługi pocztowe.
10. Sektor: Inwestycje energetyki jądrowej.
11. Sektor: Gospodarowanie odpadami; Podsektor: Zbieranie odpadów, Transport odpadów, Przetwarzanie odpadów, w tym sortowanie, wraz z nadzorem nad wymienionymi działaniami, a także późniejsze postępowanie z miejscami unieszkodliwiania odpadów, Działania wykonywane w charakterze sprzedawcy odpadów lub pośrednika w obrocie odpadami.
12. Sektor: Produkcja, wytwarzanie i dystrybucja chemikaliów.
13. Sektor: Produkcja, przetwarzanie i dystrybucja żywności.
14. Sektor: Produkcja; Podsektor: Produkcja wyrobów medycznych i wyrobów medycznych do diagnostyki in vitro, Produkcja komputerów, wyrobów elektronicznych i optycznych, Produkcja urządzeń elektrycznych, Produkcja maszyn i urządzeń, gdzie indziej niesklasyfikowana, Produkcja pojazdów samochodowych, przyczep i naczep, Produkcja pozostałego sprzętu transportowego.
15. Sektor: Badania naukowe.