Znowelizowana ustawa o Krajowym Systemie Cyberbezpieczeństwa (KSC), implementująca unijną dyrektywę NIS2, budzi uzasadnione obawy w sektorze B2B ze względu na szeroki katalog nowych obowiązków. W praktyce jednak organizacje nie muszą budować architektury bezpieczeństwa od zera, ponieważ firmy posiadające wdrożone procedury RODO oraz ramy normy ISO/IEC 27001 dysponują już doskonałym fundamentem do spełnienia wymagań nowej ustawy.
Silosowe podejście do bezpieczeństwa to błąd biznesowy
Wielu przedsiębiorców i dyrektorów IT traktuje zgodność z nowym KSC jako zupełnie oddzielny, techniczno-prawny projekt. Tworzenie izolowanych procedur (tzw. silosów) wyłącznie na potrzeby jednej ustawy prowadzi do dublowania dokumentacji, rozmycia odpowiedzialności oraz niepotrzebnego obciążenia pracowników. Zamiast pisać od podstaw odrębną Politykę Bezpieczeństwa Sieci i Systemów Informatycznych, znacznie lepszą i tańszą praktyką biznesową jest rozszerzenie istniejącej Polityki Bezpieczeństwa Informacji (PBI), z której organizacja korzysta na co dzień.
Dyrektywa NIS2 oraz polska ustawa o KSC opierają się na zasadzie podejścia uwzględniającego wszystkie zagrożenia (all-hazards approach). Oznacza to, że ustawodawca nie narzuca sztywnych ram technologicznych dla każdej firmy z osobna, lecz wymaga adekwatnego zarządzania ryzykiem. Dokładnie to samo założenie leży u podstaw normy ISO 27001. Oba standardy są ze sobą wysoce kompatybilne i powinny współdzielić kluczowe procesy audytowe w ramach jednego Systemu Zarządzania Bezpieczeństwem Informacji (SZBI).
Zarządzanie ryzykiem: Wspólny mianownik dla KSC, ISO i RODO
Szacowanie ryzyka to fundament każdej z wymienionych regulacji, jednak w modelu silosowym bywa przeprowadzane trzykrotnie, z użyciem różnych metodologii. Zamiast tego warto dostrzec, na czym skupiają się poszczególne ramy i jak je połączyć:
- RODO: Koncentruje się na ryzyku naruszenia praw i wolności osób fizycznych (ochrona prywatności i poufności danych osobowych).
- ISO 27001: Skupia się na bezpieczeństwie informacji jako aktywa biznesowego, chroniąc jego poufność, integralność i dostępność.
- KSC (NIS2): Priorytetyzuje bezpieczeństwo oraz ciągłość świadczenia usług kluczowych i ważnych, ze szczególnym uwzględnieniem odporności sieci i systemów na cyberataki.
Wdrażając znowelizowane KSC, organizacja powinna przyjąć jednolitą metodykę, na przykład opartą na normie ISO/IEC 27005. Wystarczy rozszerzyć dotychczasowe kryteria oceny skutków ryzyka o wpływ zdarzenia na ciągłość dostarczania usług biznesowych oraz stabilność łańcucha dostaw. Takie zintegrowane podejście nie tylko spełnia wymogi ustawy, ale stanowi również solidny dowód należytej staranności (due diligence) przed organami nadzorczymi.
Ciągłość działania (BCP) – tam, gdzie RODO nie wystarcza
Jedną z największych pułapek dla firm, które opierają swoje procedury bezpieczeństwa wyłącznie na dokumentacji ochrony danych osobowych, jest kwestia dostępności. O ile w RODO najwyższym priorytetem jest zapobieganie wyciekom danych na zewnątrz, o tyle ustawa o KSC kładzie ogromny nacisk na to, aby systemy działały nieprzerwanie, nawet podczas masowego ataku ransomware czy klęski żywiołowej.
Aby zniwelować tę lukę, firmy podlegające nowym przepisom muszą rozbudować plany zachowania ciągłości działania (Business Continuity Planning) oraz plany odtwarzania po awarii (Disaster Recovery Planning). Jeśli organizacja posiada wdrożoną normę ISO 27001:2022 (szczególnie kontrolkę A.5.30 dotyczącą gotowości ICT do zapewnienia ciągłości działania), spełnienie wymagań KSC w tym obszarze będzie polegało głównie na dostosowaniu parametrów RTO (Recovery Time Objective) oraz RPO (Recovery Point Objective) do krytyczności usług zdefiniowanych w ustawie.
Zabezpieczenia techniczne: Mapowanie ISO na wymogi KSC
Wymagane przez NIS2 minimalne środki zarządzania ryzykiem, przeniesione bezpośrednio do polskiej ustawy o KSC, można w płynny sposób zmapować na załącznik A do normy ISO 27001. Ułatwia to wykazanie zgodności bez generowania zbędnej papierologii:
- Higiena cybernetyczna i szkolenia: Wymóg budowania świadomości odpowiada kontrolce A.6.3 z normy ISO 27001 oraz ogólnym procesom HR.
- Polityki kontroli dostępu: Ustawa o KSC silnie rekomenduje stosowanie uwierzytelniania wieloskładnikowego (MFA). Jest to spójne z mechanizmami z ISO, takimi jak kontrolka A.5.15 (Kontrola dostępu) oraz A.8.5 (Bezpieczne uwierzytelnianie).
- Kryptografia: Wymóg zabezpieczania kanałów komunikacji i danych w spoczynku odpowiada kontrolce A.8.24 (Stosowanie kryptografii), która z kolei jest już powszechnie stosowana do zabezpieczania danych osobowych zgodnie z art. 32 RODO.
Rozszerzenie zakresu (Scope) jako wyzwanie wdrożeniowe
Kluczowym wyzwaniem przy łączeniu KSC ze standardem ISO 27001 jest redefinicja zakresu (scope) całego systemu zarządzania. W wielu firmach B2B certyfikacja obejmuje wyłącznie wybrane działy (np. serwerownię lub rozwój oprogramowania). Tymczasem KSC dotyczy całości procesów technicznych i organizacyjnych związanych ze świadczeniem konkretnej usługi zdefiniowanej przez prawo.
Organizacje muszą bezwzględnie zidentyfikować, które środowiska uczestniczą w realizacji usług kluczowych lub ważnych. Często oznacza to konieczność objęcia procedurami bezpieczeństwa technologii operacyjnych (OT), systemów SCADA, automatyki budynkowej czy systemów magazynowych (WMS). Z perspektywy RODO systemy te często pomijano, jeśli nie przetwarzały danych osobowych, jednak w świetle KSC ich odporność jest absolutnie krytyczna dla całego biznesu.
Regularne audyty i ciągłe doskonalenie (PDCA)
Wszystkie ramy compliance łączy fakt, że nie są to projekty jednorazowe. ISO 27001 opiera się na cyklu ciągłego doskonalenia (Plan-Do-Check-Act), RODO wymaga regularnego testowania i mierzenia skuteczności zabezpieczeń, a znowelizowana ustawa o KSC wprowadza wymóg przeprowadzania regularnych audytów bezpieczeństwa przez niezależne podmioty zewnętrze lub certyfikowanych audytorów. Zaplanowanie jednego, zintegrowanego audytu, weryfikującego jednocześnie zgodność z ISO, wymogami RODO oraz nowym KSC, pozwala zaoszczędzić dziesiątki tysięcy złotych rocznie na kosztach usług doradczych, minimalizując przy tym przestoje operacyjne w badanych działach.
Najważniejsze wnioski
- Nie buduj procedur KSC i NIS2 od zera – wykorzystaj mechanizmy już wdrożonego Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) oraz praktyki z RODO.
- Zunifikuj metodykę analizy ryzyka, rozszerzając standardowe kryteria ochrony danych osobowych o ocenę ciągłości świadczenia usług biznesowych oraz odporność infrastruktury sieciowej.
- Skoncentruj się na planach zachowania ciągłości działania (BCP) i odtwarzania po awarii (DRP), ponieważ KSC wymaga wysokiej dostępności i odporności, a nie tylko ochrony przed wyciekami danych.
- Zrewiduj i rozszerz zakres (scope) swoich procedur IT tak, aby objęły również technologie operacyjne (OT), które są kluczowe z punktu widzenia nowej ustawy.
- Zastąp silosowe audyty jednym, zintegrowanym procesem weryfikacji compliance, co drastycznie obniży koszty i zaoszczędzi czas pracowników.
Treść ma charakter informacyjny i edukacyjny — nie stanowi porady prawnej. Przy wyniku granicznym skonsultuj się z radcą prawnym lub adwokatem.