Thresholds for Significant Incidents: Government to Set Rules for 15 Sectors Including Energy and Transport

The Ministry of Digital Affairs is drafting a new regulation to establish clear thresholds for significant cybersecurity incidents across 15 key sectors, replacing the 2018 legislation.

Thresholds for Recognizing a Significant Incident

Progi uznania incydentu za istotny. Rząd określi zasady dla 15 sektorów, w tym energetyki i transportu

Zgodnie z ustawą o krajowym systemie cyberbezpieczeństwa, kluczowe podmioty muszą składać poważne incydenty do właściwego sektorowo CSIRT-u. Tym samym konieczne jest określenie, jaki incydent może być uznawany za „poważny”. Właśnie nad tym pracuje Ministerstwo Cyfryzacji.

Ministerstwo Cyfryzacji pracuje nad projektem rozporządzenia Rady Ministrów w sprawie progów uznana incydentu za istotny – wynika informacji zamieszczonych na wykazie prac legislacyjnych i programowych Rady Ministrów. Projektowane rozporządzenie zastępuje dotychczas obowiązujące rozporządzenie Rady Ministrów z 31 października 2018 r. w sprawie progów uznania incydentu za poważny.

Prawidłowe ustalenie progów uznania incydentu za incydent poważny z jednej strony powinno uwzględnić zdarzenia rzeczywiście niebezpieczne, z drugiej strony progi nie powinny dotyczyć zdarzeń, które mają nikły wpływ na funkcjonowanie podmiotu – wskazuje resort.

Prawidłowe ustalenie progów uznania incydentu za incydent poważny z jednej strony powinno uwzględnić zdarzenia rzeczywiście niebezpieczne, z drugiej strony progi nie powinny dotyczyć zdarzeń, które mają nikły wpływ na funkcjonowanie podmiotu – wskazuje resort.

Zgodnie z ustawą o krajowym systemie cyberbezpieczeństwa progi uznania incydentu za istotny według zdarzenia w poszczególnych sektorach i podsektorach uwzględniają m.in.:

What Is a Serious Incident and Required Response?

Czym jest incydent poważny i jaka musi być reakcja podmiotu?

Incydent poważny, według ustawy o krajowym systemie cyberbezpieczeństwa, to incydent, który powoduje lub może spowodować poważne obniżenie jakości lub przerwanie ciągłości świadczenia usługi przez podmiot kluczowy lub podmiot ważny, straty finansowe dla tego podmiotu lub wpływa na inne osoby fizyczne, osoby prawne, jednostki organizacyjne nieposiadające osobowości prawnej przez wywołanie poważnej szkody materialnej lub niematerialnej;

Jeśli taki incydent wystąpi, podmiot kluczowy czy podmiot ważny ma obowiązek jego zgłoszenia do właściwego zespołu CSIRT sektorowego w terminie 72 godzin od momentu wykrycia. – Konieczne jest, aby incydenty poważne były zgłaszane do CSIRT sektorowych, aby mogły one zareagować na incydent i wesprzeć podmiot kluczowy lub podmiot ważny w jego obsłudze – wskazuje MC.

Brak zgłoszenia incydentu powoduje konieczność nałożenia administracyjnej kary pieniężnej na dany podmiot.

15 Sectors Covered by the Regulation

15 sektorów objętych rozporządzeniem – w tym energetyka i transport

Jak czytamy, projektowane rozporządzenie, w stosunku do obowiązujących przepisów, wprowadza zmiany polegające w szczególności na dostosowaniu progów do aktualnych realiów funkcjonowania usług oraz wymagań wynikających z prawa Unii Europejskiej.

Określenie progów uznania incydentu za poważny umożliwi podmiotom z danego sektora ustalenie momentu, w którym powstaje obowiązek zgłoszenia incydentu poważnego do właściwego zespołu CSIRT sektorowego – podkreśla resort.

Określenie progów uznania incydentu za poważny umożliwi podmiotom z danego sektora ustalenie momentu, w którym powstaje obowiązek zgłoszenia incydentu poważnego do właściwego zespołu CSIRT sektorowego – podkreśla resort.

Ponadto incydenty poważne negatywnie oddziałują nie tylko na sam podmiot kluczowy lub podmiot ważny, w którym incydent wystąpił, ale też w istotny sposób oddziałują na użytkowników usług danego podmiotu oraz na społeczeństwo i gospodarkę.

Projekt rozporządzenia określa progi dla w sumie 15 sektorów i podsektorów:

Materiał chroniony prawem autorskim – wszelkie prawa zastrzeżone.

Dalsze rozpowszechnianie artykułu za zgodą wydawcy INFOR PL S.A. Kup licencję.

Wpisz adres e-mail wybranej osoby, a my wyślemy jej bezpłatny dostęp do tego artykułu