Komentarz ekspercki na temat Krajowego Systemu Cyberbezpieczeństwa (KSC)

Ustawa o Krajowym Systemie Cyberbezpieczeństwa w pierwotnym kształcie obowiązuje w Polsce od 2018 r. Jej nowelizacja, której celem jest dostosowanie zarówno do przepisów unijnej dyrektywy NIS2, jak i do współczesnych cyberzagrożeń, stanowi jeden z aktualnych priorytetów Ministerstwa Cyfryzacji. Zmiany legislacyjne mają wejść w życie jeszcze w 2024 r. Co należy o nich wiedzieć?

Komentarza eksperckiego udzielił: Dominik Wcibisz, Regional Implementations Lead w Iron Mountain.

Krajowy System Cyberbezpieczeństwa (KSC) został powołany, aby wspierać zapewnienie ciągłości działania kluczowych usług z punktu widzenia państwa, odpowiednio reagować na incydenty związane z cyberzagrożeniami oraz podnosić świadomość czy też kompetencje w zakresie cyberbezpieczeństwa wśród obywateli i przedsiębiorstw. Nadrzędnym celem pozostaje zwiększenie szeroko rozumianej odporności krajowej infrastruktury na ataki cybernetyczne poprzez zintegrowane działania prewencyjne, edukacyjne oraz reakcyjne. To niezwykle ważny i aktualny temat, który z biegiem czasu będzie tylko przybierał na znaczeniu. W 2023 r. aż 66% firm odnotowało przynajmniej jeden incydent związany z cyberbezpieczeństwem, a ich odsetek wzrósł rok do roku o 8 punktów procentowych[1].

Główne założenia leżące u podstawy nowelizacji ustawy o KSC z 2018 r. mają zagwarantować nowym przepisom jeszcze większą skuteczność w odpowiedzi na współczesny krajobraz cyberzagrożeń. Poprzez regionalne centra operacyjne oraz krajowy punkt kontaktowy resort cyfryzacji kładzie duży nacisk na efektywną koordynację działań oraz usprawnienie komunikacji poszczególnych podmiotów odpowiedzialnych za cyberbezpieczeństwo. Równie istotna pozostaje także współpraca z instytucjami międzynarodowymi, co sprzyja skuteczności działań prewencyjnych i obronnych.

Ponadto KSC wprowadza obowiązek regularnych audytów i testów penetracyjnych mających na celu identyfikację, a następnie eliminację słabych punktów systemów informatycznych. Podniesienie standardów bezpieczeństwa następuje również poprzez implementację rygorystycznych wymogów dotyczących zabezpieczeń, w szczególności w strategicznych dla funkcjonowania państwa sektorach, takich jak energetyka, transport, finanse czy ochrona zdrowia.

W mojej ocenie niepomijalnym fundamentem każdego projektu tego rodzaju powinny być jednoczesne działania edukacyjne dotyczące zagrożeń, arsenału cyberprzestępców, ale także sposobów na stawianie im czoła lub reagowanie w przypadku konkretnych incydentów. W ramach swoich kompetencji, KSC może wprowadzać dodatkowe obowiązki dla określonych podmiotów, zwłaszcza dla operatorów usług kluczowych oraz dostawców usług cyfrowych, które mają prowadzić do zwiększania świadomości cyberzagrożeń wśród pracowników i innych obywateli. Na kanwie zacieśnionej współpracy pomiędzy KSC a resortem edukacji promowana jest edukacja w zakresie cyberbezpieczeństwa w szkołach i na uczelniach wyższych, co w dłuższej perspektywie przełoży się na zwiększenie zasobów kadrowych o takiej specjalizacji. Kierunki związane z cyberbezpieczeństwem są aktualnie jednymi z najbardziej obleganych. Nawet 18 kandydatów aspirowało w 2023 r. do 1 miejsca na kierunku pod nazwą „Informatyka i Systemy Inteligentne”, a biorąc pod uwagę ogólną liczbę kandydatów najpopularniejsza pozostaje „Informatyka” (ponad 43 tys.)[2].

Ujednolicenie i usprawnienie procedur dotyczących monitorowania, zgłaszania i reagowania na incydenty cyberbezpieczeństwa ma wpłynąć na skrócenie czasu oraz zwiększenie skuteczności reakcji, wpływając tym samym na minimalizację ich skutków. Nad całością czuwa powołany w tym celu zespół reagowania na incydenty bezpieczeństwa komputerowego – CSIRT, czyli Computer Security Incident Response Team, który monitoruje i analizuje zagrożenia w czasie rzeczywistym. W Polsce istnieje kilka CSIRT-ów, w tym CSIRT GOV – dedykowany administracji rządowej, CSIRT NASK – działający w ramach Naukowej i Akademickiej Sieci Komputerowej oraz CSIRT MON – dla Ministerstwa Obrony Narodowej. Każdy z nich ma określony zakres działania i specjalizację w zależności od sektora, który obsługuje.

KSC zakłada również aktywne uczestnictwo Polski w międzynarodowych inicjatywach i organizacjach zajmujących się cyberbezpieczeństwem. Współpraca z partnerami z Unii Europejskiej umożliwia wymianę najlepszych praktyk i technologii, co wzmacnia zdolności obronne naszego kraju w tym zakresie. Wiele krajów UE powołało podobne urzędy odpowiedzialne za ten obszar. Na przykład w Niemczech działa Federalny Urząd ds. Bezpieczeństwa Informacji (BSI), we Francji Agencja Bezpieczeństwa Systemów Informacyjnych (ANSSI), a w Wielkiej Brytanii Narodowe Centrum Cyberbezpieczeństwa (NCSC). Te instytucje, podobnie jak KSC w Polsce, zajmują się monitorowaniem i reagowaniem na zagrożenia cybernetyczne, koordynacją działań na poziomie krajowym oraz współpracą międzynarodową.

Krajowy System Cyberbezpieczeństwa w Polsce jest zgodny z założeniami NIS2 i implementuje jej przepisy na poziomie krajowym. Dzięki temu polskie regulacje są spójne z unijnymi standardami, co ułatwia współpracę międzynarodową i wymianę informacji o zagrożeniach. Wdrożenie NIS2 w ramach KSC oznacza m.in. większą odpowiedzialność operatorów usług kluczowych i dostawców usług cyfrowych za zapewnienie wysokiego poziomu bezpieczeństwa swoich systemów informacyjnych.

Nie mam wątpliwości, że znowelizowana ustawa o KSC odegra kluczową rolę w zapewnieniu stabilności i bezpieczeństwa infrastruktury krytycznej w Polsce. Na etapie przygotowań do ich wdrożenia priorytetem pozostaje dostosowanie przepisów do dynamicznie zmieniającego się krajobrazu cyberzagrożeń, co jest absolutnie niezbędne w obliczu rosnącej liczby incydentów cybernetycznych. Uważam, że kluczowym elementem skuteczności KSC są nie tylko działania prewencyjne i reakcyjne, ale również edukacja i podnoszenie świadomości wśród wszystkich obywateli. Inwestowanie w wiedzę i umiejętności z zakresu cyberbezpieczeństwa jest fundamentem budowania odporności na ataki i przygotowania na przyszłe wyzwania w tym zakresie.

[1] Barometr Cyberbezpieczeństwa, KPMG, 2024

[2] Dane MEN za 2023 r.