CyberSec Update #41: Progi incydentów poważnych | KWKR

Nadchodzą zmiany w określaniu progów uznania incydentu za poważny

Z początkiem września opublikowany został projekt rozporządzenia Rady Ministrów, który będzie określał progi uznania incydentu za poważny w poszczególnych sektorach i podsektorach wskazanych w załącznikach do ustawy o krajowym systemie cyberbezpieczeństwa (uKSC).

Jakich sektorów dotyczą progi uznania incydentu za poważny?

Projektowane rozporządzenie określa progi uznania incydentu za poważny m.in. w następujących sektorach:

• energia,
• transport,
• ochrona zdrowia,
• infrastruktura cyfrowa,
• gospodarowanie odpadami,
• produkcja.

Nie jest na razie znana dokładna liczba podmiotów, na które będzie oddziaływał projekt. Do 3 października trwał bowiem proces samoidentyfikacji podmiotów kluczowych oraz podmiotów ważnych w Wykazie KSC.

Zgłaszanie incydentów poważnych do CSIRT

Przypomnijmy, że uKSC nakłada na podmioty kluczowe oraz podmioty ważne obowiązek zgłaszania incydentów poważnych. Zgłoszenie powinno zostać dokonane za pomocą systemu teleinformatycznego, o którym mowa w art. 46 ustawy, tzw. Systemu S46, do właściwego zespołu CSIRT sektorowego.

Termin na dokonanie zgłoszenia wynosi 72 godziny od momentu wykrycia incydentu.

Dla części podmiotów progi zostały już określone

Warto podkreślić, że dla niektórych podmiotów kluczowych i podmiotów ważnych progi incydentu zostały już ustalone w rozporządzeniu wykonawczym Komisji (UE) 2024/2690 z dnia 17 października 2024 r., ustanawiającym zasady stosowania dyrektywy (UE) 2022/2555.

Dotyczy to m.in. części podmiotów z sektora „Infrastruktura cyfrowa”, w tym dostawcy punktu wymiany ruchu internetowego, podmiotu świadczącego usługę rejestracji nazw domen oraz przedsiębiorcy komunikacji elektronicznej.

Bankowość i infrastruktura rynków finansowych poza projektem

Projekt krajowego rozporządzenia nie określa również progów uznania incydentu za poważny w sektorach bankowości oraz infrastruktury rynków finansowych.

Właściwym aktem prawnym w tym zakresie pozostaje rozporządzenie delegowane Komisji (UE) 2024/1772, którego celem jest uzupełnienie rozporządzenia powszechnie znanego jako rozporządzenie DORA.

Jak będzie oceniane, czy incydent jest poważny?

Zgodnie z projektowanymi założeniami podmioty kluczowe i podmioty ważne, oceniając dane zdarzenie, będą brały pod uwagę wartości progowe odnoszące się do:

• liczby użytkowników, których dotyczy zakłócenie świadczenia usługi,
• czasu oddziaływania incydentu na świadczoną usługę,
• zasięgu geograficznego obszaru, którego dotyczy incydent,
• innych czynników charakterystycznych dla danego podsektora.

Strata finansowa przekraczająca 2 mln zł

Co istotne, w przypadku gdy incydent spowoduje straty finansowe, za incydent poważny uznany zostanie taki, w przypadku którego strata finansowa przekroczy 2 000 000 zł.

Kiedy nowe przepisy wejdą w życie?

Projekt rozporządzenia nie przewiduje okresu przejściowego. W razie jego uchwalenia nowe przepisy wejdą w życie po upływie 14 dni od dnia ogłoszenia.