Nowela uKSC wchodzi w życie

Samoidentyfikacja, wpis do wykazu i zarządy, które nie unikną rozmowy o cyberbezpieczeństwie.

Do 3 października firmy muszą dokonać samoidentyfikacji – sprawdzić, czy podlegają nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa, i jeśli tak – zgłosić się do wykazu. Adam Kasperowicz, dyrektor IT i cyberbezpieczeństwa Grupy VAN wyjaśnia, dlaczego to znacznie więcej pracy niż zgłoszenie inspektora ochrony danych w RODO, gdzie firmy mogą się potknąć i czy zarządy, na które ustawa nakłada osobistą odpowiedzialność, naprawdę zmieniają podejście do cyberbezpieczeństwa.

Przypomnijmy – jaki dokładnie obowiązek, w związku z nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa, firmy muszą wypełnić do 3 października?

Do 3 października firmy mają obowiązek samoidentyfikacji, czyli sprawdzenia, czy podlegają pod przepisy znowelizowanej ustawy. Jeśli tak, to jest to zarazem termin, do którego muszą zgłosić się do wykazu KSC. Robią to elektronicznie, przez platformę S46.

Warto może powiedzieć, że nie jest to dość prosta w sumie czynność, tak jak kiedyś w przypadku RODO przy okazji zgłoszenia inspektora ochrony danych. Nie jest tak, że po prostu zbieramy podstawowe informacje i zgłaszamy. To znacznie więcej pracy. Z mojego punktu widzenia, z tego, co obserwuję na rynku i wśród innych firm, ta praca jest po prostu trudna, choćby w tym zakresie, gdzie się określa rodzaj działalności. Zapis w PKD nie daje nam automatycznie odpowiedzi. Wynika ona z prowadzonej na nowo analizy, o charakterze niekiedy „śledztwa”, tego, jaki faktycznie rodzaj – rodzaje działalności prowadzimy.

W toku tego rozeznania wychodzi na jak wiele zapomnianych i dlatego być może zaskakujących faktów. Czasami prowadzimy działalności, które nie są naszymi podstawowymi, ale podlegają pod KSC. Mogę podać przykłady, bo ostatnio spotkałem się z takimi firmami. Na przykład jedna z firm typowo produkcyjnych pozyskała koncesję na sprzedaż energii. Automatycznie stała się też producentem energii i sprzedawcą energii. W załączniku numer jeden uKSC firmy związane z energią są wymienione, więc ta firma – chociaż nie produkuje de facto energii i w załączniku nie figuruje jako jej producent – okazuje się być firmą podlegającą przepisom dla producentów i sprzedawców energii. Dla tej firmy to było zaskoczenie.

Inny przypadek, mniej powszechny, zdarza się w grupach kapitałowych. Grupy niekiedy dysponują centrum usług wspólnych. Taki dział realizuje czasem funkcje związane z cyberbezpieczeństwem dla wszystkich spółek grupy. W przepisach KSC tego typu działalność nazywa się zarządzanie usługami – i też będzie podlegała przepisom. W efekcie firma, która prowadzi działalność na pierwszy rzut oka odległą od obszarów zainteresowania KSC, w nieoczywisty sposób może też mu podlegać.

Już na etapie zbierania tych informacji pojawiała się więc pierwsza trudność. To jest rzecz, której nie można zrobić bezwiednie – wymaga przemyślenia, analizy. Zresztą dobrą praktyką jest dokumentowanie takiej analizy. Firmy często spierają się w tym zakresie z prawnikami, wewnętrznymi czy zewnętrznymi kancelariami, czy też z firmami, które po prostu wspierają wdrażanie KSC.

Pytanie trochę podchwytliwe: czy nie łatwiej było założyć, że się podlega i w toku tej analizy starać się to wykluczyć?

To jest podjęcie ryzyka, że jednak nadzór uzna, że firma podlega, a kary są znaczące – i to nie tylko dla firm, ale też dla osób zarządzających. Myślę, że większość firm raczej nie chciałaby podjąć takiego ryzyka. Częściej może to być nieświadomość, brak świadomości, że podlegamy.

Czy ten proces zostaje w firmie po zgłoszeniu do wykazu – bo co jakiś czas można sprawdzać stan rzeczy?

Faktycznie, to nie jest jednorazowy akces do KSC, tylko ciągły proces. Osoby, które w organizacji są odpowiedzialne za utrzymanie i wdrażanie KSC, będą musiały dbać o to, żeby na czas – bo tam też jest podany czas, w jakim taka zmiana powinna być rejestrowana – te obowiązki realizować.

Jak wyglądał proces samoidentyfikacji, ile to przeciętnie zajmowało czasu i zasobów?

Przeciętnie – według mnie są to bardziej dni niż godziny. Składanie wpisu oznacza też podpisanie się – jest to wyraźnie zaznaczone – pod rygorem odpowiedzialności karnej za prawdziwość danych. Nie jest to więc proces, który się robi całkowicie bezwiednie. Musi to zrobić wyznaczona osoba uprawniona do złożenia takiego wpisu.

Często nawet szef bezpieczeństwa nie może, bo takich uprawnień nie posiada (Faktycznie uprawnienia posiada osoba wpisana w KRS, czyli z Zarządu. Możliwe jest też powołanie pełnomocnika. W takim przypadku może to być np.: szef bezpieczeństwa). Ten aspekt nadaje temu wydarzeniu określoną wagę – dane mają być prawidłowe, wniosek ma być złożony w sposób prawidłowy. Dlatego mówiąc o dniach albo nawet dłuższym czasie – mam na myśli przygotowanie się do złożenia wniosku.

Może najdłużej zajmuje zebrania zespołu, który się tym zajmie i będzie miał odpowiednią wiedzę i kompetencje, żeby te informacje złożyć?

Masz rację. Zaczęliśmy od samej identyfikacji, od rodzaju działalności, od sprawdzenia w załącznikach, ale są jeszcze inne elementy. Żeby złożyć wniosek, trzeba też zebrać dane o adresach IP i domenach dla usług, które są świadczone publicznie. To wymaga czasami skontaktowania się z właściwymi osobami w organizacji, które odpowiadają za te systemy, są ich właścicielami albo mają takie informacje. Wiadomo, że tych informacji może nie posiadać nikt z działu prawnego, ani nawet z zarządu, bo to są adresy IP czy domeny. Nawet ta koordynacja wymaga pewnego czasu.

Łatwo sobie wyobrazić, że im większa organizacja i im więcej świadczonych publicznie usług, aplikacji, które podlegają i które z punktu widzenia organizacji trzeba ujawnić we wpisie, tym więcej to czasu zajmie. To nie jest łatwe do zdefiniowania, zależy od wielkości organizacji. Trzeba też pamiętać o strukturach organizacji – spółki mogą być powiązane, co trzeba uwzględnić w klasyfikacji. Jak się o tym w ten sposób pomyśli, to widać, że skala firmy przede wszystkim determinuje ten czas. Im większa firma, tym prawdopodobnie potrzebuje więcej czasu. Mniejsza zmieści się w krótszym.

Zakładamy, że wszyscy ci, którzy powinni, zgłoszą się. Jaka będzie dalsza procedura w relacji z regulatorem, nadzorcą?

Na pewno nastąpi natychmiastowe potwierdzenie przesłania wniosku o zgłoszenie do rejestru. Nastąpi weryfikacja, czy taka firma już nie jest wpisana. Wiemy, że przed samą identyfikacją był proces, w ramach którego następowało automatyczne wpisywanie pewnych firm na tę listę, z racji tego, że Ministerstwo Cyfryzacji wiedziało, że te firmy na pewno podlegają. Była więc jakaś grupa firm wpisana wcześniej i jeżeli taka firma spróbuje się teraz wpisać, dostanie informację, że wpis już jest.

Ważną zmianą jest kwestia nałożenia na kierownictwo firmy osobistej odpowiedzialności za realizację obowiązków z zakresu cyberbezpieczeństwa. Czy można powiedzieć, że jesienią 2026 roku zarządy inaczej potraktują cyberbezpieczeństwo w organizacji? Że dokonał się jakiś przełom?

Myślę, że raczej pojawił się pewien trend narodzin takiej świadomości znaczenia cyber. Jeżeli mówimy o organizacjach, które są duże, które mają taki profil działalności, że często już pod różnego rodzaju przepisy podlegają, to oczywiście one mają one wysoką dojrzałość w tym zakresie. Mają świadomość, że zarząd odpowiada też za ciągłość działania, poprzez budowanie odporności cyfrowej, cyberbezpieczeństwa.

Natomiast jeżeli chodzi o inne firmy, które dotychczas nie miały rozbudowanych działów bezpieczeństwa, nie doświadczały poważnych, krytycznych incydentów, ta świadomość istnieje zapewne jeszcze w niewielkim stopniu. Myślę, że to dotyczy wielu firm.

Posłużę się przykładem: w 2018 roku mieliśmy wdrożenie RODO i to była duża zmiana. Nagle pojawiła się informacja, że na firmy mogą być nakładane duże kary z powodu złamania wymagań dotyczących bezpieczeństwa danych osobowych. Później zarządzający zobaczyli jednak, że w praktyce tych kar nie było aż tak dużo. Oczywiście były przypadki spektakularne, w praktyce natomiast często były odwołania.

Skuteczne.

Tak, skuteczne. I przez pryzmat tych doświadczeń i obserwacji kształtuje się nastawienie zarządów. Pomimo że zarządy rozumieją znaczenie tych kar, dalej mogą się ich nie obawiać, bo nie wiedzą, jaka będzie praktyka, ryzyko nałożenia i egzekwowania kar.

Wydaje mi się więc, że świadomość jest, natomiast nie wiem, czy to taki game changer i wszystkie firmy stawiają na cyberbezpieczeństwo, na poważne inwestycje, na dostosowanie do tych wymogów. Wydaje mi się, że to jeszcze nie ten moment.

Wcześniej myśleliśmy, że 3 października będzie terminem bardzo głośnym, ale tak naprawdę część firm rzeczywiście zaczęła coś robić wcześniej i na pewno są dobrze przygotowane do KSC II. Znam takie firmy, rozmawiam z takimi, które już wykonały wszystkie kroki, dopinają jakieś elementy i w zasadzie jesienią będą gotowe.

Ale są też firmy, które praktycznie nic jeszcze nie zrobiły, skupiły się teraz na przygotowaniu do złożenia wpisu do S46. A zarazem patrzą na to z pewną nieufnością, czy na pewno muszą, czy powinny angażować się w takim stopniu, jak słyszą od osób w swojej organizacji, które są wyznaczone do tego, żeby to wdrożenie wspierać. Nie zawsze chyba będą gotowe do poniesienia takich inwestycji.

Pewnie nie przysłużyła się sprawie wieloletnia historia nowelizacji uKSC.

Na pewno. Wiele słyszeliśmy o kolejnych projektach nowelizacji KSC w związku z implantacją NIS2. Prace trwały latami.

Te lata zwłoki powodowały pewne uśpienie. Wiele zarządów, wiele osób z działów nie wiedziało do końca, jaki przyjmie ostateczny kształt, jak restrykcyjne będą przepisy. Dlatego odkładali różne inwestycje do czasu, aż to się wyklaruje.

Dziś większa część zarządów zapewne zaczęła działać, ale część dalej się zastanawia, bo przepisy pozostawiają pewne pole do interpretacji. Nie jest tak, że każda firma ma jednoznacznie określone obowiązki.

Rozmawiając z szefami bezpieczeństwa różnych firm, spotkałem się z różnym podejściem, widzę, że te obowiązki były różnie interpretowane. Wiem, że niektórzy na przykład oceniają, że nie mają możliwości inwestować w najbardziej zaawansowane rozwiązania i sposoby wdrażania wymogów, więc stawiają na coś „lżejszego” – to też zależy od wielkości firmy.

Może ta swoboda interpretacji zadziała. Ale to oczywiście rodzi ryzyka dla zarządu: jeżeli będą podlegały jako podmioty kluczowe pod KSC, to obowiązkowość audytu spowoduje, że mogą im być wytknięte błędy. Sądzę jednak, że działa podejście: zróbmy minimalne dostosowanie się do wymogów i zobaczymy, co będzie z pierwszym audytem. Jak nam wytkną, że w niewystarczającym stopniu spełniamy wymogi, to dołożymy inwestycje. Myślę, że wiele firm pójdzie tą drogą i będzie starało się spełnić minimalne wymogi.

Zresztą spójrzmy na historię. W przypadku RODO też tak było, że firmy szły po linii najmniejszego oporu. To wynika z mniejszych budżetów, mniejszej struktury, mniejszych możliwości. Niektóre mniejsze organizacje kupowały gotowy zestaw dokumentacji, szablonów i sobie wypełniały. Niektórzy nawet mówili: „Ja mam Office 365, przecież oni są zgodni z RODO, ja już mam RODO w firmie”. Taka jest – była rzeczywistość.

W zarządach większych firm spodziewam się większego zrozumienia, że to element, który wpływa na ciągłość działania, na odporność firmy. Ale ważne zastrzeżenie: nie należy oczekiwać, że zarządy będą w pełni koncentrować uwagę na KSC, bo dla nich – tylko i aż – kolejna potencjalna sankcja. Więc oni także często wybiorą plan minimum.

Straciłem z pola widzenia estymacje dotyczące liczby firm, które będą podlegać KSC. Raz nawet o 60 tysiącach, potem 40 tysięcy, czasem spadało do 20 tysięcy. Czy dzisiaj są już precyzyjniejsze?

Myślę, że jeszcze nie ma. W lipcu pojawiły się informacje, że w S46 zarejestrowało się kilkaset firm. Nie wiem, jaki jest stan na teraz. Myślę, że takiej wiedzy nie ma, zwróćmy uwagę, że te szacunki były podawane przez różne firmy.

Tak samo jest z innym pytaniem: ilu jest w Polsce szefów bezpieczeństwa, rzeczywistych CISO, którzy mają budżet, swoje działy. W ramach jednej ze społeczności, w których działam (CSO Council – przyp. red.), padały różne odpowiedzi i były one tak skrajne, że w jednej publikacji minister cyfryzacji podawał liczbę kilku tysięcy, a sama społeczność dyrektorów bezpieczeństwa, szacowała ją na około 300 osób.

To bardzo mało.

Zwróćmy uwagę, że teraz wszystkie firmy, które zajmują się pomocą we wdrażaniu cyberbezpieczeństwa, wyraźnie podkreślają, że nie można utożsamiać działu IT z cyberbezpieczeństwem. Spełnienie obowiązków z KSC to szerszy, bardziej ogólnoorganizacyjny problem i często wymaga wyspecjalizowanych umiejętności i ludzi. To nie do końca jest funkcja IT.

Popatrzmy też na to, że zwłaszcza w większych organizacjach IT odpowiada za operacje i dąży do optymalizacji. Cały czas dąży do tego, żeby te operacje wykonać jak najtaniej. I z myślą o tym zarządza doborem infrastruktury, procesów.

Umieszczenie w IT funkcji bezpieczeństwa powoduje sprzeczność: bezpieczeństwo potrzebuje inwestycji, żeby chronić zasoby. Z jednej strony mamy więc dążenie do optymalizacji i zmniejszania kosztów, a z drugiej potrzebę wydawania. Trudno to pogodzić. Dlatego dobrą praktyką jest rozdzielenie tych budżetów i kompetencji. To się dzieje w dużych organizacjach, gdzie działy bezpieczeństwa nie odpowiadają za operacje. Takie działy cyber wymagają pewnej skali firmy. Przy mniejszych jest to bardzo trudne. Tam faktycznie te funkcje się mieszają, często ludzie z IT są też od bezpieczeństwa.

Jak to się ma do kolejnych kamieni milowych uKSC związanych z audytami. Czy praca przy nich będzie wymagać coraz więcej ludzi i zasobów, będzie coraz bardziej angażująca?

Z mojego punktu widzenia jest to właśnie niebezpiecznie skonstruowane.

Odstęp pomiędzy wpisem do wykazu a obowiązkiem, od którego trzeba być gotowym, trzeba spełniać wymagania, jest bardzo krótki – zostało pół roku, do kwietnia 2027. Nie wiem, dlaczego dopiero po roku są audyty. Ja bym to trochę inaczej rozłożył. Bo ile można zrobić w pół roku?

Przywołam znowu model tej hipotetycznej firmy, która nie robiła przed wpisem do wykazu zbyt wiele w zakresie cyber, czekała, jak się wyklaruje ustawa, czy będzie zatwierdzona i kiedy będzie obowiązywać, a potem trochę odłożyła te kwestie – to prawdopodobnie w pół roku między wpisem a jego oceną może mieć duże trudności, żeby spełnić wszystkie wymagania. Może wybierze sobie te elementy, które może spełnić, a dla tych, których nie może, wymyśli coś, co zmniejszy ryzyko, aby uniknąć kary w trakcie audytu.

I tu chyba jest podstawowa trudność: tak ustawiony harmonogram, przy takich uwarunkowaniach, to przepis na spóźnienie wielu firm z działaniami. Nie wiem, na ile oni przykładają wagę do tego ryzyka, albo są świadomi, że od przyszłego kwietnia trzeba już być zgodnym z uKSC. Wstecznie, rok później, ktoś może upomnieć się o to, co było w kwietniu: pokaż mi, jak wyglądała obsługa incydentów, jak wyglądało monitorowanie, pokaż mi rozliczalność z tego, że byłeś przygotowany. Widzę więc zagrożenie, że zarządy myślą: mamy jeszcze półtora roku do audytów. A te kamienie milowe pokazują, że trzeba być gotowym wcześniej niż na moment audytu.

Sporo tych wątpliwości i rozterek po stronie firm, jak na ustawę, która przecież nie była takim zaskoczeniem. 

Nie dziw się. Musimy patrzeć na inne przykłady z historii, choćby nasz KSeF, który już startował, a potem nagle został zatrzymany, bo była obawa o wydajność tego systemu, o poprawność, bezpieczeństwo. Może tak jest znowu. Zarządzający też to przeżyli i widzą takie realia.

W przypadku RODO też mieliśmy taką sytuację, że praktyka w zależności od tego, kto był prezesem urzędu, była różna i działania też były różne. Nie wiem, czy to najlepszy przykład, ale możemy się spodziewać, że w zależności od tego, kto będzie odpowiadał za te działania w danym momencie, będzie w różny sposób do tego podchodził.

Trzeba patrzeć od strony pragmatycznej, bo w nagłówkach, na LinkedInie często podchodzi się do tego zero-jedynkowo. Czytamy literalnie, co jest napisane w przepisach, ogłaszamy to jako prawdę objawioną. Zamiast patrzeć praktycznie, bo życie uczy, że nie jest to wszystko całkowicie pewne. Dochodzi jeszcze praktyka.

Kary finansowe mają się pojawić dopiero po tym okresie przejściowym, prawda? Jak to oceniasz?

To jest bardzo ciekawe. Zarządzający wiedzą, że nie są na wieczność. Czasami mają kontrakty, które nie są bardzo długoterminowe, i znają sytuacje, kiedy ktoś odpowiada za wdrożenie, ale zostaje w międzyczasie zastąpiony kimś innym.

Ponadto działają w obszarze, gdzie zmiennych jak ceny infrastruktury, rewolucja AI, itd., które muszą brać pod uwagę, jest tak wiele, że być może KSC nie jest w ogóle największym problemem. Mam wrażenie, że oni po prostu widzą to jako jeden z wielu elementów.

Natomiast nie zmienia to faktu, że z mojego punktu widzenia dobrze się stało, że taki nacisk został położony i że zarządzający zostali włączeni w ten proces. Nie mogą już delegować tego całkowicie, nie mogą od siebie odsunąć zrozumienia bezpieczeństwa. W samych przepisach jest obowiązek szkoleń zarządzających, co powoduje, że świadomość na pewno będzie rosła. Wydaje się też, że inwestycje mają większe szanse niż gdyby tych przepisów nie było.

Spodziewasz się, że po wdrożeniu KSC te ramy – harmonogram, wybór elementów – spowodują, że cyberbezpieczeństwo będzie traktowane dojrzalej i poważniej, będzie efektywniejsze?

Jestem w tym względzie optymistą. Włączono obowiązek zarządzających – nawet samo zgłoszenie do wykazu wymaga, żeby zrobiła to osoba zarządzająca – reprezentująca firmę, ewentualnie pełnomocnik, co pewnie czasami się zdarza. Skoro te przepisy nakładają te obowiązki, a wiemy, że w wielu organizacjach nie ma takiego poziomu, jaki jest wymagany – bo ten poziom jest moim zdaniem bardzo wysoko postawiony, żeby spełnić wszystkie wymagania znane z KSC – to zarządzający nie uniknął takiej rozmowy o tym, co musimy zrobić. Jaką analizę luk wykonać, czego jeszcze nie mamy, co to oznacza dla nas, jakich zasobów potrzebujemy, finansowych i innych. Oni są włączeni w rozmowę, w której kiedyś nie musieli być, bo często po prostu reagowali: jest osoba od bezpieczeństwa albo IT, niech to zrobi. W ten sposób odcinali się od myślenia o odporności cyfrowej, cyberbezpieczeństwie.

W tym momencie siłą rzeczy są włączeni. Nie potrafię sobie wyobrazić, w jaki sposób mogliby uniknąć tej rozmowy. Ciężko więc nie być optymistą, że sama rozmowa spowoduje, że ten obszar stanie się im bliższy, bo będą mogli go zrozumieć przez rozmowę z osobami, które się na tym znają. Wraz z obowiązkami poziom świadomości zarządów o cyber – dotąd umiarkowanie niski – wzrośnie.