Współpraca kluczem do sukcesu

Odpowiedzią na zagrożenia związane z cyberprzestępczością jest projekt ustawy o krajowym systemie cyberbezpieczeństwa (po II czytaniu w Sejmie, które odbyło się 3 lipca 2018 r., projekt skierowany został do komisji w celu przygotowania dodatkowego sprawozdania). Stanowić on ma implementację postanowień tzw. dyrektywy NIS (Dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/1148 w sprawie środków na rzecz wysokiego wspólnego poziomu bezpieczeństwa sieci i systemów informatycznych na terytorium Unii). Rozwiązania w nim przewidziane opierają się na założeniu, że kwestia cyberbezpieczeństwa jest ważna nie tylko dla sektora publicznego, ale także sektora prywatnego. Środkiem do osiągnięcia tego wspólnego celu ma być stworzenie ram ich (obligatoryjnej!) współpracy. W konsekwencji projekt nakłada określone obowiązki nie tylko na podmioty publiczne, ale także na podmioty prywatne będące operatorami usług kluczowych lub dostawcami usług cyfrowych. Niewykonanie tych obowiązków może wiązać się z nałożeniem kary pieniężnej – w przypadku uporczywego niewykonywania obowiązków i postania określonych zagrożeń może ona wynosić nawet 1 000 000 zł.

Dalsza perspektywa – zapewnienie eurobezpieczeństwa

Obecnie zasadniczo trudno mówić o istnieniu jakiegokolwiek krajowego systemu cyberbezpieczeństwa. Brak bowiem ogólnych ponadsektorowych ram dla funkcjonowania takiego systemu, choć istnieją w tym zakresie liczne rozwiązania sektorowe np. w ustawie o świadczeniu usług drogą elektroniczną, ustawie o ochronie danych osobowych czy ustawie o systemie informacji i ochronie zdrowia.

W projekcie ustawy zaś po raz pierwszy zaproponowano rozwiązania uniwersalne (ponadsektorowe). Warto jednak podkreślić, że walka z cyberprzestępczością nie kończy się na rozwiązaniach krajowych. Projekt ten wpisuje się w proces tworzenia unijnego systemu cyberbezpieczeństwa (którego ramy wyznacza dyrektywa NIS).

Nowe obowiązki dla operatorów usług kluczowych

Projekt nakłada szereg nowych obowiązków na podmioty, które można określić jako „operatorów usług kluczowych” lub „dostawców usług cyfrowych”. Należą do nich przede wszystkim: systematyczne monitorowanie zagrożeń i dokonywanie oceny ryzyka, stosowanie środków technicznych i organizacyjnych adekwatnych do ryzyka oraz zgłaszanie incydentów. Trudno oprzeć się wrażeniu, że obowiązki te są analogiczne do obowiązków administratorów danych osobowych uregulowanych w RODO. Nie jest to przypadkowe – zarówno RODO, jak i dyrektywa NIS są częścią wspólnych ram mających umożliwić rozwój jednolitego rynku cyfrowego przy jednoczesnym zagwarantowaniu właściwego poziomu bezpieczeństwa obywateli UE. W konsekwencji, przy wykonywaniu obowiązków wynikających z projektu przedsiębiorcy a także podmioty publiczne będą mogli posiłkować się rozwiązaniami przyjętymi w ramach wdrażania RODO.

Operatorami usług kluczowych mogą być zarówno podmioty publiczne, jak i prywatne, co do których zostanie wydana decyzja o uznaniu ich za operatorów usług kluczowych. Podmioty te zostaną wskazane w niejawnym (dostępnym dla ograniczonego grona podmiotów takich jak Policja, Żandarmeria Wojskowa czy CBA) wykazie prowadzonym przez ministra właściwego ds. informatyzacji. Podobne wykazy będą równolegle tworzone w innych państwach członkowskich UE a operator, który został już wpisany na listę w jednym z państw, ma obowiązek poinformować o tym właściwy organ.

Kto jest operatorem usług kluczowych?

Operatorami usług kluczowych wpisanymi do polskiego wykazu mogą być wyłącznie podmioty spełniające łącznie poniższe warunki:

1. posiadające jednostkę organizacyjną (rozumianą szeroko, jak na gruncie RODO) w Polsce;
2. świadczące usługi wskazane w załączniku nr 1 do projektu, tj. usługi w zakresie energetyki, wydobywania kopalin, ciepłownictwa, bankowości i infrastruktury rynków finansowych, ochrony zdrowia, zaopatrzenia w wodę pitną i jej dystrybucji oraz infrastruktury cyfrowej (DNS, IXP oraz zarządzanie TLD),
3. jeżeli ich świadczenie zależy od systemów informacyjnych, a
4. incydent miałby istotny skutek zakłócający ich świadczenie.

Kluczowe jest zatem nie tylko to, jaką usługę świadczy dany operator, ale także jej architektura (uzależnienie od systemu informacyjnego) oraz odporność na incydenty. Biorąc jednak pod uwagę coraz większą digitalizację wskazanych sektorów, wydaje się, że warunek ten będzie spełniony w większości przypadków – przykładowo trudno obecnie sobie wyobrazić świadczenie usług z dziedziny bankowości bez sprawnie działających systemów informatycznych. 

Jakie obowiązki?

Do najważniejszych obowiązków operatorów usług kluczowych należało będzie w szczególności (pełny wykaz obowiązków zawiera rozdział 3 projektu):

• podejmowanie odpowiednich (opartych na ocenie ryzyka – w tej kwestii będzie można wykorzystać doświadczenia związane z wdrożeniem RODO) środków technicznych i organizacyjnych, uwzględniających najnowszy stan wiedzy (pomocne w tym zakresie mogą być m.in. standardy ISO/IEC 27001),
• gromadzenie informacji o zagrożeniach i podatności na incydenty,
• zarządzanie i obsługa incydentów,
• zgłaszanie incydentów mających istotny wpływ na ciągłość usług (zatem nie każdy incydent będzie podlegał zgłoszeniu),
• podejmowanie odpowiednich działań prewencyjnych lub naprawczych.

Przyjęcie projektu może wiązać się ze zmianami w strukturze organizacyjnej operatorów. Będą oni zobowiązani do wyznaczenia przedstawiciela do kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa oraz utworzyć odpowiednią jednostkę wewnętrzną ds. cyberbezpieczeństwa albo skorzystać z outsourcingu, tj. powierzyć wykonywanie zadań takiej jednostki profesjonalnemu (odpowiadającego wzorcowi „rzeczywistego profesjonalisty”) podmiotowi zewnętrznemu, który świadczy usługi w zakresie cyberbezpieczeństwa.

Podobnie jak w przypadku RODO ważnym elementem projektu są obowiązki informacyjne wobec usługobiorców. Zgodnie z projektem operatorzy usług kluczowych powinni zapewnić usługobiorcom dostęp do wiedzy o zagrożeniach i skutecznych sposobach dbania o bezpieczeństwo. Aby sprostać temu wymaganiu, mogą oni przykładowo zamieścić odpowiednie komunikaty na stronie www lub przesłać je w wiadomości email.

Zgodnie z zasadą rozliczalności operatorzy usług kluczowych powinni prowadzić dokumentację dotyczącą cyberbezpieczeństwa, zapewnić jej bezpieczeństwo (udostępniać ją wyłącznie osobom upoważnionym, chronić przed użyciem lub utratą integralności, odpowiednio oznaczać kolejne wersje np. za pomocą elektronicznego znacznika czasu) i przynajmniej raz na dwa lata przeprowadzić obligatoryjny (!) audyt bezpieczeństwa systemów informacyjnych.

Dostawcy usług cyfrowych – obowiązki dla dużych i średnich

Druga kategoria podmiotów, która musi liczyć się z nowymi obowiązkami, to dostawcy usług cyfrowych. Odkodowanie tego pojęcia może napotkać pewne przeszkody. Projekt (art. 2 pkt 15 projektu) odsyła do pojęcia „usługi cyfrowej” w rozumieniu ustawy o świadczeniu usług drogą elektroniczną (Dz. U. 2017 poz. 1219) a w ustawie tej brak definicji wspomnianego pojęcia. Jednocześnie w projekcie przyjęto, że usługami cyfrowymi są tylko te, które zostały wymienione w załączniku nr 2 do projektu. Wobec tego tam szukać należy wskazówki. Na liście w załączniku nr 2 znalazły się internetowe platformy handlowe (tj. platformy umożliwiające zawieranie online umów sprzedaży lub o świadczenie usług w relacjach B2B lub B2C, np. e-sklepy, platformy służące do rezerwacji noclegów, platformy streamingowe), usługi przetwarzania w chmurze i wyszukiwarki internetowe. Mikro- i mali przedsiębiorcy prowadzący wskazaną wyżej działalność mogą jednak odetchnąć z ulgą. Do tych kategorii przedsiębiorców (w rozumieniu ustawy z 6 marca 2018 r. – Prawo przedsiębiorców) projekt nie będzie miał zastosowania.

Do obowiązków dostawców usług cyfrowych należą m.in.

• podejmowanie odpowiednich i proporcjonalnych środków technicznych i organizacyjnych w celu zarządzania ryzykiem (pomocne mogą być wytyczne ENISA - Technical Guidelines for the implementation of minimum security measures for Digital Service Providers a także normy ISO/IEC 27001, CCS, OCF, BSI C5 lub NIST),
• podejmowanie działań prewencyjnych i naprawczych (ograniczenie wpływu incydentu na usługę i ciągłość jej świadczenia np. procedury fall-back, disaster recovery lub business continuity),
• wyznaczenie przedstawiciela w Polsce,
• monitorowanie, klasyfikowanie i niezwłoczne (24h od wykrycia) zgłaszanie wszelkich incydentów, co jest rozwiązaniem bardzo rygorystycznym. Łagodzi je jednak zastrzeżenie, że obowiązek zgłoszenia aktualizować się będzie jedynie wtedy, gdy będą oni mieli dostęp do informacji niezbędnych do oceny wpływu incydentu, takich jak: liczba użytkowników, których dotyczy incydent, czas jego trwania, zasięg terytorialny, zasięg zakłócenia funkcjonowania usługi i wpływ na działalność gospodarczą lub społeczną

Istotną kwestią, na którą trzeba zwrócić uwagę, jest możliwość ograniczenia ochrony tajemnicy przedsiębiorstwa. Organy wchodzące w skład krajowego systemu cyberbezpieczeństwa (CSIRT GOV, CSIRT NASK czy CSIRT MON), będą mogły zwrócić się do dostawcy usług cyfrowych o uzupełnienie zgłoszenia o informacje, które stanowią tajemnice prawnie chronione, w tym tajemnicę przedsiębiorstwa, w niezbędnym zakresie. W takiej sytuacji trzeba będzie pamiętać o właściwym oznaczeniu poufnego charakteru informacji.

Cyberbezpieczeństwo a ochrona danych osobowych – kompromis?

Obsługa incydentu będzie wiązała się z koniecznością krótkotrwałego przetwarzania danych. Choć w większości informacje potrzebne do tej czynności nie będą danymi osobowymi, to w przypadku danych, które będą miały taki status, nie można zapominać o ich ochronie i o RODO. Pojawić się może wątpliwość, czy operator usług kluczowych lub dostawca usług cyfrowych mogą przetwarzać dane w celu obsługi incydentu, a jeżeli tak, jaką podstawę przetwarzania powinni wskazać podmiotom danych? W ich przypadku podstawą prawną przetwarzania danych osobowych dla podmiotów z sektora prywatnego będzie prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO).

Co się zaś tyczy podmiotów z sektora publicznego, zgodnie z motywem 47 RODO podmioty te nie mogą powoływać się na uzasadniony interes administratora jako podstawę przetwarzania. Potrzebują do tego szczególnej podstawy prawnej a podstawę taką zawiera projekt. W myśl art. 39 CSIRT MON, CSIRT NASK, CSIRT GOV oraz sektorowe zespoły ds. cyberbezpieczeństwa będą mogły przetwarzać dane w zakresie i celu niezbędnym do realizacji ich zadań. Dodatkowo, podmioty te nie będą musiały realizować wszystkich obowiązków wynikających z RODO, w sytuacji, gdy uniemożliwiałoby to wykonywania zadań w zakresie cyberbezpieczeństwa. Dotyczy to m.in. zapewnienia dostępu do danych, sprostowania danych czy spełnienia żądania podmiotu ograniczenia przetwarzania danych. W tym zakresie zapewnienie cyberbezpieczeństwa wymusiło kompromis polegający na ograniczeniu praw podmiotów danych.

Podsumowanie

Od cyfryzacji kolejnych sfer naszego życia nie ma odwrotu. Okazuje się jednak, że cyfryzacja nie oznacza koniecznie „szybciej i taniej”. Cyfryzacja to także konieczność poniesienia kosztów nie tylko na samą informatyzację procesów biznesowych, ale i na ochronę przed nowymi zagrożeniami, które wcześniej nie istniały. Omawiany projekt ustawy pokazuje, że koszty te ponoszą w dużej mierze przedsiębiorcy, przy czym część z nich ponoszą autonomicznie, a część będzie musiała być poniesiona w ramach realizacji obowiązków ustawowych.

Artykuł autorstwa dr Darii Gęsickiej.