Pełnomocnik ds. cyberbezpieczeństwa jako osoba kontaktowa CSIRT może przejąć formalnoprawną część komunikacji prowadzonej w krajowym systemie cyberbezpieczeństwa. Art. 9 UoKSC wymaga co do zasady wyznaczenia co najmniej dwóch osób odpowiedzialnych za kontakty, ale samo podanie ich danych we wniosku do Wykazu KSC nie zapewnia gotowości. Zarząd powinien zadbać o właściwe umocowanie, dostęp do informacji i Systemu S46, zastępstwo oraz procedurę pozwalającą zareagować również poza standardowymi godzinami pracy.
Osoby wyznaczone przez organizację muszą wiedzieć, kto wykrywa incydent, kto dostarcza dane techniczne, kto dokonuje kwalifikacji prawnej i kto zatwierdza treść przekazywaną organom. Bez takiego podziału odpowiedzialności ustawowy termin może upłynąć, zanim informacja dotrze od administratora systemu do osoby mającej dostęp do S46.
Model podstawowyprawo + technologia
Narzędzie komunikacjiSystem S46
Ustawa nie zastrzega tej funkcji wyłącznie dla pracownika podmiotu. Model z osobą zewnętrzną wymaga jednak formalnego wyznaczenia, odpowiedniego zakresu umowy, bezpiecznego dostępu do informacji i faktycznej gotowości do działania. Właściwy dla organizacji może być CSIRT NASK, CSIRT GOV, CSIRT MON albo CSIRT sektorowy, dlatego nie każda osoba kontaktowa jest po prostu „zgłaszana do CSIRT NASK”.
Ile osób kontaktowych wymaga art. 9 UoKSC?
Znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa nakłada na podmioty kluczowe i ważne obowiązek zbudowania stałego kanału komunikacji z podmiotami krajowego systemu cyberbezpieczeństwa. Zasadą jest wyznaczenie co najmniej dwóch osób. Ustawodawca przewidział jednak wyjątki uwzględniające wielkość oraz charakter organizacji.
Dotyczy podmiotu kluczowego lub ważnego, jeżeli nie znajduje zastosowania jeden z wyjątków ustawowych.
Wyjątek odnosi się do podmiotów spełniających kryteria wielkości wynikające z załącznika I do rozporządzenia 651/2014/UE.
Ustawa ustanawia odrębną regułę dla podmiotu ważnego będącego podmiotem publicznym.
Nawet gdy ustawowe minimum wynosi jedną osobę, organizacja powinna zapewnić ciągłość kontaktu na czas urlopu, choroby lub incydentu poza godzinami pracy.
Minimalna liczba nie powinna być mylona z docelowym modelem operacyjnym. Incydenty nie respektują grafików, a konto, telefon służbowy lub wiedza skupione u jednej osoby tworzą pojedynczy punkt awarii. W praktyce podmiot powinien określić zastępstwo oraz kanał alarmowy niezależnie od ustawowego minimum.
Najpierw ustal właściwy CSIRT
Dane osób kontaktowych trafiają do Wykazu KSC i konfiguracji przestrzeni podmiotu w S46. W systemie wskazywany jest właściwy CSIRT poziomu krajowego oraz, zależnie od sektora, CSIRT sektorowy. Zgłoszenie incydentu jest kierowane zgodnie z właściwością przypisaną podmiotowi, a nie według swobodnego wyboru osoby zgłaszającej.
Osoba kontaktowa, administrator S46 i kontakt przy incydencie
W praktyce trzy pojęcia bywają używane zamiennie, chociaż opisują różne funkcje. Jedna osoba może łączyć kilka ról, ale zarząd powinien świadomie zdecydować o takim połączeniu i sprawdzić, czy nie tworzy ono problemu z dostępnością, kontrolą uprawnień albo zatwierdzaniem komunikacji.
| Rola | Główne zadanie | Dostęp i dane | Najważniejsze ryzyko |
|---|---|---|---|
| Osoba kontaktowa z art. 9 | Utrzymuje kontakty z podmiotami krajowego systemu cyberbezpieczeństwa i uczestniczy w obiegu informacji. | Do Wykazu trafiają imię, nazwisko, służbowy telefon i e-mail. | Funkcja istnieje wyłącznie formalnie, bez dyżuru, zastępstwa i dostępu do danych. |
| Administrator konta podmiotu w S46 | Zarządza kontami, rolami oraz uprawnieniami użytkowników w przestrzeni podmiotu. | Wymaga dodatkowo PESEL albo właściwego identyfikatora elektronicznego. | Jedyny administrator traci dostęp lub opuszcza organizację. |
| Osoba wskazana przy incydencie | Odpowiada na pytania właściwego CSIRT dotyczące konkretnego zgłoszenia. | Może zostać wybrana spośród użytkowników S46 albo podana jako inna osoba. | Nie zna incydentu, nie ma kontaktu z IT albo nie może przekazać uzupełnień. |
| Właściciel decyzji | Zatwierdza kwalifikację zdarzenia, komunikację i ryzyko biznesowe. | Powinien mieć formalne umocowanie oraz szybką ścieżkę eskalacji do zarządu. | Każde zgłoszenie czeka na posiedzenie całego zarządu. |
Administrator przestrzeni jest pierwszym użytkownikiem Systemu S46 i może tworzyć kolejne konta oraz nadawać im role. Nie oznacza to jednak, że powinien samodzielnie odpowiadać za techniczną analizę incydentu, jego kwalifikację prawną i ostateczną treść zgłoszenia. Rozdzielenie tych zadań pozwala zachować kontrolę i zapewnić zastępstwo.
Dlaczego warto połączyć kompetencje prawne i techniczne?
Wczesne ostrzeżenie i zgłoszenie incydentu wymagają jednocześnie danych technicznych, oceny wpływu na usługę oraz decyzji o zakresie informacji przekazywanych na zewnątrz. Sam prawnik nie odtworzy osi ataku bez logów i wiedzy administratorów. Sam zespół IT może natomiast nie mieć podstaw do oceny obowiązku raportowego, relacji z RODO albo skutków określonego sformułowania zawartego w zgłoszeniu.
Osoba techniczna
Najczęściej CISO, kierownik IT, przedstawiciel SOC albo osoba zarządzająca infrastrukturą.
- odbiera alarmy i potwierdza zdarzenie,
- zabezpiecza logi oraz materiał dowodowy,
- ustala systemy, usługi i użytkowników objętych incydentem,
- wdraża izolację i działania ograniczające skutki,
- dostarcza aktualne dane do zgłoszenia.
Pełnomocnik formalnoprawny
Łączy wymagania UoKSC, NIS2, RODO, umów i odpowiedzialności zarządczej.
- pilnuje momentu rozpoczęcia biegu terminów,
- wspiera kwalifikację zdarzenia i właściwości organów,
- koordynuje treść komunikacji oraz jej zatwierdzenie,
- prowadzi chronologię decyzji i potwierdzeń,
- utrzymuje kontakt z CSIRT i przygotowuje uzupełnienia.
Pełnomocnik ds. cyberbezpieczeństwa nie zastępuje administratorów ani zespołu reagowania. Jego wartość polega na połączeniu informacji technicznych z wymogami regulacyjnymi i oczekiwaniami zarządu. Pozwala to ograniczyć ryzyko sytuacji, w której poprawnie opanowany atak zostaje nieprawidłowo zgłoszony albo formalnie kompletne zgłoszenie opiera się na nieweryfikowanych danych technicznych.
Zakres powinien zostać ustalony przed wpisaniem danych pełnomocnika do Wykazu. W ramach abonamentowej obsługi cyberbezpieczeństwa można zdefiniować odpowiedzialność, dyżury, komunikację z IT, uprawnienia w S46 oraz tryb działania w pierwszych godzinach incydentu.
Czy zewnętrzny pełnomocnik może być osobą kontaktową?
Art. 9 UoKSC nie ustanawia wymogu, aby każda osoba kontaktowa pozostawała pracownikiem podmiotu. Daje to podstawę do przyjęcia modelu zewnętrznego, ale sama umowa o świadczenie usług doradczych nie wystarczy. Organizacja musi zapewnić, aby wyznaczona osoba mogła realnie wykonywać funkcję, a nie jedynie użyczyć nazwiska do formularza.
- Formalne wyznaczenie: uchwała, decyzja kierownika albo inny dokument zgodny z zasadami reprezentacji i wewnętrznym podziałem kompetencji.
- Zakres umocowania: określenie, czy pełnomocnik przygotowuje, zatwierdza czy przekazuje zgłoszenia oraz kiedy musi uzyskać akceptację zarządu.
- Dostępność: ustalone czasy reakcji, kanał alarmowy, zastępstwo i reguły obsługi incydentów w dni wolne.
- Dostęp do informacji: szybki kontakt z IT, IOD, właścicielem procesu, dostawcą infrastruktury i osobą decyzyjną.
- Bezpieczeństwo dostępu: imienne konto, właściwa rola, silne uwierzytelnianie oraz procedura odebrania uprawnień.
- Dokumentowanie: rejestr decyzji, wersji zgłoszeń, potwierdzeń wysłania, pytań CSIRT oraz udzielonych odpowiedzi.
Jeżeli pełnomocnik będzie realizował nie tylko funkcję kontaktową z art. 9, lecz także zadania dotyczące zarządzania bezpieczeństwem lub obsługi incydentów z art. 8 albo art. 11, przed rozpoczęciem tych zadań zastosowanie może znaleźć obowiązek przedstawienia informacji z Krajowego Rejestru Karnego potwierdzającej niekaralność za przestępstwa przeciwko ochronie informacji.
Tajemnica adwokacka nie zastępuje procedury raportowania
Udział adwokata wspiera bezpieczną analizę prawną i przygotowanie stanowiska organizacji. Nie uchyla jednak ustawowego obowiązku przekazania wymaganych informacji do właściwego CSIRT lub organu. Procedura powinna wskazywać, które materiały są analizą prawną, które stanowią dowody techniczne, a które muszą znaleźć się w zgłoszeniu.
Co powinno znaleźć się w uchwale, procedurze i umowie?
Sprawny model kontaktu powinien pozostawiać dowody, że zarząd nie ograniczył się do formalnego wskazania osób, lecz zapewnił im warunki do działania. Dokumentacja musi odpowiadać rzeczywistej strukturze organizacji, zakresowi usług i wykorzystywanym dostawcom.
Wskazuje osoby, przypisane role, odpowiedzialnego członka zarządu, zastępstwo oraz podstawę umocowania.
Opisuje alarmowanie, kwalifikację, zbieranie danych, zatwierdzanie i wysyłkę zgłoszeń oraz komunikację po zgłoszeniu.
Reguluje dostępność, SLA reakcji, poufność, zakres odpowiedzialności, dostęp do S46 i współpracę z zespołem technicznym.
Rozdziela właściciela decyzji, wykonawcę, konsultowanych ekspertów i osoby informowane na każdym etapie incydentu.
Zawiera aktualne telefony i alternatywne kanały do zarządu, IT, IOD, dostawców, ubezpieczyciela i pełnomocnika.
Potwierdza logowanie do S46, sprawność powiadomień, dostęp do danych oraz przećwiczenie ścieżki 24/72 godziny.
Dane osób do kontaktu są częścią Wykazu KSC. W razie ich zmiany podmiot składa wniosek o zmianę wpisu zasadniczo w terminie 14 dni. Procedura offboardingu powinna zatem łączyć odebranie kont, wyznaczenie następcy i aktualizację Wykazu, aby odejście pracownika albo zakończenie umowy nie pozostawiło organizacji bez aktywnego kontaktu.
Jak wygląda działanie po wykryciu incydentu?
W pierwszych godzinach potrzebny jest jeden, uzgodniony obieg informacji. Równolegle prowadzi się działania techniczne, ocenę wpływu i analizę obowiązków zgłoszeniowych. Szczegółowe terminy opisuje poradnik o zgłoszeniu incydentu NIS2 w ciągu 24 i 72 godzin.
Wykrycie i zabezpieczenie
IT lub SOC rejestruje czas wykrycia, potwierdza zdarzenie, zabezpiecza logi i uruchamia działania ograniczające skutki.
Wpływ i kwalifikacja
Osoby techniczne, prawne i biznesowe ustalają wpływ na usługi, użytkowników, dane oraz przesłanki incydentu poważnego.
Ostrzeżenie i zgłoszenie
Pełnomocnik koordynuje treść, właściwość odbiorcy, zatwierdzenie oraz terminowe przekazanie dostępnych informacji.
Uzupełnienia i zamknięcie
Organizacja odpowiada na pytania CSIRT, aktualizuje ustalenia i przygotowuje wymagane sprawozdania oraz wnioski po incydencie.
Procedura nie może uzależniać każdej czynności od dostępności jednej osoby. Powinna zawierać progi decyzyjne, robocze wzory zgłoszeń oraz zasady postępowania, gdy pełna przyczyna ataku nie jest jeszcze znana. Wczesna komunikacja opiera się na informacjach dostępnych w danym momencie i może być później uzupełniana.
Checklista gotowości osób kontaktowych
Czy model działa także poza dokumentacją?
Zaznacz elementy, które zostały faktycznie wdrożone i przetestowane.
Odpowiedzialność zarządu i granice outsourcingu
Kierownik podmiotu odpowiada za wykonywanie obowiązków cyberbezpieczeństwa, w tym obowiązków z art. 9. Odpowiedzialność pozostaje po jego stronie również wtedy, gdy część albo wszystkie zadania zostały za zgodą powierzone innej osobie. Pełnomocnik może uporządkować wykonanie obowiązków i dostarczyć zarządowi dowody należytego nadzoru, ale nie staje się tarczą zwalniającą organ zarządzający z ustawowej odpowiedzialności.
Jeżeli kierownikiem podmiotu jest organ wieloosobowy i nie wskazano osoby odpowiedzialnej, ustawa przewiduje odpowiedzialność wszystkich członków tego organu. Nie jest to podstawa do automatycznego posługiwania się pojęciem solidarnej odpowiedzialności cywilnej. Dla zarządu praktyczne znaczenie ma jasny podział kompetencji, cykliczne raportowanie oraz dokumentowanie reakcji na zgłaszane ryzyka.
Za niewykonanie obowiązków z art. 9 kara może zostać nałożona na organizację, jeżeli uzasadniają to waga i znaczenie naruszenia. Kierownik może podlegać karze do 300% otrzymywanego wynagrodzenia obliczanego według zasad właściwych dla ekwiwalentu urlopowego, a w określonych przypadkach kierownika podmiotu publicznego limit wynosi 100%. Nowe kary mogą być po raz pierwszy nakładane po upływie dwóch lat od wejścia nowelizacji w życie.
Czasowy zakaz pełnienia funkcji zarządczych nie jest automatyczną sankcją za brak osoby kontaktowej. Dotyczy podmiotu kluczowego i może pojawić się po niewykonaniu wcześniejszych nakazów lub decyzji organu, do czasu usunięcia uchybień. Środka tego nie stosuje się do podmiotów publicznych.
Najlepszą ochroną zarządu nie jest samo wskazanie pełnomocnika, lecz działający system: uchwała, procedura, testy, raporty, aktualne dostępy i możliwość wykazania, że ryzyka były identyfikowane, decyzje podejmowane, a zalecenia monitorowane. Szerszy model takiej obsługi przedstawia artykuł o stałej opiece nad SZBI.
FAQ: pełnomocnik i osoby kontaktowe CSIRT
Czy każdy podmiot musi wyznaczyć dwie osoby kontaktowe?
Nie. Dwie osoby są zasadą ogólną. Mikro- i mali przedsiębiorcy oraz podmioty ważne będące podmiotami publicznymi korzystają z ustawowych wyjątków przewidujących co najmniej jedną osobę. Niezależnie od minimum warto zapewnić faktyczne zastępstwo.
Czy osoba kontaktowa musi być pracownikiem organizacji?
Art. 9 nie wprowadza takiego bezwzględnego wymogu. Funkcję może wspierać lub pełnić osoba zewnętrzna, jeżeli została prawidłowo wyznaczona i posiada umocowanie, dostępność, informacje oraz uprawnienia niezbędne do realnego wykonywania zadań.
Czy pełnomocnik musi być administratorem S46?
Nie. Osoba kontaktowa i administrator konta podmiotu to odrębne role. Mogą zostać połączone, lecz nie jest to konieczne. Administrator ma szerokie uprawnienia do zarządzania kontami i rolami, dlatego zakres dostępu powinien odpowiadać zasadzie najmniejszych uprawnień.
Czy obie osoby kontaktowe muszą posiadać konto w S46?
Ustawa rozróżnia dane osoby kontaktowej oraz osoby pełniącej rolę administratora. Operacyjnie organizacja powinna jednak zapewnić, aby niezbędne czynności w S46 nie zależały od jednego konta i jednej osoby.
Czy pełnomocnik może zgłosić incydent w imieniu podmiotu?
Może uczestniczyć w przygotowaniu i przekazaniu zgłoszenia, jeżeli wynika to z umocowania, nadanych uprawnień i procedury organizacji. W Systemie S46 zgłaszającym pozostaje podmiot, a odpowiedzialność kierownika za wykonanie obowiązku nie znika.
Skąd wiadomo, czy właściwy jest CSIRT NASK, GOV, MON czy sektorowy?
Właściwość zależy od rodzaju podmiotu i sektora. Konfiguracja przestrzeni S46 wskazuje właściwy CSIRT poziomu krajowego oraz informacje o CSIRT sektorowym i organie właściwym. System wykorzystuje te dane przy kierowaniu zgłoszeń.
Czy zmianę osoby kontaktowej trzeba zgłosić w ciągu 14 dni?
Tak. Dane osób kontaktowych należą do danych objętych wpisem do Wykazu. Podmiot składa wniosek o zmianę wpisu zasadniczo w terminie 14 dni od zmiany tych danych.
Czy osoba kontaktowa musi przedstawić informację z KRK?
Sama funkcja kontaktowa z art. 9 nie jest automatycznie tożsama z realizacją zadań z art. 8 lub art. 11. Jeżeli jednak osoba ma wykonywać zadania dotyczące zarządzania bezpieczeństwem albo obsługi i zgłaszania incydentów, przed rozpoczęciem tych zadań należy zweryfikować obowiązek przedstawienia informacji o niekaralności.
Czy wyznaczenie pełnomocnika zwalnia zarząd z odpowiedzialności?
Nie. Art. 8c wyraźnie zachowuje odpowiedzialność kierownika również wtedy, gdy obowiązki powierzono innej osobie. Pełnomocnik pomaga je prawidłowo wykonywać, nadzorować i dokumentować.
Co zrobić, gdy jedna z osób jest niedostępna podczas incydentu?
Procedura powinna przewidywać zastępcę, alternatywny kanał alarmowy, odpowiednie uprawnienia w S46 i możliwość podjęcia decyzji bez oczekiwania na powrót jednej osoby. Taki scenariusz należy wcześniej przećwiczyć.
Wyznacz osobę kontaktową, która będzie gotowa działać
Wypełnij formularz bezpłatnej konsultacji i wskaż, czy organizacja jest już wpisana do Wykazu KSC, kto odpowiada za IT oraz kto posiada dostęp do Systemu S46. Zweryfikujemy obecny model kontaktu i zakres, który może przejąć Pełnomocnik ds. Cyberbezpieczeństwa.