{"id":66449,"date":"2024-01-26T11:36:31","date_gmt":"2024-01-26T10:36:31","guid":{"rendered":"https:\/\/biznes.t-mobile.pl\/?p=66449"},"modified":"2024-06-19T13:19:32","modified_gmt":"2024-06-19T11:19:32","slug":"cyberbezpieczenstwo-uregulowane","status":"publish","type":"post","link":"https:\/\/biznes.t-mobile.pl\/pl\/cyberbezpieczenstwo-uregulowane","title":{"rendered":"Cyberbezpiecze\u0144stwo uregulowane"},"content":{"rendered":"\n\n\n
CZEGO SI\u0118 DOWIESZ Z TEGO MATERIA\u0141U:<\/span><\/strong>\n
    \n
  1. JAKIE NAJWA\u017bNIEJSZE REGULACJE \u201eGRO\u017b\u0104\u201d UCZESTNIKOM RYNKU IT?<\/strong><\/li>\n
  2. ILE CZASU NA PRZYGOTOWANIE MAJ\u0104 FIRMY OBJ\u0118TE REGULACJAMI?<\/strong><\/li>\n
  3. W JAKI SPOS\u00d3B MO\u017bNA POPRAWI\u0106 CYBERODPORNO\u015a\u0106 FIRMY KORZYSTAJ\u0104C Z ZEWN\u0118TRZNYCH US\u0141UGODAWC\u00d3W?<\/strong><\/li>\n<\/ol>\n<\/td>\n<\/tr>\n<\/thead>\n<\/table>\n

    Jednym ze skutk\u00f3w rosn\u0105cego znaczenia infrastruktury sieciowej i us\u0142ug cyfrowych jest sk\u0142onno\u015b\u0107 do wprowadzania kolejnych regulacji maj\u0105cych uporz\u0105dkowa\u0107 rynek i zmusi\u0107 jego uczestnik\u00f3w do dba\u0142o\u015bci o bezpiecze\u0144stwo infrastruktury oraz danych. B\u0142yskawiczny rozw\u00f3j technologii sprawia za\u015b, \u017ce przygotowywane wielkim wysi\u0142kiem regulacje staj\u0105 si\u0119 nieaktualne ju\u017c w dniu ich og\u0142oszenia \u2013 jak sta\u0142o si\u0119 z dyrektyw\u0105 NIS (Directive on Security of Network and Information Systems) opublikowan\u0105 w 2016 roku \u2013 i wymagaj\u0105 kolejnych modyfikacji. W dziedzinie cyberodporno\u015bci modyfikacje te najcz\u0119\u015bciej poszerzaj\u0105 zakres stosowania przepis\u00f3w prawa o nowe obszary i podmioty, a tak\u017ce zaostrzaj\u0105 wymogi dotycz\u0105ce przygotowania, procedur, czy stosowanego sprz\u0119tu. Wszystko to sprawia, \u017ce przepisy prawa coraz bardziej przypominaj\u0105 labirynt, w kt\u00f3rym zgubimy si\u0119 bez przewodnika.<\/p>\n

    Wdra\u017canie nowych przepis\u00f3w to zreszt\u0105 nie tylko kwestia podnoszenia odporno\u015bci na ewentualne cyberzagro\u017cenia. Regulacje zawieraj\u0105 r\u00f3wnie\u017c przepisy dotycz\u0105ce kar finansowych dla firm \u2013 bezpo\u015brednio dla cz\u0142onk\u00f3w zarz\u0105du, kt\u00f3rzy nie dope\u0142nili obowi\u0105zk\u00f3w przewidzianych prawem. Zupe\u0142nie odr\u0119bnym negatywnym skutkiem niestosowania si\u0119 do przepis\u00f3w mo\u017ce by\u0107 utrata wiarygodno\u015bci u partner\u00f3w i odp\u0142yw klient\u00f3w.<\/p>\n

    Europejski parasol<\/h2>\n

    Jednym z najistotniejszych akt\u00f3w prawnych reguluj\u0105cych t\u0119 sfer\u0119 jest NIS2. Dyrektywa ta zosta\u0142a opublikowana w 2022 roku i wesz\u0142a w \u017cycie w styczniu 2023 roku. Wdro\u017cenie przewidzianych w niej rozwi\u0105za\u0144 do przepis\u00f3w pa\u0144stw cz\u0142onkowskich ma nast\u0105pi\u0107 do po\u0142owy pa\u017adziernika 2024 roku.<\/p>\n

    Jest ona rozwini\u0119ciem wspomnianej NIS \u2013 rozszerza jej zakres m.in. o administracj\u0119 publiczn\u0105, sektor \u017cywno\u015bci, firmy kurierskie, \u015bcieki, przemys\u0142 lekowy czy zarz\u0105dzanie odpadami i oraz szerzej traktuje niekt\u00f3re sektory (m.in. z zakresu infrastruktury cyfrowej)[i]<\/a>. Wprowadza r\u00f3wnie\u017c nowy podzia\u0142 podmiot\u00f3w obj\u0119tych regulacj\u0105 \u2013 na podmioty kluczowe oraz podmioty wa\u017cne, jednak co do zasady s\u0105 to du\u017ce i \u015brednie firmy. Przedsi\u0119biorstwa ma\u0142e i mikro nie s\u0105 obj\u0119te tymi przepisami, o ile nie \u015bwiadcz\u0105 us\u0142ug o znaczeniu krytycznym. Na podmioty obj\u0119te dyrektyw\u0105 zostaj\u0105 na\u0142o\u017cone wi\u0119ksze ni\u017c dotychczas wymagania w zakresie zarz\u0105dzania, obs\u0142ugi i ujawniania luk w zabezpieczeniach, testowaniu poziomu cyberbezpiecze\u0144stwa oraz szyfrowania.<\/p>\n

    Jedn\u0105 z najistotniejszych zmian z punktu widzenia firm jest jednak zagro\u017cenie karami finansowymi. Dla podmiot\u00f3w kluczowych maksymalna kara mo\u017ce wynosi\u0107 10 mln euro lub 2 proc. \u0142\u0105cznego rocznego \u015bwiatowego obrotu (zastosowanie ma kwota wy\u017csza). Nieco ni\u017csze kary przewidziano dla podmiot\u00f3w wa\u017cnych[ii]<\/a>.<\/p>\n

    Wi\u0119cej o NIS2 w Strefie wiedzy<\/a>.<\/p>\n

    Regulacje zawarte w NIS2 (a wcze\u015bniej w NIS) s\u0105 przenoszone na polski grunt m.in. za po\u015brednictwem Ustawy o Krajowym Systemie Bezpiecze\u0144stwa[iii]<\/a>.<\/p>\n

    Nowy poziom odporno\u015bci<\/h2>\n

    Firmy dzia\u0142aj\u0105ce na rynku IT mog\u0105 r\u00f3wnie\u017c \u2013 w zale\u017cno\u015bci od profilu prowadzonej dzia\u0142alno\u015bci \u2013 podlega\u0107 dyrektywom o odporno\u015bci podmiot\u00f3w krytycznych (CER) oraz ws. horyzontalnych wymog\u00f3w cyberbezpiecze\u0144stwa w odniesieniu do produkt\u00f3w z elementami cyfrowymi (CRA).<\/p>\n

    CER wesz\u0142a w \u017cycie w tym samym momencie co NIS2 \u2013 taka sama jest r\u00f3wnie\u017c planowana data implementacji do prawa krajowego pa\u0144stw cz\u0142onkowskich. Zawarte w niej przepisy mog\u0105 dotyczy\u0107 zar\u00f3wno podmiot\u00f3w publicznych, jak i prywatnych, wprowadza ona jednak now\u0105 kategori\u0119 \u2013 podmiot\u00f3w krytycznych o szczeg\u00f3lnym znaczeniu europejskim. Przepisy nak\u0142adaj\u0105 na pa\u0144stwa obowi\u0105zek identyfikacji podmiot\u00f3w krytycznych, a na same takie podmioty wym\u00f3g stosowania dodatkowych \u015brodk\u00f3w technicznych i organizacyjnych, kt\u00f3re w spos\u00f3b proporcjonalny maj\u0105 gwarantowa\u0107 ochron\u0119 przed incydentami cyberbezpiecze\u0144stwa.<\/p>\n

    Nieco p\u00f3\u017aniej wejdzie w \u017cycie akt CRA (na razie jest to projekt) \u2013 pierwszy, kt\u00f3ry zajmuje si\u0119 cyberbezpiecze\u0144stwem produkt\u00f3w zawieraj\u0105cych elementy cyfrowe \u2013 w tym rozumieniu s\u0105 nimi wszystkie urz\u0105dzenia po\u0142\u0105czone z sieci\u0105. Ma on regulowa\u0107 projektowanie i wytwarzanie urz\u0105dze\u0144 w taki spos\u00f3b, aby chroni\u0107 firmy i klient\u00f3w przed zagro\u017ceniami cybernetycznymi \u2013 np. lukami w zabezpieczeniach lekcewa\u017conymi przez producent\u00f3w. I tak producenci sprz\u0119tu i oprogramowania b\u0119d\u0105 musieli zapewni\u0107, \u017ce przez okres u\u017cytkowania produktu lub przez pi\u0119\u0107 lat po wprowadzeniu go na rynek, podatno\u015bci b\u0119d\u0105 usuwane. W razie wykrycia luk bezpiecze\u0144stwa producent b\u0119dzie mia\u0142 obowi\u0105zek natychmiast powiadomi\u0107 o tym Agencj\u0119 UE ds. Cyberbezpiecze\u0144stwa.<\/p>\n

    Stosowanie tych przepis\u00f3w b\u0119dzie mia\u0142o szczeg\u00f3lne znaczenie dla firm buduj\u0105cych w\u0142asn\u0105 infrastruktur\u0119 oraz oprogramowanie i os\u00f3b odpowiedzialnych za ich projektowanie. Niestosowanie si\u0119 do tych regulacji b\u0119dzie bowiem poci\u0105ga\u0142o za sob\u0105 wysokie kary finansowe.<\/p>\n

    Od finans\u00f3w po sztuczn\u0105 inteligencj\u0119<\/h2>\n

    Wymienione wy\u017cej regulacje s\u0105 istotne, bowiem do\u015b\u0107 znacz\u0105co poszerzaj\u0105 list\u0119 podmiot\u00f3w (w tym firm prywatnych i instytucji publicznych), kt\u00f3re ju\u017c teraz musz\u0105 zaj\u0105\u0107 si\u0119 wdra\u017caniem strategii cyberbezpiecze\u0144stwa. Jednocze\u015bnie mog\u0105 to by\u0107 podmioty z du\u017cym d\u0142ugiem technologicznym, operuj\u0105ce w obszarach, w kt\u00f3rych technologie cyfrowe dot\u0105d nie by\u0142y kluczowe (jak np. bran\u017ca spo\u017cywcza, czy us\u0142ugi publiczne). To stawia przed mened\u017cerami zajmuj\u0105cymi si\u0119 nowymi technologiami (CIO czy CISO) nadzwyczaj trudne wyzwanie dostosowania obecnie dzia\u0142aj\u0105cych system\u00f3w do nowych przepis\u00f3w.<\/p>\n

    Ale zmiany dotycz\u0105 r\u00f3wnie\u017c sektor\u00f3w bardzo zaawansowanych technologicznie, kt\u00f3re od lat podlegaj\u0105 skomplikowanym regulacjom w tym zakresie, takich jak finanse i ubezpieczenia. W tym obszarze kluczowa jest regulacja DORA w sprawie odporno\u015bci cyfrowej sektora finansowego. Obejmuje ona swym zasi\u0119giem nie tylko banki, instytucje kredytowe, firmy ubezpieczeniowe, instytucje pieni\u0105dza elektronicznego, firmy inwestycyjne czy wreszcie firmy audytorskie, ale r\u00f3wnie\u017c (a mo\u017ce przede wszystkim) dostawc\u00f3w us\u0142ug ICT dla takich instytucji. Podobnie jak w przypadku wymienionych wcze\u015bniej przepis\u00f3w, r\u00f3wnie\u017c DORA nak\u0142ada nowe obowi\u0105zki dotycz\u0105ce zg\u0142aszania incydent\u00f3w cyberbezpiecze\u0144stwa, opracowania odpowiednich procedur czy samodzielnego testowania \u015brodowiska cyfrowego pod k\u0105tem zagro\u017ce\u0144.<\/p>\n

    W zwi\u0105zku z imponuj\u0105cym rozwojem du\u017cych modeli j\u0119zykowych i generatywnej sztucznej inteligencji wykorzystywanej w biznesie ogromne znaczenie b\u0119dzie mia\u0142 r\u00f3wnie\u017c przygotowywany obecnie przez Parlament Europejski akt ws. sztucznej inteligencji. W spos\u00f3b niezwykle rygorystyczny zakre\u015bla on granice stosowania AI, a co wi\u0119cej \u2013 przepisy te maj\u0105 obowi\u0105zywa\u0107 wszystkich dostawc\u00f3w, niezale\u017cnie od ich siedziby, wprowadzaj\u0105cych takie systemy na obszar Unii lub udost\u0119pniaj\u0105cych takie us\u0142ugi obywatelom UE. Dotkn\u0105 one zatem praktycznie wszystkich firm wykorzystuj\u0105cych do \u015bwiadczenia us\u0142ug du\u017ce modele j\u0119zykowe (jak ChatGPT).<\/p>\n

    Nowe regulacje maj\u0105 m.in. gwarantowa\u0107 przejrzysto\u015b\u0107 tre\u015bci wygenerowanych przez AI i ich rozpoznawalno\u015b\u0107, a tak\u017ce obowi\u0105zek udost\u0119pniania informacji o danych s\u0142u\u017c\u0105cych trenowaniu modeli sztucznej inteligencji. W zakresie cyberodporno\u015bci przepisy te wyra\u017anie zakazuj\u0105 natomiast stosowania sztucznej inteligencji do rozpoznawania twarzy na obrazach z internetu lub kamer przemys\u0142owych.<\/p>\n

    Jak si\u0119 przygotowa\u0107?<\/h2>\n

    Czasu na wprowadzenie wszystkich niezb\u0119dnych element\u00f3w buduj\u0105cych cyberodporno\u015b\u0107 firmy w zgodzie z wchodz\u0105cymi ju\u017c wkr\u00f3tce w \u017cycie przepisami jest coraz mniej. Przeanalizowanie wymog\u00f3w, zbudowanie strategii, zakup sprz\u0119tu, zatrudnienie nowych specjalist\u00f3w lub wyszkolenie obecnych pracownik\u00f3w zajmie wiele miesi\u0119cy (je\u015bli nie kwarta\u0142\u00f3w). Inwestycje na zbudowanie systemu cyberodporno\u015bci i bie\u017c\u0105ce nak\u0142ady na utrzymanie go w dzia\u0142aniu przekraczaj\u0105 mo\u017cliwo\u015bci finansowe ma\u0142ych i \u015brednich firm. W wyniku wdra\u017cania nowych regulacji obowi\u0105zkami takimi zosta\u0142y obj\u0119te r\u00f3wnie\u017c przedsi\u0119biorstwa maj\u0105ce zerowe do\u015bwiadczenie w tej dziedzinie.<\/p>\n

    Odpowiedzi\u0105 mog\u0105 by\u0107 zewn\u0119trzni partnerzy \u015bwiadcz\u0105cy us\u0142ugi z zakresu budowy cyberodporno\u015bci. T-Mobile mo\u017ce m.in. sprawdzi\u0107 podatno\u015b\u0107 firmy na takie incydenty, uwzgl\u0119dniaj\u0105c wymogi europejskich dyrektyw oraz krajowe regulacje sektorowe, jak r\u00f3wnie\u017c przeprowadzi\u0107 testy penetracyjne<\/a> oraz audyty bezpiecze\u0144stwa wymagane prawem. Oferta obejmuje r\u00f3wnie\u017c udost\u0119pnianie i zarz\u0105dzanie komputerami<\/a> pracownik\u00f3w, nadzorowanie urz\u0105dze\u0144 mobilnych<\/a>, monitorowanie i reagowanie na incydenty bezpiecze\u0144stwa<\/a> w sieci.<\/p>\n

    Najwa\u017cniejsze wnioski<\/h2>\n

    Mened\u017cerowie ds. cyberbezpiecze\u0144stwa musz\u0105 nie tylko zna\u0107 obowi\u0105zuj\u0105ce akty prawne i zakres ich dzia\u0142ania, ale r\u00f3wnie\u017c umie\u0107 prze\u0142o\u017cy\u0107 j\u0119zyk prawniczy na realne dzia\u0142ania. Prawid\u0142owa implementacja przepis\u00f3w, pozwalaj\u0105ca unikn\u0105\u0107 wysokich kar i utraty zaufania partner\u00f3w, mo\u017ce okaza\u0107 si\u0119 trudna nawet dla najwi\u0119kszych podmiot\u00f3w. Tu kluczowe mo\u017ce okaza\u0107 si\u0119 wsparcie zaufanego partnera spe\u0142niaj\u0105cego wszystkie wymogi prawne i bior\u0105cego na siebie zarz\u0105dzanie infrastruktur\u0105, urz\u0105dzeniami ko\u0144cowymi, kopiami bezpiecze\u0144stwa i zapasowymi centrami danych czy wreszcie centrami bezpiecze\u0144stwa prowadz\u0105cymi sta\u0142y monitoring sieci.<\/p>\n

    Czasu na wprowadzenie zmian jest bardzo ma\u0142o. Co nale\u017cy wzi\u0105\u0107 pod uwag\u0119:<\/p>\n