Czy moja firma podlega KSC? Sprawdź to krok po kroku

Pytanie „czy moja firma podlega KSC?” zwykle pojawia się wtedy, gdy organizacja otrzymuje zapytanie od kontrahenta, słyszy o NIS2 albo zaczyna porządkować cyberbezpieczeństwo przed audytem. Odpowiedź rzadko wynika wyłącznie z liczby pracowników czy branży wpisanej w KRS. Liczy się przede wszystkim charakter faktycznie świadczonych usług, ich znaczenie dla działania państwa i gospodarki oraz miejsce firmy w łańcuchu usług.

KSC, czyli ustawa o krajowym systemie cyberbezpieczeństwa, nakłada określone obowiązki na podmioty wskazane w przepisach. Dla zarządu najważniejsze jest rozdzielenie dwóch kwestii: formalnego objęcia ustawą oraz realnego poziomu ryzyka cybernetycznego. Firma może nie mieć statusu podmiotu objętego KSC, a mimo to potrzebować monitoringu bezpieczeństwa, planu reagowania na incydenty i ochrony kont Microsoft 365.

Czy moja firma podlega KSC? Zacznij od rodzaju usług

Pierwszym krokiem jest ustalenie, czy działalność firmy mieści się w obszarach wskazanych w ustawie i przepisach wykonawczych. KSC historycznie obejmuje między innymi operatorów usług kluczowych oraz dostawców usług cyfrowych. W praktyce dotyczy to organizacji działających w sektorach, których zakłócenie mogłoby istotnie wpłynąć na funkcjonowanie społeczeństwa lub gospodarki.

Do sektorów wymagających szczególnej uwagi należą między innymi energia, transport, bankowość, infrastruktura rynków finansowych, ochrona zdrowia, zaopatrzenie w wodę pitną, infrastruktura cyfrowa oraz niektóre usługi cyfrowe. Samo działanie „dla” firmy z jednego z tych sektorów nie przesądza jednak o podleganiu KSC. Dostawca oprogramowania, firma serwisowa, biuro rachunkowe czy podwykonawca logistyczny mogą mieć bardzo różną sytuację regulacyjną, zależnie od zakresu i skali świadczonych usług.

Warto też odróżnić obowiązek ustawowy od wymagań umownych. Duży klient objęty KSC lub innymi regulacjami może oczekiwać od dostawcy potwierdzenia podstawowych zabezpieczeń, procedury zgłaszania incydentów, testów bezpieczeństwa albo ciągłego monitoringu. Nie oznacza to automatycznie, że dostawca sam staje się podmiotem objętym ustawą. Oznacza natomiast, że cyberbezpieczeństwo może wpływać na możliwość utrzymania współpracy handlowej.

Formalny status ma znaczenie

W przypadku operatorów usług kluczowych formalne wyznaczenie przez właściwy organ jest istotnym elementem oceny. Organizacja nie powinna samodzielnie zakładać, że jest albo nie jest objęta KSC wyłącznie na podstawie ogólnego opisu działalności. Należy sprawdzić aktualne przepisy, decyzje, korespondencję urzędową oraz warunki prowadzenia działalności regulowanej.

Inaczej wygląda sytuacja podmiotów, które kwalifikują się na podstawie ustawowych kryteriów dla określonych usług cyfrowych. Tutaj potrzebna jest analiza modelu biznesowego, rodzaju usługi, skali działania i wyjątków przewidzianych w przepisach. Szczególnej ostrożności wymagają firmy świadczące usługi w chmurze, przetwarzania danych, platformy internetowe czy usługi zarządzane dla wielu klientów.

Przepisy związane z KSC zmieniają się również w kontekście wdrażania dyrektywy NIS2. NIS2 rozszerza podejście do cyberbezpieczeństwa na kolejne sektory i kategorie podmiotów, posługując się między innymi pojęciami podmiotów kluczowych i ważnych. Dlatego ocena sprzed kilku lat może być nieaktualna. Przy decyzjach biznesowych należy opierać się na aktualnym stanie prawnym i indywidualnej analizie, a nie na ogólnych informacjach z internetu.

Szybka ocena dla zarządu i działu IT

Najlepszym punktem wyjścia jest krótki, uporządkowany przegląd działalności. Nie musi on od razu oznaczać długiego projektu. Celem jest zebranie faktów, które pozwolą prawnikowi, osobie odpowiedzialnej za zgodność lub ekspertowi ds. cyberbezpieczeństwa przeprowadzić dalszą ocenę.

W praktyce warto odpowiedzieć na cztery pytania: jaką dokładnie usługę świadczy firma, komu ją świadczy, czy jej niedostępność może zakłócić istotną usługę oraz jakie systemy i dane są potrzebne do realizacji tej usługi. Dobrze jest uwzględnić nie tylko główną ofertę, ale też systemy wspierające: pocztę, system ERP, serwery plików, zdalny dostęp, środowiska chmurowe i urządzenia sieciowe.

Przykładowo firma produkcyjna może nie być bezpośrednio objęta KSC, ale zatrzymanie systemu planowania produkcji po ataku ransomware może wstrzymać realizację zamówień na wiele dni. Kancelaria może przechowywać dane o wysokiej poufności, choć jej status regulacyjny będzie inny niż status szpitala. W obu przypadkach pytanie o obowiązki należy traktować jako element szerszego zarządzania ryzykiem, a nie wyłącznie zadanie administracyjne.

Co oznacza objęcie KSC w praktyce

Jeżeli organizacja podlega obowiązkom wynikającym z KSC, cyberbezpieczeństwo staje się stałym procesem zarządczym i operacyjnym. Nie wystarczy kupić pojedynczego narzędzia ani przygotować procedurę, która nigdy nie została przetestowana. Potrzebne są działania pozwalające wykrywać incydenty, oceniać ich wpływ, ograniczać skutki oraz zgłaszać je zgodnie z właściwymi wymaganiami.

Zakres konkretnych obowiązków zależy od statusu podmiotu i aktualnych regulacji. Z perspektywy technicznej fundamentem jest wiedza o tym, co dzieje się w środowisku IT. Bez centralnego zbierania zdarzeń z komputerów, serwerów, zapór sieciowych, systemów Windows i Linux czy usług chmurowych trudno zauważyć przejęcie konta, nietypowe logowanie albo próbę rozprzestrzeniania ransomware na wczesnym etapie.

Równie istotne są role i odpowiedzialność. Zarząd powinien wiedzieć, kto podejmuje decyzję podczas incydentu, kto kontaktuje się z dostawcami, gdzie znajdują się kopie zapasowe oraz jak firma komunikuje się z klientami i pracownikami. Administrator nie powinien zostać sam z decyzją o odłączeniu krytycznego systemu od sieci, gdy zagrożona jest ciągłość działania.

Nie czekaj na formalne potwierdzenie, by ograniczać ryzyko

Częsty błąd polega na odkładaniu działań do momentu otrzymania formalnego pisma albo wymogu od klienta. Tymczasem podstawowe zabezpieczenia przynoszą wartość niezależnie od statusu prawnego organizacji. Wieloskładnikowe uwierzytelnianie, aktualizacje, kopie zapasowe odseparowane od środowiska produkcyjnego, szkolenia antyphishingowe i kontrola uprawnień ograniczają ryzyko w niemal każdej firmie.

Kolejnym krokiem jest monitoring. Antywirus może zablokować część znanych zagrożeń, ale nie odpowie samodzielnie na pytanie, czy ktoś logował się do poczty z nietypowej lokalizacji, pobierał duże ilości danych lub wykonał podejrzane polecenia na serwerze. Usługa SOC as a Service pozwala monitorować takie zdarzenia przez całą dobę bez budowania własnego zespołu analityków.

Dla MŚP rozsądne jest podejście proporcjonalne. Firma nie musi naśladować rozbudowanych struktur korporacyjnych, aby poprawić bezpieczeństwo. Powinna jednak mieć adekwatną widoczność zagrożeń, jasno opisane działania na wypadek incydentu oraz wsparcie kompetentnych osób, gdy sytuacja wymaga szybkiej oceny.

Jak przygotować firmę do dalszej analizy

Przed konsultacją warto zebrać dokumenty i informacje, które przyspieszą ocenę. Przydadzą się opis usług, lista głównych klientów i sektorów, schemat infrastruktury, wykaz systemów krytycznych, informacje o dostawcach IT oraz obowiązujące umowy zawierające wymagania bezpieczeństwa. Nie chodzi o perfekcyjną dokumentację. Nawet niepełny obraz pozwala wskazać najpilniejsze luki i obszary wymagające doprecyzowania.

Następnie należy rozdzielić ocenę prawną od oceny technicznej. Prawnik lub specjalista ds. zgodności pomaga ustalić zakres obowiązków wynikających z przepisów. Zespół cyberbezpieczeństwa ocenia, czy organizacja potrafi wykrywać i obsługiwać incydenty w praktyce. Te dwa obszary powinny współpracować, ponieważ dobrze napisana procedura nie pomoże, jeśli firma nie widzi zdarzeń w swojej sieci i usługach chmurowych.

VIRTUO SOC wspiera organizacje w budowaniu dojrzałości bezpieczeństwa poprzez monitoring 24/7, analizę zagrożeń, reagowanie na incydenty oraz wsparcie w uporządkowaniu wymagań związanych z KSC, NIS2, ISO 27001 i RODO. Zakres działań powinien zawsze wynikać z realnych procesów biznesowych i ryzyka, a nie z listy modnych narzędzi.

Najlepszy moment na sprawdzenie statusu firmy nie jest po incydencie ani tuż przed audytem klienta. To moment, w którym można spokojnie ustalić fakty, wyznaczyć odpowiedzialności i zbudować ochronę wspierającą ciągłość działania biznesu.