Jesteśmy JST. Czy NIS2 i nowelizacja KSC naprawdę nas dotyczy?

Sytuacja

Gmina, powiat, jednostka budżetowa, spółka komunalna. Wodociągi, ciepłownia, ośrodek zdrowia, szkoła. Przez lata obowiązywały was KRI i ogólne zasady ochrony danych. Teraz słyszycie o NIS2 i nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa, a każda konferencja mówi co innego.

Co to naprawdę znaczy

Nowelizacja KSC rozszerza katalog podmiotów kluczowych i ważnych. Wszystkie urzędy gmin są objęte ustawą: urząd zatrudniający co najmniej 50 osób na pełnych etatach jest podmiotem kluczowym, pozostałe są ważne. Starostwa są podmiotami kluczowymi, a szkoły, GOPS, instytucje kultury, zakłady budżetowe i spółki komunalne co najmniej ważnymi. Spółka wodociągowa czy ciepłownicza może być kluczowa ze względu na sektor i wielkość. Konsekwencje to nie tylko kary. To obowiązek zgłaszania poważnych incydentów przez system S46, wdrożenia systemu zarządzania bezpieczeństwem informacji, w podmiotach kluczowych audytu co najmniej raz na 3 lata i osobista odpowiedzialność kierownika jednostki.

Nie musicie tego rozstrzygać sami. Ale musicie to rozstrzygnąć, bo "nie wiedzieliśmy" nie jest w ustawie.

Co robimy w takiej sytuacji

1. Zaczynamy od bezpłatnej rozmowy z kierownictwem. Ustalamy, czy jesteście podmiotem kluczowym czy ważnym i co z tego wynika, i wychodzimy z listą pięciu pierwszych działań. Bez raportu na 80 stron.
2. Audyt pokazuje, ile z wymagań już spełniacie (często więcej, niż sądzicie, bo KRI wykonało część pracy) i czego brakuje.
3. Jeśli brakuje systemu, wdrażamy SZBI dopasowany do skali jednostki: role, procedury, rejestry, plan ciągłości. Później utrzymujemy go w modelu Cyber Care, bo dokument bez opiekuna starzeje się w pół roku.

Dlatego w FortCyber

Pracujemy ze 110 podmiotami publicznymi i samorządowymi. Wiemy, jak wygląda realny urząd: jeden informatyk, dostawca zewnętrzny, budżet uchwalany rok wcześniej. Usługi są skrojone tak, żeby dało się je zamówić z tego budżetu, a nie z wyobrażonego.