NIS2 w sektorze bankowości w Polsce — mapa drogowa krok po kroku

1. Krok 1. Ustalenie, czy i kiedy ustawa obejmuje podmiot

Załącznik nr 1 do uKSC wymienia sektor bankowości i infrastruktury rynków finansowych, a wśród rodzajów podmiotów wskazuje między innymi instytucje kredytowe w rozumieniu art. 4 ust. 1 pkt 17 Prawa bankowego, banki krajowe według art. 4 ust. 1 pkt 1 tej ustawy oraz oddziały banków zagranicznych według jej art. 4 ust. 1 pkt 20. Zgodnie z art. 5 ust. 1 pkt 1 uKSC status podmiotu kluczowego przysługuje podmiotowi z załącznika nr 1, który przekracza progi przewidziane dla średniego przedsiębiorstwa w art. 2 ust. 1 załącznika I do rozporządzenia 651/2014/UE. Artykuł 5 ust. 2 pkt 1 uKSC przypisuje status podmiotu ważnego podmiotowi z tego samego załącznika, który progi te spełnia, a nie jest podmiotem kluczowym. Niezależnie od wielkości organ właściwy do spraw cyberbezpieczeństwa może w drodze decyzji uznać podmiot za kluczowy albo ważny na podstawie art. 7l uKSC, przy czym obowiązki z rozdziału 3 realizowane są wówczas w terminie 12 miesięcy, a pierwszy audyt zapewniany jest w terminie 24 miesięcy od doręczenia decyzji.

PKD 64.19.Z — Pozostałe pośrednictwo pieniężne

Zobacz także stronę sektora: Bankowość · Kategorie podmiotów NIS2 — Polska

Rozpocznij bezpłatną ocenę zakresu stosowania

2. Krok 2. Odpowiedzialność kierownika podmiotu i szkolenia

Artykuł 8c ust. 1 uKSC przypisuje kierownikowi podmiotu kluczowego lub podmiotu ważnego odpowiedzialność za wykonywanie obowiązków z zakresu cyberbezpieczeństwa wskazanych w tym przepisie, a powierzenie zadań innej osobie tej odpowiedzialności nie znosi (art. 8c ust. 3). Jeżeli funkcję kierownika pełni organ wieloosobowy i nie wskazano osoby odpowiedzialnej, odpowiadają wszyscy jego członkowie (art. 8c ust. 2). Według art. 8d uKSC do kierownika należą decyzje dotyczące przygotowania, wdrożenia, przeglądu i nadzoru systemu zarządzania bezpieczeństwem informacji, zaplanowanie odpowiednich środków finansowych oraz przydzielanie i nadzorowanie zadań. Artykuł 8e uKSC przewiduje szkolenie raz w roku kalendarzowym dla kierownika oraz osoby, której powierzono jego obowiązki w tym zakresie, a udział w szkoleniu jest dokumentowany; odpowiada to zasadzie zatwierdzania i nadzoru środków przez organ zarządzający z art. 20 ust. 1 dyrektywy 2022/2555.

Obowiązek szkolenia organów zarządzających według NIS2 w poszczególnych krajach

3. Krok 3. Szacowanie ryzyka jako podstawa systemu

Artykuł 8 ust. 1 uKSC nakłada na podmiot kluczowy i podmiot ważny wdrożenie systemu zarządzania bezpieczeństwem informacji w systemie informacyjnym wykorzystywanym w procesach wpływających na świadczenie usługi. Punkt 1 tego przepisu wymaga systematycznego szacowania ryzyka wystąpienia incydentu oraz zarządzania tym ryzykiem. Artykuł 8 ust. 1 pkt 2 lit. a wskazuje wśród środków polityki szacowania ryzyka oraz bezpieczeństwa systemu informacyjnego, w tym polityki tematyczne. Odpowiada to podejściu z art. 21 ust. 2 lit. a dyrektywy 2022/2555, gdzie polityka analizy ryzyka stanowi pierwszy element katalogu środków.

Platforma generuje ten dokument automatycznie — jest on częścią pakietu dokumentów. Usługi

4. Krok 4. Katalog środków zarządzania ryzykiem

Artykuł 8 ust. 1 pkt 2 uKSC wymienia środki techniczne i organizacyjne proporcjonalne do oszacowanego ryzyka, uwzględniające stan wiedzy, koszty wdrożenia, wielkość podmiotu oraz skutki społeczne i gospodarcze, obejmujące między innymi bezpieczeństwo nabywania i utrzymania systemu, bezpieczeństwo fizyczne i zasobów ludzkich, ciągłość łańcucha dostaw ICT, plany ciągłości działania i odtworzenia, ciągłe monitorowanie, edukację i cyberhigienę, kryptografię, uwierzytelnianie wieloskładnikowe, zarządzanie aktywami oraz kontrolę dostępu. Dalsze punkty art. 8 ust. 1 dotyczą zbierania informacji o cyberzagrożeniach i podatnościach, zarządzania incydentami oraz środków ograniczających ich wpływ, w tym aktualizacji oprogramowania i ochrony przed nieuprawnioną modyfikacją. Przy środkach dotyczących łańcucha dostaw art. 8 ust. 2 uKSC każe uwzględniać podatności i jakość produktów danego dostawcy, wyniki skoordynowanej oceny bezpieczeństwa Grupy Współpracy oraz wyniki postępowania z art. 67b. Ustawa formułuje ten katalog jednakowo dla podmiotów kluczowych i ważnych, bez odrębnych wymogów przypisanych sektorowi bankowości; odrębność przewidziano w art. 8 ust. 3 wyłącznie dla wskazanych tam podmiotów publicznych i uczelnianych.

Środki zarządzania ryzykiem NIS2 a ISO 27001, DORA i RODO

5. Krok 5. Zgłaszanie incydentów poważnych i terminy

Artykuł 2 pkt 7 uKSC określa incydent poważny jako incydent powodujący lub mogący powodować poważne obniżenie jakości albo przerwanie ciągłości usługi, straty finansowe podmiotu lub poważną szkodę materialną bądź niematerialną po stronie innych osób. Wczesne ostrzeżenie trafia do właściwego CSIRT sektorowego niezwłocznie, w terminie 24 godzin od wykrycia incydentu poważnego (art. 11 ust. 1 pkt 4). Samo zgłoszenie incydentu poważnego kierowane jest do tego samego CSIRT niezwłocznie, w terminie 72 godzin od wykrycia (art. 11 ust. 1 pkt 4a). Na wniosek właściwego CSIRT sektorowego przekazywane jest sprawozdanie okresowe z obsługi incydentu (art. 11 ust. 1 pkt 4b), a sprawozdanie końcowe przekazuje się w terminie miesiąca od dnia zgłoszenia, o którym mowa w pkt 4a (art. 11 ust. 1 pkt 4c).

Terminy zgłaszania incydentów NIS2 według krajów UE · Platforma generuje ten dokument automatycznie — jest on częścią pakietu dokumentów. Usługi

6. Krok 6. Dokumentacja wynikająca z obowiązków ustawowych

Wymóg posiadania polityk szacowania ryzyka i bezpieczeństwa systemu informacyjnego oraz polityk tematycznych z art. 8 ust. 1 pkt 2 lit. a uKSC zakłada ich utrwalenie i utrzymywanie w formie pisemnej. Artykuł 8 ust. 1 pkt 2 lit. f wymienia wprost wdrażanie, dokumentowanie, testowanie i utrzymywanie planów ciągłości działania, planów awaryjnych oraz planów odtworzenia działalności, a lit. h dotyczy polityk i procedur oceny skuteczności zastosowanych środków. Artykuł 8e ust. 3 uKSC przewiduje udokumentowanie udziału w corocznym szkoleniu kierownika lub osoby, której powierzono jego obowiązki. Materiał dowodowy powstaje także przy obsłudze incydentów, ponieważ art. 11 ust. 1 pkt 4b i 4c uKSC wymagają sprawozdania okresowego oraz sprawozdania końcowego przekazywanych właściwemu CSIRT sektorowemu.

Pakiet obejmuje:

• Polityka zarządzania ryzykiem w cyberbezpieczeństwie
• Plan obsługi incydentów
• Plan ciągłości działania
• Polityka bezpieczeństwa łańcucha dostaw
• Opis odpowiedzialności organów zarządzających i plan szkoleń
• Kreator wypełniania w portalu

Utrzymanie (miesięcznie) — re-sign dokumentów zgodnie z obowiązującym prawem — 290 EUR/miesiąc — Usługi

7. Krok 7. Górne granice administracyjnych kar pieniężnych

Wobec podmiotu kluczowego art. 73 ust. 3 uKSC określa górną granicę kary na 10 000 000 euro, wyrażone w złotych według średniego kursu Narodowego Banku Polskiego z 31 grudnia roku poprzedzającego rok wydania decyzji, albo na 2 % przychodów z działalności gospodarczej w poprzednim roku obrotowym, przy czym stosuje się kwotę wyższą, a kara nie jest niższa niż 20 000 zł. Wobec podmiotu ważnego art. 73 ust. 4 uKSC wskazuje granicę 7 000 000 euro, przeliczane według tej samej zasady kursowej, albo 1,4 % przychodów z działalności gospodarczej w poprzednim roku obrotowym, a kara nie jest niższa niż 15 000 zł. Artykuł 73 ust. 5 uKSC przewiduje karę do 100 000 000 zł, gdy naruszenie przepisów ustawy powoduje bezpośrednie i poważne cyberzagrożenie dla obronności, bezpieczeństwa państwa, bezpieczeństwa i porządku publicznego albo życia i zdrowia ludzi, bądź zagrożenie poważną szkodą majątkową lub poważnymi utrudnieniami w świadczeniu usług. Karę w tych przypadkach nakłada organ właściwy do spraw cyberbezpieczeństwa.

Kary administracyjne NIS2 według kraju