Aktualności - Baza wiedzy - Portal Gov.pl

Polska energetyka wzmacnia ochronę przed cyberzagrożeniami. Powstaje pierwszy w historii CSIRT Energia

Tue, 03 Nov 2026 00:00:00 +0100

Polska buduje nową linię obrony przed cyberatakami na sektor energii.

CSIRT Energia

Polskie Sieci Elektroenergetyczne utworzą i będą prowadzić CSIRT Energia - wyspecjalizowany zespół, który będzie wspierał spółki z sektora w reagowaniu na cyberzagrożenia i koordynował obsługę incydentów we współpracy z resortem. Porozumienie w tej sprawie podpisali Minister Energii Miłosz Motyka i Prezes PSE Grzegorz Onichimowski. W wydarzeniu uczestniczył wicepremier, minister cyfryzacji Krzysztof Gawkowski.

-CSIRT Energia będzie łączył wiedzę o cyberzagrożeniach ze znajomością specyfiki sektora energetycznego. Zespół ma zapewnić – poza wyminą informacji i wsparciem technicznym - szybką reakcję i koordynacje działań, gdy incydent obejmuje kilka przedsiębiorstw lub może wpłynąć na ciągłość dostaw energii. Co ważne: zespół będzie wspierał sektor, a nie zastępował odpowiedzialności przedsiębiorstw – podkreślił wicepremier, minister cyfryzacji Krzysztof Gawkowski.

-Bezpieczeństwo energetyczne to dziś nie tylko sprawne elektrownie, bezpieczne sieci i stabilne dostawy energii, ciepła czy paliw. To także odporność infrastruktury energetycznej na cyberataki. Ich skutki mogą wykraczać daleko poza świat cyfrowy i bezpośrednio wpływać na funkcjonowanie infrastruktury. Dlatego budujemy CSIRT Energia - wyspecjalizowany system reagowania, który pozwoli szybciej rozpoznawać zagrożenia, ostrzegać przedsiębiorstwa i koordynować działania. Powierzamy to zadanie PSE, które dysponują odpowiednim doświadczeniem, kompetencjami i zapleczem – powiedział minister energii Miłosz Motyka.

-W naszej strategii do 2040 roku podkreśliliśmy znaczenie zagrożeń cybernetycznych i zależności od technologii cyfrowych. Cyberbezpieczeństwo w całej energetyce jest kluczowe dla utrzymania ciągłości działania kraju, gospodarki i społeczeństwa. CSIRT Energia pomoże w koordynacji działań, tworzeniu jednolitych standardów i procedur, co jest warunkiem skutecznej ochrony przed cyberzagrożeniami – podkreślił Prezes Zarządu PSE S.A.Grzegorz Onichimowski.

CSIRT Energia (Computer Security Incident Response Team) to wyspecjalizowany zespół zajmujący się wykrywaniem i analizowaniem cyberzagrożeń oraz reagowaniem na incydenty bezpieczeństwa komputerowego w sektorze energetycznym. Zespół powstanie w strukturach Polskich Sieci Elektroenergetycznych.

CSIRT Energia będzie piątym sektorowym zespołem reagowania na incydenty cyberbezpieczeństwa w Polsce obok CSIRT Cyfra dla infrastruktury cyfrowej, CSIRT KNF dla sektora bankowego i finansowego, CSIRT Infrastruktura dla transportu i zaopatrzenia w wodę oraz CSIRT CeZ dla sektora ochrony zdrowia.

Wspólne działania na rzecz cyberbezpieczeństwa

Na mocy podpisanego porozumienia Minister Energii powierza PSE utworzenie, utrzymanie, zapewnienie funkcjonowania i rozwój CSIRT Energia. Jako organ właściwy do spraw cyberbezpieczeństwa dla sektora energii i sektora inwestycji energii jądrowej, Minister Energii odpowiada za zapewnienie funkcjonowania zespołu oraz nadzór i weryfikację realizacji powierzonych zadań.

PSE odpowiadają za przygotowanie harmonogramu uruchomienia zespołu oraz zapewnienie odpowiednich zasobów kadrowych, organizacyjnych i technicznych, a także narzędzi, procedur i bezpiecznej wymiany informacji.

Polskie Sieci Elektroenergetyczne mają doświadczenie w zapewnianiu bezpieczeństwa infrastruktury o kluczowym znaczeniu dla funkcjonowania państwa. Spółka wdraża zaawansowane mechanizmy ochrony i reagowania na incydenty poprzez własne jednostki CERT (Computer Emergency Response Team) oraz SOC (Security Operations Center). PSE świadczą również usługę cyberochrony dla europejskiego stowarzyszenia operatorów systemów przesyłowych ENTSO-E.

Jeden zespół dla całego sektora energii

Utworzenie zespołu będzie istotnym elementem wzmacniania cyberbezpieczeństwa infrastruktury energetycznej, której bezpieczeństwo zależy od ochrony systemów informatycznych oraz systemów technologii operacyjnej (OT), wykorzystywanych do sterowania procesami technologicznymi.

Dziś Ministerstwo Energii w zakresie cyberbezpieczeństwa nadzoruje blisko 1200 podmiotów z sektora energii.

Zakres działania zespołu obejmie wszystkie podsektory energii wskazane w ustawie o krajowym systemie cyberbezpieczeństwa, w tym:

wydobywanie kopalin
energię elektryczną, w tym ładowanie pojazdów elektrycznych
ciepło
ropę i paliwa
gaz
wodór
a także sektor inwestycji energii jądrowej

Utworzenie CSIRT Energia pozwoli rozwijać specjalistyczną wiedzę o technologiach i procesach wykorzystywanych w poszczególnych obszarach energetyki oraz charakterystycznych dla nich cyberzagrożeniach.

Szybsze reagowanie na cyberzagrożenia

Skupienie informacji i kompetencji w jednym wyspecjalizowanym zespole pozwoli szybciej rozpoznawać powtarzające się zagrożenia, sprawniej ostrzegać spółki z sektora i skuteczniej ograniczać skutki incydentów. Wspólna analiza informacji oraz skoordynowane działania poprawią przygotowanie sektora na cyberataki i wzmocnią jego zdolność do utrzymania ciągłości kluczowych usług.

Do najważniejszych zadań CSIRT Energia należeć będą:

przyjmowanie zgłoszeń i wczesnych ostrzeżeń o incydentach
analizowanie zagrożeń i podatności
reagowanie na cyberataki i podejmowanie niezbędnych działań technicznych
wspieranie koordynacji obsługi incydentów
współpraca z krajowymi i sektorowymi zespołami CSIRT
wspieranie wymiany informacji i dobrych praktyk, organizacji ćwiczeń oraz inicjatyw szkoleniowych

Utworzenie CSIRT Energia nie zwalnia przedsiębiorstw z odpowiedzialności za ochronę własnych systemów.

Cyberbezpieczeństwo integralną częścią bezpieczeństwa energetycznego

Systemy energetyczne są coraz bardziej zależne od technologii informatycznych i przemysłowych systemów sterowania. Cyberatak może więc zakłócić nie tylko działanie systemów IT, lecz także procesy technologiczne i funkcjonowanie infrastruktury krytycznej.

Skala wyzwań rośnie. Jak wynika ze sprawozdania Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa za 2025 r., krajowe zespoły CSIRT obsłużyły blisko 273 tys. incydentów, czyli o 144,4 proc. więcej niż rok wcześniej.

Pod koniec grudnia 2025 r. doszło do skoordynowanych ataków o charakterze destrukcyjnym, wymierzonych m.in. w systemy związane z ponad 30 farmami wiatrowymi i fotowoltaicznymi oraz elektrociepłownią. Ataki nie spowodowały przerwy w dostawach energii.

Przykłady te pokazują, jak istotne są szybka identyfikacja zagrożeń, sprawna wymiana informacji i koordynacja działań między podmiotami odpowiedzialnymi za bezpieczeństwo energetyczne.

Od wymagań do działania: reagowanie i odporność organizacji

Thu, 29 Oct 2026 00:00:00 +0100

Niedostępny system, zaszyfrowane pliki czy przejęte konto pracownika, w krótkim czasie zakłócają pracę całej organizacji. KSC 2.0 wymaga, aby zapobiegać incydentom oraz skutecznie zareagować gdy wystąpią, ograniczyć straty i bezpiecznie wrócić do pracy.

Cyberodporność

Nie każdemu cyberatakowi, awarii czy błędowi człowieka uda się zapobiec. Można jednak przygotować organizację tak, aby szybciej zauważyła problem i sprawniej sobie z nim poradziła.

Reagowanie obejmuje rozpoznanie zdarzenia, ocenę sytuacji i podjęcie działań ograniczających jego skutki. Odporność to szersza zdolność do przetrwania zakłócenia: utrzymania najważniejszych procesów, odtworzenia usług i wykorzystania zdobytych doświadczeń.

Zauważyć problem i wiedzieć, co zrobić

Skuteczne reagowanie na incydenty cyberbezpieczeństwa zaczyna się od ich odpowiednio wczesnego wykrycia. Zgodnie z art. 8 ust. 1 pkt 2 lit. g ustawy o krajowym systemie cyberbezpieczeństwa (KSC 2.0) podmiot powinien zapewnić ciągłe monitorowanie systemu informacyjnego wykorzystywanego do świadczenia usługi. Uzupełnia go art. 8 ust. 1 pkt 3, który nakłada obowiązek zbierania informacji o cyberzagrożeniach i podatnościach dotyczących wykorzystywanych systemów.

W praktyce chodzi o wychwytywanie sygnałów, które mogą świadczyć o problemie: nietypowych logowań, nieoczekiwanych zmian w systemie czy nagłej niedostępności danych. Potrzebne jest również sprawdzanie, czy pojawiające się ostrzeżenia o nowych zagrożeniach dotyczą oprogramowania i usług wykorzystywanych w organizacji.

Za każdym sygnałem powinien stać ustalony sposób postępowania. Alert niewiele pomoże, jeśli nikt go nie przeanalizuje. Podobnie będzie ze zgłoszeniem pracownika, które trafi do niewłaściwej osoby i pozostanie bez odpowiedzi.

Obowiązek zarządzania incydentami wynika z art. 8 ust. 1 pkt 4 ustawy KSC 2.0. Warto więc wcześniej ustalić, kto odbiera zgłoszenia, kto ocenia ich znaczenie i kto koordynuje dalsze działania. Pracownik powinien wiedzieć, gdzie zgłosić problem, bez konieczności samodzielnego rozstrzygania, czy ma do czynienia z cyberatakiem.

Zareagować, zanim skutki będą poważniejsze

Po wykryciu zagrożenia liczy się sprawna, skoordynowana reakcja. Art. 8 ust. 1 pkt 5 ustawy KSC 2.0 odnosi się do stosowania środków zapobiegających i ograniczających wpływ incydentów na bezpieczeństwo systemu informacyjnego. W szczególności lit. d tego przepisu przewiduje niezwłoczne podejmowanie działań po dostrzeżeniu podatności lub cyberzagrożeń.

Zależnie od sytuacji może być potrzebne odizolowanie urządzenia, zablokowanie przejętego konta albo czasowe ograniczenie działania usługi. Takie decyzje wymagają oceny zarówno zagrożenia, jak i konsekwencji dla organizacji. Trzeba też zadbać o zachowanie logów i innych informacji, które pomogą ustalić przebieg zdarzenia.

W czasie incydentu łatwo o sprzeczne polecenia i działania podejmowane bez wiedzy kluczowych osób. Dlatego warto wcześniej określić, kto podejmuje decyzje, kiedy informowane jest kierownictwo i w jaki sposób zespoły wymieniają informacje. Potrzebne są także zastępstwa i alternatywny sposób kontaktu, gdy firmowa poczta lub komunikator przestaną działać.

Ważne jest również zapewnienie sprawnego kontaktu z podmiotami krajowego systemu cyberbezpieczeństwa. Zgodnie z art. 9 ust. 1 pkt 1 ustawy KSC 2.0 podmiot kluczowy lub ważny wyznacza co najmniej dwie osoby odpowiedzialne za utrzymywanie takich kontaktów. Dla mikro- i małych przedsiębiorców oraz podmiotów ważnych będących podmiotami publicznymi ustawa przewiduje wyznaczenie co najmniej jednej osoby kontaktowej (art. 9 ust. 2 i 3).

W praktyce warto zadbać, aby osoby te znały procedury reagowania i miały dostęp do informacji potrzebnych do współpracy z właściwym CSIRT-em. Jasne ustalenie ich roli i sposobu kontaktu pomaga uniknąć sytuacji, w której podczas incydentu nie wiadomo, kto ma przekazać informacje lub odebrać zalecenia.

Utrzymać to, co najważniejsze

Incydent może oznaczać, że przez pewien czas część systemów będzie niedostępna. Organizacja powinna wiedzieć, jak w takich warunkach realizować najważniejsze zadania.

Art. 8 ust. 1 pkt 2 lit. f ustawy KSC 2.0 obejmuje wdrażanie, dokumentowanie, testowanie i utrzymywanie planów ciągłości działania, planów awaryjnych oraz planów odtworzenia działalności.

Przygotowanie tych planów wymaga odpowiedzi na konkretne pytania: które usługi trzeba przywrócić w pierwszej kolejności? Jak długo mogą pozostawać niedostępne? Czy część zadań można czasowo wykonywać inaczej? Jakich osób, danych i narzędzi będzie do tego potrzeba?

Przykładowo, gdy przestaje działać system obsługi klientów, można rozważyć przyjmowanie zgłoszeń innym kanałem. Trzeba jednak ustalić, kto będzie je obsługiwał, jak zostaną zabezpieczone informacje i w jaki sposób trafią później do właściwego systemu. Rozwiązanie zastępcze powinno być przygotowane na tyle dokładnie, aby dało się z niego skorzystać pod presją czasu.

Przywrócić działanie w bezpieczny sposób

Odtworzenie systemów i usług jest praktycznym elementem realizacji wymagań dotyczących planów wskazanych w art. 8 ust. 1 pkt 2 lit. f. Ważną rolę odgrywają tu kopie zapasowe.

Eksperci zajmujący się cyberbezpieczeństwem podkreślają znaczenie regularnego wykonywania kopii, ich bezpiecznego przechowywania oraz sprawdzania, czy pozwalają odzyskać dane i wznowić pracę. Aktualne i przetestowane kopie pomagają ograniczyć skutki incydentu i skrócić czas przestoju.

Warto sprawdzić możliwość odtworzenia całej usługi. Sama kopia bazy danych może okazać się niewystarczająca, jeśli zabraknie konfiguracji aplikacji, wymaganych uprawnień lub osoby, która potrafi przeprowadzić odtworzenie. Test pozwala wychwycić takie braki i ocenić, ile rzeczywiście potrwa powrót do pracy.

Przed ponownym uruchomieniem systemów trzeba również sprawdzić, czy usunięto przyczynę zdarzenia oraz czy odzyskane dane są poprawne i kompletne. Pośpiech na tym etapie może doprowadzić do kolejnych problemów.

Przećwiczyć reakcję, zanim będzie potrzebna

Obowiązek testowania planów wynika z art. 8 ust. 1 pkt 2 lit. f ustawy KSC 2.0. Uzupełnia go art. 8 ust. 1 pkt 2 lit. h, dotyczący polityk i procedur oceny skuteczności środków technicznych i organizacyjnych.

Jednym ze sposobów sprawdzenia przygotowania są ćwiczenia. Na początek można przyjąć prosty scenariusz: najważniejszy system przestaje działać, osoba odpowiedzialna za jego obsługę jest nieobecna, a klienci pytają, kiedy usługa będzie dostępna. Uczestnicy wspólnie ustalają, jakie kroki podejmują, z kim się kontaktują i jakich informacji potrzebują.

Takie ćwiczenie pomaga zauważyć nieaktualne kontakty, niejasny podział zadań oraz brak dostępu do potrzebnej dokumentacji. Jego wyniki powinny prowadzić do wprowadzenia konkretnych zmian, przypisania odpowiedzialności oraz określenia terminów ich realizacji.

Podobnie warto postępować po rzeczywistym incydencie. Przeanalizowanie tego, co się zadziałało, co opóźniło reakcję i czego zabrakło, pozwala lepiej przygotować się na kolejne zdarzenia. Odporność organizacji rośnie wtedy, gdy zdobyte doświadczenia przekładają się na codzienną praktykę.

Więcej informacji na temat obowiązków wynikających z ustawy KSC 2.0 znajduje się w poradniku „Od wymagań do działania. Praktyczny przewodnik po nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa”

Infonet Projekt dołącza do Programu Współpracy w Cyberbezpieczeństwie (PWCyber)

Wed, 28 Oct 2026 00:00:00 +0100

Infonet Projekt - polski integrator technologii IT i producent oprogramowania OXARI ITSM - wnosi do programu doświadczenie w projektowaniu i integracji infrastruktury IT oraz rozwijaniu własnego oprogramowania, wspierających zarządzanie usługami IT i obsługę incydentów cyberbezpieczeństwa.

– Skuteczne cyberbezpieczeństwo wymaga dziś połączenia niezawodnej infrastruktury, odpowiednio zorganizowanych procesów i sprawnego reagowania na incydenty. Przystąpienie do PWCyber daje nam możliwość dzielenia się doświadczeniem integratora IT i producenta oprogramowania oraz współpracy na rzecz zwiększania odporności cyfrowej polskich organizacji – wskazuje Piotr Fabiański, Prezes zarządu Infonet Projekt.

O Infonet Projekt SA

Infonet Projekt specjalizuje się w projektowaniu, wdrażaniu i integracji rozwiązań Data Center, ze szczególnym uwzględnieniem cyberbezpieczeństwa i zapewnienia ciągłości działania systemów informatycznych. Firma buduje wysokodostępne, odporne na awarie środowiska IT, wykorzystując rozwiązania wirtualizacyjne i macierze dyskowe pracujące w architekturze active-active uzupełnione o niezawodne systemy kopii zapasowych. Realizowane projekty opierają się na technologiach wiodących producentów rozwiązań klasy enterprise, a kompetencje zespołu potwierdzają specjalistyczne certyfikaty technologiczne.

Spółka jest również producentem polskiego systemu OXARI ITSM. Oprogramowanie centralizuje zarządzanie usługami i zasobami IT, obsługę zgłoszeń pracowników, w tym incydentów bezpieczeństwa, jak również pozwala digitalizować procesy firmowe. Rozwiązanie wspiera organizacje w porządkowaniu infrastruktury, zarządzaniu uprawnieniami pracowników oraz realizacji procesów istotnych m.in w zakresie spełniania wymagań ustawy o krajowym systemie cyberbezpieczeństwa.

W obszarze cyberbezpieczeństwa Infonet Projekt rozwija także kompetencje związane z integracją ITSM z ekosystemem Security Operations Center (SOC), w tym systemami SIEM, EDR/XDR i monitoringu. Takie podejście wspiera automatyzację obsługi incydentów, analizę ich kontekstu oraz koordynację działań – od wykrycia zagrożenia po jego rozwiązanie.

Więcej informacji o nowym partnerze na stronach: https://infonet-projekt.com.pl/, https://www.oxari.com/ oraz https://it-man.pl/

O Programie

Program Współpracy w Cyberbezpieczeństwie (PWCyber) to realizowana przez Ministra Cyfryzacji inicjatywa o charakterze wymiany partnerskiej z sektorem prywatnym, w której uczestniczy blisko 70 firm. Celem porozumienia jest wzmocnienie krajowego systemu cyberbezpieczeństwa. W ramach współpracy firmy technologiczne – krajowe i międzynarodowe – dzielą się doświadczeniami na drodze do zwiększenia bezpieczeństwa cyfrowych procesów i podniesienia świadomości użytkowników na temat zagrożeń cyfrowych.

Wykaz KSC: nie otrzymałeś zawiadomienia o wpisie? Zgłoś podmiot do weryfikacji

Wed, 28 Oct 2026 00:00:00 +0100

Ministerstwo Cyfryzacji identyfikuje podmioty wykonujące zadania użyteczności publicznej, podlegające z urzędu wpisowi do Wykazu KSC. Podmioty, które nie otrzymały zawiadomienia o wpisie ani wezwania do uzupełnienia danych, mogą zgłosić się do weryfikacji za pośrednictwem dedykowanego formularza zgłoszeniowego.

Sprawdź, czy podmiot otrzymał już zawiadomienie o wpisie z urzędu do Wykazu KSC

NASK – Państwowy Instytut Badawczy, działając w imieniu Ministra Cyfryzacji, wysyła podmiotom wpisanym z urzędu zawiadomienia o wpisie do Wykazu KSC (Wykazu Podmiotów Kluczowych i Podmiotów Ważnych) oraz wezwania do uzupełnienia danych. Przed wypełnieniem formularza sprawdź skrzynkę do e-Doręczeń oraz korespondencję papierową, w szczególności przesyłki polecone.

Formularz zgłoszeniowy jest przeznaczony przede wszystkim dla spółek wykonujących zadania o charakterze użyteczności publicznej, które nie otrzymały zawiadomienia o wpisie do Wykazu KSC ani wezwania do uzupełnienia danych, a mogą podlegać wpisowi z urzędu. Dotyczy to w szczególności spółek komunalnych realizujących zadania m.in. w obszarze dostarczania wody, odprowadzania ścieków, lokalnego transportu zbiorowego, gospodarki odpadami oraz innych usług świadczonych na rzecz mieszkańców.

Czy podmiot otrzymał zawiadomienie o wpisie?

Podmiot otrzymał zawiadomienie
Nie wypełniaj formularza. Uzupełnij dane w Wykazie KSC zgodnie z otrzymanym wezwaniem z wykorzystaniem otrzymanego kodu dostępu.

Podmiot nie otrzymał zawiadomienia
Zgłoś podmiot do weryfikacji za pomocą formularza.

Formularz nie stanowi wniosku o wpis do Wykazu KSC. Na podstawie przekazanych informacji przeprowadzona zostanie weryfikacja danych podmiotu oraz ocena, czy zachodzą przesłanki do dokonania wpisu z urzędu.

W przypadku potwierdzenia podstaw do wpisu z urzędu zostanie przekazane zawiadomienie o wpisie do Wykazu KSC wraz z wezwaniem do uzupełnienia danych. Jeśli podstawy do wpisu nie zostaną potwierdzone, kontakt nastąpi z osobą zgłaszającą na dane wskazane w formularzu.

Ważne

Nie wszystkie podmioty publiczne podlegają wpisowi z urzędu do Wykazu KSC. Sprawdź, których podmiotów dotyczy wpis z urzędu, oraz zapoznaj się z odpowiedziami na najczęściej zadawane pytania w sekcji FAQ na stronie cyber.gov.pl.

Aktualizacja rekomendacji Pełnomocnika Rządu ds. Cyberbezpieczeństwa dotycząca ochrony ISP przed atakami typu DDoS

Mon, 26 Oct 2026 00:00:00 +0100

Z powodu ciągłych ataków typu DDoS na dostawców usług internetowych (Internet Service Provider - ISP) zaktualizowano wersję rekomendacji dotyczą ochrony dostawców internetu przed tego rodzaju cyberatakami.

Ze względu na stale ewoluujące techniki atakujących oraz utrzymujący się poziom ataków Ministerstwo Cyfryzacji we współpracy z Urzędem Komunikacji Elektronicznej i zespołem reagowania na incydenty bezpieczeństwa komputerowego CSIRT NASK przygotowało aktualizację dotychczasowych zaleceń. Zastosowanie rekomendacji przez dostawców internetu pozwoli istotnie podnieść poziom cyberbezpieczeństwa świadczonych przez nich usług i w dużej mierze ograniczyć skutki przeprowadzanych ataków DDoS.

Zachęcamy do zapoznania się z pełną treścią rekomendacji.

Materiały

Rekomendacja Pełnomocnika Rządu ds. Cyberbezpieczeństwa - aktualizacja - ochrona ISP przed DDoS
Rekomendacja_Pełnomocnika_Rządu_ds_Cyberbezpieczeństwa_-_aktualizacja_ochrona_ISP_przed_DDoS.pdf 0.13MB

Od wymagań do działania: Cyberbezpieczeństwo dostawców i usług zewnętrznych

Thu, 22 Oct 2026 00:00:00 +0200

Coraz więcej organizacji opiera swoją działalność na usługach i rozwiązaniach dostarczanych przez podmioty zewnętrzne. Bezpieczeństwo podmiotów zewnętrznych jest dziś równie ważne jak ochrona własnych systemów. Jakie wymagania stawiają przepisy i jak skutecznie realizować je w praktyce?

Czego wymaga ustawa?

Ustawa o krajowym systemie cyberbezpieczeństwa wymaga zarządzania ryzykiem związanym z dostawcami produktów, usług i procesów ICT. Obejmuje to w szczególności zapewnienie bezpieczeństwa i ciągłości łańcucha dostaw, ocenę ryzyka dostawców i świadczonych przez nich usług, weryfikację jakości wykorzystywanych produktów, usług i procesów ICT, a także monitorowanie dostawców oraz zarządzanie zależnościami od podmiotów zewnętrznych, w tym dostawców wysokiego ryzyka. Celem tych działań jest ograniczenie ryzyka incydentów, zakłóceń oraz negatywnego wpływu problemów po stronie dostawców na funkcjonowanie organizacji.

Co to oznacza w praktyce?

Bezpieczeństwo i ciągłość łańcucha dostaw produktów, usług i procesów ICT (art. 8 ust. 1 pkt 2 lit. e oraz 8 ust. 2 pkt 3)

Organizacja powinna wiedzieć, od których dostawców jest zależna i które rozwiązania są niezbędne do jej działania. Warto przygotować listę najważniejszych zależności i zastanowić się, jakie byłyby skutki niedostępności usług lub/i dostaw. Przy ocenie ryzyka związanego z dostawcami i usługami ICT należy brać pod uwagę nie tylko własne analizy i doświadczenia, ale także publicznie dostępne, publikowane przez zaufane organizacje i instytucje informacje i oceny bezpieczeństwa (publikowane na przykład na poziomie Unii Europejskiej). Mogą one pomóc w identyfikacji zagrożeń, podatności oraz innych ryzyk związanych z konkretnymi produktami, usługami lub dostawcami. Dzięki temu można wcześniej zaplanować działania ograniczające ryzyko i wspierające ciągłość działania.

Ocena ryzyka dostawców i usług ICT (art. 8 ust. 2 pkt 1)

Przed wyborem dostawcy warto sprawdzić, jak dba on o bezpieczeństwo informacji i czy zapewnia odpowiedni poziom ochrony swoich usług. Należy ocenić, jakie konsekwencje dla organizacji mogłaby mieć awaria systemu lub wyciek danych po stronie dostawcy. Taką ocenę warto powtarzać również w trakcie współpracy, szczególnie gdy zmienia się zakres usług lub pojawiają się nowe zagrożenia.

Jakość produktów, usług i procesów ICT (art. 8 ust. 2 pkt 2)

Przed zakupem lub wdrożeniem systemu, oprogramowania lub usługi warto sprawdzić, czy są one regularnie aktualizowane, wspierane przez dostawcę lub producenta oraz spełniają wymagania bezpieczeństwa organizacji. Powinno się także zwrócić uwagę na sposób utrzymania i rozwijania wykorzystywanych rozwiązań, w tym proces wprowadzania aktualizacji i usuwania podatności. Dobrą praktyką jest określenie wymagań już na etapie zapytania ofertowego lub umowy, tak aby dostawca od początku znał oczekiwania organizacji.

Zarządzanie zależnościami od dostawców ICT, w tym dostawców wysokiego ryzyka (art. 8 ust. 2 pkt 4)

Organizacja powinna identyfikować sytuacje, w których jest zależna od jednego dostawcy oraz podejmować działania ograniczające związane z tym ryzyko, szczególnie jeśli mogłoby to zakłócić lub sparaliżować realizację zadań. Warto rozważyć rozwiązania alternatywne i przygotować sposób działania na wypadek zakończenia współpracy lub dłuższej niedostępności usługi. Należy zwrócić uwagę na ryzyko uznania dostawcy za dostawcę wysokiego ryzyka i konsekwencje związane z koniecznością wycofania z użytkowania produktu, usługi lub procesu ICT dostarczanych przez ten podmiot.

Jak sprawdzić, czy organizacja spełnia ten obowiązek?

Ochrona systemów i informacji obejmuje zarówno rozwiązania techniczne, jak i działania organizacyjne, które mają zapewnić poufność, integralność i dostępność danych oraz odporność systemów na zagrożenia. Aby ocenić, czy wymagania w tym obszarze są realizowane, warto spojrzeć na nie z kilku uzupełniających się perspektyw:

decyzji i odpowiedzialności,
zasad i procedur,
systemów i bezpieczeństwa technicznego,
usług, ludzi i codziennej działalności.

W pierwszej kolejności należy ustalić, którzy dostawcy mają istotne znaczenie dla funkcjonowania organizacji, kto odpowiada za współpracę z nimi oraz w jaki sposób akceptowane jest ryzyko związane z korzystaniem z ich usług. Ważne jest również sprawdzenie, czy kwestie bezpieczeństwa są uwzględniane przy wyborze dostawców i czy organizacja posiada odpowiednie procedury regulujące współpracę z podmiotami zewnętrznymi.

Należy także zweryfikować, czy wymagania dotyczące bezpieczeństwa zostały uwzględnione w umowach, obejmują podwykonawców oraz określają zasady przechowywania i przetwarzania danych. Istotnym elementem jest również okresowa ocena dostawców pod kątem spełniania wymagań bezpieczeństwa.

Z perspektywy systemów i bezpieczeństwa technicznego, organizacja powinna wiedzieć, do jakich systemów i danych mają dostęp dostawcy, oceniać poziom bezpieczeństwa dostarczanych rozwiązań oraz analizować wpływ potencjalnych awarii lub incydentów po stronie dostawcy na własne systemy i usługi. Przykładowo, przed wdrożeniem usługi chmurowej warto ocenić stosowane przez dostawcę mechanizmy bezpieczeństwa, zakres dostępu do danych oraz procedury postępowania w przypadku incydentu.

Koniecznym jest również sprawdzenie, czy pracownicy wiedzą, gdzie zgłaszać problemy związane z usługami dostawców, czy określono oczekiwany czas reakcji na awarie oraz czy użytkownicy są informowani o planowanych zmianach i przerwach w świadczeniu usług.

Zaniedbania w tych obszarach mogą prowadzić do zakłóceń działalności, niekontrolowanego dostępu do danych, wydłużonego czasu niedostępności usług oraz strat finansowych i wizerunkowych.

Jakie działania wspierają realizację wymagań ustawowych?

Skuteczne zarządzanie bezpieczeństwem dostawców zaczyna się jeszcze przed nawiązaniem współpracy. Ryzyko w obszarze cyberbezpieczeństwa warto uwzględniać już na etapie wyboru i kwalifikacji dostawców, oceniając nie tylko oferowane usługi, ale również poziom stosowanych przez nich zabezpieczeń. Pomocne jest także śledzenie rekomendacji i ostrzeżeń publikowanych przez właściwe organy odpowiedzialne za cyberbezpieczeństwo.

Skuteczne zarządzanie bezpieczeństwem dostawców nie powinno również kończyć się na podpisaniu umowy. Ważnym elementem jest stałe monitorowanie dostawców oraz weryfikowanie, czy realizują oni uzgodnione wymagania bezpieczeństwa. Dobrą praktyką jest także ograniczanie zależności od pojedynczych dostawców oraz przygotowanie rozwiązań awaryjnych na wypadek problemów po ich stronie. Analiza incydentów, awarii i wyników okresowych ocen pozwala wyciągać wnioski i stale doskonalić sposób zarządzania bezpieczeństwem w łańcuchu dostaw.

Regularna weryfikacja współpracy z dostawcami, kontrola uprawnień oraz uwzględnianie ryzyka w całym łańcuchu dostaw pozwalają ograniczyć prawdopodobieństwo wystąpienia problemów i zwiększyć odporność organizacji na cyberzagrożenia.

Cyberbezpieczeństwo dostawców i usług zewnętrznych – więcej niż zapisy w umowie

Wiele incydentów związanych z dostawcami i usługami zewnętrznymi nie wynika z braku procedur, lecz z pozornie drobnych zaniedbań czy błędnych założeń. Do najczęstszych błędów należą traktowanie oceny bezpieczeństwa dostawcy jako jednorazowego działania, pozostawianie nadmiernych uprawnień do systemów i danych, pomijanie podwykonawców w ocenie ryzyka czy nadmierne uzależnienie od jednego dostawcy. Ryzyko zwiększa również skupianie się wyłącznie na kosztach i funkcjonalności usług oraz błędne przekonanie, że odpowiedzialność za cyberbezpieczeństwo można przenieść na podmiot zewnętrzny. Świadomość tych pułapek i ich konsekwentne unikanie pozwalają ograniczać ryzyko oraz wzmacniać odporność organizacji na cyberzagrożenia.

Więcej informacji znajduje się w poradniku „Od wymagań do działania. Praktyczny przewodnik po nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa”. Publikacja zawiera pytania kontrolne, przykładowe działania i dokumenty oraz dobre praktyki wspierające wdrażanie wymagań ustawowych i budowanie odporności organizacji na cyberzagrożenia.

Rekomendacja Pełnomocnika Rządu ds. Cyberbezpieczeństwa dotycząca oprogramowania PHP

Thu, 22 Oct 2026 00:00:00 +0200

Pełnomocnik Rządu ds. Cyberbezpieczeństwa wydał rekomendację dla podmiotów krajowego systemu cyberbezpieczeństwa dotyczącą niezwłocznego zaktualizowania oprogramowania PHP

W związku z informacją o podatnościach CVE-2026-109618 oraz CVE-2026-109619 w oprogramowaniu PHP rekomenduję podmiotom krajowego systemu cyberbezpieczeństwa1 niezwłoczne podjęcie następujących działań dotyczących oprogramowania PHP:

1. Natychmiastowe wdrożenie poprawki eliminującej powyższe podatności we wszystkich usługach wykorzystujących PHP (PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35).

2. W przypadku gotowych urządzeń, appliance oraz aplikacji dystrybuowanych jako obrazy (np. Docker), należy oczekiwać ich nowej wersji od producenta, które po udostępnieniu należy niezwłocznie wdrożyć.

3. Do czasu wdrożenia poprawki, aby zminimalizować ryzyko incydentu należy ustawić następujące wartości parametrów PHP w php.ini:

· memory_limit na -1, jeżeli pozwalają na to zasoby, a w przeciwnym wypadku 128M lub więcej,

· post_max_size: 8M lub mniej,

· max_input_vars: 1000 lub mniej,

· session.upload_progress.enabled na Off.

Pełnomocnik Rządu do Spraw Cyberbezpieczeństwa przeprowadził konsultację w powyższym zakresie z CSIRT NASK, CSIRT GOV oraz CSIRT MON, na podstawie której została potwierdzona możliwość wystąpienia incydentu krytycznego w przypadku niezastosowania się do powyższej rekomendacji. Tym samym stwierdza się, że stosowanie oprogramowania z ww. podatnościami ma negatywny wpływ na bezpieczeństwo publiczne i istotny interes bezpieczeństwa państwa.

Zachęcamy do zapoznania się z pełną treścią rekomendacji poniżej.

Pełna lista rekomendacji Pełnomocnika Rządu ds. Cyberbezpieczeństwa znajduje się w Biuletynie Informacji Publicznej Ministra Cyfryzacji.

Materiały

Rekomendacja Pełnomocnika Rządu ds. Cyberbezpieczeństwa dot. PHP
Rekomendacja_Pełnomocnika_Rządu_ds_Cyberbezpieczeństwa_dot_PHP_(1).pdf 0.11MB

Cyberodporność infrastruktury komunalnej. Jak zapewnić ciągłość usług publicznych w erze cyfryzacji

Fri, 16 Oct 2026 00:00:00 +0200

W pełni bezpłatne, dwudniowe warsztaty poświęcone cyberbezpieczeństwu infrastruktury komunalnej, organizowane przez Departament Cyberbezpieczeństwa Ministerstwa Cyfryzacji oraz Partnerów Programu Współpracy w Cyberbezpieczeństwie (PWCyber), odbędą się 3-4 listopada 2026 r. Wydarzenie otwiera cykl warsztatów dedykowanych JST, realizowanych we współpracy z partnerami PWCyber.

Wydarzenie organizowane w dniach 3-4 listopada skierowane jest do przedstawicieli jednostek samorządu terytorialnego oraz spółek komunalnych odpowiedzialnych za utrzymanie, rozwój i bezpieczeństwo infrastruktury świadczącej kluczowe usługi publiczne.

Warsztaty odbędą się w formule stacjonarnej w siedzibie Ministerstwa Cyfryzacji przy ul. Królewskiej 27 w Warszawie. Udział w wydarzeniu jest bezpłatny. Uczestnicy pokrywają we własnym zakresie koszty dojazdu oraz ewentualnego zakwaterowania.

Program konferencji łączy aktualne wymagania regulacyjne z praktycznymi doświadczeniami operatorów infrastruktury, ekspertów OT oraz specjalistów cyberbezpieczeństwa. Uczestnicy poznają rzeczywiste przykłady wdrożeń, metody identyfikacji ryzyka, projektowania bezpiecznej architektury OT oraz budowania cyberodporności organizacji.

O WYDARZENIU

Cyfryzacja infrastruktury komunalnej staje się jednym z najważniejszych elementów transformacji przedsiębiorstw odpowiedzialnych za dostarczanie usług publicznych.

Nowoczesne systemy automatyki, inteligentne sieci, zdalne zarządzanie infrastrukturą, dekarbonizacja oraz integracja środowisk IT i OT zwiększają efektywność działania przedsiębiorstw, ale jednocześnie powodują pojawienie się nowych zagrożeń.

Cyberbezpieczeństwo nie jest już wyłącznie zagadnieniem technologicznym. Stało się jednym z kluczowych elementów zapewnienia ciągłości świadczenia usług publicznych oraz odpowiedzialnego zarządzania infrastrukturą komunalną.

Podczas dwóch dni warsztatów uczestnicy przejdą przez kompletną ścieżkę budowania cyberodporności - od identyfikacji ryzyka i inwentaryzacji infrastruktury, przez monitoring i ocenę zagrożeń, aż po projektowanie odpornej architektury OT, ochronę komunikacji przemysłowej oraz rozwój kompetencji organizacji.

DLA KOGO JEST TO WYDARZENIE

Warsztaty skierowane są do:

jednostek samorządu terytorialnego,

urzędów miast i gmin,

starostw powiatowych,

przedsiębiorstw ciepłowniczych,

przedsiębiorstw wodociągowo-kanalizacyjnych,

oczyszczalni ścieków,

przedsiębiorstw gospodarki odpadami,

operatorów transportu publicznego,

spółek komunalnych,

dyrektorów IT,

kierowników automatyki,

osób odpowiedzialnych za cyberbezpieczeństwo,

kadry zarządzającej odpowiedzialnej za rozwój infrastruktury technicznej.

DLACZEGO WARTO WZIĄĆ UDZIAŁ

Podczas warsztatów uczestnicy:

poznają aktualne wymagania wynikające ze znowelizowanej ustawy o krajowym systemie cyberbezpieczeństwa oraz NIS2,

dowiedzą się, jak cyfryzacja wpływa na bezpieczeństwo infrastruktury komunalnej,

poznają praktyczne doświadczenia konkretnego zakładu MPEC z budowy cyberodporności,

zobaczą, jak identyfikować podatności oraz oceniać ryzyko w środowiskach OT,

poznają metody monitorowania infrastruktury i wykrywania incydentów,

dowiedzą się, jak projektować bezpieczne architektury zgodne z IEC 62443,

poznają dobre praktyki budowy odpornych sieci przemysłowych,

wezmą udział w praktycznych warsztatach oraz demonstracjach technologii,

dowiedzą się, jak rozwijać kompetencje organizacji odpowiedzialnych za bezpieczeństwo infrastruktury komunalnej.

PROGRAM

DZIEŃ 1

Identyfikacja ryzyka i widoczność infrastruktury komunalnej

Pierwszy dzień poświęcony będzie identyfikacji ryzyka oraz budowaniu pełnej świadomości infrastruktury OT. Uczestnicy poznają wpływ transformacji infrastruktury komunalnej na cyberbezpieczeństwo, praktyczne doświadczenia przedsiębiorstwa ciepłowniczego oraz metody identyfikacji podatności, monitorowania środowisk OT i oceny ryzyka.

DZIEŃ 2

Architektura odpornej infrastruktury OT

Drugi dzień koncentruje się na praktycznych aspektach budowania odpornej infrastruktury OT. Omówione zostaną zagadnienia związane z projektowaniem architektury zgodnej z IEC 62443, bezpieczeństwem komunikacji przemysłowej, ochroną danych, odtwarzaniem środowisk OT oraz budowaniem kompetencji zespołów odpowiedzialnych za cyberbezpieczeństwo.

PRAKTYKA ZAMIAST TEORII

Program warsztatów został przygotowany w oparciu o rzeczywiste doświadczenia przedsiębiorstw komunalnych, ekspertów cyberbezpieczeństwa oraz integratorów systemów OT.

Uczestnicy zobaczą studium przypadku wdrożenia cyberbezpieczeństwa w przedsiębiorstwie ciepłowniczym, wezmą udział w praktycznych warsztatach monitorowania środowisk OT, poznają możliwości laboratoriów Cyber Range oraz zobaczą demonstracje nowoczesnych rozwiązań wspierających budowę cyberodporności.

PRELEGENCI

W wydarzeniu udział wezmą przedstawiciele:

Ministerstwa Cyfryzacji,

Partnerów Programu Współpracy w Cyberbezpieczeństwie (PWCyber),

przedsiębiorstw komunalnych,

ekspertów cyberbezpieczeństwa OT,

integratorów systemów automatyki,

ZAREJESTRUJ SIĘ

Weź udział w wydarzeniu poświęconym budowie cyberodporności infrastruktury komunalnej i poznaj praktyczne rozwiązania wspierające bezpieczeństwo oraz ciągłość świadczenia usług publicznych.

Liczba miejsc jest ograniczona.

Szczegółowa agenda znajduje się pod artykułem. Organizator zastrzega możliwość jej aktualizacji oraz wprowadzania zmian.

Uczestniczyć mogą jedynie osoby, które wypełnią formularz zgłoszeniowy i otrzymają potwierdzenie rejestracji od organizatora:

Rejestracja na wydarzenie

Materiały

Harmonogram Warsztatów "Cyberbezpieczeństwo Infrastruktury Komunalnej"
Harmonogram_Warsztatów_-_Cyberbezpieczeństwo_Infrastruktury_Komunalnej.pdf 0.17MB

Rekomendacja Pełnomocnika Rządu ds. Cyberbezpieczeństwa dot. środków organizacyjnych i technicznych zwiększających poziom bezpieczeństwa systemów informacyjnych

Fri, 16 Oct 2026 00:00:00 +0200

Rekomendacja wydana na podstawie art. 67a ustawy o KSC.

Środki organizacyjne i techniczne

Rekomendacja zawiera podstawowy katalog działań wzmacniających cyberbezpieczeństwo organizacji, dzięki czemu może stanowić punkt wyjścia dla podmiotów, które budują swoją cyberodporność lub muszą ją wzmocnić. Dokument określa najważniejsze kierunki i obszary, które powinny zostać uwzględnione przy budowie, utrzymaniu i doskonaleniu systemu zarządzania cyberbezpieczeństwem w podmiotach KSC.

Rekomendacja obejmuje kompleksowy zestaw rekomendowanych środków organizacyjnych i technicznych, w tym m.in.:

zarządzanie ryzykiem cyberbezpieczeństwa oraz tworzenie i aktualizowanie polityk bezpieczeństwa;
aktywne zaangażowanie kierownictwa w nadzór nad cyberbezpieczeństwem;
prowadzenie pełnej inwentaryzacji aktywów ICT i OT;
wdrażanie zasad zarządzania tożsamością i uprawnieniami zgodnie z zasadą minimalnych uprawnień;
stosowanie uwierzytelniania wieloskładnikowego (MFA) oraz bezpiecznego dostępu zdalnego;
zarządzanie podatnościami i regularne wdrażanie aktualizacji bezpieczeństwa;
stosowanie odpowiednich środków kryptograficznych do ochrony danych;
zapewnienie bezpieczeństwa fizycznego infrastruktury;
wykonywanie i testowanie kopii zapasowych zgodnie z zasadą 3-2-1;
zarządzanie ryzykiem w łańcuchu dostaw ICT;
monitorowanie bezpieczeństwa, detekcję zagrożeń i skuteczne reagowanie na incydenty;
rozwijanie świadomości cyberbezpieczeństwa pracowników;
prowadzenie audytów i ciągłe doskonalenie systemów bezpieczeństwa.

Wdrożenie rekomendowanych rozwiązań pozwala nie tylko istotnie podnieść poziom cyberbezpieczeństwa organizacji i ograniczyć ryzyko skutecznego cyberataku, lecz także wspiera realizację obowiązków wynikających z ustawy o krajowym systemie cyberbezpieczeństwa. Rekomendacja wskazuje minimalny zestaw dobrych praktyk, które powinny być dostosowywane do charakteru działalności podmiotu, poziomu ryzyka, znaczenia świadczonych usług oraz wykorzystywanej infrastruktury.

Publikacja dokumentu stanowi kolejny element działań Pełnomocnika Rządu na rzecz podnoszenia odporności cyfrowej państwa oraz budowy spójnego podejścia do zarządzania cyberbezpieczeństwem w podmiotach KSC. Rekomendacja wyznacza fundament dla dalszych, bardziej szczegółowych działań w poszczególnych obszarach technologicznych i organizacyjnych – poprzez zastosowanie dotychczas wydanych rekomendacji Pełnomocnika oraz tych, które będą publikowane w przyszłości.

Systemy informacyjne podmiotów krajowego systemu cyberbezpieczeństwa (KSC) są fundamentem ciągłości działania państwa, funkcjonowania gospodarki i dostępności usług dla obywateli, tak publicznych, jak i prywatnych. Rosnąca skala cyberzagrożeń wymaga wdrażania kompleksowych działań służących wzmacnianiu odporności organizacyjnej i technicznej już u ponad 70 tys. podmiotów kluczowych i ważnych w ramach krajowego systemu cyberbezpieczeństwa.

Zachęcamy do zapoznania się z treścią rekomendacji.

Materiały

Rekomendacja_dot_środków_organizacyjnych_i_technicznych
Rekomendacja_dot_środków_organizacyjnych_i_technicznych_2026-67a-9.pdf 0.16MB

Od wymagań do działania: Ochrona systemów i informacji

Thu, 15 Oct 2026 00:00:00 +0200

Wymagania ustawowe wyznaczają obszary, które organizacje powinny zabezpieczyć, aby chronić dane, usługi i infrastrukturę przed zagrożeniami. Jakie obszary wymagają szczególnej uwagi i jakie działania warto podjąć w praktyce?

Czego wymaga ustawa?

Ustawa o Krajowym Systemie Cyberbezpieczeństwa wymaga zapewnienia odpowiedniego poziomu ochrony systemów, urządzeń, informacji i danych wykorzystywanych do świadczenia usług. Obejmuje to m.in. kontrolę dostępu, ochronę danych przed utratą i nieuprawnionym ujawnieniem, stosowanie szyfrowania i MFA, zarządzanie aktualizacjami oraz zapewnienie bezpieczeństwa infrastruktury. Celem tych działań jest zachowanie poufności, integralności, dostępności i odporności systemów na cyberzagrożenia.

Co to oznacza w praktyce?

Bezpieczeństwo systemów przez cały cykl życia (art. 8 ust. 1 pkt 2 lit. b oraz lit. m)

Wymagania bezpieczeństwa powinny być uwzględniane na każdym etapie życia systemu: od zakupu lub projektowania, przez wdrożenie, utrzymanie, rozwój i testowanie, aż po jego wycofanie z użytkowania. Oznacza to m.in. uwzględnianie bezpieczeństwa przy wyborze nowych rozwiązań, zarządzaniu zmianami oraz bezpiecznym usuwaniu danych i urządzeń. Wymaga to również utrzymywania aktualnych informacji o wykorzystywanych systemach, urządzeniach i oprogramowaniu oraz planowania ich utrzymania, rozwoju i wycofania z użytkowania. Niezbędne jest także regularne aktualizowanie systemów, urządzeń i oprogramowania w celu usuwania znanych podatności i utrzymania odpowiedniego poziomu bezpieczeństwa.

Ochrona infrastruktury, urządzeń i środowiska (art. 8 ust. 1 pkt 2 lit. c)

Bezpieczeństwo informacji zależy nie tylko od systemów informatycznych. Znaczenie mają również urządzenia, pomieszczenia oraz infrastruktura wykorzystywana do świadczenia usług. Warto uwzględnić zagrożenia, takie jak kradzież sprzętu, nieuprawniony dostęp do pomieszczeń, awarie zasilania, pożar, zalanie lub inne zdarzenia mogące zakłócić funkcjonowanie organizacji.

Szyfrowanie i ochrona informacji (art. 8 ust. 1 pkt 2 lit. k)

Mechanizmy kryptograficzne, w tym szyfrowanie, powinny być stosowane zgodnie z poziomem ryzyka i rodzajem przetwarzanych informacji. Dotyczy to m.in. danych przechowywanych na laptopach, urządzeniach mobilnych i nośnikach zewnętrznych, a także informacji przesyłanych pocztą elektroniczną. Poziom zabezpieczeń kryptograficznych powinien być dostosowany do wartości chronionych informacji oraz skutków ich ewentualnego ujawnienia lub utraty.

Bezpieczna komunikacja i uwierzytelnianie (art. 8 ust. 1 pkt 2 lit. l)

Wymiana informacji wymaga korzystania z bezpiecznych kanałów komunikacji oraz rozwiązań ograniczających ryzyko nieuprawnionego dostępu. Bezpieczeństwo poczty elektronicznej wymaga stosowania mechanizmów tj. SPF, DKIM i DMARC, które umożliwiają weryfikację autentyczności wiadomości i ograniczają ryzyko podszywania się pod domenę organizacji. Ich brak może ułatwiać prowadzenie kampanii phishingowych oraz wykorzystywanie nazwy organizacji do działań oszukańczych. Istotną rolę odgrywa uwierzytelnianie wieloskładnikowe (MFA), które oprócz hasła wymaga dodatkowego potwierdzenia tożsamości, np. kodem z aplikacji mobilnej lub kluczem sprzętowym. Szczególnie jest to ważne przy ochronie poczty elektronicznej, usług chmurowych, połączeń VPN, usług zdalnego pulpitu (RDP) oraz kont administracyjnych. Dzięki temu przejęcie samego hasła nie wystarcza do uzyskania dostępu do systemu.

Kontrola dostępu do systemów i danych (art. 8 ust. 1 pkt 2 lit. n)

Dostęp do informacji i systemów powinien być ograniczony do osób, które rzeczywiście potrzebują go do wykonywania swoich obowiązków. Zakres uprawnień warto dopasowywać do pełnionej roli, regularnie go weryfikować oraz aktualizować przy zmianie stanowiska lub zakończeniu współpracy. Dobrą praktyką jest także ograniczanie korzystania z kont administracyjnych i stosowanie zasady minimalnych uprawnień.

Ochrona informacji i danych (art. 8 ust. 1 pkt 5 lit. a)

Ochrona informacji obejmuje nie tylko zabezpieczenia techniczne, ale również sposób zarządzania danymi w organizacji. W praktyce oznacza to:

klasyfikację informacji według ich znaczenia i wrażliwości,
określenie zasad przechowywania i udostępniania danych,
wykonywanie i zabezpieczanie kopii zapasowych,
monitorowanie dostępu do informacji,
bezpieczne usuwanie danych i nośników informacji,
stosowanie zasad ochrony danych przez cały okres ich przetwarzania.

Działania te pomagają ograniczyć ryzyko utraty informacji, wycieku danych oraz ich nieuprawnionego wykorzystania. Ich celem jest również zapewnienie, aby dane były dostępne dla uprawnionych osób wtedy, kiedy są potrzebne, nie były modyfikowane w sposób nieuprawniony oraz aby możliwe było potwierdzenie ich pochodzenia i autentyczności.

Zarządzanie aktualizacjami (art. 8 ust. 1 pkt 5 lit. b)

Regularne aktualizowanie systemów, aplikacji i urządzeń pomaga usuwać znane luki w zabezpieczeniach i ograniczać ryzyko cyberataków. Istotne jest również monitorowanie, czy wykorzystywane rozwiązania są nadal wspierane przez producenta i otrzymują niezbędne aktualizacje.

Integralność i ochrona systemów (art. 8 ust. 1 pkt 5 lit. c)

Integralność systemów oznacza pewność, że dane i konfiguracje nie zostaną zmienione przez osoby nieuprawnione ani uszkodzone w wyniku błędu, awarii lub ataku. Osiągnięcie tego celu wymaga połączenia wielu działań: kontroli dostępu, ochrony informacji, stosowania szyfrowania, bezpiecznej komunikacji oraz właściwego zabezpieczenia urządzeń i infrastruktury. Dodatkowym mechanizmem ograniczającym skutki incydentów jest segmentacja sieci, polegająca na oddzielaniu od siebie systemów i usług o różnym poziomie krytyczności. Ich wspólnym celem jest utrzymanie stabilnego i bezpiecznego działania systemów wykorzystywanych do świadczenia usług.

Jak sprawdzić, czy organizacja spełnia ten obowiązek?

decyzji i odpowiedzialności,
zasad i procedur,
systemów i bezpieczeństwa technicznego,
usług, ludzi i codziennej działalności.

Skuteczne cyberbezpieczeństwo zaczyna się od jasnego podziału odpowiedzialności. Organizacja powinna wiedzieć, kto odpowiada za ochronę systemów i informacji oraz kto podejmuje decyzje dotyczące akceptacji ryzyka lub odstępstw od obowiązujących zasad bezpieczeństwa. Brak jednoznacznego przypisania tych obowiązków może prowadzić do wdrażania nowych rozwiązań bez odpowiedniego nadzoru oraz niewystarczającej ochrony kluczowych zasobów.

Równie ważne są przejrzyste zasady i procedury. Powinny one określać wymagania bezpieczeństwa dla nowych systemów i usług, sposób postępowania z informacjami wymagającymi szczególnej ochrony oraz zasady stosowania szyfrowania i bezpiecznych kanałów komunikacji. Istotne jest również przygotowanie organizacji do reagowania na incydenty cyberbezpieczeństwa, w tym określenie zasad współpracy z właściwym zespołem CSIRT. Brak takich regulacji może prowadzić do stosowania niespójnych standardów ochrony, zwiększając ryzyko błędów, wycieku danych i problemów z realizacją obowiązków wynikających z przepisów.

Same procedury nie wystarczą jednak, jeśli nie towarzyszą im odpowiednie zabezpieczenia techniczne. Warto więc regularnie weryfikować, czy organizacja skutecznie identyfikuje i usuwa podatności, aktualizuje systemy i oprogramowanie oraz stosuje rozwiązania takie jak uwierzytelnianie wieloskładnikowe (MFA), szyfrowanie czy odpowiednie polityki haseł. Nie można także pomijać ochrony infrastruktury przed zagrożeniami fizycznymi i środowiskowymi, takimi jak pożary, zalania czy przerwy w dostawie energii. Zaniedbania w tych obszarach mogą prowadzić zarówno do naruszenia bezpieczeństwa danych, jak i zakłóceń w funkcjonowaniu organizacji.

O poziomie bezpieczeństwa decydują także codzienne nawyki pracowników. Korzystanie z indywidualnych kont, nadawanie uprawnień odpowiednich do wykonywanych zadań czy używanie wyłącznie zatwierdzonego sprzętu i oprogramowania to podstawowe zasady, które ograniczają ryzyko. Ich lekceważenie może prowadzić do niekontrolowanego kopiowania informacji, instalowania niebezpiecznych aplikacji, wycieku poufnych danych czy utraty informacji zapisanych na urządzeniach mobilnych.

Ocena cyberbezpieczeństwa nie powinna ograniczać się do sprawdzenia, czy organizacja posiada wymagane dokumenty i procedury. Najważniejsze jest ustalenie, czy przyjęte zasady są faktycznie stosowane i skutecznie chronią systemy, informacje oraz ciągłość działania organizacji.

Jakie działania wspierają realizację wymagań ustawowych?

Realizacja wymagań dotyczących ochrony systemów i informacji wymaga stałego monitorowania poziomu bezpieczeństwa oraz regularnej weryfikacji stosowanych zabezpieczeń. Dzięki temu organizacja może odpowiednio wcześnie reagować na nowe zagrożenia, podatności oraz dostępne aktualizacje bezpieczeństwa.

W praktyce warto systematycznie identyfikować podatności, błędy konfiguracji i informacje o wyciekach danych, a także śledzić komunikaty publikowane przez zespoły reagowania na incydenty np. CERT Polska oraz producentów wykorzystywanych systemów i urządzeń. Wsparciem w tych działaniach może być usługa moje.cert.pl, bezpłatne narzędzie CERT Polska (NASK) umożliwiające monitorowanie i ocenę poziomu cyberbezpieczeństwa domen, stron internetowych oraz infrastruktury sieciowej organizacji.

Istotne jest również uwzględnianie wymagań bezpieczeństwa już na etapie planowania nowych usług, systemów i zmian organizacyjnych. Takie podejście pozwala ograniczyć ryzyko wdrożenia rozwiązań, które nie spełniają wymagań bezpieczeństwa lub wymagają kosztownych modyfikacji po uruchomieniu.

Dobrą praktyką są okresowe przeglądy konfiguracji systemów, urządzeń i usług oraz regularna weryfikacja uprawnień użytkowników w celu usuwania zbędnych dostępów.

Coraz większego znaczenia nabiera także zarządzanie wykorzystaniem prywatnych urządzeń do celów służbowych. Jasne zasady korzystania z takich urządzeń pozwalają ograniczyć ryzyko utraty danych i nieuprawnionego dostępu do informacji. Dzięki tym działaniom organizacja może skuteczniej chronić swoje systemy i dane oraz utrzymywać zgodność z wymaganiami ustawowymi.

Ochrona systemów i informacji – podstawa cyberodporności

Ochrona systemów i informacji to obszar, który wymaga ciągłej uwagi i systematycznych działań. Skuteczność zabezpieczeń zależy nie tylko od wdrożenia odpowiednich rozwiązań technicznych, lecz także od ich bieżącego utrzymywania, monitorowania i dostosowywania do zmieniających się zagrożeń.

Pułapki w obszarze ochrony systemów i informacji często wynikają nie z braku zabezpieczeń, lecz z ich niewłaściwej konfiguracji, utrzymywania nadmiernych uprawnień lub zaniedbań w codziennej eksploatacji systemów. Szczególną uwagę warto zwrócić na pozostawianie dostępnych z Internetu paneli administracyjnych, przyznawanie użytkownikom i administratorom szerszych uprawnień niż jest to niezbędne do wykonywania obowiązków, korzystanie z niewspieranego lub nieaktualnego oprogramowania oraz brak kontroli nad urządzeniami mobilnymi wykorzystywanymi do pracy. Ryzyko zwiększa także traktowanie kopii zapasowych jako wystarczającego zabezpieczenia bez regularnego testowania możliwości ich odtworzenia oraz niedostosowanie poziomu ochrony do znaczenia systemów i przetwarzanych danych.

Dlatego warto regularnie weryfikować stan bezpieczeństwa systemów, aktualizować stosowane zabezpieczenia oraz kontrolować dostęp do danych i zasobów. Takie podejście pozwala ograniczać ryzyko incydentów, chronić kluczowe informacje oraz zapewniać bezpieczne i nieprzerwane świadczenie usług.

Więcej informacji o ochronie systemów i danych znajduje się w poradniku „Od wymagań do działania. Praktyczny przewodnik po nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa”. Publikacja zawiera pytania kontrolne, przykładowe działania i dokumenty oraz dobre praktyki wspierające ocenę zabezpieczeń i planowanie dalszych działań w organizacji.