English - European Union - NIS2 - ICT - Cybersecurity -

ROZPORZĄDZENIE WYKONAWCZE KOMISJI (UE) 2024/2690 z dnia 17 października 2024 r. ustanawiające zasady stosowania dyrektywy (UE) 2022/2555 w odniesieniu do wymogów technicznych i metodycznych dotyczących środków zarządzania ryzykiem w cyberbezpieczeństwie oraz doprecyzowujące przypadki, w których incydent uznaje się za poważny w odniesieniu do dostawców usług DNS, rejestrów nazw TLD, dostawców usług chmurowych, dostawców usług ośrodka przetwarzania danych, dostawców sieci dostarczania treści, dostawców usług zarządzanych, dostawców usług zarządzanych w zakresie bezpieczeństwa, dostawców internetowych platform handlowych, wyszukiwarek internetowych i platform usług sieci społecznościowych oraz dostawców usług zaufania (Tekst mający znaczenie dla EOG)

ROZPORZĄDZENIE WYKONAWCZE KOMISJI (UE) 2024/2690

z dnia 17 października 2024 r.

ustanawiające zasady stosowania dyrektywy (UE) 2022/2555 w odniesieniu do wymogów technicznych i metodycznych dotyczących środków zarządzania ryzykiem w cyberbezpieczeństwie oraz doprecyzowujące przypadki, w których incydent uznaje się za poważny w odniesieniu do dostawców usług DNS, rejestrów nazw TLD, dostawców usług chmurowych, dostawców usług ośrodka przetwarzania danych, dostawców sieci dostarczania treści, dostawców usług zarządzanych, dostawców usług zarządzanych w zakresie bezpieczeństwa, dostawców internetowych platform handlowych, wyszukiwarek internetowych i platform usług sieci społecznościowych oraz dostawców usług zaufania

(Tekst mający znaczenie dla EOG)

Niniejsze rozporządzenie wiąże w całości i jest bezpośrednio stosowane we wszystkich państwach członkowskich.

1. Przegląd

Preamble: 1

THE EUROPEAN COMMISSION,

Having regard to the Treaty on the Functioning of the European Union,

Having regard to Directive (EU) 2022/2555 of the European Parliament and of the Council of 14 December 2022 on measures for a high common level of cybersecurity across the Union, amending Regulation (EU) No 910/2014 and Directive (EU) 2018/1972, and repealing Directive (EU) 2016/1148 (NIS 2 Directive) (1), and in particular Articles 21(5), first subparagraph and 23(11), second subparagraph thereof,

Whereas:

(1)

With regard to DNS service providers, TLD name registries, cloud computing service providers, data centre service providers, content delivery network providers, managed service providers, managed security service providers, providers of online market places, of online search engines and of social networking services platforms, and trust service providers as covered by Article 3 of Directive (EU) 2022/2555 (the relevant entities), this Regulation aims to lay down the technical and the methodological requirements of the measures referred to in Article 21(2) of Directive (EU) 2022/2555 and to further specify the cases in which an incident should be considered to be significant as referred to in Article 23(3) of Directive (EU) 2022/2555.

(2)

Taking account of the cross-border nature of their activities and in order to ensure a coherent framework for trust service providers, this Regulation should, with respect to trust service providers, further specify the cases in which an incident shall be considered to be significant, in addition to laying down the technical and the methodological requirements of the cybersecurity risk-management measures.

(3)

Following Article 21(5), third subparagraph of Directive (EU) 2022/2555, the technical and methodological requirements of the cybersecurity risk-management measures set out in the Annex to this Regulation are based on European and international standards, such as ISO/IEC 27001, ISO/IEC 27002 and ETSI EN 319401, and technical specifications, such as CEN/TS 18026:2024, relevant to the security of network and information systems.

(4)

As regards the implementation and application of the technical and the methodological requirements of cybersecurity risk-management measures set out in the Annex to this Regulation, in line with the principle of proportionality, due account should be taken of the divergent risk exposure of relevant entities, such as the criticality of the relevant entity, the risks to which it is exposed, the relevant entity’s size and structure as well as the likelihood of occurrence of incidents and their severity, including their societal and economic impact, when complying with the technical and methodological requirements of cybersecurity risk-management measures set out in the Annex to this Regulation.

(5)

In line with the principle of proportionality, where relevant entities cannot implement some of the technical and the methodological requirements of the cybersecurity risk-management measures due to their size, those entities should be able to take other compensating measures that are suitable to achieve the purpose of those requirements. For example, when defining roles, responsibilities and authorities for network and information system security within the relevant entity, micro-sized entities might find it difficult to segregate conflicting duties and conflicting areas of responsibility. Such entities should be able to consider compensating measures such as targeted oversight by the entity’s management or increased monitoring and logging.

(6)

Certain technical and methodological requirements set out in the Annex to this Regulation should be applied by the relevant entities where appropriate, where applicable, or to the extent feasible. Where a relevant entity considers it not appropriate, not applicable or not feasible for the relevant entity to apply certain technical and methodological requirements as provided for in the Annex to this Regulation, the relevant entity should in a comprehensible manner document its reasoning to that effect. National competent authorities may, when exercising supervision, take into account the appropriate time required for the relevant entities to implement the technical and the methodological requirements of the cybersecurity risk-management measures.

(7)

ENISA or national competent authorities under Directive (EU) 2022/2555 can provide guidance to support relevant entities in the identification, analysis, and assessment of risks for the purpose of implementing the technical and the methodological requirements concerning the establishment and maintenance of an appropriate risk management framework. Such guidance can include, in particular, national and sectoral risk assessments as well as risk assessments specific for a certain type of entity. The guidance may also include tools or templates for the development of risk management framework at the level of the relevant entities. Frameworks, guidance or other mechanisms provided by Member States’ national law, as well as relevant European and international standards, can also support relevant entities in demonstrating compliance with this Regulation. Moreover, ENISA or national competent authorities under Directive (EU) 2022/2555 can support relevant entities in identifying and implementing appropriate solutions to treat risks identified in such risk assessments. Such guidance should be without prejudice to the relevant entities’ obligation to identify and document the risks posed to the security of network and information systems, and to the relevant entities’ obligation to implement the technical and the methodological requirements of the cybersecurity risk management measures set out in the Annex to this Regulation according to their needs and resources.

(8)

Network security measures in relation to: (i) the transition towards latest generation network layer communication protocols, (ii) the deployment of internationally agreed and interoperable modern email communications standards, and (iii) the application of best practices for DNS security, and for internet routing security and routing hygiene entail specific challenges regarding the identification of best available standards and deployment techniques. To achieve as soon as possible a high common level of cybersecurity across networks, the Commission, with the assistance of the European Union Agency for Cybersecurity (ENISA) and in collaboration with competent authorities, industry – including telecommunication industry – and other stakeholders, should support the development of a multistakeholder forum tasked to identify these best available standards and deployment techniques. Such multi-stakeholder guidance should be without prejudice to the relevant entities’ obligation to implement the technical and the methodological requirements of the cybersecurity risk management measures set out in the Annex to this Regulation.

(9)

Pursuant to Article 21(2), point (a), of Directive (EU) 2022/2555, essential and important entities should have, besides policies on risk analysis, policies on information system security. For that purpose, the relevant entities should establish a policy on the security of network and information systems as well as topic-specific policies, such as policies on access control, which should be coherent with the policy on the security of network and information systems. The policy on the security of network and information systems should be the highest-level document setting out the relevant entities’ overall approach to their security of network and information systems and should be approved by the management bodies of the relevant entities. The topic-specific policies should be approved by an appropriate level of management. The policy should lay down indicators and measures to monitor its implementation and the current status of relevant entities’ maturity level of network and information security, in particular to facilitate the oversight of the implementation of the cybersecurity risk-management measures through the management bodies.

(10)	For the purposes of the technical and the methodological requirements laid down in the Annex to this Regulation, the term ‘user’ should encompass all legal and natural persons which have access to the entity’s network and information systems.

(11)

To identify and address the risks posed to the security of network and information systems, the relevant entities should establish and maintain an appropriate risk management framework. As a part of the risk management framework, the relevant entities should establish, implement and monitor a risk treatment plan. The relevant entities may use the risk treatment plan to identify and prioritise risk treatment options and measures. Options for risk treatment include, in particular, avoiding, reducing or, in exceptional cases, accepting the risk. The choice of risk treatment options should take into account the results of the risk assessment carried out by the relevant entity, and be in accordance with the relevant entity’s policy on the security of network and information systems. To give effect to the chosen risk treatment options, the relevant entities should take the appropriate risk treatment measures.

(12)

To detect events, near misses and incidents, the relevant entities should monitor their network and information systems and should take actions to evaluate events, near misses and incidents. Those measures should be capable of allowing the detection of network-based attacks based on anomalous inbound and outbound traffic patterns and denial of service attacks in a timely manner.

(13)	When the relevant entities conduct a business impact analysis, they are encouraged to carry out a comprehensive analysis establishing, as appropriate, maximum tolerable downtime, recovery time objectives, recovery point objectives and service delivery objectives.

(14)

In order to mitigate risks stemming from a relevant entity’s supply chain and its relationship with its suppliers, the relevant entities should establish a supply chain security policy which governs their relations with their direct suppliers and service providers. These entities should specify in the contracts with their direct suppliers or service providers adequate security clauses, for example by requiring, where appropriate, cybersecurity risk-management measures according to Article 21(2) of Directive (EU) 2022/2555 or other similar legal requirements.

(15)

The relevant entities should regularly carry out security tests based on a dedicated policy and procedures to verify whether the cybersecurity risk-management measures are implemented and function properly. Security tests may be performed on specific network and information systems or on the relevant entity as a whole and may include automated or manual tests, penetration tests, vulnerability scanning, static and dynamic application security tests, configuration tests or security audits. The relevant entities may conduct security tests on their network and information systems at set-up, after infrastructure or application upgrades or modifications that they deem significant, or after maintenance. The findings of the security tests should inform the relevant entities’ policies and procedures to assess the effectiveness of the cybersecurity risk-management measures, as well as independent reviews of their network and information security policies.

(16)

In order to avoid significant disruption and harm caused by the exploitation of unpatched vulnerabilities in network and information systems, the relevant entities should set out and apply appropriate security patch management procedures which are aligned with the relevant entities’ change management, vulnerability management, risk management and other relevant procedures. Relevant entities should take measures proportionate to their resources to ensure that security patches do not introduce additional vulnerabilities or instabilities. In case of planned inaccessibility to the service caused by the application of security patches, the relevant entities are encouraged to duly inform customers in advance.

(17)

The relevant entities should manage the risks stemming from the acquisition of ICT products or ICT services from suppliers or service providers and should obtain assurance that the ICT products or ICT services to be acquired achieve certain cybersecurity protection levels, for example by European cybersecurity certificates and EU statements of conformity for ICT products or ICT services issued under a European cybersecurity certification scheme adopted pursuant to Article 49 of Regulation (EU) 2019/881 of the European Parliament and of the Council (2). Where the relevant entities set out security requirements to apply to the ICT products to be acquired, they should take into account the essential cybersecurity requirements set out in a regulation of the European Parliament and of the Council on horizontal cybersecurity requirements for products with digital elements.

(18)

In order to protect against cyber threats and support the prevention and containment of data breaches, the relevant entities should implement network security solutions. Typical solutions for network security include the use of firewalls to protect the relevant entities’ internal networks, the limitation of connections and access to services where connections and access are absolutely needed, and the use of virtual private networks for remote access and allowing connections of service providers only after an authorisation request and for a set time period such as the duration of a maintenance operation.

(19)

In order to protect the networks of the relevant entities and their information systems against malicious and unauthorised software, those entities should implement controls that prevent or detect the use of unauthorised software and should, where appropriate, use detection and response software. The relevant entities should also consider implementing measures to minimize the attack surface, reduce vulnerabilities that can be exploited by attackers, control the execution of applications on endpoints, and deploy email and web application filters to reduce exposure to malicious content.

(20)

Pursuant to Article 21(2), point (g), of Directive (EU) 2022/2555, Member States are to ensure that essential and important entities apply basic cyber hygiene practices and cybersecurity training. Basic cyber hygiene practices can include zero-trust principles, software updates, device configuration, network segmentation, identity and access management or user awareness, organise training for their staff and raise awareness concerning cyber threats, phishing or social engineering techniques. Cyber hygiene practices are a part of different technical and methodological requirements of the cybersecurity risk management measures set out in the Annex to this Regulation. With regard to basic cyber hygiene practices for users, the relevant entities should consider practices such as clear desk and screen policy, use of multi-factor and other authentication means, safe email use and web browsing, protection from phishing and social engineering, secure remote working practices.

(21)	In order to prevent unauthorised access to the relevant entities’ assets, the relevant entities should establish and implement a topic-specific policy addressing access by persons and by network and information systems, such as applications.

(22)

In order to avoid that employees can misuse, for instance, access rights within the relevant entity to harm and cause damage, relevant entities should consider adequate employee security management measures and raise awareness among personnel about such risks. The relevant entities should establish, communicate and maintain a disciplinary process for handling violations of the relevant entities’ network and information system security policies, which may be embedded in other disciplinary processes established by the relevant entities. Verification of the background of the employees and where applicable the direct suppliers and service providers of the relevant entities should contribute to the goal of human resources security in the relevant entities, and may include measures such as checks of the person’s criminal record or past professional duties, as appropriate for the person’s duties in the relevant entity and in line with the relevant entity’s policy on the security of network and information systems.

(23)

Multi-factor authentication can enhance the entities’ cybersecurity and should be considered by the entities in particular when users access network and information systems from remote locations, or when they access sensitive information or privileged accounts and system administration accounts. Multi-factor authentication can be combined with other techniques to require additional factors under specific circumstances, based on predefined rules and patterns, such as access from an unusual location, from an unusual device or at an unusual time.

(24)

The relevant entities should manage and protect the assets which are of value to them through a sound asset management which should also serve as the basis for the risk analysis and business continuity management. The relevant entities should manage both tangible and intangible assets and should create an asset inventory, associate the assets with a defined classification level, handle and track the assets and take steps to protect the assets throughout their lifecycle.

(25)

Asset management should involve classifying assets by their type, sensitivity, risk level, and security requirements and applying appropriate measures and controls to ensure their availability, integrity, confidentiality, and authenticity. By classifying assets by risk level, the relevant entities should be able to apply appropriate security measures and controls to protect assets such as encryption, access control including perimeter and physical and logical access control, backups, logging and monitoring, retention and disposal. When conducting a business impact analysis, the relevant entities may determine the classification level based on the consequences of disruption of assets for the entities. All employees of the entities handling assets should be familiar with the asset handling policies and instructions.

(26)

The granularity of the asset inventory should be appropriate for the needs of the relevant entities. A comprehensive asset inventory could include, for each asset, at least a unique identifier, the owner of the asset, a description of the asset, the location of the asset, the type of asset, the type and classification of information processed in the asset, the date of last update or patch of the asset, the classification of the asset under the risk assessment, and the end of life of the asset. When identifying the owner of an asset, the relevant entities should also identify the person responsible for protecting said asset.

(27)

The allocation and organisation of cybersecurity roles, responsibilities and authorities should establish a consistent structure for the governance and implementation of cybersecurity within the relevant entities, and should ensure effective communication in case of incidents. When defining and assigning responsibilities for certain roles, the relevant entities should consider roles such as chief information security officer, information security officer, incident handling officer, auditor, or comparable equivalents. Relevant entities may assign roles and responsibilities to external parties, such as ICT third-party service providers.

(28)

In accordance with Article 21(2) of Directive (EU) 2022/2555, the cybersecurity risk-management measures are to be based on an all-hazards approach that aims to protect network and information systems and the physical environment of those systems from events such as theft, fire, flood, telecommunication or power failures, or unauthorised physical access and damage to, and interference with, an essential or important entity’s information and information processing facilities, which could compromise the availability, authenticity, integrity or confidentiality of stored, transmitted or processed data or of the services offered by, or accessible via, network and information systems. The technical and the methodological requirements of the cybersecurity risk-management measures should therefore also address the physical and environmental security of network and information systems by including measures to protect such systems from system failures, human error, malicious acts or natural phenomena. Further examples of physical and environmental threats can include earthquakes, explosions, sabotage, insider threat, civil unrest, toxic waste, and environmental emissions. Prevention of loss, damage or compromise of network and information systems or interruption to their operations due to the failure and disruption of supporting utilities should contribute to the goal of business continuity in the relevant entities. Moreover, protection against physical and environmental threats should contribute to security of network and information systems maintenance in the relevant entities.

(29)

Relevant entities should design and implement protection measures against physical and environmental threats and determine minimum and maximum control thresholds for physical and environmental threats and monitor environmental parameters. For example, they should consider installing systems to detect at an early stage the flooding of areas where network and information systems are located. Regarding fire hazard, the relevant entities should consider the establishment of a separate fire compartment for the data centre, the use of fire-resistant materials, sensors for monitoring temperature and humidity, the connection of the building to a fire alarm system with an automated notification to the local fire department, and early fire detection and extinguishing systems. The relevant entities should also carry out regular fire drills and fire inspections. Furthermore, to ensure power supply, the relevant entities should consider overvoltage protection and corresponding emergency power supply, in accordance with relevant standards. Moreover, as overheating poses a risk to the availability of network and information systems, relevant entities, in particular data centre service providers, could consider adequate, continuous and redundant air conditioning systems.

(30)

This Regulation is to further specify the cases in which an incident should be considered to be significant for the purpose of Article 23(3) of Directive (EU) 2022/2555. The criteria should be such that relevant entities are able to assess whether an incident is significant, in order to notify the incident in accordance with Directive (EU) 2022/2555. Furthermore, the criteria set out in this Regulation should be considered exhaustive, without prejudice to Article 5 of Directive (EU) 2022/2555. This regulation specifies the cases in which an incident should be considered to be significant by setting out horizontal as well as entity-type specific cases.

(31)

Pursuant to Article 23(4) of Directive (EU) 2022/2555, relevant entities should be required to notify significant incidents within the deadlines set by that provision. Those notification deadlines are running from the moment the entity becomes aware of such significant incidents. The relevant entity is therefore required to report incidents that, based on its initial assessment, could cause severe operational disruption of the services or financial loss for that entity or affect other natural or legal persons by causing considerable material or non-material damage. Therefore, when a relevant entity has detected a suspicious event, or after a potential incident has been brought to its attention by a third party, such as an individual, a customer, an entity, an authority, a media organisation, or another source, the relevant entity should assess in a timely manner the suspicious event to determine whether it constitutes an incident and, if so, determine its nature and severity. The relevant entity is therefore to be regarded as having become ‘aware’ of the significant incident when, after such initial assessment, that entity has a reasonable degree of certainty that a significant incident has occurred.

(32)

With a view to establishing whether an incident is significant, where relevant, relevant entities should count the number of users impacted by the incident, taking into consideration business and end customers with whom the relevant entities have a contractual relationship as well as natural and legal persons that are associated with business customers. Where a relevant entity is unable to calculate the number of impacted users, the relevant entity’s estimate of the possible maximum number of affected users should be considered for the purpose of calculating the total number of users affected by the incident. The significance of an incident involving a trust service should not only be determined by the number of users but also by the number of relying parties as these can be equally affected by a significant incident involving a trust service in regard to operational disruption and material or non-material damage. Therefore, trust service providers should, where applicable, also take into account the number of relying parties when establishing whether an incident is significant. For that purpose, relying parties should be understood as natural or legal persons that rely upon a trust service.

(33)

Maintenance operations resulting in the limited availability or unavailability of the services should not be considered as significant incidents if the limited availability or unavailability of the service occurs according to a scheduled maintenance operation. Moreover, where a service is unavailable due to scheduled interruptions such as interruptions or non-availability based on pre-determined contractual agreement should not be considered as significant incident.

(34)

The duration of an incident which impacts availability of a service should be measured from the disruption of the proper provision of such service until the time of recovery. Where a relevant entity is unable to determine the moment when the disruption began, the duration of the incident should be measured from the moment the incident was detected, or from the moment when the incident was recorded in network or system logs or other data sources, whichever is earlier.

(35)

Complete unavailability of a service should be measured from the moment the service is fully unavailable to users, to the moment when regular activities or operations have been restored to the level of service that was provided prior to the incident. Where a relevant entity is unable to determine when the complete unavailability of a service began, the unavailability should be measured from the moment it was detected by that entity.

(36)

For the purpose of determining the direct financial losses resulting from an incident, relevant entities should take into account all the financial losses which they have incurred as a result of the incident, such as costs for replacement or relocation of software, hardware or infrastructure, staff costs, including costs associated with replacement or relocation of staff, recruitment of extra staff, remuneration of overtime and recovery of lost or impaired skills, fees due to non-compliance with contractual obligations, costs for redress and compensation to customers, losses due to forgone revenues, costs associated with internal and external communication, advisory costs, including costs associated with legal counselling, forensic services and remediation services, and other costs associated to the incident. However, administrative fines, as well as costs that are necessary for the day-to-day operation of the business, should not be considered as financial losses resulting from an incident, including costs for general maintenance of infrastructure, equipment, hardware and software, keeping skills of staff up to date, internal or external costs to enhance the business after the incident, including upgrades, improvements and risk assessment initiatives, and insurance premiums. The relevant entities should calculate the amounts of financial losses based on available data and, where the actual amounts of financial losses cannot be determined, the entities should estimate those amounts.

(37)

Relevant entities should also be obliged to report incidents that have caused or are capable of causing the death of natural persons or considerable damage to natural persons’ health as such incidents are particularly serious cases of causing considerable material or non-material damage. For instance, an incident affecting a relevant entity could cause unavailability of healthcare or emergency services, or the loss of confidentiality or integrity of data with an effect on the health of natural persons. For the purpose of determining whether an incident has caused or is capable of causing considerable damage to a natural person’s health, relevant entities should take into account whether the incident caused or is capable of causing severe injuries and ill-health. For that purpose, the relevant entities should not be required to collect additional information to which they do not have access.

(38)

Limited availability should be considered to occur in particular when a service provided by a relevant entity is considerably slower than average response time, or where not all functionalities of a service are available. Where possible, objective criteria based on the average response times of services provided by the relevant entities should be used to assess delays in response time. A functionality of a service may be, for instance, a chat functionality or an image search functionality.

(39)

Successful, suspectedly malicious and unauthorised access to a relevant entity’s network and information systems should be regarded as a significant incident, where such access is capable of causing severe operational disruption. For instance, where a cyber threat actor pre-positions itself in a relevant entity’s network and information systems with a view to causing disruption of services in the future, the incident should be considered to be significant.

(40)

Recurring incidents that are linked through the same apparent root cause, which individually do not meet the criteria of a significant incident, should collectively be considered to be a significant incident, provided that they collectively meet the criterion for financial loss, and that they have occurred at least twice within six months. Such recurring incidents can indicate significant deficiencies and weaknesses in the relevant entity’s cybersecurity risk management procedures and their level of cybersecurity maturity. Moreover, such recurring incidents are capable of causing significant financial loss for the relevant entity.

(41)	The Commission has exchanged advice and cooperated with the Cooperation Group and ENISA on the draft implementing act, in accordance with Articles 21(5) and 23(11) of Directive (EU) 2022/2555.

(42)	The European Data Protection Supervisor was consulted in accordance with Article 42(1) of Regulation (EU) 2018/1725 of the European Parliament and of the Council (3), and delivered its opinion on 1 September 2024.

(43)	The measures provided for in this Regulation are in accordance with the opinion of the committee established in accordance with Article 39 of Directive (EU) 2022/2555,

HAS ADOPTED THIS REGULATION:

This Regulation shall be binding in its entirety and directly applicable in all Member States.

Done at Brussels, 17 October 2024.

For the Commission

Ursula VON DER LEYEN

The President

Artykuł 1 Przedmiot

Artykuł 1

Przedmiot

Niniejsze rozporządzenie, w odniesieniu do dostawców usług DNS, rejestrów nazw TLD, dostawców usług chmurowych, dostawców usług ośrodka przetwarzania danych, dostawców sieci dostarczania treści, dostawców usług zarządzanych, dostawców usług zarządzanych w zakresie bezpieczeństwa, dostawców internetowych platform handlowych, wyszukiwarek internetowych oraz platform usług sieci społecznościowych i dostawców usług zaufania (odpowiednie podmioty), określa wymogi techniczne i metodyczne dotyczące środków, o których mowa w art. 21 ust. 2 dyrektywy (UE) 2022/2555, a także przypadki, w których incydent uznaje się za poważny, o których mowa w art. 23 ust. 3 dyrektywy (UE) 2022/2555.

Artykuł 2 Wymogi techniczne i metodyczne

Artykuł 3 Poważne incydenty

Artykuł 4 Powtarzające się incydenty

Artykuł 4

Powtarzające się incydenty

Incydenty, które pojedynczo nie są uznawane za poważny incydent w rozumieniu art. 3, uznaje się łącznie za jeden poważny incydent, jeżeli spełniają wszystkie następujące kryteria:

wystąpiły co najmniej dwa razy w ciągu sześciu miesięcy;

mają tę samą widoczną podstawową przyczynę;

łącznie spełniają kryteria określone w art. 3 ust. 1 lit. a).

Artykuł 5 Poważne incydenty dotyczące dostawców usług DNS

Artykuł 5

Poważne incydenty dotyczące dostawców usług DNS

W odniesieniu do dostawców usług DNS incydent uznaje się za poważny zgodnie z art. 3 ust. 1 lit. g), jeżeli spełnia co najmniej jedno z następujących kryteriów:

rekurencyjna lub autorytatywna usługa rozpoznawania nazw domen jest całkowicie niedostępna przez ponad 30 minut;

przez okres dłuższy niż jedna godzina średni czas odpowiedzi rekurencyjnej lub autorytatywnej usługi rozpoznawania nazw domen na żądanie DNS wynosi ponad 10 sekund;

integralność, poufność lub autentyczność przechowywanych, przekazywanych lub przetwarzanych danych związanych ze świadczeniem autorytatywnej usługi rozpoznawania nazw domen zostały naruszone, z wyjątkiem przypadków, w których dane dotyczące mniej niż 1 000 nazw domen zarządzanych przez dostawcę usług DNS, stanowiących nie więcej niż 1 % nazw domen zarządzanych przez dostawcę usług DNS, nie są prawidłowe z powodu niewłaściwej konfiguracji.

Artykuł 6 Poważne incydenty dotyczące rejestrów nazw TLD

Artykuł 6

Poważne incydenty dotyczące rejestrów nazw TLD

W odniesieniu do rejestrów nazw TLD incydent uznaje się za istotny zgodnie z art. 3 ust. 1 lit. g), jeżeli spełnia co najmniej jedno z następujących kryteriów:

autorytatywna usługa rozpoznawania nazw domen jest całkowicie niedostępna;

przez okres dłuższy niż jedna godzina średni czas odpowiedzi autorytatywnej usługi rozpoznawania nazw domen na żądanie DNS wynosi ponad 10 sekund;

integralność, poufność lub autentyczność przechowywanych, przekazywanych lub przetwarzanych danych związanych z technicznym funkcjonowaniem TLD zostały naruszone.

Artykuł 7 Poważne incydenty dotyczące dostawców usług chmurowych

Artykuł 7

Poważne incydenty dotyczące dostawców usług chmurowych

W odniesieniu do dostawców usług chmurowych incydent uznaje się za poważny zgodnie z art. 3 ust. 1 lit. g), jeżeli spełnia co najmniej jedno z następujących kryteriów:

usługa chmurowa jest całkowicie niedostępna przez ponad 30 minut;

dostępność usługi chmurowej dostawcy jest ograniczona dla ponad 5 % użytkowników tej usługi chmurowej w Unii lub dla ponad miliona użytkowników tej usługi chmurowej w Unii, w zależności od tego, która z tych liczb jest mniejsza, przez okres dłuższy niż jedna godzina;

integralność, poufność lub autentyczność przechowywanych, przekazywanych lub przetwarzanych danych związanych ze świadczeniem usługi chmurowej zostały naruszone w wyniku podejrzewanego działania złośliwego;

integralność, poufność lub autentyczność przechowywanych, przekazywanych lub przetwarzanych danych związanych ze świadczeniem usługi chmurowej zostały naruszone, co ma wpływ na ponad 5 % użytkowników tej usługi chmurowej w Unii lub na ponad milion użytkowników tej usługi chmurowej w Unii, w zależności od tego, która z tych liczb jest mniejsza.

Artykuł 8 Poważne incydenty dotyczące dostawców usługi ośrodka przetwarzania danych

Artykuł 8

Poważne incydenty dotyczące dostawców usługi ośrodka przetwarzania danych

W odniesieniu do dostawców usługi ośrodka przetwarzania danych incydent uznaje się za poważny zgodnie z art. 3 ust. 1 lit. g), jeżeli spełnia co najmniej jedno z następujących kryteriów:

usługa ośrodka przetwarzania danych świadczona przez dostawcę jest całkowicie niedostępna;

dostępność usługi ośrodka przetwarzania danych świadczonej przez dostawcę jest ograniczona przez okres dłuższy niż jedna godzina;

integralność, poufność lub autentyczność przechowywanych, przekazywanych lub przetwarzanych danych związanych ze świadczeniem usługi ośrodka przetwarzania danych zostały naruszone w wyniku podejrzewanego działania złośliwego;

dostęp fizyczny do ośrodka przetwarzania danych obsługiwanego przez dostawcę został naruszony.

Artykuł 9 Poważne incydenty dotyczące dostawców sieci dostarczania treści

Artykuł 9

Poważne incydenty dotyczące dostawców sieci dostarczania treści

W odniesieniu do dostawców sieci dostarczania treści incydent uznaje się za poważny zgodnie z art. 3 ust. 1 lit. g), jeżeli spełnia co najmniej jedno z następujących kryteriów:

sieć dostarczania treści jest całkowicie niedostępna przez ponad 30 minut;

dostępność sieci dostarczania treści jest ograniczona dla ponad 5 % użytkowników tej sieci dostarczania treści w Unii lub dla ponad miliona użytkowników tej sieci dostarczania treści w Unii, w zależności od tego, która z tych liczb jest mniejsza, przez okres dłuższy niż jedna godzina;

integralność, poufność lub autentyczność przechowywanych, przekazywanych lub przetwarzanych danych związanych z udostępnianiem sieci dostarczania treści zostały naruszone, co ma wpływ na ponad 5 % użytkowników tej sieci dostarczania treści w Unii lub na ponad milion użytkowników tej sieci dostarczania treści w Unii, w zależności od tego, która z tych liczb jest mniejsza.

Artykuł 10 Poważne incydenty dotyczące dostawców usług zarządzanych i dostawców usług zarządzanych w zakresie bezpieczeństwa

Artykuł 10

Poważne incydenty dotyczące dostawców usług zarządzanych i dostawców usług zarządzanych w zakresie bezpieczeństwa

W odniesieniu do dostawców usług zarządzanych i dostawców usług zarządzanych w zakresie bezpieczeństwa incydent uznaje się za poważny zgodnie z art. 3 ust. 1 lit. g), jeżeli spełnia co najmniej jedno z następujących kryteriów:

usługa zarządzana lub usługa zarządzana w zakresie bezpieczeństwa jest całkowicie niedostępna przez ponad 30 minut;

dostępność usługi zarządzanej lub usługi zarządzanej w zakresie bezpieczeństwa jest ograniczona dla ponad 5 % użytkowników tej usługi w Unii lub dla ponad miliona użytkowników tej usługi w Unii, w zależności od tego, która z tych liczb jest mniejsza, przez okres dłuższy niż jedna godzina;

integralność, poufność lub autentyczność przechowywanych, przekazywanych lub przetwarzanych danych związanych ze świadczeniem usługi zarządzanej lub usługi zarządzanej w zakresie bezpieczeństwa zostały naruszone, co ma wpływ na ponad 5 % użytkowników tej usługi zarządzanej lub tej usługi zarządzanej w zakresie bezpieczeństwa w Unii lub na ponad milion użytkowników tej usługi w Unii, w zależności od tego, która z tych liczb jest mniejsza.

Artykuł 11 Poważne incydenty dotyczące dostawców internetowych platform handlowych

Artykuł 11

Poważne incydenty dotyczące dostawców internetowych platform handlowych

W odniesieniu do dostawców internetowych platform handlowych incydent uznaje się za poważny zgodnie z art. 3 ust. 1 lit. g), jeżeli spełnia co najmniej jedno z następujących kryteriów:

internetowa platforma handlowa jest całkowicie niedostępna dla ponad 5 % użytkowników internetowej platformy handlowej w Unii lub dla ponad miliona użytkowników internetowej platformy handlowej w Unii, w zależności od tego, która z tych liczb jest mniejsza;

ograniczona dostępność internetowej platformy handlowej ma wpływ na ponad 5 % użytkowników tej internetowej platformy handlowej w Unii lub ponad milion użytkowników tej internetowej platformy handlowej w Unii, w zależności od tego, która z tych liczb jest mniejsza;

integralność, poufność lub autentyczność przechowywanych, przekazywanych lub przetwarzanych danych związanych z udostępnianiem internetowej platformy handlowej zostały naruszone, co ma wpływ na ponad 5 % użytkowników tej internetowej platformy handlowej w Unii lub na ponad milion użytkowników tej internetowej platformy handlowej w Unii, w zależności od tego, która z tych liczb jest mniejsza.

Artykuł 12 Poważne incydenty dotyczące dostawców wyszukiwarek internetowych

Artykuł 12

Poważne incydenty dotyczące dostawców wyszukiwarek internetowych

W odniesieniu do dostawców wyszukiwarek internetowych incydent uznaje się za poważny zgodnie z art. 3 ust. 1 lit. g), jeżeli spełnia co najmniej jedno z następujących kryteriów:

wyszukiwarka internetowa jest całkowicie niedostępna dla ponad 5 % użytkowników tej wyszukiwarki internetowej w Unii lub dla ponad miliona użytkowników tej wyszukiwarki internetowej w Unii, w zależności od tego, która z tych liczb jest mniejsza;

ograniczona dostępność wyszukiwarki internetowej ma wpływ na ponad 5 % użytkowników tej wyszukiwarki internetowej w Unii lub ponad milion użytkowników tej wyszukiwarki internetowej w Unii, w zależności od tego, która z tych liczb jest mniejsza.

integralność, poufność lub autentyczność przechowywanych, przekazywanych lub przetwarzanych danych związanych z udostępnianiem wyszukiwarki internetowej zostały naruszone, co ma wpływ na ponad 5 % użytkowników tej wyszukiwarki internetowej w Unii lub na ponad milion użytkowników tej wyszukiwarki internetowej w Unii, w zależności od tego, która z tych liczb jest mniejsza.

Artykuł 13 Poważne incydenty dotyczące dostawców platform usług sieci społecznościowych

Artykuł 13

Poważne incydenty dotyczące dostawców platform usług sieci społecznościowych

W odniesieniu do dostawców platform usług sieci społecznościowych incydent uznaje się za poważny zgodnie z art. 3 ust. 1 lit. g), jeżeli spełnia co najmniej jedno z następujących kryteriów:

platforma usług sieci społecznościowych jest całkowicie niedostępna dla ponad 5 % użytkowników tej platformy usług sieci społecznościowych w Unii lub dla ponad miliona użytkowników tej platformy usług sieci społecznościowych w Unii, w zależności od tego, która z tych liczb jest mniejsza;

ograniczona dostępność platformy usług sieci społecznościowych ma wpływ na ponad 5 % użytkowników tej platformy usług sieci społecznościowych w Unii lub ponad milion użytkowników tej platformy usług sieci społecznościowych w Unii, w zależności od tego, która z tych liczb jest mniejsza;

integralność, poufność lub autentyczność przechowywanych, przekazywanych lub przetwarzanych danych związanych ze świadczeniem platformy usług sieci społecznościowych zostały naruszone, co ma wpływ na ponad 5 % użytkowników tej platformy usług sieci społecznościowych w Unii lub na ponad milion użytkowników tej platformy usług sieci społecznościowych w Unii, w zależności od tego, która z tych liczb jest mniejsza.

Artykuł 14 Poważne incydenty dotyczące dostawców usług zaufania

Artykuł 14

Poważne incydenty dotyczące dostawców usług zaufania

W odniesieniu do dostawców usług zaufania incydent uznaje się za poważny zgodnie z art. 3 ust. 1 lit. g), jeżeli spełnia co najmniej jedno z następujących kryteriów:

usługa zaufania jest całkowicie niedostępna przez ponad 20 minut;

usługa zaufania jest niedostępna dla użytkowników lub stron ufających przez okres dłuższy niż jedna godzina w tygodniu kalendarzowym;

ograniczona dostępność usługi zaufania ma wpływ na ponad 1 % użytkowników lub stron ufających w Unii lub ponad 200 000 użytkowników lub stron ufających w Unii, w zależności od tego, która z tych liczb jest mniejsza;

fizyczny dostęp do obszaru, na którym znajdują się sieci i systemy informatyczne i do którego dostęp ma wyłącznie zaufany personel dostawcy usług zaufania, lub ochrona takiego fizycznego dostępu zostały naruszone;

integralność, poufność lub autentyczność przechowywanych, przekazywanych lub przetwarzanych danych związanych ze świadczeniem usługi zaufania zostały naruszone, co ma wpływ na ponad 0,1 % użytkowników lub stron ufających lub ponad 100 użytkowników lub stron ufających, w zależności od tego, która z tych liczb jest mniejsza, korzystających z usługi zaufania w Unii.

Artykuł 15 Uchylenie

Artykuł 15

Uchylenie

Rozporządzenie wykonawcze Komisji (UE) 2018/151 ( 1 ) traci moc.

Artykuł 16 Wejście w życie i rozpoczęcie stosowania

Artykuł 16

Wejście w życie i rozpoczęcie stosowania

Niniejsze rozporządzenie wchodzi w życie dwudziestego dnia po jego opublikowaniu w Dzienniku Urzędowym Unii Europejskiej.

ZAŁĄCZNIK Wymogi techniczne i metodyczne, o których mowa w art. 2 niniejszego rozporządzenia

ZAŁĄCZNIK

Wymogi techniczne i metodyczne, o których mowa w art. 2 niniejszego rozporządzenia

1. Polityka bezpieczeństwa sieci i systemów informatycznych (art. 21 ust. 2 lit. a) dyrektywy (UE) 2022/2555)

1.1. Polityka bezpieczeństwa sieci i systemów informatycznych

1.1.1. Do celów art. 21 ust. 2 lit. a) dyrektywy (UE) 2022/2555 polityka bezpieczeństwa sieci i systemów informatycznych:

określa podejście odpowiednich podmiotów do zarządzania bezpieczeństwem ich sieci i systemów informatycznych;

jest odpowiednia do strategii i celów biznesowych odpowiednich podmiotów i je uzupełnia;

określa cele w zakresie bezpieczeństwa sieci i informacji;

zawiera zobowiązanie do ciągłej poprawy bezpieczeństwa sieci i systemów informatycznych;

zawiera zobowiązanie do zapewnienia odpowiednich zasobów niezbędnych do jej wdrożenia, w tym niezbędnego personelu, zasobów finansowych, procesów, narzędzi i technologii;

zostaje przekazana odpowiednim pracownikom i odpowiednim zainteresowanym stronom zewnętrznym oraz przyjęta przez nich do wiadomości;

określa funkcje i obowiązki zgodnie z pkt 1.2;

zawiera wykaz dokumentacji, która ma być przechowywana, oraz określa okres jej przechowywania;

zawiera wykaz polityk tematycznych;

określa wskaźniki i środki monitorowania jej wdrażania oraz aktualnego stanu dojrzałości odpowiednich podmiotów w zakresie bezpieczeństwa sieci i informacji;

określa datę formalnego zatwierdzenia przez organy zarządzające odpowiednich podmiotów (organy zarządzające).

1.1.2. Polityka bezpieczeństwa sieci i systemów informatycznych jest poddawana przeglądowi co najmniej raz w roku i, w stosownych przypadkach, aktualizowana przez organy zarządzające w przypadku wystąpienia poważnych incydentów lub istotnych zmian w działalności lub poziomie ryzyka. Wyniki przeglądów są dokumentowane.

1.2. Funkcje, obowiązki i uprawnienia

1.2.1. W ramach swojej polityki bezpieczeństwa sieci i systemów informatycznych, o której mowa w pkt 1.1, odpowiednie podmioty określają obowiązki i uprawnienia w zakresie bezpieczeństwa sieci i systemów informatycznych oraz przypisują je do funkcji, przydzielają je zgodnie z potrzebami odpowiednich podmiotów i powiadamiają o nich organy zarządzające.

1.2.2. Odpowiednie podmioty wymagają od wszystkich pracowników i osób trzecich stosowania zasad bezpieczeństwa sieci i systemów informatycznych zgodnie z ustaloną polityką bezpieczeństwa sieci i informacji, politykami tematycznymi i procedurami odpowiednich podmiotów.

1.2.3. Co najmniej jedna osoba składa bezpośrednio organom zarządzającym sprawozdania dotyczące kwestii bezpieczeństwa sieci i systemów informatycznych.

1.2.4. W zależności od wielkości odpowiednich podmiotów bezpieczeństwo sieci i systemów informatycznych zapewnia się w ramach specjalnych funkcji lub obowiązków wykonywanych w uzupełnieniu do istniejących funkcji.

1.2.5. W stosownych przypadkach rozdziela się sprzeczne obowiązki i obszary odpowiedzialności.

1.2.6. Funkcje, obowiązki i uprawnienia są poddawane przeglądowi i, w stosownych przypadkach, aktualizowane przez organy zarządzające w zaplanowanych odstępach czasu oraz w przypadku wystąpienia poważnych incydentów lub istotnych zmian w działalności lub ryzyku.

2. Polityka zarządzania ryzykiem (art. 21 ust. 2 lit. a) dyrektywy (UE) 2022/2555)

2.1. Ramy zarządzania ryzykiem

2.1.1. Do celów art. 21 ust. 2 lit. a) dyrektywy (UE) 2022/2555 odpowiednie podmioty ustanawiają i utrzymują odpowiednie ramy zarządzania ryzykiem w celu identyfikacji ryzyka dla bezpieczeństwa sieci i systemów informatycznych i przeciwdziałania temu ryzyku. Odpowiednie podmioty przeprowadzają i dokumentują oceny ryzyka oraz, na podstawie uzyskanych wyników, ustanawiają, wdrażają i monitorują plan postępowania z ryzykiem. Organy zarządzające lub, w stosownych przypadkach, osoby odpowiedzialne i uprawnione do zarządzania ryzykiem, przyjmują wyniki oceny ryzyka i akceptują ryzyko rezydualne, o ile odpowiednie podmioty zapewnią organom zarządzającym stosowne sprawozdania.

2.1.2. Do celów pkt 2.1.1 odpowiednie podmioty ustanawiają procedury identyfikacji, analizy, oceny i traktowania ryzyka („proces zarządzania ryzykiem w cyberbezpieczeństwie”). W stosownych przypadkach proces zarządzania ryzykiem w cyberbezpieczeństwie stanowi integralną część ogólnego procesu zarządzania ryzykiem odpowiednich podmiotów. W ramach procesu zarządzania ryzykiem w cyberbezpieczeństwie odpowiednie podmioty:

stosują metodykę zarządzania ryzykiem;

ustalają poziom tolerancji ryzyka zgodnie z gotowością do podejmowania ryzyka odpowiednich podmiotów;

ustanawiają i utrzymują odpowiednie kryteria ryzyka;

zgodnie z podejściem uwzględniającym wszystkie zagrożenia identyfikują i dokumentują ryzyko dla bezpieczeństwa sieci i systemów informatycznych, w szczególności w odniesieniu do osób trzecich, oraz ryzyko, które może prowadzić do zakłóceń w dostępności, integralności, autentyczności i poufności sieci i systemów informatycznych, w tym identyfikują pojedyncze punkty awarii;

analizują ryzyko dla bezpieczeństwa sieci i systemów informatycznych, w tym zagrożenia, prawdopodobieństwo, wpływ oraz poziom ryzyka, z uwzględnieniem analizy cyberzagrożeń i podatności na cyberzagrożenia;

przeprowadzają ocenę zidentyfikowanego ryzyka w oparciu o kryteria ryzyka;

określają i szeregują pod względem ważności odpowiednie możliwości i środki postępowania z ryzykiem;

stale monitorują wdrażanie środków postępowania z ryzykiem;

określają, kto jest odpowiedzialny za wdrożenie środków postępowania z ryzykiem i kiedy należy je wdrożyć;

dokumentują wybrane środki postępowania z ryzykiem w planie postępowania z ryzykiem oraz w zrozumiały sposób przedstawiają powody uzasadniające akceptację ryzyka rezydualnego.

2.1.3. Przy określaniu i szeregowaniu pod względem ważności odpowiednich możliwości i środków postępowania z ryzykiem odpowiednie podmioty uwzględniają wyniki oceny ryzyka, wyniki procedury oceny skuteczności środków zarządzania ryzykiem w cyberbezpieczeństwie, koszty wdrożenia w stosunku do oczekiwanych korzyści, klasyfikację aktywów, o której mowa w pkt 12.1, oraz analizę wpływu na działalność, o której mowa w pkt 4.1.3.

2.1.4. Odpowiednie podmioty dokonują przeglądu i, w stosownych przypadkach, aktualizacji wyników oceny ryzyka i planu postępowania z ryzykiem w zaplanowanych odstępach czasu, co najmniej raz w roku oraz w przypadku wystąpienia istotnych zmian w działalności lub poziomie ryzyka lub poważnych incydentów.

2.2. Monitorowanie zgodności

2.2.1. Odpowiednie podmioty regularnie dokonują przeglądu zgodności ze swoimi politykami bezpieczeństwa sieci i systemów informatycznych, politykami tematycznymi, zasadami i normami. Organy zarządzające informuje się o stanie bezpieczeństwa sieci i informacji na podstawie przeglądów zgodności za pomocą regularnych sprawozdań.

2.2.2. Odpowiednie podmioty wprowadzają skuteczny system sprawozdawczości w zakresie zgodności, który jest odpowiedni dla ich struktur, środowisk operacyjnych i krajobrazów zagrożeń. System sprawozdawczości w zakresie zgodności musi zapewniać organom zarządzającym odpowiednie informacje na temat aktualnego stanu zarządzania ryzykiem przez odpowiednie podmioty.

2.2.3. Odpowiednie podmioty monitorują zgodność w zaplanowanych odstępach czasu oraz w przypadku wystąpienia poważnych incydentów lub istotnych zmian w działalności lub poziomie ryzyka.

2.3. Niezależny przegląd bezpieczeństwa informacji i sieci

2.3.1. Odpowiednie podmioty dokonują niezależnego przeglądu swojego podejścia do zarządzania bezpieczeństwem sieci i systemów informatycznych oraz jego wdrażania, z uwzględnieniem osób, procesów i technologii.

2.3.2. Odpowiednie podmioty opracowują i utrzymują procedury służące przeprowadzeniu niezależnych przeglądów, które są przeprowadzane przez osoby mające odpowiednie kompetencje w zakresie audytu. Jeżeli niezależny przegląd przeprowadzają pracownicy odpowiedniego podmiotu, między osobami przeprowadzającymi przegląd a personelem obszaru objętego przeglądem nie może zachodzić podległość służbowa. Jeżeli wielkość odpowiednich podmiotów nie pozwala na takie rozdzielenie podległości służbowej, odpowiednie podmioty wprowadzają alternatywne środki gwarantujące bezstronność przeglądów.

2.3.3. Wyniki niezależnych przeglądów, w tym wyniki monitorowania zgodności zgodnie z pkt 2.2 oraz monitorowania i pomiaru zgodnie z pkt 7, zgłasza się organom zarządzającym. Podejmuje się działania naprawcze lub akceptuje się ryzyko rezydualne zgodnie z kryteriami akceptacji ryzyka stosowanymi przez odpowiednie podmioty.

2.3.4. Niezależne przeglądy przeprowadza się w zaplanowanych odstępach czasu oraz w przypadku wystąpienia poważnych incydentów lub istotnych zmian w działalności lub poziomie ryzyka.

3. Obsługa incydentów (art. 21 ust. 2 lit. b) dyrektywy (UE) 2022/2555)

3.1. Polityka obsługi incydentów

3.1.1. Do celów art. 21 ust. 2 lit. b) dyrektywy (UE) 2022/2555 odpowiednie podmioty ustanawiają i wdrażają politykę obsługi incydentów określającą funkcje, obowiązki i procedury dotyczące wykrywania, analizowania, ograniczania incydentów lub reagowania na nie, usuwania ich skutków, dokumentowania i zgłaszania ich w odpowiednim czasie.

3.1.2. Polityka, o której mowa w pkt 3.1.1, musi być spójna z planem ciągłości działania i przywrócenia normalnego działania po wystąpieniu sytuacji nadzwyczajnej, o którym mowa w pkt 4.1. Polityka ta obejmuje:

system kategoryzacji incydentów, który jest spójny z oceną i klasyfikacją zdarzeń przeprowadzaną zgodnie z pkt 3.4.1;

skuteczne plany komunikacji, w tym dotyczące eskalacji i sprawozdawczości;

przydzielanie kompetentnym pracownikom funkcji w zakresie wykrywania incydentów i odpowiedniego reagowania na nie;

dokumenty wykorzystywane podczas wykrywania incydentów i reagowania na nie, takie jak podręczniki reagowania na incydenty, schematy eskalacji, listy kontaktów i szablony.

3.1.3. Funkcje, obowiązki i procedury określone w tej polityce są testowane i poddawane przeglądowi oraz, w stosownych przypadkach, aktualizowane w zaplanowanych odstępach czasu i po poważnych incydentach lub znaczących zmianach w działalności lub poziomie ryzyka.

3.2. Monitorowanie i rejestrowanie

3.2.1. Odpowiednie podmioty określają procedury i korzystają z narzędzi do monitorowania i rejestrowania działań w swoich sieciach i systemach informatycznych, aby wykrywać zdarzenia mogące stanowić incydenty, a także podejmują odpowiednie działania w celu ograniczenia ich skutków.

3.2.2. W miarę możliwości monitorowanie jest zautomatyzowane i odbywa się w sposób ciągły lub okresowy, w zależności od zdolności biznesowych. Odpowiednie podmioty realizują swoje działania w zakresie monitorowania w sposób minimalizujący wyniki fałszywie dodatnie i fałszywie negatywne.

3.2.3. W oparciu o procedury, o których mowa w pkt 3.2.1, odpowiednie podmioty prowadzą i dokumentują rejestry oraz dokonują ich przeglądu. Odpowiednie podmioty sporządzają wykaz aktywów podlegających rejestracji na podstawie wyników oceny ryzyka przeprowadzonej zgodnie z pkt 2.1. W stosownych przypadkach rejestry zawierają informacje o:

odpowiednim wychodzącym i przychodzącym ruchu sieciowym;

tworzeniu, modyfikowaniu lub usuwaniu użytkowników sieci i systemów informatycznych odpowiednich podmiotów oraz przedłużeniu ich pozwoleń;

dostępie do systemów i aplikacji;

zdarzeniach związanych z uwierzytelnieniem;

wszelkim uprzywilejowanym dostępie do systemów i aplikacji oraz czynnościach wykonywanych w ramach kont administracyjnych;

dostępie do krytycznych plików konfiguracji i plików kopii zapasowych lub zmian w tych plikach;

dziennikach zdarzeń i rejestrach z narzędzi bezpieczeństwa, takich jak program antywirusowy, systemy wykrywania włamań lub zapory sieciowe;

wykorzystaniu zasobów systemowych oraz ich wydajności;

fizycznym dostępie do obiektów;

dostępie do sprzętu i urządzeń sieciowych oraz korzystaniu z nich;

aktywacji, zatrzymaniu i wstrzymaniu różnych rejestrów;

zdarzeniach środowiskowych.

3.2.4. Rejestry regularnie poddaje się przeglądowi pod kątem wszelkich nietypowych lub niepożądanych tendencji. W stosownych przypadkach odpowiednie podmioty określają odpowiednie wartości progów alarmowych. Jeżeli ustalone wartości progu alarmowego zostaną przekroczone, alarm uruchamia się, w stosownych przypadkach, automatycznie. Odpowiednie podmioty zapewniają, aby w przypadku alarmu w odpowiednim czasie zainicjowano odpowiednią kwalifikowaną reakcję.

3.2.5. Odpowiednie podmioty prowadzą rejestry i tworzą ich kopie zapasowe przez z góry określony czas oraz chronią je przed nieuprawnionym dostępem lub nieuprawnionymi zmianami.

3.2.6. W miarę możliwości odpowiednie podmioty zapewniają, aby wszystkie systemy miały zsynchronizowane źródła czasu, co umożliwia korelację rejestrów między systemami w celu oceny zdarzeń. Odpowiednie podmioty sporządzają i prowadzą wykaz wszystkich aktywów, które są rejestrowane, oraz zapewniają redundancję systemów monitorowania i rejestrowania. Dostępność systemów monitorowania i rejestrowania jest monitorowana niezależnie od monitorowanych przez nie systemów.

3.2.7. Procedury, jak również wykaz aktywów, które są rejestrowane, poddaje się przeglądowi i, w stosownych przypadkach, aktualizuje w regularnych odstępach czasu oraz po poważnych incydentach.

3.3. Zgłaszanie zdarzeń

3.3.1. Odpowiednie podmioty wprowadzają prosty mechanizm umożliwiający ich pracownikom, dostawcom i klientom zgłaszanie podejrzanych zdarzeń.

3.3.2. W stosownych przypadkach odpowiednie podmioty informują swoich dostawców i klientów o mechanizmie zgłaszania zdarzeń oraz regularnie szkolą swoich pracowników w zakresie korzystania z tego mechanizmu.

3.4. Ocena i klasyfikacja zdarzeń

3.4.1. Odpowiednie podmioty oceniają podejrzane zdarzenia w celu ustalenia, czy stanowią one incydenty, a jeżeli tak, określają ich charakter i dotkliwość.

3.4.2. Do celów pkt 3.4.1 odpowiednie podmioty działają w następujący sposób:

przeprowadzają ocenę w oparciu o wcześniej określone kryteria oraz na podstawie selekcji umożliwiającej klasyfikację priorytetów w zakresie powstrzymywania i eliminowania incydentów;

co kwartał oceniają występowanie powtarzających się incydentów, o których mowa w art. 4 niniejszego rozporządzenia;

dokonują przeglądu odpowiednich rejestrów do celów oceny i klasyfikacji zdarzeń;

wdrażają proces korelacji i analizy rejestrów oraz

ponownie oceniają i przeklasyfikowują zdarzenia w przypadku pojawienia się nowych informacji lub po przeanalizowaniu wcześniej dostępnych informacji.

3.5. Reagowanie na incydenty

3.5.1. Odpowiednie podmioty reagują na incydenty zgodnie z udokumentowanymi procedurami i w odpowiednim czasie.

3.5.2. Procedury reagowania na incydenty obejmują następujące etapy:

powstrzymanie incydentu, aby zapobiec rozprzestrzenianiu się jego skutków;

wyeliminowanie incydentu, aby zapobiec jego dalszemu występowaniu lub ponownemu wystąpieniu;

w razie potrzeby przywrócenie normalnego działania po wystąpieniu incydentu.

3.5.3. Odpowiednie podmioty ustanawiają plany i procedury komunikacji:

z zespołami reagowania na incydenty bezpieczeństwa komputerowego (CSIRT) lub, w stosownych przypadkach, z właściwymi organami, związane z powiadamianiem o incydentach;

w zakresie komunikacji między pracownikami odpowiedniego podmiotu oraz komunikacji z odpowiednimi zainteresowanymi stronami spoza odpowiedniego podmiotu.

3.5.4. Odpowiednie podmioty rejestrują działania w zakresie reagowania na incydenty zgodnie z procedurami, o których mowa w pkt 3.2.1, i zapisują dowody.

3.5.5. Odpowiednie podmioty testują w zaplanowanych odstępach czasu swoje procedury reagowania na incydenty.

3.6. Przeglądy po wystąpieniu incydentu

3.6.1. W stosownych przypadkach odpowiednie podmioty przeprowadzają przeglądy po wystąpieniu incydentu po przywróceniu normalnego działania po wystąpieniu incydentu. Przeglądy po wystąpieniu incydentu określają, w miarę możliwości, pierwotną przyczynę incydentu i prowadzą do wyciągnięcia udokumentowanych wniosków w celu ograniczenia występowania i skutków przyszłych incydentów.

3.6.2. Odpowiednie podmioty zapewniają, aby przeglądy po wystąpieniu incydentu przyczyniały się do poprawy ich podejścia do bezpieczeństwa sieci i informacji, środków postępowania z ryzykiem oraz procedur obsługi incydentów, ich wykrywania i reagowania na nie.

3.6.3. Odpowiednie podmioty dokonują przeglądu w zaplanowanych odstępach czasu, jeżeli incydenty spowodowały konieczność przeprowadzenia przeglądu po ich wystąpieniu.

4. Ciągłość działania i zarządzanie kryzysowe (art. 21 ust. 2 lit. c) dyrektywy (UE) 2022/2555)

4.1. Plan ciągłości działania i przywrócenia normalnego działania po wystąpieniu sytuacji nadzwyczajnej

4.1.1. Do celów art. 21 ust. 2 lit. c) dyrektywy (UE) 2022/2555 odpowiednie podmioty określają i utrzymują plan ciągłości działania i przywrócenia normalnego działania po wystąpieniu sytuacji nadzwyczajnej, który ma zastosowanie w przypadku incydentów.

4.1.2. Działalność odpowiednich podmiotów przywraca się zgodnie z planem ciągłości działania i przywrócenia normalnego działania po wystąpieniu sytuacji nadzwyczajnej. Plan ten opiera się na wynikach oceny ryzyka przeprowadzanej zgodnie z pkt 2.1 i zawiera, w stosownych przypadkach, następujące elementy:

cel, zakres i odbiorców;

funkcje i obowiązki;

kluczowe osoby do kontaktu oraz (wewnętrzne i zewnętrzne) kanały komunikacji;

warunki aktywacji i dezaktywacji planu;

kolejność przywracania działalności;

plany przywrócenia normalnego działania w odniesieniu do konkretnej działalności, w tym cele w zakresie przywrócenia normalnego działania;

wymagane zasoby, w tym kopie zapasowe i redundancje;

przywrócenie i wznowienie działalności w wyniku zastosowania środków tymczasowych.

4.1.3. Odpowiednie podmioty przeprowadzają analizę wpływu na działalność w celu oceny potencjalnego wpływu poważnych zakłóceń na ich działalność gospodarczą oraz, na podstawie wyników tej analizy, ustanawiają wymogi dotyczące ciągłości dla sieci i systemów informatycznych.

4.1.4. Plan ciągłości działania i plan przywrócenia normalnego działania po wystąpieniu sytuacji nadzwyczajnej są testowane, poddawane przeglądowi i, w stosownych przypadkach, aktualizowane w planowanych odstępach czasu i w następstwie poważnych incydentów lub znaczących zmian w działalności lub poziomie ryzyka. Odpowiednie podmioty zapewniają, aby plany te uwzględniały wnioski wyciągnięte z takich testów.

4.2. Zarządzanie kopiami zapasowymi i redundancją

4.2.1. Odpowiednie podmioty przechowują kopie zapasowe danych i zapewniają wystarczające dostępne zasoby, w tym obiekty, sieci i systemy informatyczne oraz personel, aby zagwarantować odpowiedni poziom redundancji.

4.2.2. Na podstawie wyników oceny ryzyka przeprowadzonej zgodnie z pkt 2.1 oraz planu ciągłości działania odpowiednie podmioty ustanawiają plany tworzenia kopii zapasowych, obejmujące następujące elementy:

czas przywrócenia normalnego działania;

zapewnienie kompletności i dokładności kopii zapasowych, w tym danych dotyczących konfiguracji i danych przechowywanych w środowisku usług chmurowych;

przechowywanie kopii zapasowych (online lub offline) w bezpiecznym miejscu lub miejscach, które nie znajdują się w tej samej sieci co system i znajdują się w wystarczającej odległości, aby uniknąć wszelkich szkód spowodowanych sytuacją nadzwyczajną w głównej lokalizacji;

odpowiednie środki fizycznej i logicznej kontroli dostępu do kopii zapasowych, zgodnie z poziomem klasyfikacji aktywów;

przywrócenie danych z kopii zapasowych;

okresy przechowywania na podstawie wymogów biznesowych i regulacyjnych.

4.2.3. Odpowiednie podmioty przeprowadzają regularne kontrole integralności kopii zapasowych.

4.2.4. Na podstawie wyników oceny ryzyka przeprowadzonej zgodnie z pkt 2.1 oraz planu ciągłości działania odpowiednie podmioty zapewniają wystarczającą dostępność zasobów dzięki co najmniej częściowej redundancji następujących elementów:

sieci i systemów informatycznych;

aktywów, w tym wyposażenia, sprzętu i materiałów eksploatacyjnych;

personelu z niezbędnymi obowiązkami, uprawnieniami i kompetencjami;

odpowiednich kanałów komunikacji.

4.2.5. W stosownych przypadkach odpowiednie podmioty zapewniają, aby monitorowanie i dostosowywanie zasobów, w tym wyposażenia, systemów i personelu, było należycie oparte na wymogach dotyczących tworzenia kopii zapasowych i redundancji.

4.2.6. Odpowiednie podmioty przeprowadzają regularne testy odzyskiwania kopii zapasowych i redundancji, aby zagwarantować, że w sytuacji wymagającej odzyskiwania można będzie na nich polegać i że obejmują one kopie, procesy i wiedzę umożliwiające przeprowadzenie skutecznego odzyskiwania. Odpowiednie podmioty dokumentują wyniki testów i, w razie potrzeby, podejmują działania naprawcze.

4.3. Zarządzanie kryzysowe

4.3.1. Odpowiednie podmioty wprowadzają proces zarządzania kryzysowego.

4.3.2. Odpowiednie podmioty zapewniają, aby proces zarządzania kryzysowego obejmował co najmniej następujące elementy:

funkcje i obowiązki personelu oraz, w stosownych przypadkach, dostawców i usługodawców, określające podział funkcji w sytuacjach kryzysowych, w tym konkretne działania, które należy podjąć;

odpowiednie środki komunikacji między odpowiednimi podmiotami a odpowiednimi właściwymi organami;

stosowanie odpowiednich środków w celu zapewnienia utrzymania bezpieczeństwa sieci i systemów informatycznych w sytuacjach kryzysowych.

Do celów lit. b) przepływ informacji między odpowiednimi podmiotami a odpowiednimi właściwymi organami obejmuje zarówno komunikację obowiązkową, obejmującą zgłoszenia incydentów i związane z nimi harmonogramy, jak i komunikację nieobowiązkową.

4.3.3. Odpowiednie podmioty wdrażają proces zarządzania i wykorzystywania informacji otrzymywanych od CSIRT lub, w stosownych przypadkach, od właściwych organów, dotyczących incydentów, podatności, zagrożeń lub możliwych środków ograniczających ryzyko.

4.3.4. Odpowiednie podmioty testują, przeglądają oraz, w razie potrzeby, aktualizują plan zarządzania kryzysowego, zarówno cyklicznie, jak i po wystąpieniu poważnych incydentów lub istotnych zmian w działalności lub poziomie ryzyka.

5. Bezpieczeństwo łańcucha dostaw (art. 21 ust. 2 lit. d) dyrektywy (UE) 2022/2555)

5.1. Polityka bezpieczeństwa łańcucha dostaw

5.1.1. Do celów art. 21 ust. 2 lit. d) dyrektywy (UE) 2022/2555 odpowiednie podmioty ustanawiają, wdrażają i stosują politykę bezpieczeństwa łańcucha dostaw regulującą stosunki z ich bezpośrednimi dostawcami i usługodawcami w celu ograniczenia zidentyfikowanego ryzyka dla bezpieczeństwa sieci i systemów informatycznych. W polityce bezpieczeństwa łańcucha dostaw odpowiednie podmioty określają swoją rolę w łańcuchu dostaw i informują o niej swoich bezpośrednich dostawców i usługodawców.

5.1.2. W ramach polityki bezpieczeństwa łańcucha dostaw, o której mowa w pkt 5.1.1, odpowiednie podmioty określają kryteria wyboru dostawców i usługodawców i zawierania z nimi umów. Kryteria te obejmują:

praktyki w zakresie cyberbezpieczeństwa stosowane przez dostawców i usługodawców, w tym ich procedury bezpiecznego opracowywania;

zdolność dostawców i usługodawców do zapewnienia zgodności ze specyfikacjami cyberbezpieczeństwa określonymi przez odpowiednie podmioty;

ogólną jakość i odporność produktów ICT i usług ICT oraz wbudowane w nie środki zarządzania ryzykiem w cyberbezpieczeństwie, w tym ryzyko i poziom klasyfikacji produktów ICT i usług ICT;

zdolność odpowiednich podmiotów do dywersyfikacji źródeł dostaw i ograniczania uzależnienia od jednego dostawcy, w stosownych przypadkach.

5.1.3. Przy ustanawianiu polityki bezpieczeństwa łańcucha dostaw odpowiednie podmioty uwzględniają, w stosownych przypadkach, wyniki skoordynowanych ocen ryzyka dla bezpieczeństwa krytycznych łańcuchów dostaw, przeprowadzonych zgodnie z art. 22 ust. 1 dyrektywy (UE) 2022/2555.

5.1.4. Na podstawie polityki bezpieczeństwa łańcucha dostaw i z uwzględnieniem wyników oceny ryzyka przeprowadzonej zgodnie z pkt 2.1 niniejszego załącznika odpowiednie podmioty zapewniają, aby ich umowy z dostawcami i usługodawcami określały, w stosownych przypadkach w drodze umów o gwarantowanym poziomie usług, następujące elementy:

wymogi cyberbezpieczeństwa dla dostawców lub usługodawców, w tym wymogi dotyczące bezpieczeństwa przy nabywaniu usług ICT lub produktów ICT określonych w pkt 6.1;

wymogi dotyczące świadomości, umiejętności i szkoleń oraz, w stosownych przypadkach, certyfikatów wymaganych od pracowników dostawców lub usługodawców;

wymogi dotyczące sprawdzania przeszłości pracowników dostawców i usługodawców;

zobowiązanie dostawców i usługodawców do zgłaszania bez zbędnej zwłoki odpowiednim podmiotom incydentów, które stwarzają ryzyko dla bezpieczeństwa sieci i systemów informatycznych tych podmiotów;

prawo do audytu lub prawo do otrzymywania sprawozdań z audytu;

zobowiązanie dostawców i usługodawców do postępowania z podatnościami, które stanowią ryzyko dla bezpieczeństwa sieci i systemów informatycznych odpowiednich podmiotów;

wymogi dotyczące podwykonawstwa oraz, w przypadku gdy odpowiednie podmioty zezwalają na podwykonawstwo, wymogi cyberbezpieczeństwa dla podwykonawców zgodnie z wymogami cyberbezpieczeństwa, o których mowa w lit. a);

obowiązki dostawców i usługodawców w momencie rozwiązania umowy, takie jak wyszukiwanie i udostępnianie informacji uzyskanych przez dostawców i usługodawców w ramach wykonywania ich zadań.

5.1.5. Odpowiednie podmioty uwzględniają elementy, o których mowa w pkt 5.1.2 i 5.1.3, w ramach procesu wyboru nowych dostawców i usługodawców, a także w ramach procedury udzielania zamówień, o której mowa w pkt 6.1.

5.1.6. Odpowiednie podmioty dokonują przeglądu polityki bezpieczeństwa łańcucha dostaw oraz monitorują i oceniają zmiany w praktykach cyberbezpieczeństwa stosowanych przez dostawców i usługodawców i, w razie potrzeby, podejmują działania w związku z nimi w zaplanowanych odstępach czasu oraz w przypadku wystąpienia istotnych zmian w działalności, poziomie ryzyka lub w przypadku poważnych incydentów związanych ze świadczeniem usług ICT lub wpływających na bezpieczeństwo produktów ICT ze strony dostawców i usługodawców.

5.1.7. Do celów pkt 5.1.6 odpowiednie podmioty:

w stosownych przypadkach regularnie monitorują sprawozdania z wdrażania umów o gwarantowanym poziomie usług;

dokonują przeglądu incydentów związanych z produktami ICT i usługami ICT ze strony dostawców i usługodawców;

oceniają potrzebę nieplanowanych przeglądów i dokumentują ustalenia w zrozumiały sposób;

analizują ryzyko związane ze zmianami dotyczącymi produktów ICT i usług ICT ze strony dostawców i usługodawców oraz, w stosownych przypadkach, w odpowiednim czasie podejmują środki ograniczające ryzyko.

5.2. Rejestr dostawców i usługodawców

Odpowiednie podmioty prowadzą i aktualizują rejestr swoich bezpośrednich dostawców i usługodawców, zawierający:

punkty kontaktowe dla każdego bezpośredniego dostawcy i usługodawcy;

wykaz produktów ICT, usług ICT i procesów ICT dostarczanych odpowiednim podmiotom przez bezpośredniego dostawcę lub usługodawcę.

6. Bezpieczeństwo w procesie nabywania, rozwoju i utrzymania sieci i systemów informatycznych (art. 21 ust. 2 lit. e) dyrektywy (UE) 2022/2555)

6.1. Bezpieczeństwo w procesie nabywania usług ICT lub produktów ICT

6.1.1. Do celów art. 21 ust. 2 lit. e) dyrektywy (UE) 2022/2555 odpowiednie podmioty określają i wdrażają procesy zarządzania ryzykiem wynikającym z nabycia usług ICT lub produktów ICT od dostawców lub usługodawców w odniesieniu do komponentów, które mają kluczowe znaczenie dla bezpieczeństwa sieci i systemów informatycznych odpowiednich podmiotów, w oparciu o ocenę ryzyka przeprowadzoną zgodnie z pkt 2.1, w całym ich cyklu życia.

6.1.2. Do celów pkt 6.1.1 procesy, o których mowa w pkt 6.1.1, obejmują:

wymogi bezpieczeństwa mające zastosowanie do nabywanych usług ICT lub produktów ICT;

wymogi dotyczące aktualizacji zabezpieczeń w całym cyklu życia usług ICT lub produktów ICT lub wymiany po zakończeniu okresu wsparcia;

informacje opisujące elementy sprzętu i oprogramowania wykorzystywane w usługach ICT lub produktach ICT;

informacje opisujące wdrożone funkcje cyberbezpieczeństwa usług ICT lub produktów ICT oraz konfigurację wymaganą do ich bezpiecznego działania;

zapewnienie, aby usługi ICT lub produkty ICT spełniały wymogi bezpieczeństwa zgodnie z lit. a);

metody walidacji zgodności świadczonych usług ICT lub dostarczanych produktów ICT z określonymi wymogami bezpieczeństwa, a także dokumentację wyników walidacji.

6.1.3. Odpowiednie podmioty dokonują przeglądu i, w stosownych przypadkach, aktualizacji procesów w zaplanowanych odstępach czasu oraz w przypadku wystąpienia poważnych incydentów.

6.2. Bezpieczny cykl rozwojowy

6.2.1. Przed przystąpieniem do rozwoju sieci i systemu informatycznego, w tym oprogramowania, odpowiednie podmioty określają zasady bezpiecznego rozwoju sieci i systemów informatycznych oraz stosują je zarówno przy wewnętrznym rozwoju sieci i systemów informatycznych, jak i przy zlecaniu ich rozwoju na zewnątrz. Zasady te obejmują wszystkie fazy rozwoju, w tym specyfikację, projektowanie, opracowywanie, wdrażanie i testowanie.

6.2.2. Do celów pkt 6.2.1 odpowiednie podmioty:

przeprowadzają analizę wymogów bezpieczeństwa na etapie specyfikacji i projektowania każdego projektu rozwoju lub nabycia realizowanego przez odpowiednie podmioty lub w imieniu tych podmiotów;

stosują zasady inżynierii bezpieczeństwa systemów i zasady bezpiecznego kodowania w odniesieniu do wszelkich działań związanych z rozwojem systemów informatycznych, takich jak promowanie cyberbezpieczeństwa na etapie projektowania, architektury zerowego zaufania;

określają wymogi bezpieczeństwa dotyczące środowisk rozwoju;

ustanawiają i wdrażają procesy testowania bezpieczeństwa w cyklu rozwojowym;

odpowiednio wybierają i chronią dane dotyczące testów bezpieczeństwa i zarządzają nimi;

dokonują sanityzacji i anonimizacji danych testowych na podstawie oceny ryzyka przeprowadzonej zgodnie z pkt 2.1.

6.2.3. Przy zlecaniu na zewnątrz rozwoju sieci i systemów informatycznych odpowiednie podmioty stosują również zasady i procedury, o których mowa w pkt 5 i 6.1.

6.2.4. Odpowiednie podmioty dokonują przeglądu i, w razie konieczności, aktualizacji swoich zasad bezpiecznego rozwoju w zaplanowanych odstępach czasu.

6.3. Zarządzanie konfiguracją

6.3.1. Odpowiednie podmioty podejmują odpowiednie środki w celu ustanowienia, dokumentowania, wdrażania i monitorowania konfiguracji, w tym konfiguracji bezpieczeństwa sprzętu, oprogramowania, usług i sieci.

6.3.2. Do celów pkt 6.3.1 odpowiednie podmioty:

określają i zapewniają bezpieczeństwo w konfiguracjach dla sprzętu, oprogramowania, usług i sieci;

ustanawiają i wdrażają procesy i narzędzia służące egzekwowaniu określonych bezpiecznych konfiguracji dla sprzętu, oprogramowania, usług i sieci, dla nowo zainstalowanych systemów, a także dla działających systemów w całym ich cyklu życia.

6.3.3. Odpowiednie podmioty dokonują przeglądu i, w stosownych przypadkach, aktualizacji konfiguracji w zaplanowanych odstępach czasu lub w przypadku wystąpienia poważnych incydentów lub istotnych zmian w działalności lub poziomie ryzyka.

6.4. Zarządzanie zmianą, naprawy i konserwacja

6.4.1. Odpowiednie podmioty stosują procedury zarządzania zmianą w celu kontrolowania zmian w sieciach i systemach informatycznych. W stosownych przypadkach procedury te muszą być zgodne z ogólną polityką zarządzania zmianą odpowiednich podmiotów.

6.4.2. Procedury, o których mowa w pkt 6.4.1, stosuje się w odniesieniu do wersji, modyfikacji i zmian awaryjnych wszelkiego używanego oprogramowania i sprzętu komputerowego oraz zmian konfiguracji. Procedury te zapewniają, aby zmiany były dokumentowane oraz, w oparciu o ocenę ryzyka przeprowadzoną zgodnie z pkt 2.1, testowane i oceniane przed ich wdrożeniem pod kątem potencjalnego wpływu.

6.4.3. W przypadku gdy regularne procedury zarządzania zmianą nie mogą być przestrzegane z powodu sytuacji nadzwyczajnej, odpowiednie podmioty dokumentują wynik zmiany oraz wyjaśnienie, dlaczego nie można zastosować tych procedur.

6.4.4. Odpowiednie podmioty dokonują przeglądu i, w stosownych przypadkach, aktualizacji procedur w zaplanowanych odstępach czasu oraz w przypadku poważnych incydentów lub istotnych zmian w działalności lub poziomie ryzyka.

6.5. Testowanie bezpieczeństwa

6.5.1. Odpowiednie podmioty ustanawiają, wdrażają i stosują politykę i procedury testowania bezpieczeństwa.

6.5.2. Odpowiednie podmioty:

ustalają, na podstawie oceny ryzyka przeprowadzonej zgodnie z pkt 2.1, potrzebę, zakres, częstotliwość i rodzaj testów bezpieczeństwa;

przeprowadzają testy bezpieczeństwa zgodnie z udokumentowaną metodyką testowania, obejmujące elementy uznane za istotne dla bezpiecznego działania w analizie ryzyka;

dokumentują rodzaj, zakres, czas i wyniki testów, w tym ocenę krytyczności i działań łagodzących w odniesieniu do każdego stwierdzonego naruszenia;

stosują działania łagodzące w przypadku stwierdzenia krytycznych naruszeń.

6.5.3. Odpowiednie podmioty dokonują przeglądu i, w stosownych przypadkach, aktualizacji swojej polityki testowania bezpieczeństwa w zaplanowanych odstępach czasu.

6.6. Zarządzanie poprawkami zabezpieczeń

6.6.1. Odpowiednie podmioty określają i stosują procedury spójne z procedurami zarządzania zmianą, o których mowa w pkt 6.4.1, a także z procedurami zarządzania podatnością, zarządzania ryzykiem i innymi odpowiednimi procedurami zarządzania, w celu zapewnienia, aby:

poprawki zabezpieczeń były stosowane w rozsądnym terminie po udostępnieniu;

poprawki zabezpieczeń były testowane przed zastosowaniem w systemach produkcyjnych;

poprawki zabezpieczeń pochodziły z zaufanych źródeł i były sprawdzane pod kątem integralności;

wprowadzono dodatkowe środki i zaakceptowano ryzyko rezydualne w przypadkach, gdy poprawka nie jest dostępna lub nie jest stosowana zgodnie z pkt 6.6.2.

6.6.2. Na zasadzie odstępstwa od pkt 6.6.1 lit. a) odpowiednie podmioty mogą podjąć decyzję o niestosowaniu poprawek zabezpieczeń, jeżeli wady zastosowania poprawek zabezpieczeń przeważają nad korzyściami w zakresie cyberbezpieczeństwa. Odpowiednie podmioty należycie dokumentują i uzasadniają powody takiej decyzji.

6.7. Bezpieczeństwo sieci

6.7.1. Odpowiednie podmioty wprowadzają odpowiednie środki w celu ochrony swoich sieci i systemów informatycznych przed cyberzagrożeniami.

6.7.2. Do celów pkt 6.7.1 odpowiednie podmioty:

na bieżąco i w zrozumiały sposób dokumentują architekturę sieci;

określają i stosują środki kontroli w celu ochrony domen sieci wewnętrznych odpowiednich podmiotów przed nieuprawnionym dostępem;

konfigurują mechanizmy kontroli w celu uniemożliwienia dostępu i komunikacji sieciowej, jeśli nie są one wymagane do działania odpowiednich podmiotów;

określają i stosują kontrole zdalnego dostępu do sieci i systemów informatycznych, w tym dostępu usługodawców;

nie wykorzystują do innych celów systemów służących do zarządzania wdrażaniem polityki bezpieczeństwa;

wyraźnie zakazują niepotrzebnych połączeń i usług lub je dezaktywują;

w stosownych przypadkach zezwalają na dostęp do sieci i systemów informatycznych odpowiednich podmiotów wyłącznie przez urządzenia autoryzowane przez te podmioty;

zezwalają na podłączenie usługodawców wyłącznie po złożeniu wniosku o autoryzację i na określony czas, np. na czas trwania prac konserwacyjnych;

nawiązują komunikację między odrębnymi systemami wyłącznie za pośrednictwem zaufanych kanałów, które są odizolowane od innych kanałów komunikacji za pomocą logicznego, kryptograficznego lub fizycznego oddzielenia oraz zapewniają niezawodną identyfikację ich punktów końcowych i ochronę danych kanału przed modyfikacją lub ujawnieniem;

przyjmują plan wdrożenia dotyczący pełnego przejścia na protokoły komunikacyjne warstwy sieciowej najnowszej generacji w bezpieczny, odpowiedni i stopniowy sposób oraz ustanawiają środki mające na celu przyspieszenie takiego przejścia;

przyjmują plan wdrożenia uzgodnionych na szczeblu międzynarodowym i interoperacyjnych nowoczesnych standardów komunikacji elektronicznej w celu zabezpieczenia komunikacji elektronicznej, aby zmniejszyć podatność na zagrożenia związane z pocztą elektroniczną, oraz ustanawia środki służące przyspieszeniu takiego wdrażania;

stosują najlepsze praktyki w zakresie bezpieczeństwa DNS oraz bezpieczeństwa routingu internetowego i higieny routingu ruchu pochodzącego z sieci i do niej kierowanego.

6.7.3. Odpowiednie podmioty dokonują przeglądu i, w stosownych przypadkach, aktualizacji tych środków w zaplanowanych odstępach czasu oraz w przypadku poważnych incydentów lub istotnych zmian w działalności lub poziomie ryzyka.

6.8. Segmentacja sieci

6.8.1. Odpowiednie podmioty dokonują segmentacji systemów na sieci lub strefy zgodnie z wynikami oceny ryzyka, o której mowa w pkt 2.1. Podmioty te oddzielają swoje systemy i sieci od systemów i sieci osób trzecich.

6.8.2. W tym celu odpowiednie podmioty:

uwzględniają funkcjonalny, logiczny i fizyczny związek, w tym położenie, między wiarygodnymi systemami i usługami;

udzielają dostępu do sieci lub strefy na podstawie oceny jej wymogów bezpieczeństwa;

utrzymują systemy, które mają kluczowe znaczenie dla funkcjonowania odpowiednich podmiotów lub dla bezpieczeństwa w strefach bezpieczeństwa;

wdrażają strefę zdemilitaryzowaną w ramach ich sieci łączności w celu zapewnienia bezpiecznej komunikacji pochodzącej z ich sieci lub do nich kierowanej;

ograniczają dostęp i łączność między strefami i w ich obrębie do tych, które są niezbędne do działania odpowiednich podmiotów lub do zapewnienia bezpieczeństwa;

oddzielają specjalną sieć zarządzania sieciami i systemami informatycznymi od sieci operacyjnej odpowiednich podmiotów;

oddzielają kanały zarządzania siecią od innego ruchu sieciowego;

oddzielają systemy produkcji usług odpowiednich podmiotów od systemów wykorzystywanych do opracowywania i testowania, w tym do tworzenia kopii zapasowych.

6.8.3. Odpowiednie podmioty dokonują przeglądu i, w stosownych przypadkach, aktualizacji segmentacji sieci w planowanych odstępach czasu oraz w przypadku poważnych incydentów lub istotnych zmian w działalności lub ryzyku.

6.9. Ochrona przed szkodliwym i niedozwolonym oprogramowaniem

6.9.1. Odpowiednie podmioty chronią swoje sieci i systemy informatyczne przed szkodliwym i niedozwolonym oprogramowaniem.

6.9.2. W tym celu odpowiednie podmioty wdrażają w szczególności środki, które wykrywają użycie złośliwego lub nieuprawnionego oprogramowania lub zapobiegają mu. W stosownych przypadkach odpowiednie podmioty zapewniają, aby ich sieci i systemy informatyczne były wyposażone w oprogramowanie do wykrywania i reagowania, regularnie aktualizowane zgodnie z oceną ryzyka przeprowadzoną zgodnie z pkt 2.1 oraz umowami z dostawcami.

6.10. Postępowanie w przypadku podatności i ich ujawnianie

6.10.1. Odpowiednie podmioty uzyskują informacje na temat podatności technicznych w swoich sieciach i systemach informatycznych, oceniają narażenie na takie podatności oraz podejmują odpowiednie środki w celu zarządzania nimi.

6.10.2. Do celów pkt 6.10.1 odpowiednie podmioty:

monitorują informacje na temat podatności za pośrednictwem odpowiednich kanałów, takich jak ogłoszenia CSIRT, właściwych organów i informacje dostarczane przez dostawców lub usługodawców;

w stosownych przypadkach przeprowadzają skanowanie podatności na zagrożenia i rejestrują w zaplanowanych odstępach czasu dowody potwierdzające wyniki skanowania;

niezwłocznie usuwają podatności zidentyfikowane przez odpowiednie podmioty jako krytyczne dla ich działalności;

zapewniają, aby ich postępowanie w przypadku podatności było zgodne z ich procedurami zarządzania zmianą, zarządzania poprawkami zabezpieczeń, zarządzania ryzykiem i zarządzania incydentami;

ustanawiają procedurę ujawniania podatności zgodnie z obowiązującą krajową polityką skoordynowanego ujawniania podatności.

6.10.3. W przypadku gdy jest to uzasadnione potencjalnym wpływem podatności, odpowiednie podmioty opracowują i wdrażają plan łagodzenia skutków tej podatności. W innych przypadkach odpowiednie podmioty dokumentują i uzasadniają przyczynę, dla której podatność nie wymaga środków zaradczych.

6.10.4. Odpowiednie podmioty dokonują przeglądu i, w stosownych przypadkach, aktualizacji w zaplanowanych odstępach czasu kanałów, z których korzystają do monitorowania informacji o podatnościach.

7. Polityki i procedury służące ocenie skuteczności środków zarządzania ryzykiem w cyberbezpieczeństwie (art. 21 ust. 2 lit. f) dyrektywy (UE) 2022/2555)

7.1. Do celów art. 21 ust. 2 lit. f) dyrektywy (UE) 2022/2555 odpowiednie podmioty ustanawiają, wdrażają i stosują politykę i procedury służące ocenie, czy środki zarządzania ryzykiem w cyberbezpieczeństwie zastosowane przez odpowiedni podmiot są skutecznie wdrażane i utrzymywane.

7.2. Polityka i procedury, o których mowa w pkt 7.1, uwzględniają wyniki oceny ryzyka zgodnie z pkt 2.1 oraz wcześniejsze poważne incydenty. Odpowiednie podmioty określają:

jakie środki zarządzania ryzykiem w cyberbezpieczeństwie mają być monitorowane i mierzone, w tym procesy i środki kontroli;

metody monitorowania, pomiaru, analizy i oceny, tam gdzie ma to zastosowanie, w celu zapewnienia poprawności wyników;

kiedy należy monitorować i wykonywać pomiary;

kto jest odpowiedzialny za monitorowanie i pomiar skuteczności środków zarządzania ryzykiem w cyberbezpieczeństwie;

kiedy należy analizować i oceniać wyniki monitorowania i pomiarów;

kto ma analizować i oceniać te wyniki.

7.3. Odpowiednie podmioty dokonują przeglądu i, w stosownych przypadkach, aktualizacji polityki i procedur w zaplanowanych odstępach czasu oraz w przypadku poważnych incydentów lub istotnych zmian w działalności lub poziomie ryzyka.

8. Podstawowe praktyki cyberhigieny i szkolenia w zakresie cyberbezpieczeństwa (art. 21 ust. 2 lit. g) dyrektywy (UE) 2022/2555)

8.1. Podnoszenie świadomości i podstawowe praktyki cyberhigieny

8.1.1. Do celów art. 21 ust. 2 lit. g) dyrektywy (UE) 2022/2555 odpowiednie podmioty zapewniają, aby ich pracownicy, w tym członkowie organów zarządzających, a także bezpośredni dostawcy i usługodawcy byli świadomi ryzyka, byli informowani o znaczeniu cyberbezpieczeństwa i stosowali praktyki cyberhigieny.

8.1.2. Do celów pkt 8.1.1 odpowiednie podmioty oferują swoim pracownikom, w tym członkom organów zarządzających, a także bezpośrednim dostawcom i usługodawcom, w stosownych przypadkach zgodnie z pkt 5.1.4, program podnoszenia świadomości, który:

jest zaplanowany w czasie, tak aby działania były powtarzane i obejmowały nowych pracowników;

jest ustanawiany zgodnie z polityką bezpieczeństwa sieci i informacji, politykami tematycznymi i odpowiednimi procedurami dotyczącymi bezpieczeństwa sieci i informacji;

uwzględnia odpowiednie cyberzagrożenia, obowiązujące środki zarządzania ryzykiem w cyberbezpieczeństwie, punkty kontaktowe i zasoby na potrzeby dodatkowych informacji i porad w kwestiach cyberbezpieczeństwa, a także praktyki w zakresie cyberhigieny dla użytkowników.

8.1.3. W stosownych przypadkach program podnoszenia świadomości testuje się pod kątem skuteczności. Aktualizuje i oferuje się go w zaplanowanych odstępach czasu, z uwzględnieniem zmian w praktykach cyberhigieny oraz aktualnego krajobrazu zagrożeń i ryzyka stwarzanego dla odpowiednich podmiotów.

8.2. Szkolenia w zakresie bezpieczeństwa

8.2.1. Odpowiednie podmioty wskazują pracowników, których funkcje wymagają zestawów umiejętności i wiedzy fachowej istotnych z punktu widzenia bezpieczeństwa, oraz zapewniają, aby byli oni regularnie szkoleni w zakresie bezpieczeństwa sieci i systemów informatycznych.

8.2.2. Odpowiednie podmioty ustanawiają, wdrażają i stosują program szkoleniowy zgodny z polityką bezpieczeństwa sieci i informacji, politykami tematycznymi i innymi odpowiednimi procedurami dotyczącymi bezpieczeństwa sieci i informacji, który określa potrzeby szkoleniowe w odniesieniu do niektórych funkcji i stanowisk w oparciu o kryteria.

8.2.3. Szkolenie, o którym mowa w pkt 8.2.1, musi być dostosowane do stanowiska pracownika, a jego skuteczność poddawana jest ocenie. Szkolenia uwzględniają obowiązujące środki bezpieczeństwa i obejmują:

instrukcje dotyczące bezpiecznej konfiguracji i działania sieci i systemów informatycznych, w tym urządzeń mobilnych;

informacje na temat znanych cyberzagrożeń;

szkolenia z zachowania w przypadku wystąpienia zdarzeń istotnych z punktu widzenia bezpieczeństwa.

8.2.4. Odpowiednie podmioty przeprowadzają szkolenia dla pracowników, którzy przenoszą się na nowe stanowiska lub funkcje wymagające zestawów umiejętności i wiedzy fachowej istotnych z punktu widzenia bezpieczeństwa.

8.2.5. Program jest okresowo aktualizowany i prowadzony z uwzględnieniem mających zastosowanie polityk i zasad, przypisanych funkcji, obowiązków, a także znanych cyberzagrożeń i nowych rozwiązań technologicznych.

9. Kryptografia (art. 21 ust. 2 lit. h) dyrektywy (UE) 2022/2555)

9.1. Do celów art. 21 ust. 2 lit. h) dyrektywy (UE) 2022/2555 odpowiednie podmioty ustanawiają, wdrażają i stosują politykę i procedury związane z kryptografią w celu zapewnienia odpowiedniego i skutecznego wykorzystania kryptografii do ochrony poufności, autentyczności i integralności danych zgodnie z klasyfikacją aktywów odpowiednich podmiotów i wynikami oceny ryzyka przeprowadzonej zgodnie z pkt 2.1.

9.2. Polityka i procedury, o których mowa w pkt 9.1. określają:

zgodnie z klasyfikacją aktywów odpowiednich podmiotów rodzaj, siłę i jakość środków kryptograficznych wymaganych do ochrony aktywów odpowiednich podmiotów, w tym danych przechowywanych i danych przesyłanych;

na podstawie lit. a) protokoły lub rodziny protokołów, które mają zostać przyjęte, a także algorytmy kryptograficzne, siłę szyfru, rozwiązania kryptograficzne i praktyki użytkowania, które mają być zatwierdzone i wymagane do stosowania w odpowiednich podmiotach, w stosownych przypadkach zgodnie z podejściem opartym na zręczności kryptograficznej;

podejście odpowiednich podmiotów do zarządzania kluczami, w tym, w stosownych przypadkach, metody dotyczące:

(i)

generowania różnych kluczy na potrzeby systemów i zastosowań kryptograficznych;

(ii)

wydawania i uzyskiwania certyfikatów klucza publicznego;

(iii)

przekazywania kluczy docelowym podmiotom, w tym sposobu aktywacji kluczy po ich otrzymaniu;

(iv)

przechowywania kluczy, w tym sposobu, w jaki upoważnieni użytkownicy uzyskują dostęp do kluczy;

(v)

zmiany lub aktualizacji kluczy, w tym zasad dotyczących tego, kiedy i jak zmienić klucze;

(vi)

postępowania z naruszonymi kluczami;

(vii)

odwoływania kluczy, w tym sposobu wycofywania lub dezaktywacji kluczy;

(viii)

odzyskiwania utraconych lub uszkodzonych kluczy;

(ix)

zabezpieczania lub archiwizowania kluczy;

(x)

niszczenia kluczy;

▼C1

(xi)

rejestrowania i audytu działań związanych z zarządzaniem kluczami;

▼B

(xii)

ustawiania dat aktywacji i dezaktywacji kluczy, tak aby klucze mogły być wykorzystywane wyłącznie przez określony czas zgodnie z zasadami organizacji dotyczącymi zarządzania kluczami.

9.3. Odpowiednie podmioty dokonują przeglądu i, w stosownych przypadkach, aktualizacji swojej polityki i procedur w zaplanowanych odstępach czasu, z uwzględnieniem najnowocześniejszej kryptografii.

10. Bezpieczeństwo zasobów ludzkich (art. 21 ust. 2 lit. i) dyrektywy (UE) 2022/2555)

10.1. Bezpieczeństwo zasobów ludzkich

10.1.1. Do celów art. 21 ust. 2 lit. i) dyrektywy (UE) 2022/2555 odpowiednie podmioty zapewniają, aby ich pracownicy oraz bezpośredni dostawcy i usługodawcy, w stosownych przypadkach, rozumieli swoje obowiązki w zakresie bezpieczeństwa i zobowiązali się do ich wypełniania, stosownie do oferowanych usług i wykonywanej pracy oraz zgodnie z polityką odpowiednich podmiotów w zakresie bezpieczeństwa sieci i systemów informatycznych.

10.1.2. Wymóg, o którym mowa w pkt 10.1.1, obejmuje:

mechanizmy zapewniające, aby wszyscy pracownicy, bezpośredni dostawcy i usługodawcy, w stosownych przypadkach, rozumieli i stosowali standardowe praktyki cyberhigieny, które te odpowiednie podmioty stosują zgodnie z pkt 8.1;

mechanizmy zapewniające, aby wszyscy użytkownicy z dostępem administracyjnym lub uprzywilejowanym byli świadomi swoich funkcji, obowiązków i uprawnień oraz działali zgodnie z nimi;

mechanizmy zapewniające, aby członkowie organów zarządzających rozumieli swoje funkcje, obowiązki i uprawnienia w zakresie bezpieczeństwa sieci i systemów informatycznych oraz działali zgodnie z nimi;

mechanizmy zatrudniania personelu posiadającego kwalifikacje do pełnienia odpowiednich funkcji, takich jak kontrole referencji, procedury weryfikacji, zatwierdzanie certyfikatów lub testy pisemne.

10.1.3. Odpowiednie podmioty dokonują przeglądu przydziału personelu do określonych funkcji, o których mowa w pkt 1.2, a także ich zaangażowania zasobów ludzkich w tym zakresie, w zaplanowanych odstępach czasu i co najmniej raz w roku. W razie potrzeby aktualizują one ten przydział.

10.2. Sprawdzanie przeszłości

10.2.1. Odpowiednie podmioty zapewniają w miarę możliwości sprawdzenie przeszłości swoich pracowników oraz, w stosownych przypadkach, bezpośrednich dostawców i usługodawców zgodnie z pkt 5.1.4, jeżeli jest to konieczne ze względu na ich funkcję, obowiązki i uprawnienia.

10.2.2. Do celów pkt 10.2.1 odpowiednie podmioty:

wprowadzają kryteria określające, które funkcje, obowiązki i uprawnienia mogą być wykonywane wyłącznie przez osoby, których przeszłość sprawdzono;

zapewniają, aby sprawdzenia tych osób, o którym mowa w pkt 10.2.1, miało miejsce przed rozpoczęciem wykonywania przez nie tych funkcji, obowiązków i uprawnień, z uwzględnieniem obowiązujących przepisów ustawowych, wykonawczych i zasad etycznych proporcjonalnie do wymogów biznesowych, klasyfikacji aktywów, o których mowa w pkt 12.1, oraz sieci i systemów informatycznych, do których ma być uzyskany dostęp, a także postrzeganego ryzyka.

10.2.3. Odpowiednie podmioty dokonują przeglądu i, w stosownych przypadkach, aktualizacji tej polityki w zaplanowanych odstępach czasu oraz w razie potrzeby.

10.3. Procedury rozwiązania lub zmiany zatrudnienia

10.3.1. Odpowiednie podmioty zapewniają, aby obowiązki i odpowiedzialność w zakresie bezpieczeństwa sieci i systemów informatycznych, które pozostają ważne po zakończeniu lub zmianie zatrudnienia ich pracowników, były określone w umowie i egzekwowane.

10.3.2. Do celów pkt 10.3.1 odpowiednie podmioty uwzględniają w warunkach zatrudnienia, umowie lub porozumieniu dotyczącym danej osoby obowiązki i odpowiedzialność, które są nadal ważne po zakończeniu zatrudnienia lub umowy, takie jak klauzule poufności.

10.4. Procedura dyscyplinarna

10.4.1. Odpowiednie podmioty ustanawiają, przekazują i utrzymują procedurę dyscyplinarną dotyczącą postępowania w przypadku naruszenia polityki bezpieczeństwa sieci i systemów informatycznych. W procedurze tej uwzględnia się odpowiednie wymogi prawne, ustawowe, umowne i biznesowe.

10.4.2. Odpowiednie podmioty dokonują przeglądu i, w stosownych przypadkach, aktualizacji procedury dyscyplinarnej w zaplanowanych odstępach czasu oraz w razie potrzeby ze względu na zmiany prawne lub znaczące zmiany w działalności lub poziomie ryzyka.

11. Kontrola dostępu (art. 21 ust. 2 lit. i) oraz j) dyrektywy (UE) 2022/2555)

11.1. Polityka kontroli dostępu

11.1.1. Do celów art. 21 ust. 2 lit. i) dyrektywy (UE) 2022/2555 odpowiednie podmioty ustanawiają, dokumentują i wdrażają logiczną i fizyczną politykę kontroli dostępu w odniesieniu do dostępu do swoich sieci i systemów informatycznych w oparciu o wymogi biznesowe, a także wymogi w zakresie bezpieczeństwa sieci i systemów informatycznych.

11.1.2. Polityka, o której mowa w pkt 11.1.1:

dotyczy dostępu osób, w tym pracowników, odwiedzających i podmiotów zewnętrznych, takich jak dostawcy i usługodawcy;

dotyczy dostępu sieci i systemów informatycznych;

zapewnia, aby dostęp był przyznawany wyłącznie użytkownikom, którzy zostali odpowiednio uwierzytelnieni.

11.1.3. Odpowiednie podmioty dokonują przeglądu i, w stosownych przypadkach, aktualizacji tej polityki w zaplanowanych odstępach czasu oraz w przypadku wystąpienia poważnych incydentów lub istotnych zmian w działalności lub poziomie ryzyka.

11.2. Zarządzanie prawami dostępu

11.2.1. Odpowiednie podmioty zapewniają, zmieniają, usuwają i dokumentują prawa dostępu do sieci i systemów informatycznych zgodnie z polityką kontroli dostępu, o której mowa w pkt 11.1.

11.2.2. Odpowiednie podmioty:

przydzielają i odwołują prawa dostępu w oparciu o zasadę ograniczonego dostępu, zasadę przydzielania jak najmniejszych uprawnień i zasadę podziału obowiązków;

zapewniają, aby prawa dostępu były odpowiednio zmieniane po zakończeniu lub zmianie zatrudnienia;

zapewniają, aby dostęp do sieci i systemów informatycznych był autoryzowany przez odpowiednie osoby;

zapewniają, aby prawa dostępu odpowiednio uwzględniały dostęp osób trzecich, takich jak odwiedzający, dostawcy i usługodawcy, w szczególności poprzez ograniczenie zakresu i czasu trwania praw dostępu;

prowadzą rejestr przyznanych praw dostępu;

stosują logowanie do zarządzania prawami dostępu.

11.2.3. Odpowiednie podmioty dokonują przeglądu praw dostępu w zaplanowanych odstępach czasu i modyfikują je w oparciu o zmiany organizacyjne. Odpowiednie podmioty dokumentują wyniki przeglądu, w tym niezbędne zmiany praw dostępu.

11.3. Konta uprzywilejowane i konta administracji systemu

11.3.1. Odpowiednie podmioty prowadzą politykę zarządzania kontami uprzywilejowanymi i kontami administracji systemu w ramach polityki kontroli dostępu, o której mowa w pkt 11.1.

11.3.2. Polityka, o której mowa w pkt 11.3.1:

ustanawia silną identyfikację, uwierzytelnianie, takie jak uwierzytelnianie wieloskładnikowe, oraz procedury autoryzacji kont uprzywilejowanych i kont administracji systemu;

ustanawia specjalne konta, które będą wykorzystywane wyłącznie do działań administracyjnych systemu, takie jak instalacja, konfiguracja, zarządzanie lub konserwacja;

w jak największym stopniu indywidualizuje i ogranicza przywileje związane z administrowaniem systemem;

zapewnia, aby konta administracji systemu były wykorzystywane wyłącznie do łączenia się z systemami administracji systemu.

11.3.3. Odpowiednie podmioty dokonują przeglądu praw dostępu do kont uprzywilejowanych i kont administracji systemu w zaplanowanych odstępach czasu i modyfikują je w oparciu o zmiany organizacyjne oraz dokumentują wyniki tego przeglądu, w tym niezbędne zmiany praw dostępu.

11.4. Systemy administracji

11.4.1. Odpowiednie podmioty ograniczają i kontrolują korzystanie z systemów administracji systemu zgodnie z polityką kontroli dostępu, o której mowa w pkt 11.1.

11.4.2. W tym celu odpowiednie podmioty:

wykorzystują systemy administracji systemu wyłącznie do celów administracji systemem, a nie do jakichkolwiek innych operacji;

logicznie oddzielają takie systemy od oprogramowania użytkowego, które nie jest wykorzystywane do celów administracji systemu,

chronią dostęp do systemów administracji systemu poprzez uwierzytelnianie i szyfrowanie.

11.5. Identyfikacja

11.5.1. Odpowiednie podmioty zarządzają pełnym cyklem życia tożsamości sieci i systemów informatycznych oraz ich użytkowników.

11.5.2. W tym celu odpowiednie podmioty:

ustanawiają niepowtarzalne tożsamości dla sieci i systemów informatycznych oraz ich użytkowników;

łączą tożsamość użytkowników z jedną osobą;

zapewniają nadzór nad tożsamością w sieciach i systemach informatycznych;

stosują logowanie do zarządzania tożsamościami.

11.5.3. Odpowiednie podmioty zezwalają na tożsamości przypisane do wielu osób, w tym tożsamości współdzielone, tylko wtedy, gdy jest to konieczne ze względów biznesowych lub operacyjnych i podlega wyraźnemu procesowi zatwierdzania i dokumentacji. Odpowiednie podmioty uwzględniają tożsamość przypisaną do wielu osób w ramach zarządzania ryzykiem w cyberbezpieczeństwie, o których mowa w pkt 2.1.

11.5.4. Odpowiednie podmioty regularnie dokonują przeglądu tożsamości w sieciach i systemach informatycznych oraz ich użytkowników, a jeśli nie są już one potrzebne, niezwłocznie je dezaktywują.

11.6. Uwierzytelnianie

11.6.1. Odpowiednie podmioty wdrażają procedury i technologie bezpiecznego uwierzytelniania w oparciu o ograniczenia dostępu i politykę kontroli dostępu.

11.6.2. W tym celu odpowiednie podmioty:

zapewniają, aby siła uwierzytelnienia była odpowiednia do klasyfikacji składnika aktywów, do którego ma być uzyskany dostęp;

kontrolują przydzielanie użytkownikom tajnych informacji uwierzytelniających i zarządzanie nimi za pomocą procesu zapewniającego poufność informacji, w tym doradzają pracownikom w zakresie właściwego postępowania z informacjami uwierzytelniającymi;

wymagają zmiany danych uwierzytelniających na początku, w określonych z góry odstępach czasu oraz w przypadku podejrzenia, że dane uwierzytelniające zostały naruszone;

wymagają resetowania danych uwierzytelniających i blokowania użytkowników po określonej z góry liczbie nieudanych prób logowania;

kończą nieaktywne sesje po wcześniej zdefiniowanym okresie bezczynności oraz

wymagają osobnych danych uwierzytelniających do uzyskania dostępu do kont o uprzywilejowanym dostępie lub kont administracyjnych.

11.6.3. Odpowiednie podmioty w zakresie, w jakim jest to możliwe, stosują najnowocześniejsze metody uwierzytelniania zgodnie z powiązanym oszacowanym ryzykiem i klasyfikacją składnika aktywów, do którego ma być uzyskany dostęp, oraz unikalne informacje uwierzytelniające.

11.6.4. Odpowiednie podmioty dokonują przeglądu procedur i technologii uwierzytelniania w zaplanowanych odstępach czasu.

11.7. Uwierzytelnianie wieloskładnikowe

11.7.1. Odpowiednie podmioty zapewniają, aby użytkownicy byli uwierzytelniani za pomocą wielu czynników uwierzytelniania lub mechanizmów ciągłego uwierzytelniania w celu uzyskania dostępu do sieci i systemów informatycznych odpowiednich podmiotów, w stosownych przypadkach, zgodnie z klasyfikacją składnika aktywów, do którego ma być uzyskany dostęp.

11.7.2. Odpowiednie podmioty zapewniają, aby poziom uwierzytelnienia był odpowiedni do klasyfikacji składnika aktywów, do którego ma być uzyskany dostęp.

12. Zarządzanie aktywami (art. 21 ust. 2 lit. i) dyrektywy (UE) 2022/2555)

12.1. Klasyfikacja aktywów

12.1.1. Do celów art. 21 ust. 2 lit. i) dyrektywy (UE) 2022/2555 odpowiednie podmioty określają poziomy klauzuli tajności wszystkich aktywów, w tym informacji, wchodzących w zakres ich sieci i systemów informatycznych dla wymaganego poziomu ochrony.

12.1.2. Do celów pkt 12.1.1 odpowiednie podmioty:

ustanawiają system poziomów klauzuli tajności aktywów;

wiążą wszystkie aktywa z poziomem klauzuli tajności, w oparciu o wymogi poufności, integralności, autentyczności i dostępności, w celu wskazania wymaganej ochrony zgodnie z ich wrażliwością, krytycznością, ryzykiem i wartością biznesową;

dostosowują wymogi dotyczące dostępności aktywów do celów dostarczenia oraz przywrócenia normalnego działania określonych w ich planach ciągłości działania i planach przywrócenia normalnego działania po wystąpieniu sytuacji nadzwyczajnej.

12.1.3. Odpowiednie podmioty przeprowadzają okresowe przeglądy poziomów klauzuli tajności aktywów oraz w stosownych przypadkach aktualizują je.

12.2. Postępowanie z aktywami

12.2.1. Odpowiednie podmioty ustanawiają, wdrażają i stosują politykę właściwego postępowania z aktywami, w tym z informacjami, zgodnie ze swoją polityką bezpieczeństwa sieci i informacji oraz przekazują politykę właściwego postępowania z aktywami każdemu, kto wykorzystuje lub obsługuje aktywa.

12.2.2. Polityka ta:

obejmuje cały cykl życia aktywów, w tym nabycie, wykorzystywanie, przechowywanie, transport i zbycie;

zawiera zasady dotyczące bezpiecznego użytkowania, bezpiecznego przechowywania, bezpiecznego transportu oraz nieodwracalnego usuwania i niszczenia aktywów.

stanowi, że przeniesienie odbywa się w sposób bezpieczny, zgodnie z rodzajem aktywów, które mają zostać przeniesione.

12.2.3. Odpowiednie podmioty dokonują przeglądu i, w stosownych przypadkach, aktualizacji polityki w zaplanowanych odstępach czasu oraz w przypadku wystąpienia poważnych incydentów lub istotnych zmian w działalności lub ryzyku.

12.3. Polityka dotycząca nośników wymiennych

12.3.1. Odpowiednie podmioty ustanawiają, wdrażają i stosują politykę zarządzania wymiennymi nośnikami danych oraz przekazują ją swoim pracownikom i osobom trzecim, które obsługują wymienne nośniki danych w obiektach odpowiednich podmiotów lub w innych miejscach, w których nośniki te są podłączone do sieci i systemów informatycznych odpowiednich podmiotów.

12.3.2. Polityka ta:

przewiduje techniczny zakaz podłączania wymiennych nośników, chyba że istnieje organizacyjny powód ich użycia;

zapewnia blokadę samowykonywania z takich nośników i skanowanie nośników pod kątem kodu złośliwego przed ich użyciem w systemach odpowiednich podmiotów;

zapewnia środki kontroli i ochrony przenośnych urządzeń pamięci masowej zawierających dane przesyłane i dane przechowywane;

w stosownych przypadkach przewiduje środki do stosowania technik kryptograficznych w celu ochrony danych na wymiennych nośnikach danych.

12.3.3. Odpowiednie podmioty dokonują przeglądu i, w stosownych przypadkach, aktualizacji polityki w zaplanowanych odstępach czasu oraz w przypadku wystąpienia poważnych incydentów lub istotnych zmian w działalności lub ryzyku.

12.4. Wykaz aktywów

12.4.1. Odpowiednie podmioty opracowują i prowadzą kompletny, dokładny, aktualny i spójny wykaz swoich aktywów. Rejestrują zmiany we wpisach w wykazie w możliwy do prześledzenia sposób.

12.4.2. Poziom szczegółowości wykazu aktywów musi być odpowiedni do potrzeb odpowiednich podmiotów. Wykaz ten obejmuje:

listę operacji i usług oraz ich opis;

listę sieci i systemów informatycznych oraz innych powiązanych aktywów wspierających działalność i usługi odpowiednich podmiotów.

12.4.3. Odpowiednie podmioty regularnie dokonują przeglądu i aktualizacji wykazu i swoich aktywów oraz dokumentują historię zmian.

12.5. Zdeponowanie, zwrot lub usunięcie aktywów po zakończeniu zatrudnienia

Odpowiednie podmioty ustanawiają, wdrażają i stosują procedury zapewniające zdeponowanie, zwrot lub usunięcie aktywów będących do dyspozycji personelu po zakończeniu zatrudnienia, a także dokumentują zdeponowanie, zwrot i usunięcie tych aktywów. W przypadku gdy zdeponowanie, zwrot lub usunięcie aktywów nie jest możliwe, odpowiednie podmioty zapewniają, aby aktywa te nie miały już dostępu do sieci i systemów informatycznych odpowiednich podmiotów zgodnie z pkt 12.2.2.

13. Bezpieczeństwo środowiskowe i fizyczne (art. 21 ust. 2 lit. c), e) oraz i) dyrektywy (UE) 2022/2555)

13.1. Usługi pomocnicze

13.1.1. Do celów art. 21 ust. 2 lit. c) dyrektywy (UE) 2022/2555 odpowiednie podmioty zapobiegają utracie, uszkodzeniu lub narażeniu na szwank sieci i systemów informatycznych lub przerwie w działaniu sieci i systemów informatycznych ze względu na awarię i zakłócenia usług pomocniczych.

13.1.2. W tym celu odpowiednie podmioty w stosownych przypadkach:

chronią obiekty przed awariami zasilania i innymi zakłóceniami spowodowanymi awariami usług pomocniczych, takich jak energia elektryczna, telekomunikacja, zaopatrzenie w wodę, gaz, ścieki, wentylacja i klimatyzacja;

rozważają stosowanie redundancji w tych usługach;

chronią przed przechwyceniem i uszkodzeniem tych usług w zakresie energii elektrycznej i telekomunikacji, które służą do przesyłu danych lub sieci i systemów informatycznych;

monitorują usługi, o których mowa w lit. c), i zgłaszają właściwemu personelowi wewnętrznemu lub zewnętrznemu zdarzenia wykraczające poza minimalne i maksymalne progi kontrolne, o których mowa w pkt 13.2.2 lit. b), mające wpływ na te usługi;

zawierają umowy na dostawy awaryjne odpowiednich usług, takich jak paliwo do awaryjnego zasilania;

zapewniają ciągłą skuteczność, monitorowanie, utrzymywanie i testowanie dostaw sieci i systemów informatycznych niezbędnych do działania oferowanej usługi, w szczególności energii elektrycznej, kontroli temperatury i wilgotności, połączeń telekomunikacyjnych i internetowych.

13.1.3. Odpowiednie podmioty testują, przeglądają oraz, w razie potrzeby, aktualizują środki ochrony, zarówno cyklicznie, jak i po wystąpieniu poważnych incydentów lub istotnych zmian w działalności lub poziomie ryzyka.

13.2. Ochrona przed zagrożeniami fizycznymi i środowiskowymi

13.2.1. Do celów art. 21 ust. 2 lit. e) dyrektywy (UE) 2022/2555 odpowiednie podmioty zapobiegają skutkom zdarzeń wynikających z zagrożeń fizycznych i środowiskowych, takich jak klęski żywiołowe i inne zamierzone lub niezamierzone zagrożenia, lub ograniczają te skutki w oparciu o wyniki oceny ryzyka przeprowadzonej zgodnie z pkt 2.1.

13.2.2. W tym celu odpowiednie podmioty w stosownych przypadkach:

opracowują i wdrażają środki ochrony przed zagrożeniami fizycznymi i środowiskowymi;

określają minimalne i maksymalne progi kontroli zagrożeń fizycznych i środowiskowych;

monitorują parametry środowiskowe i zgłaszają właściwemu personelowi wewnętrznemu lub zewnętrznemu zdarzenia wykraczające poza minimalne i maksymalne progi kontrolne, o których mowa w lit. b).

13.2.3. Odpowiednie podmioty testują, przeglądają oraz, w razie potrzeby, aktualizują środki ochrony przed zagrożeniami fizycznymi i środowiskowymi, zarówno cyklicznie, jak i po wystąpieniu poważnych incydentów lub istotnych zmian w działalności lub poziomie ryzyka.

13.3. Kontrola dostępu obwodowego i fizycznego

13.3.1. Do celów art. 21 ust. 2 lit. i) dyrektywy (UE) 2022/2555 odpowiednie podmioty zapobiegają nieuprawnionemu fizycznemu dostępowi, uszkodzeniom i ingerencjom w ich sieci i systemy informatyczne oraz monitorują takie działania.

13.3.2. W tym celu odpowiednie podmioty:

na podstawie oceny ryzyka przeprowadzonej zgodnie z pkt 2.1 określają i stosują granice bezpieczeństwa w celu ochrony obszarów, w których znajdują się sieci i systemy informatyczne oraz inne powiązane aktywa;

chronią obszary, o których mowa w lit. a), za pomocą odpowiednich kontroli wejścia i punktów dostępu;

projektują i wdrażają zabezpieczenia fizyczne biur, pomieszczeń i obiektów,

stale monitorują swoje pomieszczenia pod kątem nieupoważnionego fizycznego dostępu.

13.3.3. Odpowiednie podmioty testują, przeglądają oraz, w razie potrzeby, aktualizują środki kontroli dostępu fizycznego, zarówno cyklicznie, jak i po wystąpieniu poważnych incydentów lub istotnych zmian w działalności lub poziomie ryzyka.

1.1 Odwołania

1.2 Zidentyfikowane wymagania

1.3 Powiązane normy

2. Zidentyfikowane wymagania

Wymagania
Źródło	Wymaganie

3. Powiązane normy

Normy
Źródło	Wymaganie

Powiązane zgłoszenia

Powiązania
Typ powiązania	Zgłoszenie
is related to	NIS2 Technical Implementation Guidance

Builddate: 18.10.2024 00:00:00 -Doknr: CELEX:32024R2690
EULAW -
European Regulation published on http://eur-lex.europa.eu/