Wiele firm, które w tym roku dowiedziały się, że są podmiotem kluczowym lub ważnym, zakłada, że teraz muszą zatrudnić specjalistę od bezpieczeństwa albo zbudować cały dział. Tymczasem ustawa o krajowym systemie cyberbezpieczeństwa daje wprost drugą drogę. Art. 14 pozwala zamiast wewnętrznych struktur zawrzeć umowę z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa.
To dobra wiadomość dla firm, które nie znajdą na rynku specjalisty albo nie potrzebują go na pełen etat. Jest jednak haczyk, o którym mówi się rzadziej: zlecić można pracę, ale nie odpowiedzialność. Poniżej wyjaśniamy, co dokładnie można przekazać firmie zewnętrznej, co musi zostać w firmie i co powinno znaleźć się w umowie.
Najważniejsze w skrócie:
- Podmiot kluczowy lub ważny powołuje wewnętrzne struktury odpowiedzialne za cyberbezpieczeństwo lub zawiera umowę z dostawcą usług zarządzanych w tym zakresie (art. 14 ustawy o KSC).
- Dostawca usług zarządzanych w zakresie cyberbezpieczeństwa to firma, która wspiera zarządzanie ryzykiem – m.in. obsługę incydentów, testy bezpieczeństwa, audyty i doradztwo.
- Odpowiedzialność kierownika podmiotu zostaje w firmie – dostawca wykonuje zadania, ale nie przejmuje obowiązków zarządu.
- Zwykła umowa na obsługę informatyczną nie jest automatycznie umową z art. 14 – liczy się zakres usług bezpieczeństwa.
- Obowiązki z ustawy, w tym struktury, trzeba wdrożyć do 3 kwietnia 2027 r.
Mapa artykułu
Spis treści
Co mówi art. 14 ustawy o KSC
Przepis jest krótki: podmiot kluczowy albo ważny ma zapewnić, że ktoś odpowiada za cyberbezpieczeństwo w sposób ciągły. Może to zrobić na dwa sposoby:
- wewnętrzne struktury – własny zespół, dział albo wyznaczone osoby w organizacji,
- umowa z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa – zewnętrzna firma, która pełni tę funkcję.
Ustawa nie mówi, że jedna droga jest lepsza od drugiej. Obie mają doprowadzić do tego samego: zarządzania ryzykiem, obsługi incydentów i kontaktu z krajowym systemem cyberbezpieczeństwa. Informacje o takiej umowie podaje się też w wykazie podmiotów kluczowych i ważnych.
Kim jest dostawca usług zarządzanych w zakresie cyberbezpieczeństwa
Definicję zawiera art. 2 pkt 4j ustawy. To podmiot, który świadczy usługi związane z realizacją lub wsparciem zarządzania ryzykiem cyberbezpieczeństwa, w tym obsługę incydentów, testy bezpieczeństwa, audyty systemów i doradztwo. Warto odróżnić go od szerszej kategorii „dostawcy usług zarządzanych”, która obejmuje każdą firmę instalującą i utrzymującą systemy IT klienta.
Dwie rzeczy, o których warto pamiętać przy wyborze:
- dostawca usług zarządzanych w zakresie cyberbezpieczeństwa, który jest co najmniej małym przedsiębiorcą, jest z mocy ustawy podmiotem kluczowym (art. 5 ust. 1 pkt 3) i stosuje środki z rozporządzenia wykonawczego Komisji (UE) 2024/2690,
- jego status wynika z rodzaju działalności i wielkości, a nie z tego, kim są jego klienci.
W praktyce dobrze jest zapytać dostawcę wprost: czy sam podlega ustawie i jak spełnia jej wymagania. Firma, która chroni innych, powinna umieć to pokazać.
Własny zespół czy umowa – porównanie
| Kryterium | Wewnętrzne struktury | Umowa z dostawcą |
|---|---|---|
| Dostępność 24/7 | Wymaga dyżurów kilku osób | Zwykle w ramach monitoringu SOC |
| Urlop, choroba, odejście pracownika | Ryzyko luki w ciągłości | Zastępstwo po stronie dostawcy |
| Szerokość kompetencji | Zależy od jednej lub kilku osób | Zespół: monitoring, testy, analiza incydentów, dokumentacja |
| Znajomość firmy | Bardzo dobra od pierwszego dnia | Buduje się w trakcie współpracy |
| Czas uruchomienia | Rekrutacja i wdrożenie nowej osoby | Zwykle szybciej – procesy są gotowe |
| Kontrola | Bezpośrednia | Przez umowę, SLA i raporty |
Dla wielu średnich firm najrozsądniejszy jest model mieszany: w firmie jest osoba, która koordynuje temat i zna procesy, a monitoring, obsługa incydentów, testy i dokumentacja są po stronie dostawcy. O tym, czego sam outsourcing IT nie załatwia, pisze mIT group w artykule outsourcing IT a NIS2.
Co powinno znaleźć się w umowie z dostawcą
Umowa, która ma realnie zastąpić wewnętrzne struktury, nie może być ogólnikowa. Sprawdź, czy obejmuje:
- monitoring bezpieczeństwa – zakres systemów, godziny i sposób eskalacji,
- obsługę incydentów – kto reaguje, w jakim czasie i co robi,
- wsparcie przy zgłoszeniach do CSIRT – wczesne ostrzeżenie w 24 godziny, zgłoszenie w 72 godziny, raport końcowy,
- szacowanie ryzyka i pomoc w jego aktualizacji,
- testy bezpieczeństwa – pentesty, testy socjotechniczne, testy odtworzenia,
- raporty dla zarządu zrozumiałe bez wiedzy technicznej,
- dokumentację – z zapisem, że należy ona do klienta,
- wsparcie przy audycie i kontroli,
- zasady zakończenia współpracy – przekazanie dostępów, logów i dokumentów.
Czego nie da się zlecić
Tu jest najważniejsza różnica między „mamy firmę od bezpieczeństwa” a „jesteśmy zgodni z ustawą”. Nawet przy najlepszej umowie w firmie zostają:
- odpowiedzialność kierownika podmiotu za wykonanie obowiązków – o karach osobistych piszemy w artykule kierownik podmiotu w KSC,
- decyzje o akceptacji ryzyka i budżecie na zabezpieczenia,
- coroczne szkolenie kierownictwa – dostawca może je przeprowadzić, ale zarząd musi w nim uczestniczyć,
- zatwierdzenie polityk i procedur,
- wskazanie osób do kontaktu – ustawa wymaga co najmniej dwóch, a mikro- i małym przedsiębiorcom wystarczy jedna.
Jak pełnimy tę funkcję w mIT security
Dla firm objętych KSC możemy być zewnętrzną strukturą odpowiedzialną za cyberbezpieczeństwo: prowadzimy monitoring SOC 24/7, obsługujemy incydenty i przygotowujemy zgłoszenia, przeprowadzamy testy penetracyjne i testy socjotechniczne, pomagamy w analizie ryzyka i dokumentacji, a zarządowi dajemy raporty, które da się przeczytać bez słownika. Możemy też pełnić rolę koordynatora cyberbezpieczeństwa po stronie firmy i przygotować ją do audytu wymaganego ustawą.
Grupa mIT działa od 2011 r. i ma certyfikat ISO/IEC 27001, więc wymagania, które stawiamy klientom, stosujemy też u siebie.
FAQ – struktury cyberbezpieczeństwa w KSC
Czy firma, która już obsługuje nasze IT, spełnia art. 14?
Niekoniecznie. Liczy się zakres umowy. Jeśli dostawca zajmuje się tylko helpdeskiem i sprzętem, to nie jest umowa z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa. Umowa musi obejmować m.in. zarządzanie ryzykiem i obsługę incydentów.
Czy można łączyć własne struktury z dostawcą zewnętrznym?
Tak, i często to najlepsze rozwiązanie. Wewnętrzny koordynator zna firmę, a dostawca zapewnia monitoring, kompetencje i ciągłość.
Kto odpowiada, jeśli dostawca nie zgłosi incydentu na czas?
Wobec organu odpowiada podmiot kluczowy lub ważny i jego kierownictwo. Dlatego terminy i sposób zgłaszania warto zapisać w umowie razem z konsekwencjami ich niedotrzymania.
Do kiedy trzeba mieć struktury albo umowę?
Firmy, które spełniały kryteria w dniu wejścia ustawy w życie, wdrażają obowiązki z rozdziału 3 do 3 kwietnia 2027 r. Firmy, które spełnią kryteria później, mają 12 miesięcy od tego momentu.
