Dyrektywa NIS2 oraz projekt zmiany ustawy o KSC nakładają na kierownictwo podmiotów kluczowych i ważnych bezpośrednią odpowiedzialność za cyberbezpieczeństwo w podmiocie. Głównym celem tych regulacji jest zmobilizowanie zarządów do poważnego podejścia do kwestii zapewnienia odpowiedniego poziomu ochrony systemów informacyjnych.
Kluczowe zadania kierownictwa w zakresie cyberbezpieczeństwa
Kierownicy podmiotów kluczowych i ważnych mają jasno określone obowiązki, które mają zapewnić skuteczne zarządzanie bezpieczeństwem informacji. Oto najważniejsze z nich:
- Decyzje strategiczne w zakresie bezpieczeństwa informacji: Kierownictwo jest odpowiedzialne za przygotowanie, wdrażanie, stosowanie oraz przegląd systemu zarządzania bezpieczeństwem informacji w organizacji. Oznacza to, że muszą oni aktywnie uczestniczyć w cyklu Deminga (Plan-Do-Check-Act), aby zapewnić ciągłe doskonalenie tego systemu.
- Planowanie finansowe: Zapewnienie odpowiednich środków finansowych na realizację obowiązków związanych z cyberbezpieczeństwem jest kluczowe. Kierownictwo musi uwzględniać te potrzeby w budżetach organizacji i poważnie traktować cyberbezpieczeństwo.
- Przydzielanie i nadzór nad zadaniami: Kierownictwo jest odpowiedzialne za przydzielanie konkretnych zadań z zakresu cyberbezpieczeństwa oraz nadzorowanie ich wykonania.
- Edukacja personelu: Kluczowym aspektem zarządzania cyberbezpieczeństwem jest świadomość i znajomość przepisów oraz wewnętrznych regulacji przez cały personel. Każdy pracownik musi znać swoje role i obowiązki w celu zachowania bezpieczeństwa informacji.
- Zapewnienie zgodności z przepisami: Kierownictwo musi zapewnić, że działania organizacji są zgodne z obowiązującymi przepisami prawa oraz wewnętrznymi regulacjami. Obejmuje to regularne audyty i aktualizacje procedur zgodnie z najnowszymi standardami i wymogami prawnymi.
Odpowiedzialność kolegialna i delegacja obowiązków
Jeżeli kierownikiem podmiotu jest organ wieloosobowy, odpowiedzialność za wykonywanie obowiązków z zakresu cyberbezpieczeństwa ponoszą wszyscy członkowie tego organu. Każdy członek zarządu jest więc indywidualnie i kolektywnie odpowiedzialny za przestrzeganie przepisów i norm związanych z ochroną systemów.
Co również istotne powierzenie obowiązków w zakresie cyberbezpieczeństwa innej osobie za jej zgodą nie znosi odpowiedzialności z kierownika podmiotu. Poza tym kierownictwo musi monitorować i nadzorować, czy pracownicy realizują delegowane obowiązki zgodnie z wymogami. Taka struktura odpowiedzialności ma na celu zagwarantowanie, że każdy poziom zarządzania będzie traktował cyberbezpieczeństwo priorytetowo.
Szkolenia z cyberbezpieczeństwa
Kierownictwo musi raz w roku przechodzić odpowiednie szkolenie z cyberbezpieczeństwa, aby zagwarantować iż posiada aktualną wiedzę potrzebną do podejmowania decyzji.
Kary za nieprzystosowanie się do przepisów
Nowe regulacje przewidują surowe kary za nieprzestrzeganie przepisów dotyczących cyberbezpieczeństwa. Zarządy podmiotów, które nie spełniają wymagań określonych w Dyrektywie NIS2 i projekcie KSC, mogą być narażone na:
- Kary finansowe: Dla osób fizycznych: mogą być nakładane grzywny w zależności od wagi naruszenia i okoliczności łagodzących lub obciążających.
- Odpowiedzialność karna: W przypadku poważnych zaniedbań lub umyślnych działań naruszających przepisy, osoby odpowiedzialne mogą ponieść odpowiedzialność karną, co może obejmować karę pozbawienia wolności oraz zakazy pełnienia funkcji kierowniczych w przyszłości.
- Reputacyjne konsekwencje: Osoby, które nie przestrzegają przepisów, mogą również doświadczyć poważnych konsekwencji reputacyjnych.
Wnioski
Dyrektywa NIS2 oraz projekt zmiany ustawy o KSC jest krokiem w stronę zwiększenia odpowiedzialności zarządów za cyberbezpieczeństwo. Te nowe regulacje nakładają na kierownictwo obowiązek aktywnego zarządzania bezpieczeństwem informacji, co obejmuje planowanie, nadzór, edukację personelu oraz zapewnienie zgodności z przepisami. Odpowiedzialność kolegialna oraz zasady dotyczące delegowania obowiązków dodatkowo wzmacniają te wymagania. W świecie cyberbezpieczeństwa kierownictwo musi dobrze przemyśleć swoje decyzję i odpowiedzialnie realizować każde działanie. Natomiast surowe kary za naruszenia przepisów podkreślają wagę, jaką należy nadać ochronie systemów informatycznych i konieczność priorytetowego traktowania kwestii cyberbezpieczeństwa. Szkolenia dodatkowo wzmacniają te wymagania, zapewniając, że osoby odpowiedzialne za cyberbezpieczeństwo są odpowiednio przygotowane i kompetentne. To wszystko ma na celu zagwarantowanie, że organizacje będą w stanie skutecznie chronić swoje systemy, co jest kluczowe dla sprawnego funkcjonowania Państwa w dzisiejszym cyfrowym świecie.