Obowiązek informacyjny rodo
NIS2 oraz polska ustawa o krajowym systemie cyberbezpieczeństwa wskazują, co organizacja powinna osiągnąć, aby właściwie chronić swoje systemy, informacje i usługi. Mowa między innymi o regularnej analizie ryzyka, obsłudze incydentów, bezpieczeństwie dostawców, ciągłości działania, kopiach zapasowych, szkoleniach pracowników oraz ocenie skuteczności stosowanych zabezpieczeń.
Dla osoby, która nie zajmuje się cyberbezpieczeństwem na co dzień, wymagania te mogą jednak brzmieć dość ogólnie. Przepisy mówią, że środki bezpieczeństwa mają być odpowiednie i proporcjonalne do ryzyka, ale nie zawsze podpowiadają wprost, jak taki system zbudować. Nie wyjaśniają też szczegółowo, jakie dokumenty przygotować, komu przypisać odpowiedzialność ani jakimi dowodami potwierdzić, że przyjęte rozwiązania rzeczywiście działają.
Właśnie w tym miejscu pomocne stają się normy ISO/IEC 27001 i ISO 22301. Można potraktować je jak tłumacza pomiędzy językiem regulacji a codzienną praktyką organizacji. NIS2 wskazuje oczekiwany rezultat, natomiast normy pomagają uporządkować drogę prowadzącą do jego osiągnięcia. Dzięki nim firma może łatwiej połączyć obowiązek prawny z konkretnym procesem, odpowiedzialnością, zabezpieczeniem oraz dowodem wykonania.
To jedno z najczęściej pojawiających się pytań. Odpowiedź brzmi: nie, NIS2 nie nakazuje każdej organizacji uzyskania certyfikatu ISO/IEC 27001 ani ISO 22301.
Podmiot objęty wymaganiami NIS2 ma wdrożyć odpowiednie i proporcjonalne środki techniczne, operacyjne oraz organizacyjne, wynikające z oceny ryzyka. Może wykorzystać normy ISO jako podstawę budowy systemu, ale może również zastosować inne rozwiązania, jeżeli potrafi wykazać, że prowadzą one do osiągnięcia wymaganego poziomu bezpieczeństwa.
Trzeba jednocześnie rozróżnić trzy rzeczy: korzystanie z normy jako źródła dobrych praktyk, wdrożenie systemu zgodnego z jej wymaganiami oraz formalną certyfikację przeprowadzoną przez niezależną jednostkę. Organizacja może stosować rozwiązania opisane w ISO bez ubiegania się o certyfikat. Certyfikacja może być wartościowym potwierdzeniem uporządkowania systemu, ale sama w sobie nie gwarantuje automatycznej zgodności ze wszystkimi obowiązkami NIS2 i ustawy o KSC.
Znaczenie norm w procesie wdrażania wymagań nie jest jednak przypadkowe. Rozporządzenie wykonawcze Komisji (UE) 2024/2690, odnoszące się do określonych grup podmiotów, wskazuje, że jego wymagania techniczne i metodyczne opierają się między innymi na ISO/IEC 27001 i ISO/IEC 27002. Wytyczne ENISA zawierają ponadto przykłady dowodów oraz mapowania wymagań na standardy i dobre praktyki.
Mapowanie nie powinno polegać na mechanicznym przepisywaniu numerów artykułów NIS2 i dopisywaniu obok nich numerów zabezpieczeń ISO. Taka tabela może wyglądać profesjonalnie, ale nie pokaże, czy organizacja naprawdę realizuje swoje obowiązki.
Właściwy punkt wyjścia stanowią trzy pytania: Co organizacja ma osiągnąć? Jakie działanie lub proces ma do tego prowadzić? Co potwierdzi, że ten proces rzeczywiście funkcjonuje?
Załóżmy, że wymaganie dotyczy bezpieczeństwa dostawców i łańcucha dostaw. Samo wpisanie do dokumentu, że firma „ocenia dostawców”, nie wystarczy. Trzeba jeszcze ustalić, którzy dostawcy mają znaczenie dla kluczowych usług, jakie ryzyka wynikają ze współpracy z nimi, jakie wymagania bezpieczeństwa powinny znaleźć się w umowach oraz jak organizacja będzie monitorować zmiany po rozpoczęciu współpracy.
W ISO/IEC 27001 obszar dostawców można powiązać przede wszystkim z zabezpieczeniami. Obejmują one bezpieczeństwo w relacjach z dostawcami, uwzględnianie wymagań bezpieczeństwa w umowach, ochronę łańcucha dostaw ICT oraz monitorowanie usług świadczonych przez podmioty zewnętrzne. Odpowiada to logice NIS2, który wskazuje na bezpieczeństwo łańcucha dostaw oraz relacje z bezpośrednimi dostawcami i usługodawcami.
Efektem takiego mapowania powinny być konkretne działania, a nie wyłącznie kolejny dokument. Dowodami mogą być rejestr dostawców, oceny ich krytyczności, wyniki analizy ryzyka, ankiety bezpieczeństwa, wymagania umowne, raporty z przeglądów albo udokumentowane decyzje dotyczące dalszej współpracy. Rozporządzenie wykonawcze 2024/2690 wymienia między innymi kryteria wyboru dostawców, wymagania dotyczące zgłaszania incydentów, postępowania z podatnościami, podwykonawstwa oraz prawa do audytu lub otrzymywania raportów z audytu.
Podobnie wygląda mapowanie wymagań dotyczących ciągłości działania. NIS2 wskazuje, że środki zarządzania ryzykiem powinny obejmować ciągłość działania, zarządzanie kopiami zapasowymi, odtwarzanie po awarii oraz zarządzanie kryzysowe.
ISO/IEC 27001 pomaga uporządkować ochronę informacji i gotowość technologii, natomiast ISO 22301 pozwala spojrzeć szerzej na zdolność całej organizacji do funkcjonowania podczas zakłócenia. Norma ISO 22301 obejmuje ustanowienie, wdrożenie, utrzymywanie, ocenę i doskonalenie systemu zarządzania ciągłością działania.
W praktyce nie wystarczy zatem oświadczenie, że firma wykonuje backup. Trzeba wiedzieć, jakie procesy są krytyczne, jak długo mogą pozostawać niedostępne, które systemy należy przywrócić jako pierwsze oraz czy kopie faktycznie można odtworzyć.
Dowodem działania nie będzie sama procedura tworzenia kopii. Znacznie większą wartość mają wyniki testów odtworzeniowych, raporty z ćwiczeń, opis wykrytych problemów oraz potwierdzenie wykonania działań naprawczych. ISO 22301 podkreśla znaczenie monitorowania, przeglądu skuteczności oraz ciągłego doskonalenia zdolności organizacji do działania w czasie zakłócenia.
Największą wartością norm ISO nie jest gotowy zestaw dokumentów. Jest nią sposób zarządzania oparty na cyklu PDCA: zaplanuj, wykonaj, sprawdź i popraw.
Na etapie planowania organizacja rozpoznaje wymagania prawne, analizuje ryzyka i wybiera potrzebne zabezpieczenia. Następnie wdraża procedury, rozwiązania techniczne i zasady postępowania. Kolejny etap polega na sprawdzeniu, czy wszystko działa zgodnie z założeniami. Służą temu między innymi testy, monitoring, audyty wewnętrzne oraz przeglądy kierownictwa. Jeżeli sprawdzenie wykaże słabość, organizacja podejmuje działania korygujące i ocenia ich skuteczność.
To właśnie dlatego audyt, opisany w poprzednim artykule, nie jest końcem całego procesu. W modelu PDCA stanowi część etapu „sprawdź”. Raport z audytu powinien następnie doprowadzić do etapu „popraw”, czyli do usunięcia przyczyn problemu, wdrożenia działań naprawczych i ponownej oceny ich skuteczności.
Dobrze przygotowana mapa zgodności powinna pozwalać prześledzić cały ciąg postępowania od obowiązku prawnego do dowodu jego realizacji. Przy każdym wymaganiu warto wskazać powiązany proces organizacyjny, właściwe zabezpieczenia, osobę odpowiedzialną, oczekiwane dowody oraz sposób sprawdzenia skuteczności.
Przykładowo wymaganie dotyczące łańcucha dostaw można połączyć z procesem zakupowym i zarządzaniem dostawcami. Dowodami będą oceny ryzyka, umowy, rejestry oraz wyniki przeglądów. Ciągłość działania można powiązać z analizą wpływu na działalność, planami BCP i DRP oraz wynikami testów. Z kolei ocenę skuteczności można połączyć z monitoringiem, audytami, przeglądami kierownictwa i działaniami korygującymi.
W efekcie powstaje prosta i logiczna ścieżka: wymaganie prawne → ryzyko → proces → zabezpieczenie → odpowiedzialność → dowód → ocena skuteczności → doskonalenie.
ISO/IEC 27001 i ISO 22301 nie zastępują NIS2 ani polskiej ustawy o KSC. Nie zwalniają również organizacji z ustalenia, jakie przepisy mają do niej zastosowanie i jakie ryzyka wynikają z jej działalności.
Dają jednak coś bardzo potrzebnego: wspólny język dla zarządu, osób odpowiedzialnych za bezpieczeństwo, właścicieli procesów, działu IT, compliance oraz audytorów. Dzięki nim ogólne wymagania można przełożyć na konkretne zadania, odpowiedzialności i dowody.
Dlatego normy ISO warto traktować nie jako dodatkowy formalny obowiązek, lecz jako praktyczną mapę drogową. Certyfikat może być końcowym potwierdzeniem przyjętego podejścia, ale największą wartość ma system, który działa także wtedy, gdy żaden audytor akurat nie patrzy.