Cyfrowe mury współczesnych organizacji narażone są nie tylko na bezpośrednie ataki z zewnątrz. Kluczowe dla cyberodporności jest zaufanie – zarówno wewnątrz firmy, jak i wobec partnerów. Zgodnie z zasadą „kontrola jest najwyższą formą zaufania”, znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa (KSC) wymaga świadomego zarządzania łańcuchem dostaw.
Krajowy fundament: wymogi ustawy o KSC
Zgodnie z art. 8 ust. 1 pkt 2 lit. e ustawy o KSC podmiot kluczowy i ważny muszą wdrożyć odpowiednie i proporcjonalne środki techniczne oraz organizacyjne zapewniające bezpieczeństwo i ciągłość łańcucha dostaw produktów, usług i procesów ICT, od których zależy świadczenie usługi. Należy przy tym uwzględnić relacje między bezpośrednim dostawcą sprzętu lub oprogramowania a podmiotem regulowanym. W praktyce oznacza to analizę zależności technologicznej i operacyjnej, powiązań umownych i kapitałowych oraz zakresu logicznego i fizycznego dostępu personelu dostawcy do infrastruktury i danych.
Art. 8 ust. 2 ustawy o KSC nakazuje przy wdrażaniu tych środków uwzględnić:
- podatności związane z dostawcą sprzętu lub oprogramowania;
- ogólną jakość jego produktów, usług i procesów ICT;
- wyniki skoordynowanej oceny bezpieczeństwa unijnej Grupy Współpracy z art. 22 ust. 1 dyrektywy NIS2 (dotychczas wydano dokumenty dotyczące sieci 5G);
- wyniki postępowania z art. 67b ustawy (dotyczącego uznania za dostawcę wysokiego ryzyka) – o ile zostanie ono wszczęte i zakończone.
Zarządzanie dostawcami jest procesem odrębnym – choć powiązanym – od nabywania, rozwoju, utrzymania, eksploatacji i testowania systemu informacyjnego.
Rozporządzenie 2024/2690: punkt odniesienia dla telekomów
Technicznym doprecyzowaniem unijnych standardów jest rozporządzenie wykonawcze Komisji (UE) 2024/2690. Choć obowiązuje ono wprost wyłącznie określone podmioty sektora cyfrowego (np. dostawców usług chmurowych czy DNS) i nie wiąże bezpośrednio przedsiębiorców telekomunikacyjnych, stanowi dla nich cenny punkt odniesienia. W pkt. 5 załącznika szczegółowo wskazuje bowiem, jak realizować ogólne wymogi z art. 8 ustawy o KSC.
Standard ENISA: umowa i nadzór
Rekomendacje ENISA (Good Practices for Supply Chain Cybersecurity) oraz załącznik do rozporządzenia 2024/2690 podkreślają rolę kontraktu jako narzędzia kontroli. Umowy z dostawcami powinny – w miarę możliwości – gwarantować prawo do audytu, obowiązek zgłaszania incydentów, procedury obsługi podatności, weryfikację personelu dostawcy oraz wiążące zasady podwykonawstwa.
Podsumowanie
W realiach KSC zarządzanie łańcuchem dostaw nie może sprowadzać się do jednorazowej ankiety. To stały i obowiązkowy element systemu zarządzania bezpieczeństwem informacji.
Autorka: Kinga Pawłowska-Nojszewska, Dyrektor ds. prawnych KIKE