Blog

Wdrażanie przepisów NIS2 wymaga od organizacji spojrzenia na bezpieczeństwo w sposób całościowy. Nie chodzi już wyłącznie o ochronę systemów informatycznych, lecz o zbudowanie spójnego modelu zarządzania ryzykiem, incydentami, ciągłością działania i odpowiedzialnością organizacyjną. W tym układzie inspektor ochrony danych nie odpowiada za całe cyberbezpieczeństwo firmy, ale pełni bardzo ważną funkcję doradczą, kontrolną i koordynacyjną w zakresie zgodności działań z przepisami o ochronie danych osobowych. Dyrektywa NIS2 wzmacnia obowiązki związane z cyberbezpieczeństwem, a jednocześnie nie wyłącza stosowania RODO. To oznacza, że oba obszary muszą być wdrażane równolegle i bez kolizji.

Wdrożenie zaleceń poaudytowych wynikających z audytu KRI (Kontroli Rynku Informatycznego) stanowi kluczowy etap doskonalenia systemu zarządzania bezpieczeństwem informacji w jednostkach sektora finansów publicznych oraz innych podmiotach zobowiązanych do przestrzegania standardów wynikających z Krajowych Ram Interoperacyjności. Skuteczna realizacja zaleceń audytowych wymaga systematycznego, metodycznego oraz udokumentowanego podejścia, w którym każde działanie podlega formalnej ocenie ryzyka, harmonogramowaniu oraz bieżącemu nadzorowi.

Zgodność z Krajowymi Ramami Interoperacyjności (KRI) to obowiązek każdej jednostki sektora publicznego, która przetwarza informacje w systemach teleinformatycznych. Mimo jasno określonych wymagań w rozporządzeniu Rady Ministrów z dnia 21 maja 2024 r. (Dz. U. 2024 poz. 773), wiele instytucji nadal nie realizuje tych wytycznych w sposób wystarczający. Audyty KRI przeprowadzane w różnych placówkach regularnie ujawniają powtarzające się nieprawidłowości, które narażają dane na ryzyko wycieku, utraty lub modyfikacji. W tym artykule przedstawiamy najczęściej występujące błędy oraz konkretne rozwiązania, które pozwalają uniknąć sankcji i zbudować realny system bezpieczeństwa informacji.

Nowe rozporządzenie dotyczące Krajowych Ram Interoperacyjności zostało wprowadzone w życie z dniem 23 maja 2024 roku, zastępując wcześniej obowiązujące przepisy rozporządzenia z dnia 12 kwietnia 2012 roku. Przepisy te definiują funkcjonowanie systemu zarządzania bezpieczeństwem informacji w podmiotach publicznych. Poniżej omawiamy, jakie zmiany zaszły w nowych przepisach względem dotychczasowych.