dyrektywa CER: cała praca, po kolei

• zdecyduj i udokumentujwybory, polityki i zapisy, które podpisuje osoba z uprawnieniami
• zbuduj i skonfigurujsystemy, ustawienia i procedury, które urealniają wybór
• udowodnij i utrzymujsprawdzenia, logi i zapisy, które pokazują, że to działa

Wiedzieć, czy jesteś podmiotem krytycznym, które obowiązki Cię dotyczą i od kiedy oraz kto Cię reprezentuje wobec organu.

1. 1.1

   sprawdź powiadomienie i załącznik

   Ustal, czy państwo powiadomiło Cię, że zidentyfikowało Cię jako podmiot krytyczny. Jeśli tak, zachowaj powiadomienie: wskazuje Twoje obowiązki i datę, od której się stosują. Jeśli nie, sprawdź, czy Twoja działalność mieści się w kategorii z załącznika, bo państwa przeglądają swoje wykazy.

   • właściciel prawnik lub IOD
   • zdecyduj i udokumentuj

   co powstaje

   notatka o statusie z dołączonym powiadomieniem albo z powodami, dla których jesteś poza wykazem

   dowód, który zostaje

   powiadomienie i notatka z datą

   podstawa CER art. 2(1); CER art. 6(3)

2. 1.2

   zapisz terminy i przepisy krajowe

   Od daty powiadomienia wyznacz termin oceny ryzyka (9 miesięcy) i datę, od której stosuje się obowiązki w zakresie odporności (po 10 miesiącach). Ustal ustawę krajową, właściwy organ i przepisy o sankcjach przyjęte przez państwo.

   • właściciel zarząd
   • zdecyduj i udokumentuj

   co powstaje

   zestawienie terminów ze wskazaniem ustawy krajowej i organu

   dowód, który zostaje

   zestawienie ze źródłami, zatwierdzone przez kierownictwo

   strona pracy

   podstawa CER art. 6(3); CER art. 12(1); CER art. 22

3. 1.3

   ustal, które przepisy mają pierwszeństwo

   Jeśli działasz w bankowości, infrastrukturze rynków finansowych albo infrastrukturze cyfrowej, obowiązki w zakresie odporności Cię nie dotyczą, chyba że dodają je środki krajowe. Jeśli przepisy sektorowe już wymagają równoważnych środków, zapisz, co uznało państwo. Pamiętaj, że jako podmiot krytyczny podlegasz NIS2 bez względu na wielkość.

   • właściciel prawnik lub IOD
   • zdecyduj i udokumentuj

   co powstaje

   notatka o styku przepisów: który akt reguluje który obowiązek

   dowód, który zostaje

   notatka, przeglądana przy zmianie przepisów lub powiadomienia

   podstawa CER art. 1(3); CER art. 8; NIS2 art. 2(3)

4. 1.4

   wyznacz urzędnika łącznikowego

   Wyznacz urzędnika łącznikowego lub jego odpowiednika jako punkt kontaktowy z właściwymi organami oraz zastępcę. Poinformuj organ, kto to jest.

   • właściciel zarząd
   • zdecyduj i udokumentuj

   co powstaje

   uchwała zarządu wskazująca urzędnika łącznikowego i zastępcę

   dowód, który zostaje

   uchwała i wiadomość do organu

   podstawa CER art. 13(3)

5. 1.5

   sprawdź, czy świadczysz usługi w sześciu lub więcej państwach

   Jeśli świadczysz usługi kluczowe na rzecz co najmniej sześciu państw członkowskich lub w co najmniej sześciu państwach, poinformuj właściwy organ, jakie to usługi i w których państwach. Komisja może wtedy uznać Cię za podmiot krytyczny o szczególnym znaczeniu europejskim.

   • właściciel prawnik lub IOD
   • zdecyduj i udokumentuj

   co powstaje

   lista usług i państw, do których docierają

   dowód, który zostaje

   lista i wiadomość do organu albo notatka, że warunek nie jest spełniony

   podstawa CER art. 17(2)

Mieć ocenę ryzyka podmiotu krytycznego, która obejmuje wszystkie zagrożenia i zależności, wykonaną w terminie i aktualną.

1. 2.1

   zbierz ocenę ryzyka państwa i własne dotychczasowe oceny

   Poproś organ lub pojedynczy punkt kontaktowy o istotne elementy oceny ryzyka państwa członkowskiego. Zbierz oceny ryzyka sporządzone na podstawie innych przepisów, także NIS2, bo możesz z nich skorzystać.

   • właściciel prawnik lub IOD
   • zbuduj i skonfiguruj

   co powstaje

   pakiet źródeł do oceny

   dowód, który zostaje

   pakiet z datą otrzymania każdego elementu

   podstawa CER art. 5(3); CER art. 12(2)

2. 2.2

   oceń wszystkie istotne zagrożenia

   Oceń każde istotne ryzyko, które mogłoby zakłócić Twoje usługi kluczowe: naturalne i spowodowane przez człowieka, wypadki, klęski żywiołowe, stany zagrożenia zdrowia publicznego, zagrożenia hybrydowe i inne związane z konfliktem, w tym terroryzm, oraz ryzyka transgraniczne. Posadź przy jednym stole operacje, administrację obiektów, IT i HR.

   • właściciel wszyscy
   • zbuduj i skonfiguruj

   co powstaje

   ocena ryzyka podmiotu krytycznego z właścicielem każdego ryzyka

   dowód, który zostaje

   ocena z datą, zatwierdzona przez kierownictwo

   strona pracyzabezpieczenie: risk-register

   podstawa CER art. 12(1), 12(2)

3. 2.3

   zmapuj zależności w obie strony

   Wypisz usługi kluczowe, od których zależysz, takie jak energia, woda, telekomunikacja i transport, oraz sektory, które zależą od Ciebie, także za granicą. Zaznacz pojedyncze punkty awarii.

   • właściciel zakupy
   • zbuduj i skonfiguruj

   co powstaje

   mapa zależności dołączona do oceny

   dowód, który zostaje

   mapa z datą i źródłami

   strona pracyzabezpieczenie: supplier-management

   podstawa CER art. 12(2)

4. 2.4

   poproś organ o uznanie tego, co już spełnia wymogi

   Tam, gdzie istniejąca ocena lub istniejące środki już odpowiadają na to, czego wymaga dyrektywa, pokaż to organowi. Może uznać je za spełniające wymogi w całości lub w części, co oszczędza podwójną pracę.

   • właściciel prawnik lub IOD
   • zdecyduj i udokumentuj

   co powstaje

   zestawienie istniejących dokumentów z obowiązkami z CER

   dowód, który zostaje

   zestawienie i ewentualna odpowiedź organu

   podstawa CER art. 12(2); CER art. 13(2)

Wprowadzić odpowiednie i proporcjonalne środki w każdym obszarze wymienionym w dyrektywie i opisać je w planie zwiększania odporności.

1. 3.1

   zapobiegaj incydentom i chroń obiekt

   Wprowadź środki zapobiegające incydentom z uwzględnieniem zmniejszania ryzyka związanego z katastrofami i przystosowania do zmiany klimatu. Chroń fizycznie budynki, tereny i infrastrukturę krytyczną, na przykład ogrodzeniami, barierami, monitorowaniem terenu, sprzętem do wykrywania i kontrolą dostępu.

   • właściciel doradca lub integrator
   • zbuduj i skonfiguruj

   co powstaje

   plan ochrony dla każdej lokalizacji

   dowód, który zostaje

   plan, protokoły kontroli i rejestry dostępu

   podstawa CER art. 13(1)(a), 13(1)(b)

2. 3.2

   ustaw zarządzanie kryzysowe i ostrzeganie

   Spisz procedury i protokoły zarządzania ryzykiem i zarządzania kryzysowego oraz procedury ostrzegawcze, które pozwolą reagować na incydent, stawiać mu opór i łagodzić skutki. Wskaż, kto kieruje, kto decyduje i do kogo dzwoni się w nocy.

   • właściciel zarząd
   • zbuduj i skonfiguruj

   co powstaje

   procedura kryzysowa i procedura ostrzegania

   dowód, który zostaje

   procedura, lista kontaktów i test ostrzegania

   zabezpieczenie: incident-management

   podstawa CER art. 13(1)(c)

3. 3.3

   zaplanuj odtworzenie i alternatywne dostawy

   Zbuduj środki ciągłości działania, które pozwolą przywrócić usługę kluczową, i wskaż alternatywne łańcuchy dostaw dla tego, bez czego nie możesz działać.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   plan ciągłości działania z krokami odtworzenia i dostawcami zastępczymi

   dowód, który zostaje

   plan i wyniki testu odtworzenia

   strona pracyzabezpieczenie: backup-recovery

   podstawa CER art. 13(1)(d)

4. 3.4

   zarządzaj ludźmi na stanowiskach krytycznych

   Ustal kategorie personelu wykonującego funkcje krytyczne, licząc personel zewnętrznych dostawców usług. Ustal prawa dostępu do budynków, infrastruktury krytycznej i informacji szczególnie chronionych. Zdecyduj, które stanowiska wymagają sprawdzenia przeszłości na zasadach krajowych, oraz jakich szkoleń i kwalifikacji wymaga każde stanowisko.

   • właściciel HR
   • zbuduj i skonfiguruj

   co powstaje

   rejestr funkcji krytycznych z prawami dostępu i wymogami sprawdzenia

   dowód, który zostaje

   rejestr i zapisy przeglądów dostępu

   strona pracyzabezpieczenie: access-reviews

   podstawa CER art. 13(1)(e); CER art. 14(1)

5. 3.5

   szkol i ćwicz

   Zadbaj o świadomość właściwego personelu na temat środków przez szkolenia, materiały informacyjne i ćwiczenia.

   • właściciel HR
   • zbuduj i skonfiguruj

   co powstaje

   plan szkoleń i ćwiczeń

   dowód, który zostaje

   listy obecności i sprawozdania z ćwiczeń

   strona pracyzabezpieczenie: awareness-training

   podstawa CER art. 13(1)(f)

6. 3.6

   spisz plan zwiększania odporności

   Opisz środki w planie zwiększania odporności lub w równoważnych dokumentach i stosuj go. Dokumenty prowadzone na podstawie innych przepisów mogą być jego częścią.

   • właściciel zarząd
   • zdecyduj i udokumentuj

   co powstaje

   plan zwiększania odporności zatwierdzony przez kierownictwo

   dowód, który zostaje

   podpisany plan z historią wersji

   podstawa CER art. 13(2)

Wysłać zgłoszenie wstępne w ciągu 24 godzin i szczegółowe sprawozdanie w terminie oraz nie mylić zgłoszeń z CER i z NIS2.

1. 4.1

   ustal, co jest istotnym zakłóceniem

   Zapisz dla własnych usług, kiedy zakłócenie jest istotne: liczba i odsetek dotkniętych użytkowników, czas trwania i obszar. Zdecyduj, kto może to ocenić o każdej porze, bo termin biegnie od uzyskania wiedzy o incydencie.

   • właściciel prawnik lub IOD
   • zdecyduj i udokumentuj

   co powstaje

   jednostronicowa zasada zgłaszania ze wskazanymi decydentami

   dowód, który zostaje

   zasada zatwierdzona przez kierownictwo

   podstawa CER art. 15(1)

2. 4.2

   przygotuj zgłoszenie wstępne i szczegółowe sprawozdanie

   Przygotuj wzór zgłoszenia wstępnego, wysyłanego nie później niż 24 godziny od uzyskania wiedzy o incydencie, chyba że jest to niemożliwe z operacyjnego punktu widzenia, i wzór szczegółowego sprawozdania, które w stosownych przypadkach składa się w terminie nie dłuższym niż miesiąc. Uwzględnij charakter, przyczynę, możliwe skutki i ewentualne skutki transgraniczne.

   • właściciel prawnik lub IOD
   • zbuduj i skonfiguruj

   co powstaje

   dwa wzory i kanał zgłoszeń do organu

   dowód, który zostaje

   wzory i zgłoszenie testowe albo pisemne potwierdzenie kanału

   strona pracyzabezpieczenie: incident-management

   podstawa CER art. 15(1), 15(2)

3. 4.3

   zgraj zgłoszenia z CER i z NIS2

   Incydent cyber, który zakłóca usługę kluczową, może uruchomić oba zgłoszenia, z różnymi terminami i być może do różnych organów. Zbuduj jedno wejście, które dla każdego zdarzenia ustala, jakie zgłoszenia idą dokąd, i zapytaj organy, czy mają wspólny kanał.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   wspólna mapa zgłoszeń z CER i NIS2

   dowód, który zostaje

   mapa i odpowiedzi organów

   podstawa CER art. 15(1); NIS2 art. 23(4)

4. 4.4

   przećwicz zgłoszenie

   Przeprowadź ćwiczenie na wymyślonej awarii, na przykład braku zasilania lub dostaw w jednej lokalizacji. Sprawdź, czy właściwe osoby potrafią zdecydować i wysłać zgłoszenie wstępne w ciągu 24 godzin. Zapisz, co nie zadziałało i kto to naprawi.

   • właściciel wszyscy
   • udowodnij i utrzymuj

   co powstaje

   sprawozdanie z próby z działaniami i właścicielami

   dowód, który zostaje

   sprawozdanie i lista działań, zamkniętych albo z terminem

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

Trzymać dowody, które inspektor może sprawdzić, przeglądać je cyklicznie i uzgodnić z dostawcami to, czego wymaga od Ciebie dyrektywa.

1. 5.1

   prowadź teczkę dowodów na kontrole i audyty

   Organ może przeprowadzać kontrole na miejscu, nadzorować zdalnie i przeprowadzać lub zlecać audyty, a także żądać dowodów skuteczności środków, w tym audytu wykwalifikowanego audytora zewnętrznego, którego wybierasz i opłacasz. Trzymaj ocenę, plan, wyniki testów i zapisy szkoleń tak, żeby dało się je przekazać.

   • właściciel prawnik lub IOD
   • udowodnij i utrzymuj

   co powstaje

   teczka dowodów uporządkowana według obowiązków

   dowód, który zostaje

   teczka z datą ostatniego przeglądu

   podstawa CER art. 21(1), 21(2)

2. 5.2

   przeglądaj ocenę i plan cyklicznie

   Powtarzaj ocenę ryzyka w razie potrzeby i co najmniej co cztery lata, a plan zwiększania odporności aktualizuj, gdy zmienia się ocena, lokalizacje lub usługi.

   • właściciel zarząd
   • udowodnij i utrzymuj

   co powstaje

   kalendarz przeglądów z wyzwalaczami

   dowód, który zostaje

   protokoły zarządu z każdego przeglądu

   podstawa CER art. 12(1); CER art. 13(2)

3. 5.3

   uzgodnij warunki z dostawcami, których ludzie mają dostęp

   Personel dostawców może wykonywać funkcje krytyczne i podlegać sprawdzeniu przeszłości, gdy ma bezpośredni lub zdalny dostęp do budynków, informacji lub systemów sterowania. Wpisz dostęp, weryfikację osób, ciągłość i zgłaszanie incydentów do umów z tymi dostawcami.

   • właściciel zakupy
   • zbuduj i skonfiguruj

   co powstaje

   wzorcowe postanowienia dla dostawców z dostępem

   dowód, który zostaje

   postanowienia i lista umów, które je zawierają

   strona pracyzabezpieczenie: supplier-management

   podstawa CER art. 13(1)(e); CER art. 14(1)

4. 5.4

   jeśli zaopatrujesz podmiot krytyczny, przygotuj odpowiedzi

   Jeśli sam nie jesteś w wykazie, ale zaopatrujesz podmiot krytyczny, spodziewaj się pytań o to, kto z Twoich ludzi ma dostęp do jego obiektów i systemów, czy można ich zweryfikować i jak utrzymasz dostawy w kryzysie. Przygotuj jeden pakiet z odpowiedziami.

   • właściciel prawnik lub IOD
   • zbuduj i skonfiguruj

   co powstaje

   pakiet odpowiedzi dla klienta z wersjami

   dowód, który zostaje

   pakiet i rejestr pytań zadanych przez klientów

   podstawa CER art. 13(1)(d), 13(1)(e)

Te same kroki, pogrupowane według osoby, która musi działać.

Każde zabezpieczenie ma własną stronę: czym jest, na co patrzeć przy wyborze, gdzie się psuje i jaki dowód zostawia.

• Dyrektywa (UE) 2022/2557 w sprawie odporności podmiotów krytycznych (CER) (EUR-Lex)
• Dyrektywa (UE) 2022/2555 (NIS2) (EUR-Lex)