praca
odpowiedzialność zarządu
Dla członków zarządu i przewodniczącego: decyzje o bezpieczeństwie wymagają teraz podpisu członka zarządu. Zarząd nie musi rozumieć reguł zapory sieciowej. Musi widzieć ryzyka, koszt i wybór, zdecydować i umieć pokazać, że to zrobił.
co to znaczy w praktyce
Zmiana polega na tym, że członek zarządu nie może już powiedzieć, że bezpieczeństwo należy do IT. Większość pracy polega więc na tym, by każda decyzja była później widoczna. Wyobraź sobie członka zarządu, którego za dwa lata pyta organ: co wiedziałeś i co zdecydowałeś? Odpowiedzią są protokoły.
Osobista odpowiedzialność zależy od miejsca. Polska ją zapisała: kara do 300% wynagrodzenia dla kierownika podmiotu prywatnego, możliwa po 3 kwietnia 2028 r. W innych krajach zapytaj.
podstawa NIS2 art. 20(1), 32(6); KSC art. 8c, 73a(4), 35
co zdecydować
- Kto składa Wam sprawozdanie o bezpieczeństwie, na piśmie, z jakim budżetem?zarząd
- Jak często bezpieczeństwo jest w porządku obrad. Teksty nie wyznaczają częstotliwości, więc zapisz tę, którą wybraliście.przewodniczący
- Jakie ryzyka akceptujecie, z nazwy, a za zmniejszenie których płacicie?zarząd
- Kiedy członkowie zarządu przechodzą szkolenie?przewodniczący
podstawa NIS2 art. 20(1), 20(2); DORA art. 5(2); KSC art. 8d
co zarząd zatrzymuje, a co przekazuje
podstawa NIS2 art. 20(1), 20(2); DORA art. 5(2); KSC art. 8c, 8d, 8e. Podział między kolumnami to praktyka.
co zbudować
- Przygotuj trzy strony na każde posiedzenie: najważniejsze ryzyka z właścicielami, proponowane środki z kosztem, incydenty z ostatniego okresu. Poproś o decyzję w sprawie każdego środka.
- Prowadź protokoły, które zapisują, co zatwierdzono, co odrzucono i dlaczego. Uzasadniona odmowa jest lepszym dowodem niż milczenie.
- Dodaj do następnego posiedzenia kontrolę stanu: co się stało z decyzjami z poprzedniego.
- Zarezerwuj szkolenie kierownictwa i zachowaj zapis. W Polsce szkolenie odbywa się raz w roku kalendarzowym i jest dokumentowane.
- Sporządź pisemne upoważnienie ze wskazaniem osoby i jej budżetu.
podstawa NIS2 art. 20(1), 20(2); KSC art. 8e(1), 8e(3). Trzy strony to praktyka.
cykl, który zarząd musi prowadzić
- 1najważniejsze ryzykajedna strona, z właścicielami
- 2opcje i kosztczego wymaga każdy środek
- 3decyzjazaprotokołowana, z uzasadnieniem, także gdy brzmi nie
- 4pracawłaściciel ją wykonuje
- 5raport zwrotnydecyzje z poprzedniego razu, sprawdzone
następne posiedzenie. Przepisy nie ustalają częstotliwości, więc zapisz wybraną
podstawa praktyka
dowody, które zostają
| co możesz pokazać | kto jest właścicielem | odświeżanie |
|---|---|---|
| protokoły z zatwierdzeniami i uzasadnieniami | sekretarz spółki | każde posiedzenie |
| pakiet dla zarządu: ryzyka, środki, koszt, incydenty | wskazany właściciel | każde posiedzenie |
| zapis szkolenia każdego członka zarządu | sekretarz spółki | co roku |
| pisemne upoważnienie z nazwiskiem i budżetem | prezes zarządu | przy zmianie |
podstawa KSC art. 8e(3); RODO art. 24(1). Reszta to praktyka.
gdzie to się psuje
bezpieczeństwo należy do IT
Teksty mówią: zatwierdzać i nadzorować. IT może proponować i budować, ale tej części za Ciebie nie zrobi.
polityka, o której nikt nie zdecydował
Podpis pod dokumentem, którego nikt nie omawiał, to słaby dowód, że zarząd cokolwiek nadzorował.
brak zapisu odmowy
Odrzucenie środka jest dozwolone, gdy powody są zapisane. Milczenie wygląda jak niewiedza.
delegowanie i zapomnienie
W Polsce kierownik podmiotu pozostaje odpowiedzialny po delegowaniu, a jeśli nikogo nie wskazano, odpowiedzialni są wszyscy członkowie zarządu.
podstawa NIS2 art. 20(1); KSC art. 8c(2), 8c(3)
co przepisy zostawiają otwarte
- Co oznacza pociągnięcie do odpowiedzialności w Twoim kraju. NIS2 pozostawia mechanizm prawu krajowemu, a osobiste kary pieniężne, jak w Polsce, są jedną z wersji. Zapytaj prawnika o swoją i o to, czy ubezpieczenie od odpowiedzialności członków zarządu je pokrywa.
- Ile szkolenia wystarczy. NIS2 nie określa godzin ani tematów poza zdolnością rozpoznawania ryzyk i oceny praktyk.
- Czasowy zakaz pełnienia funkcji kierowniczych istnieje w dyrektywie dla podmiotów kluczowych, w ostateczności. Akt krajowy może się różnić.
podstawa NIS2 art. 20(1), 20(2), 32(5)
sprawdź sam
co mówi każdy tekst, dla osoby sprawdzającej tę stronę
| tekst | mówi |
|---|---|
| NIS2 art. 20(1) | Organy zarządzające zatwierdzają środki, nadzorują wdrożenie i mogą ponosić odpowiedzialność. |
| NIS2 art. 20(2) | Członkowie organów zarządzających muszą odbywać szkolenia. |
| NIS2 art. 32(5) | Dla podmiotów kluczowych, w ostateczności: wniosek o czasowy zakaz pełnienia funkcji kierowniczych przez daną osobę. |
| NIS2 art. 32(6) | Osoby reprezentujące podmiot kluczowy mogą ponosić odpowiedzialność za naruszenie swoich obowiązków. |
| DORA art. 5(2) | Organ zarządzający określa, zatwierdza i nadzoruje ramy zarządzania ryzykiem ICT, ponosi ostateczną odpowiedzialność i przydziela budżet. |
| RODO art. 24(1) | Administrator wdraża środki i musi umieć wykazać zgodność. |
| KSC art. 8c(2), 8c(3) | Polska: kierownik podmiotu pozostaje odpowiedzialny po delegowaniu. Jeśli kierownikiem jest zarząd i nikogo nie wskazano, odpowiedzialni są wszyscy członkowie. |
| KSC art. 73a(4) | Polska: osobista kara pieniężna do 300% wynagrodzenia. |
| KSC art. 35 | Polska: ta kara jest możliwa dopiero po dwóch latach od wejścia w życie, czyli po 3 kwietnia 2028 r. |
twój następny krok
Poproś o 20 minut w porządku obrad najbliższego posiedzenia i przynieś trzy strony.