dyrektywa CER o odporności podmiotów krytycznych

Ta strona opisuje dyrektywę CER na poziomie UE. Nie czytano w źródle polskiego przepisu wdrażającego CER, polskiego wykazu podmiotów krytycznych ani wskazania polskiego właściwego organu, więc ich tu nie ma. Sprawdź je w prawie krajowym.

Nie decydujesz o tym sam. Podmiot krytyczny to podmiot publiczny lub prywatny, który państwo członkowskie zidentyfikowało w trybie dyrektywy jako należący do jednej z kategorii podmiotów z jej załącznika. Państwo opiera się na własnej ocenie ryzyka i strategii oraz na wykazie usług kluczowych, który Komisja ustaliła w rozporządzeniu delegowanym (UE) 2023/2450. Ten wykaz nie jest wyczerpujący.

Żeby podmiot został zidentyfikowany, muszą być spełnione trzy warunki naraz. Świadczy co najmniej jedną usługę kluczową. Działa w danym państwie i tam znajduje się jego infrastruktura krytyczna. A incydent miałby istotny skutek zakłócający dla tej usługi albo dla innych usług kluczowych, które od niej zależą. Oceniając, czy skutek jest istotny, państwo bierze pod uwagę liczbę użytkowników, zależność innych sektorów od usługi, skalę i czas trwania skutków, udział podmiotu w rynku, obszar geograficzny, którego incydent mógłby dotyczyć, oraz to, czy istnieją inne sposoby świadczenia usługi.

Państwo wpisuje Cię do wykazu i powiadamia w ciągu miesiąca. Powiadomienie wskazuje Twoje obowiązki i datę, od której się stosują. Wykaz jest przeglądany co najmniej co cztery lata, a podmioty, które z niego wypadają, dostają o tym informację.

Załącznik wymienia jedenaście sektorów: energię (energia elektryczna, system ciepłowniczy i chłodniczy, ropa naftowa, gaz, wodór), transport (lotniczy, kolejowy, wodny, drogowy, publiczny), bankowość, infrastrukturę rynków finansowych, zdrowie, wodę pitną, ścieki, infrastrukturę cyfrową, administrację publiczną szczebla centralnego, przestrzeń kosmiczną oraz produkcję, przetwarzanie i dystrybucję żywności. W każdym sektorze określa rodzaje podmiotów, na przykład operatorów systemów dystrybucyjnych, porty lotnicze, świadczeniodawców opieki zdrowotnej, producentów podstawowych substancji farmaceutycznych, dostawców usług chmurowych i centrów danych oraz przedsiębiorstwa spożywcze zajmujące się logistyką, hurtem i produkcją przemysłową na dużą skalę.

Trzy sektory są traktowane inaczej. Podmioty krytyczne z bankowości, infrastruktury rynków finansowych i infrastruktury cyfrowej są identyfikowane jak pozostałe, ale nie stosuje się do nich obowiązków w zakresie odporności, rozdziału o szczególnym znaczeniu europejskim ani rozdziału o nadzorze. Państwo informuje je o tym, chyba że środki krajowe dodają obowiązki. Jeśli przepisy sektorowe UE już wymagają środków w zakresie odporności, które państwo uznało za co najmniej równoważne, odpowiednie przepisy CER także się nie stosują. Dyrektywa nie obejmuje podmiotów administracji publicznej działających w obszarze bezpieczeństwa narodowego, obronności i ścigania przestępstw.

Ocena ryzyka. W ciągu dziewięciu miesięcy od powiadomienia, a potem co najmniej co cztery lata, oceniasz wszystkie istotne czynniki ryzyka, które mogłyby zakłócić świadczenie Twoich usług kluczowych. Chodzi o wszystkie zagrożenia: naturalne i spowodowane przez człowieka, wypadki, klęski żywiołowe, stany zagrożenia zdrowia publicznego, zagrożenia hybrydowe i inne zagrożenia związane z konfliktem, w tym terroryzm. Patrzysz też na zależności w obie strony: które sektory zależą od Twojej usługi i od jakich usług zależysz Ty, także za granicą. Państwo udostępnia istotne elementy własnej oceny ryzyka. Możesz wykorzystać oceny ryzyka sporządzone na podstawie innych przepisów, a właściwy organ może uznać istniejącą ocenę za spełniającą wymogi w całości lub w części.

Środki w zakresie odporności. Wprowadzasz odpowiednie i proporcjonalne środki techniczne, środki bezpieczeństwa i środki organizacyjne oparte na obu ocenach ryzyka. Dyrektywa wymienia, co mają obejmować:

• zapobieganie incydentom z uwzględnieniem zmniejszania ryzyka związanego z katastrofami i przystosowania do zmiany klimatu
• fizyczną ochronę budynków, terenów i infrastruktury krytycznej, na przykład ogrodzenia, bariery, monitorowanie terenu, sprzęt do wykrywania i kontrolę dostępu
• odpowiedź na incydenty, stawianie im oporu i łagodzenie skutków, z procedurami zarządzania ryzykiem i zarządzania kryzysowego oraz procedurami ostrzegawczymi
• odtworzenie po incydencie, ze środkami ciągłości działania i alternatywnymi łańcuchami dostaw
• zarządzanie bezpieczeństwem pracowników: kto wykonuje funkcje krytyczne, prawa dostępu do budynków, infrastruktury i informacji szczególnie chronionych, sprawdzenie przeszłości, szkolenia i kwalifikacje
• świadomość tego wszystkiego wśród właściwego personelu, przez szkolenia, materiały informacyjne i ćwiczenia

Określając kategorie personelu wykonującego funkcje krytyczne, uwzględniasz personel zewnętrznych dostawców usług.

Plan zwiększania odporności albo równoważne dokumenty opisujące te środki oraz urzędnik łącznikowy lub jego odpowiednik jako punkt kontaktowy z właściwymi organami. Państwo określa warunki, na jakich możesz wystąpić o sprawdzenie przeszłości osób na wrażliwych stanowiskach, osób z bezpośrednim lub zdalnym dostępem do Twoich budynków, informacji lub systemów sterowania oraz kandydatów na takie stanowiska. Sprawdzenie co najmniej potwierdza tożsamość i obejmuje rejestr karny w zakresie przestępstw istotnych dla stanowiska, a przy tym ogranicza się do tego, co niezbędne.

Incydent w rozumieniu tej dyrektywy to zdarzenie, które zakłóca albo może znacząco zakłócić świadczenie usługi kluczowej. Zgłaszasz go właściwemu organowi bez zbędnej zwłoki. Chyba że jest to niemożliwe z operacyjnego punktu widzenia, wysyłasz zgłoszenie wstępne nie później niż 24 godziny od uzyskania wiedzy o incydencie, a potem, w stosownych przypadkach, szczegółowe sprawozdanie w terminie nie dłuższym niż miesiąc od zaistnienia incydentu. O wadze zakłócenia decydują liczba i odsetek dotkniętych użytkowników, czas trwania i obszar geograficzny, ze zwróceniem uwagi na obszary odizolowane.

Zgłoszenie zawiera to, czego organ potrzebuje, by zrozumieć charakter, przyczynę i możliwe skutki incydentu, w tym skutki transgraniczne. Dyrektywa zastrzega, że zgłoszenie nie zwiększa Twojej odpowiedzialności. Organ przekazuje Ci informacje uzupełniające, które mogą pomóc w reagowaniu, i przez pojedynczy punkt kontaktowy informuje inne państwa, których incydent dotyczy.

Zgłoszenie z CER i zgłoszenie z NIS2 to dwa osobne obowiązki. Incydent cyber, który zakłóca usługę kluczową, może uruchomić oba, każde z własnym terminem i być może do innego organu. Na podstawie NIS2 zespoły CSIRT przekazują organom CER informacje o incydentach zgłoszonych przez podmioty krytyczne, ale przepisy nie mówią, że zastępuje to Twoje zgłoszenie z CER. Zapytaj swoje organy, jak chcą to obsłużyć.

Dyrektywa weszła w życie 16 stycznia 2023 r. Państwa członkowskie miały przyjąć przepisy krajowe do 17 października 2024 r. i stosować je od 18 października 2024 r. Do 17 stycznia 2026 r. miały przyjąć strategię i przeprowadzić własną ocenę ryzyka, a do 17 lipca 2026 r. zidentyfikować podmioty krytyczne.

Twój zegar rusza z powiadomieniem. Jeśli państwo zidentyfikowało Cię w terminie, powiadomienie przyszło w ciągu miesiąca od identyfikacji. Ocena ryzyka jest wymagana w ciągu 9 miesięcy od powiadomienia, a obowiązki w zakresie odporności stosuje się 10 miesięcy po nim. Każde państwo ma własne tempo, więc sprawdź datę w swoim powiadomieniu.

Właściwy organ może przeprowadzać kontrole na miejscu w budynkach, na terenie i w infrastrukturze krytycznej, prowadzić zdalny nadzór nad Twoimi środkami oraz przeprowadzać lub zlecać audyty. Wobec podmiotu krytycznego objętego też NIS2 organ może zażądać informacji potrzebnych do oceny środków i dowodów ich skutecznego wdrożenia, w tym wyników audytu przeprowadzonego przez wykwalifikowanego audytora zewnętrznego, którego wybierasz i opłacasz. Może nakazać usunięcie naruszenia w wyznaczonym terminie. Te uprawnienia mają zabezpieczenia: obiektywność, ochronę tajemnicy przedsiębiorstwa, prawo do bycia wysłuchanym i do sądu.

Dyrektywa nie ustala kwot kar. Każde państwo członkowskie określa sankcje za naruszenie przepisów krajowych, a muszą one być skuteczne, proporcjonalne i odstraszające. Państwa miały powiadomić Komisję o tych przepisach do 17 października 2024 r. Sprawdź je w ustawie krajowej.

Obie dyrektywy przyjęto tego samego dnia i odsyłają do siebie w wielu miejscach. CER dotyczy fizycznej i operacyjnej odporności usług. NIS2 dotyczy bezpieczeństwa sieci i systemów informatycznych. CER nie stosuje się do spraw objętych NIS2, a państwa mają wdrażać obie dyrektywy w sposób skoordynowany.

Identyfikacja na podstawie CER wciąga Cię do NIS2. NIS2 stosuje się do podmiotów zidentyfikowanych jako krytyczne bez względu na ich wielkość i zalicza je do podmiotów kluczowych, czyli surowszej z dwóch kategorii. Organy obu dyrektyw wymieniają się informacjami o podmiotach krytycznych, o ryzykach i incydentach oraz mogą prosić się nawzajem o użycie uprawnień nadzorczych. W praktyce jedna ocena ryzyka obejmująca zagrożenia cyber i fizyczne, jeden proces kryzysowy i jeden plan ciągłości działania mogą służyć obu dyrektywom, o ile zawierają elementy wymagane przez każdą z nich.

Dla infrastruktury cyfrowej motywy NIS2 wskazują, że NIS2 obejmuje także fizyczne bezpieczeństwo tych systemów, i dlatego obowiązki CER w zakresie odporności tych podmiotów nie dotyczą.

Większość firm nie jest podmiotami krytycznymi i dyrektywa nie nakłada na nie obowiązków. Może jednak dotrzeć do Ciebie na dwa sposoby.

Zaopatrujesz podmiot krytyczny. Twój klient, określając, kto wykonuje funkcje krytyczne, musi uwzględnić personel zewnętrznych dostawców usług. Osoby z bezpośrednim lub zdalnym dostępem do jego budynków, informacji lub systemów sterowania mogą podlegać sprawdzeniu przeszłości na zasadach krajowych. Jego plany odtworzenia muszą uwzględniać alternatywne łańcuchy dostaw, co może oznaczać drugiego dostawcę obok Ciebie. Spodziewaj się w umowach postanowień o dostępie, weryfikacji osób, ciągłości dostaw i zgłaszaniu incydentów.

Możesz zostać zidentyfikowany później. Jeśli Twoja działalność mieści się w załączniku, a Twoja usługa ma znaczenie dla wielu użytkowników lub innych sektorów, sprawdź, czy państwo opublikowało wykaz albo kontaktowało się z Tobą. Wykaz jest przeglądany co najmniej co cztery lata.

Rozsądny pierwszy krok, bez względu na to, czy jesteś w wykazie: wiedzieć, od jakich usług kluczowych zależysz i co zrobisz, jeśli jedna z nich nie działa przez tydzień.