Szanowni Państwo,
W obliczu rosnących zagrożeń cybernetycznych oraz nowych regulacji prawnych, pozwalam sobie przesłać bezpośrednio informacje o szkoleniu dot. dyrektywy NIS2 (Network and Information Security Directive 2), która jest unijną inicjatywą mającą na celu poprawę poziomu bezpieczeństwa sieci, infrastruktury energetycznej, komunalnej i informacji w całej Unii Europejskiej. Oprócz dyrektywny, proponowane wydarzenie skupi się także na procedowanej ustawie o Krajowym Systemie Cyberbezpieczeństwa. Obie regulacje w sposób bezpośredni nakładają nowe obowiązki na zarządy przedsiębiorstw. Niedostosowanie się do nich spowoduje nałożenie kar finansowych dla podmiotów kluczowych – co najmniej 10 mln EUR lub co najmniej 2% rocznego obrotu oraz dla podmiotów ważnych/kluczowych – co najmniej 7 mln EUR lub co najmniej 1,4% rocznego obrotu.
Zarówno europejski jak i krajowy ustawodawca nie przewiduje wyłączeń podmiotowych w wyżej wymienionych sektorach i przedsiębiorstwach z udziałem Skarbu Państwa.
TERMIN
FORMUŁA
Koszt
Agnieszka Wachowska – Radczyni prawna z kilkunastoletnim doświadczeniem w obsłudze projektów IT i zagadnień z zakresu cyberbezpieczeństwo
O nowym systemie:
Omawiane na szkoleniu przepisy mają znaczący wpływ na branżę z kilku kluczowych powodów m.in. :
1. Wzmocnienie zabezpieczeń cybernetycznych – firmy energetyczne, przemysłowe i komunalne będą musiały zainwestować więcej środków w technologie ochrony przed cyberatakami. Konieczne będzie wdrożenie zaawansowanych systemów detekcji i reagowania na incydenty oraz regularne przeprowadzanie audytów bezpieczeństwa.
2. Obowiązek zgłaszania incydentów – przedsiębiorstwa będą zobowiązane do zgłaszania incydentów bezpieczeństwa do odpowiednich organów nadzorczych. Wymaga to utworzenia odpowiednich procedur i mechanizmów raportowania, a także szkolenia pracowników w zakresie rozpoznawania i reagowania na zagrożenia.
3. Zwiększona odpowiedzialność zarządów firm – Zarządy przedsiębiorstw będą bezpośrednio odpowiedzialne za przestrzeganie przepisów NIS2. Oznacza to, że członkowie zarządów muszą być świadomi ryzyk związanych z cyberbezpieczeństwem i zapewnić, że ich organizacje posiadają odpowiednie środki i zasoby do zarządzania tym ryzykiem.
4. Wzrost kosztów operacyjnych – Wdrożenie NIS2 wiąże się z dodatkowymi kosztami dla przedsiębiorstwa. Konieczność inwestowania w nowe technologie, szkolenia pracowników oraz procedury raportowania i audytów może zwiększyć koszty operacyjne. Jednak w dłuższej perspektywie inwestycje te mogą przyczynić się do większej stabilności i bezpieczeństwa operacyjnego.
5. Wpływ na łańcuch dostaw – Dyrektywa NIS2 wymaga, aby nie tylko przedsiębiorstwa energetyczne, przemysłowe czy komunalne, ale również ich dostawcy spełniali określone standardy bezpieczeństwa. Oznacza to, że przedsiębiorstwa będą musiały bardziej dokładnie sprawdzać swoich dostawców pod kątem zgodności z wymogami NIS2, co może prowadzić do zmian w łańcuchu dostaw.
6. Zwiększenie konkurencyjności – Przestrzeganie wysokich standardów bezpieczeństwa może stać się czynnikiem konkurencyjności na rynku. Firmy, które wdrożą zaawansowane środki ochrony i będą skutecznie zarządzać ryzykiem cybernetycznym, mogą zyskać przewagę konkurencyjną oraz zaufanie klientów i partnerów biznesowych.
Po przeanalizowaniu przez nas przepisów, pragniemy zwrócić uwagę, że w projekcie ustawy wdrażającej dyrektywę NIS2 odpowiedzialność za wdrożenie i wykonywanie obowiązków w zakresie cyberbezpieczeństwa w przedsiębiorstwie spoczywa na kierownictwie podmiotu sektora energetycznego. Co więcej, przepisy ustawy nie przewidują wyłączenia kierownictwa także wtedy, gdy obowiązki zostały powierzone innej osobie za jej zgodą. Obowiązek zadbania o bezpieczeństwo firmy spoczywa na wszystkich członkach zarządu (w sytuacji gdy organ jest wieloosobowy).
Wśród kluczowych obowiązków należy wymienić z jakimi firma zmierzy się wciągu najbliższych kilku miesięcy będą:
Wdrożenie systemu zarządzania bezpieczeństwem informacji:
Podmiot kluczowy lub podmiot ważny musi wdrożyć system zarządzania bezpieczeństwem informacji w procesach wpływających na świadczenie usług, który zapewnia:
-
- Prowadzenie systematycznego szacowania ryzyka wystąpienia incydentu oraz zarządzanie tym ryzykiem.
- Wdrożenie odpowiednich i proporcjonalnych środków technicznych i organizacyjnych do oszacowanego ryzyka.
- Polityki szacowania ryzyka oraz bezpieczeństwa systemu informacyjnego.
- Utrzymanie i bezpieczną eksploatację systemu informacyjnego.
- Bezpieczeństwo fizyczne i środowiskowe, uwzględniające kontrolę dostępu
Środki zapobiegające i ograniczające wpływ incydentów:
- Podmiot musi stosować środki zapobiegające i ograniczające wpływ incydentów na bezpieczeństwo systemu informacyjnego, w tym:
- Mechanizmy zapewniające poufność, integralność, dostępność i autentyczność danych przetwarzanych w systemie informacyjnym.
- Regularne przeprowadzanie aktualizacji oprogramowania.
- Ochronę przed nieuprawnioną modyfikacją w systemie informacyjnym.
- Niezwłoczne podejmowanie działań po dostrzeżeniu podatności lub cyberzagrożeń
Audyt i raportowanie:
- Podmioty kluczowe i ważne muszą zapewnić przeprowadzenie audytu bezpieczeństwa oraz przedstawienie sprawozdania z przeprowadzonego audytu odpowiednim organom w terminie 12 miesięcy od dnia spełnienia przesłanek uznania za podmiot kluczowy lub ważny
Współpraca z CSIRT:
- Podmioty muszą współpracować z CSIRT (Computer Security Incident Response Team) odpowiedzialnym za sektor energetyczny w zakresie zgłaszania incydentów i innych wymagań bezpieczeństwa
Zastosowanie norm i standardów:
- Podmioty muszą zapewnić, że system zarządzania bezpieczeństwem informacji spełnia wymagania określone w Polskiej Normie PN-EN ISO/IEC 27001 oraz PN-EN ISO/IEC 22301
Agnieszka Wachowska – radczyni prawna, Co-Managing Partner. Radczyni prawna z kilkunastoletnim doświadczeniem w obsłudze projektów IT. W kancelarii Traple Konarski Podrecki i Wspólnicy uczestniczy w pracach praktyki TMT, kierując zespołem prawa IT, Nowych Technologii i Zamówień Publicznych. Specjalizuje się w problematyce prawnej branży IT i nowych technologii. Od początku kariery prawniczej doradza podmiotom z sektora IT, w tym również podmiotom publicznym, w zakresie zagadnień związanych z prawem IT, zamówieniami publicznymi na dostawy i usługi IT, a także w obszarze cyberbezpieczeństwa i prawa autorskiego. Odpowiada też za wsparcie prawne działalności operatorów telekomunikacyjnych oraz doradztwo z zakresu prawa telekomunikacyjnego.
Ekspertka Polskiej Izby Informatyki i Telekomunikacji (PIIT) w obszarze prawa ICT. Zaangażowana w prace grup roboczych, działających przy Prezesie Urzędu Zamówień Publicznych. Brała udział (jako przedstawiciel PIIT) w opracowaniu nowych rekomendacji dotyczących zamówień publicznych na systemy informatyczne. Członek-założyciel Stowarzyszenia Prawa Nowych Technologii, gdzie zasiada w prezydium grupy roboczej ds. IT. Przewodnicząca Komisji ds. LegalTech, działającej przy Okręgowej Izbie Radców Prawnych w Warszawie. Członkini międzynarodowego stowarzyszenia ITech Law.
Wyróżniona indywidualnie w prestiżowych rankingach prawniczych w dziedzinie TMT: Chambers and Partners (Band 4) oraz Legal 500 (jako Leading Individuals) oraz Ranking Kancelarii Prawnych dziennika Rzeczpospolita (jako Rekomendowany Prawnik).
Zaangażowana w szeroką działalność szkoleniową i edukacyjną. Występowała na uznanych konferencjach branży IT i PZP. Autorka licznych publikacji branżowych i naukowych.
Zapraszam do kontaktu
Franciszek Kuszewski
Business Development Analyst
tel. 22 118 47 17
kom. 660 732 326
Franciszek.Kuszewski@dlaenergetyki.pl
szkolenia - Dla Energetyki 