Wykaz podmiotów KSC

Co to jest wykaz podmiotów KSC

Wykaz podmiotów KSC to prowadzona przez administrację publiczną ewidencja organizacji objętych krajowym systemem cyberbezpieczeństwa. Jego funkcja jest administracyjna, nie promocyjna: porządkuje, kto w tym systemie uczestniczy, w jakim charakterze i z kim organy mają się kontaktować, gdy coś się dzieje.

Dwuznaczność w samym zapytaniu warto nazwać od razu, bo tłumaczy, po co ludzie takiego wykazu szukają. Część osób chce zobaczyć listę. Znacznie więcej chce odpowiedzi na jedno z dwóch pytań: czy my jesteśmy objęci oraz co z tego dla nas wynika. To hasło odpowiada na te dwa pytania — pierwszego nie rozstrzyga za organizację, ale pokazuje, u kogo się ono rozstrzyga.

Co znaczy wpis do KSC

Wpis nie jest nagrodą, licencją ani certyfikatem. Oznacza, że organizacja jest traktowana jako uczestnik krajowego systemu cyberbezpieczeństwa, a więc że stosują się do niej obowiązki przewidziane dla takich podmiotów. W praktyce mówimy o trzech rzeczach:

• Procedury — organizacja ma mieć ustalony sposób postępowania z incydentem, a nie improwizować w dniu zdarzenia.
• Osoby — obowiązek ma imiennie przypisane role: kto decyduje, kto zgłasza, kto odpowiada za kontakt z organem.
• Raportowanie — zdarzenia spełniające określone kryteria przekazuje się poza organizację wyznaczonym kanałem.

Kluczowa jest kolejność przyczyn: wpis jest skutkiem tego, czym organizacja jest, a nie źródłem jej obowiązków. Firma, która świadczy usługi istotne dla sektora objętego KSC, nie przestaje być dla tego sektora istotna dlatego, że nie dostała listu.

Kogo to typowo dotyczy

Kręgu nie wyznacza wielkość firmy odczytana na oko ani branżowy zwyczaj, lecz przepisy krajowego systemu cyberbezpieczeństwa. Typowo chodzi o organizacje, których ciągłość działania ma znaczenie wykraczające poza nie same — infrastrukturę energetyczną, wodociągową i transportową, ochronę zdrowia, usługi cyfrowe, administrację publiczną — oraz o podmioty świadczące usługi, od których te sektory zależą.

Ta ostatnia grupa jest najczęściej zaskoczona. Dostawca systemu dziedzinowego, integrator, firma utrzymująca infrastrukturę albo dostawca usług chmurowych bywa w tym obrazie równie istotny jak sam operator usługi — i dowiaduje się o tym z wymagań, które jego klient przenosi na umowę.

Czego w wykazie nie znajdziesz

• Nie jest listą dostawców ani rekomendacją. Obecność w wykazie nie świadczy o jakości zabezpieczeń, tylko o charakterze działalności.
• Nie jest narzędziem zgłaszania incydentów. Do tego służy odrębny kanał zgłoszeniowy (System S46).
• Nie jest substytutem analizy własnego statusu. Wykaz jest zapisem po stronie administracji, a nie poradnikiem, z którego organizacja sama sobie wyliczy, czy i w jakim charakterze jest objęta.
• Nie jest stanem na zawsze. Zakres uczestników i brzmienie obowiązków w tym obszarze bywają zmieniane, dlatego to hasło świadomie nie podaje ani terminów, ani numerów przepisów, ani wysokości sankcji — po aktualne brzmienie trzeba sięgnąć do urzędowego źródła.

Gdzie szukać źródła prawdy

O tym, czy konkretna organizacja jest objęta krajowym systemem cyberbezpieczeństwa i w jakim charakterze, rozstrzyga właściwy organ administracji na podstawie obowiązujących przepisów. To jest adres pytania — nie dostawca IT, nie opracowanie w internecie i nie to hasło. EITT nie prowadzi wykazu, nie pośredniczy we wpisie i nie wydaje opinii o statusie podmiotu.

Co natomiast ma sens zrobić, nie czekając na rozstrzygnięcie: ustalić wewnętrznie, kto u nas podjąłby decyzję o zgłoszeniu incydentu, na jakiej podstawie i w jakiej kolejności. Organizacje, które mają to ustalone, przechodzą ustalanie statusu jako formalność. Organizacje, które tego nie mają, odkrywają dwie luki naraz — i zwykle w najmniej dogodnym momencie.