Wniosek o wpis do wykazu KSC krok po kroku

Wniosek o wpis do wykazu podmiotów kluczowych i ważnych jest pierwszym formalnym obowiązkiem, który powstaje po ustaleniu, że firma podlega ustawie. Wygląda niepozornie — to formularz z danymi identyfikacyjnymi — ale ma jedną część, która potrafi zablokować całość na dwa tygodnie: wykaz adresów IP i nazw domen wykorzystywanych do świadczenia usługi.

Poniżej opisuję, co trzeba przygotować, w jakiej kolejności i gdzie w firmie produkcyjnej szukać danych, których nikt wcześniej nie zbierał.

Czym jest wykaz i po co powstał

Wykaz podmiotów kluczowych i ważnych prowadzi minister właściwy do spraw informatyzacji. Jego funkcja jest prosta: państwo musi wiedzieć, kogo dotyczą obowiązki, komu przekazywać ostrzeżenia i kogo obejmuje nadzór. Dla zespołów CSIRT wykaz jest też listą adresową — stąd wymóg podania danych technicznych, a nie tylko rejestrowych.

Wpis nie jest decyzją o objęciu obowiązkami. Obowiązki wynikają z ustawy niezależnie od tego, czy firma złożyła wniosek. Wniosek jest wykonaniem obowiązku informacyjnego, a nie warunkiem powstania pozostałych.

Termin złożenia wniosku oraz termin wdrożenia środków są zestawione w sekcji terminów.

Co zawiera wniosek

Zakres danych jest w praktyce następujący:

• Dane identyfikacyjne podmiotu — nazwa, adres, numer w rejestrze, NIP, REGON.
• Sektor i podsektor z odpowiedniego załącznika do ustawy, wraz ze wskazaniem rodzaju działalności.
• Kategoria podmiotu — kluczowy albo ważny.
• Dane osoby do kontaktu w sprawach cyberbezpieczeństwa: imię, nazwisko, telefon, adres poczty elektronicznej.
• Adresy IP i nazwy domen wykorzystywane do świadczenia usługi.
• Informacja o świadczeniu usługi w innych państwach Unii Europejskiej, jeżeli takie występuje.

Pierwsze cztery pozycje da się wypełnić w godzinę. Piąta jest właściwą pracą.

Skąd wziąć adresy IP i nazwy domen

W firmie produkcyjnej nikt zwykle nie ma gotowej listy tego, co jest wystawione do internetu. Trzeba ją zbudować. Kolejność, która się sprawdza:

1. Zapytaj dostawcę łącza o przydzieloną pulę adresów. Jeżeli firma ma stały adres publiczny albo podsieć, dostawca ma to w umowie. To punkt wyjścia, nie koniec.
2. Zbierz rekordy DNS wszystkich domen firmowych. Rekordy A, AAAA, MX, TXT i CNAME pokazują, gdzie naprawdę wskazują usługi. Zaskoczeniem bywa domena marketingowa sprzed pięciu lat, wciąż wskazująca na działający serwer.
3. Sprawdź, co nasłuchuje na brzegu sieci. Reguły przekierowania portów na firewallu to najkrótsza droga do listy usług publicznych: VPN, dostęp zdalny do systemu ERP, kamery, serwer plików, panel sterowania systemem BMS.
4. Uwzględnij usługi chmurowe. Poczta w Microsoft 365, hosting strony u zewnętrznego dostawcy, portal dla klientów — jeżeli usługa jest świadczona przy ich udziale, nazwy domen do wniosku należą.
5. Nie zapomnij o zdalnym serwisie maszyn. Routery GSM przy liniach produkcyjnych, tunele zestawiane przez producenta maszyny, modemy serwisowe — to najczęściej pomijana kategoria, a z punktu widzenia bezpieczeństwa jedna z najistotniejszych.

Kto podpisuje i kto odpowiada

Wniosek składa podmiot, a odpowiedzialność za jego prawidłowość spoczywa na kierowniku podmiotu — zarządzie albo właścicielu. Podpisanie przez pełnomocnika jest możliwe, ale nie przenosi odpowiedzialności.

Osobno wskazuje się osobę do kontaktu w sprawach cyberbezpieczeństwa. Warto potraktować ten wybór poważnie, bo to na ten numer telefonu trafi telefon w sprawie ostrzeżenia albo incydentu. Trzy praktyczne uwagi:

• to powinna być rola, a nie tylko nazwisko — przy zmianie pracownika dane trzeba zaktualizować;
• osoba musi mieć realną możliwość podjęcia działania, a nie tylko odebrania wiadomości;
• adres poczty powinien być monitorowany także wtedy, gdy ta osoba jest na urlopie.

Po złożeniu wniosku

Wpis nie kończy sprawy. Dane w wykazie mają odpowiadać stanowi faktycznemu, więc każda istotna zmiana — nowy adres publiczny, zmiana domeny, zmiana osoby do kontaktu, zmiana kategorii podmiotu po przekroczeniu progu — wymaga aktualizacji. Termin na zgłoszenie zmiany warto sprawdzić w aktualnym brzmieniu przepisu, bo jest liczony w dniach od zdarzenia i łatwo go przeoczyć.

Praktyczne rozwiązanie: wpisać przegląd danych z wykazu do stałego kalendarza — na przykład do kwartalnego przeglądu bezpieczeństwa, razem z przeglądem uprawnień i rejestru podatności. Wtedy aktualizacja jest skutkiem procesu, a nie czyjejś pamięci.

Najczęstsze błędy

1. Traktowanie wniosku jako całego obowiązku. Wpis to kilka dni pracy. Wdrożenie środków z art. 8 to kwartały — i to ono jest przedmiotem kontroli.
2. Podanie tylko adresu strony firmowej. Usługa jest świadczona przez znacznie więcej systemów niż witryna wizerunkowa.
3. Wskazanie jako osoby kontaktowej kogoś z zewnątrz bez ustalenia zasad zastępstwa i bez dostępu do informacji po stronie firmy.
4. Pominięcie łączy serwisowych producentów maszyn. Są poza świadomością działu IT, bo zwykle instalował je dostawca maszyny.
5. Brak zapisu, na jakiej podstawie ustalono kategorię podmiotu. Przy kontroli pytanie „dlaczego uznali się Państwo za podmiot ważny, a nie kluczowy” jest naturalne — i warto mieć na nie gotową, datowaną odpowiedź.

Lista kontrolna przed złożeniem

• Ustalona i udokumentowana kategoria podmiotu wraz z uzasadnieniem
• Zsumowane dane podmiotów powiązanych i partnerskich
• Zebrane rekordy DNS wszystkich domen firmowych
• Wykaz publicznych adresów IP potwierdzony z dostawcą łącza
• Przejrzane reguły przekierowań na firewallu
• Spisane łącza serwisowe producentów maszyn
• Wskazana osoba do kontaktu wraz z zastępstwem
• Zatwierdzenie kierownika podmiotu

Zestawienie danych technicznych do wniosku jest jednym z artefaktów oceny zgodności technicznej — zbieram je przy okazji przeglądu infrastruktury, bo i tak trzeba wtedy ustalić, co firma wystawia do internetu.