Wewnętrzny zespół czy firma zewnętrzna?

Ustawa o krajowym systemie cyberbezpieczeństwa nie narzuca jednego sposobu realizacji obowiązków z zakresu cyberbezpieczeństwa. Podmiot kluczowy lub podmiot ważny może sam zorganizować realizację tych zadań albo skorzystać ze wsparcia wyspecjalizowanego podmiotu zewnętrznego.

Ustawa przewiduje dwa rozwiązania.

Art. 14 ustawy KSC wskazuje, że podmiot kluczowy lub podmiot ważny w celu realizacji obowiązków wynikających z ustawy:

• powołuje wewnętrzne struktury odpowiedzialne za cyberbezpieczeństwo, lub
• zawiera umowę z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa.

Oznacza to, że ustawodawca wprost przewidział możliwość realizacji obowiązków zarówno przez własnych pracowników, jak i przez wyspecjalizowaną firmę zewnętrzną.

Kto może wykonywać zadania?

Osoby realizujące zadania z zakresu cyberbezpieczeństwa muszą spełniać wymagania określone w ustawie.

Przed rozpoczęciem wykonywania zadań przedstawiają informację z Krajowego Rejestru Karnego potwierdzającą brak skazania za przestępstwa przeciwko ochronie informacji. Wymóg ten uznaje się za spełniony również przez osoby posiadające ważne poświadczenie bezpieczeństwa upoważniające do dostępu do informacji niejawnych o klauzuli „poufne” lub wyższej.

Co wybrać?

Ustawa nie wskazuje, które rozwiązanie jest lepsze. Wybór modelu organizacji zależy od wielkości jednostki, dostępnych zasobów oraz kompetencji pracowników.

Najważniejsze jest zapewnienie prawidłowej realizacji obowiązków wynikających z ustawy oraz właściwe zorganizowanie procesu cyberbezpieczeństwa w organizacji.