Krajowy System Cyberbezpieczeństwa –
weryfikacja zgodności (sklep online)

[Art. 8 ust. 1 pkt 1-2]

• Ustanowienie polityki bezpieczeństwa systemu informacyjnego, zapewniającej odporność systemów informacyjnych,
• Zapewnienie bezpieczeństwa w procesie nabywania, rozwoju, utrzymania i eksploatacji systemu informacyjnego (w tym jego testowanie),
• Zapewnienie bezpieczeństwa fizycznego i środowiskowego przy uwzględnieniu kontroli dostępu,
• Zapewnienie bezpieczeństwa zasobów ludzkich poprzez edukację i promowanie zasad cyberhigieny,
• Zapewnienie stosowania podstawowych zasad cyberhigieny,
• Stworzenie i wdrożenie polityki oraz procedur stosowania kryptografii, w tym – w stosownych przypadkach – szyfrowania,
• Zapewnienie stosowania bezpiecznych środków komunikacji elektronicznej, z uwzględnieniem uwierzytelniania wieloskładnikowego w stosownych przypadkach,
• Zapewnienie skutecznego zarządzania aktywami,
• Opracowanie i wdrożenie polityki kontroli dostępu do systemów informacyjnych,
• Opracowanie polityki i procedur oceny skuteczności stosowanych środków technicznych i organizacyjnych.

[Art. 8 ust. 1 pkt 5 lit. A-D]

• Stosowanie mechanizmów zapewniających poufność, integralność, dostępność i autentyczność danych przetwarzanych w systemie informacyjnym,
• Przeprowadzanie regularnych aktualizacji oprogramowania (stosownie do zaleceń producenta),
• Zapewnienie ochrony przed nieuprawnioną modyfikacją w systemie informacyjnym,
• Zbieranie informacji o cyberzagrożeniach i podatnościach na incydenty systemu informacyjnego,
• Podejmowanie działań po dostrzeżeniu podatności lub cyberzagrożeń, które mogą skutkować zakłóceniem świadczonych usług,
• Podejmowanie działań po dostrzeżeniu czasowego ograniczenia ruchu sieciowego przychodzącego do infrastruktury podmiotu, co może skutkować zakłóceniem świadczonych usług.

[Art. 8 ust. 2 pkt 1-4]

• Zapewnienie bezpieczeństwa łańcucha dostaw produktów ICT, usług ICT i procesów ICT, od których podmiot jest zależny,
• Zapewnienie ciągłości łańcucha dostaw produktów ICT, usług ICT i procesów ICT, od których podmiot jest zależny,
• Identyfikowanie i ocena podatności związanych z dostawcą sprzętu lub oprogramowania,
• Ocena jakości produktów ICT, usług ICT i procesów ICT pochodzących od dostawcy sprzętu lub oprogramowania,
• Uwzględnianie wyników oceny bezpieczeństwa przeprowadzonej przez Grupę Współpracy,
• Uwzględnianie wyników postępowania w sprawie uznania dostawcy sprzętu i oprogramowania za dostawcę wysokiego ryzyka.

[Art. 67c ust. 1-5, Art. 67d ust. 1–5]

• Zakaz wprowadzania nowych produktów ICT objętych decyzją o uznaniu dostawcy za dostawcę wysokiego ryzyka,
• Wycofanie produktów ICT wskazanych w decyzji organu właściwego ds. cyberbezpieczeństwa,
• Utrzymanie istniejących produktów ICT w zakresie niezbędnym do utrzymania ciągłości usług,
• Przekazywanie (na wniosek) informacji o wycofywanych produktach ICT do organu właściwego ds. cyberbezpieczeństwa,
• Zakaz nabywania produktów ICT wskazanych decyzją przez podmioty objęte PZP.

[Art. 67c ust. 1-5, Art. 67d ust. 1–5]

• Zakaz wprowadzania nowych produktów ICT objętych decyzją o uznaniu dostawcy za dostawcę wysokiego ryzyka,
• Wycofanie produktów ICT wskazanych w decyzji organu właściwego ds. cyberbezpieczeństwa,
• Utrzymanie istniejących produktów ICT w zakresie niezbędnym do utrzymania ciągłości usług,
• Przekazywanie (na wniosek) informacji o wycofywanych produktach ICT do organu właściwego ds. cyberbezpieczeństwa,
• Zakaz nabywania produktów ICT wskazanych decyzją przez podmioty objęte PZP.

[Art. 67c ust. 1-5, Art. 67d ust. 1–5]

• Zakaz wprowadzania nowych produktów ICT objętych decyzją o uznaniu dostawcy za dostawcę wysokiego ryzyka,
• Wycofanie produktów ICT wskazanych w decyzji organu właściwego ds. cyberbezpieczeństwa,
• Utrzymanie istniejących produktów ICT w zakresie niezbędnym do utrzymania ciągłości usług,
• Przekazywanie (na wniosek) informacji o wycofywanych produktach ICT do organu właściwego ds. cyberbezpieczeństwa,
• Zakaz nabywania produktów ICT wskazanych decyzją przez podmioty objęte PZP.

[Art. 8 ust. 1 pkt 2 lit. F, pkt 5 lit. B]

• Identyfikacja i ocena krytyczności świadczonych usług,
• Przeprowadzenie analizy wpływu na biznes i oceny utraty dostępności.

Dodatkowo wdrażanie, dokumentowanie, testowanie i utrzymywanie:

• Planów ciągłości działania umożliwiających ciągłe i niezakłócone świadczenie usługi,
• Planów awaryjnych,
• Planów odtworzenia działalności umożliwiających odtworzenie systemu informacyjnego po zdarzeniu.

[Art. 8a]

Rada Ministrów może określić dodatkowe wymagania dla systemu zarządzania bezpieczeństwem informacji.