Sytuacja wokół wdrażania KSC jest dynamiczna i zakończenie procesu przystosowawczego wymaga wiele wysiłku i wzajemnego zrozumienia pomiędzy osobami odpowiedzialnymi za poszczególne elementy infrastruktury. Ale po kolei.
Warto więc przypomnieć, jakie działania należy podjąć i w jakich terminach:
- 3 października 2026 mija dokładnie pół roku od wejścia ustawy w życie, co oznacza, że do tej daty każda uczelnia, instytut naukowy czy badawczy powinien przeprowadzić samoocenę i na podstawie jej wyników zadeklarować się (poprzez samorejestrację), jako podmiot ważny lub kluczowy. Wyjątek stanowią instytucje, które otrzymały wcześniej decyzje o wpisaniu z urzędu. W przypadku wpisania z urzędu, należy uzupełnić wymagane ustawą dane w ciągu pół roku od otrzymania decyzji. Uwaga: samo otrzymanie decyzji w jednym z podsektorów czy sektorów, odpowiadającym obszarom prowadzonej działalności, nie zwalnia od analizy pozostałych realizowanych aktywności pod kątem objęcia ich wymogami KSC w ramach innych sektorów i podsektorów. Niektóre opinie prawne sugerują, że informacje o pozostałych obszarach, nie objętych wpisem z urzędu powinny być wprowadzone do rejestru przed 3 października; dłuższy okres dotyczy tylko podstawy wpisanej z urzędu.
- 3 kwietnia 2027 roku, tego dnia upływa termin wdrożenia obowiązków wynikających z ustawy przez podmioty kluczowe i ważne.
- 3 kwietnia 2028 roku mija termin pierwszego audytu dla podmiotów kluczowych – kolejne audyty powinny się odbywać minimum co 3 lata.
- do dnia 3 października 2027 roku, Ministerstwo Nauki i Szkolnictwa wyższego, podobnie jak każdy inny organ sektorowy, powinno powołać zespół CSIRT dedykowany sektorowi nauki.
Wymogi wprowadzane przez KSC są jednocześnie wyzwaniem jak i szansą dla środowiska akademickiego. Wyzwaniem, bo trzeba sprostać wymaganiom i zaadresować szereg problemów operacyjnych, które do tej pory miały niski priorytet. W szczególności, znaczącego rozbudowania wymagają mechanizmy kontrolne i monitorujące, umożliwiające wykazanie zgodności z ustawą.
Dość duży problem dla środowiska naukowego stanowi wymóg audytów, które muszą być przeprowadzane co 3 lata. Problem z audytami jest dwojaki – po pierwsze jest to dodatkowy koszt finansowy i czasowy (kompleksowy audyt odciąga pracowników od innych zadań, w tym tych związanych z bezpieczeństwem), po drugie audytorzy wywodzący się ze środowisk korporacyjnych nie zawsze rozumieją specyficzne uwarunkowania infrastruktury uczelni czy instytucji naukowej (heterogeniczne środowisko, niezależność jednostek uczelni, potrzeby dydaktyczne, naukowe, ograniczenia wynikające z finansowania).
Dodatkowo, złożoność problemu wzrasta w przypadku uczelni prowadzących badania o charakterze niejawnym, które muszą funkcjonować w dwóch reżimach prawnych – systemy przetwarzające informacje niejawne podlegają pod ustawę o ochronie informacji niejawnych.
Poziom wymagań cyberbezpieczeństwa zależy od realnego poziomu ryzyka określonego dla konkretnego systemu.
Nowa rzeczywistość prawna wymusza zmiany w sposobie zarządzania bezpieczeństwem w sektorze nauki. Uczelnie i instytuty naukowe nie zawsze będą w stanie spełnić wszystkie wymagania samodzielnie, konieczna jest współpraca.
W poniedziałek 14 września na Uniwersytecie Śląskim odbyła się konferencja[1] podsumowująca prace nad raportem realizowanym na zlecenie Ministerstwa Nauki przez zespół badawczy powołany przez prof. UŚ. dr. hab. Dariusza Szostka. Raport miał na celu przedstawienie specyfiki uczelni i instytutów z perspektywy cyberbezpieczeństwa oraz zaproponowanie rozwiązań wychodzących naprzeciw potrzebom. Raport zostanie wkrótce udostępniony publicznie.
Z rzeczy szczególnie istotnych dla PIONIERa, w raporcie zaproponowano m.in. koncepcje SOC-ów regionalnych, które w miarę możliwości miały by funkcjonować w jednostkach wiodących PIONIERa i oferować usługi dla uczelni w regionie. Wskazano również potrzeby zmian w finansowaniu tak, aby uczelnie i jednostki realizujące dla nich usługi miały zapewnione adekwatne środki. Podniesiono problemy natury finansowo-prawnej ze świadczeniem usług wspólnych przez uczelnie na rzecz innych uczelni. Zasygnalizowano konieczność powołania CSIRTu sektorowego dla nauki (CSIRT Nauka) – organem właściwym do jego powołania jest Minister Nauki i Szkolnictwa Wyższego. Ustawa zakłada, że powinien zostać utworzony w okresie 18 miesięcy od wejścia w życie ustawy. Finalna wersja raportu ma trafić do Ministerstwa w bieżącym tygodniu. W gestii Ministerstwa leży podjęcie dalszych kroków. Część propozycji przedstawionych w raporcie wymaga nowelizacji istniejących przepisów i ustaw, w szczególności w zakresie ścieżek finansowania.
Ponadto, niezależnie od ww. inicjatyw w ramach Konsorcjum PIONIER planowana jest realizacja aktywności związanych z KSC i wzajemnym wsparciem, w ramach mikroprojektów i grupy CYBER pod kierunkiem Wojciecha Widelskiego z UMCS.
Trwają także prace nad usługami w projekcie PUCHACZ, z których część może posłużyć wzmocnieniu ochrony infrastruktury badawczej. W ramach tego projektu zrealizowano także szkolenie z zakresu KSC dla członków konsorcjum projektowego.
Sytuacja wokół wdrażania KSC jest dynamiczna i zakończenie procesu przystosowawczego wymaga wiele wysiłku i wzajemnego zrozumienia pomiędzy osobami odpowiedzialnymi za poszczególne elementy infrastruktury. W przypadku instytucji, które nie mają wdrożonych procesów wg. normy ISO27001, jest to dobry moment na podjęcie tego wysiłku – procesy objęte certyfikatem ISO obejmują około 80% wymogów KSC. Warto jednak zauważyć, że certyfikacja ISO27001 nie obejmuje takich aspektów jak wpis do rejestru podmiotów czy rygorystyczny reżim zgłaszania incydentów, a także nie adresuje kwestii łańcucha dostaw.
Maciej Miłostan
