Wdrożenie dyrektywy CER

Dyrektywa CER, czyli Critical Entities Resilience, dotyczy odporności podmiotów krytycznych. Jej celem jest zapewnienie ciągłości świadczenia usług kluczowych mimo zakłóceń, incydentów, awarii, zagrożeń fizycznych, cybernetycznych lub problemów w łańcuchu dostaw.

CER dotyczy organizacji działających w sektorach istotnych dla państwa, gospodarki i obywateli, m.in. energii, transportu, bankowości, zdrowia, wody, ścieków, infrastruktury cyfrowej, administracji publicznej, żywności i łączności. Bezpośrednie obowiązki będą zależały od formalnego wyznaczenia organizacji jako podmiotu krytycznego lub operatora infrastruktury krytycznej.

Status podmiotu krytycznego wynika z formalnej identyfikacji prowadzonej przez właściwe organy. W praktyce znaczenie mają m.in. sektor działalności organizacji, świadczone usługi kluczowe oraz wpływ ich zakłócenia na obywateli, gospodarkę lub funkcjonowanie państwa.

Pomagamy organizacjom ocenić prawdopodobieństwo objęcia wymaganiami CER poprzez analizę działalności, usług, zależności oraz potencjalnych skutków zakłóceń. Dzięki temu możliwe jest przygotowanie planu działań jeszcze przed formalnym wyznaczeniem organizacji jako podmiotu krytycznego.

Nie rekomendujemy takiego podejścia. CER i NIS2 mają różne zakresy, ale często dotyczą tych samych usług, procesów i osób odpowiedzialnych. Zintegrowane wdrożenie pozwala ograniczyć dublowanie pracy, dokumentacji, analiz ryzyka, raportowania i ćwiczeń.

ISO 22301 jest bardzo dobrą podstawą, ponieważ porządkuje zarządzanie ciągłością działania, analizę BIA, strategie ciągłości, plany i ćwiczenia. Nie zastępuje jednak wymagań CER dotyczących statusu podmiotu krytycznego, usług kluczowych, organów właściwych, planu odporności i obowiązków regulacyjnych.

Zakres zależy od organizacji, ale zwykle obejmuje analizę luki, rejestr usług i aktywów krytycznych, analizę ryzyka, BIA, plan odporności, plany ciągłości działania, procedury zgłaszania incydentów, zasady eskalacji, role i odpowiedzialności oraz raporty z testów i ćwiczeń.

Czas zależy od skali organizacji, liczby usług kluczowych, dojrzałości obecnych procesów i dostępności zespołu. Pełne wdrożenie obejmujące analizę, dokumentację, testy i audyt może trwać orientacyjnie od kilku do kilkunastu miesięcy. W wielu przypadkach możliwe jest rozpoczęcie od analizy gotowości i roadmapy.

Tak. Po formalnym wyznaczeniu terminy na spełnienie części obowiązków mogą być krótkie. Wcześniejsza analiza usług, zależności, ryzyka i dokumentacji pozwala ograniczyć presję czasową oraz uniknąć działań prowadzonych wyłącznie reaktywnie.

Dyrektywa CER wymaga wdrożenia do krajowego porządku prawnego poprzez odpowiednie przepisy i akty wykonawcze. Szczegółowe obowiązki oraz terminy dla organizacji będą związane z wejściem w życie polskich regulacji oraz formalnym wyznaczeniem podmiotów krytycznych i operatorów infrastruktury krytycznej.

CER koncentruje się na odporności organizacji i utrzymaniu usług kluczowych mimo zakłóceń, natomiast NIS2 dotyczy przede wszystkim cyberbezpieczeństwa systemów i sieci. W praktyce oba obszary są ze sobą powiązane i często wymagają wspólnego podejścia do ryzyka, incydentów i ciągłości działania.

Tak. ISO 22301 wspiera organizację w uporządkowaniu obszarów związanych z ciągłością działania, analizą wpływu na biznes, strategiami odtworzenia, planami ciągłości oraz ćwiczeniami. Norma nie zastępuje wymagań CER, ale stanowi ważny fundament budowania odporności organizacyjnej.

Bezpośrednie obowiązki będą dotyczyły przede wszystkim podmiotów krytycznych i operatorów infrastruktury krytycznej. W praktyce jednak wymagania związane z odpornością usług oraz bezpieczeństwem łańcucha dostaw mogą wpływać również na dostawców technologii, usług, ochrony, infrastruktury oraz innych partnerów wspierających świadczenie usług kluczowych. Organizacje objęte CER będą musiały lepiej rozumieć swoje zależności oraz określać wymagania bezpieczeństwa wobec podmiotów uczestniczących w świadczeniu usług kluczowych.

Obowiązki wynikające z wdrożenia CER mogą obejmować ocenę ryzyka usługi kluczowej, wdrożenie środków organizacyjnych i technicznych, utrzymanie dokumentacji bezpieczeństwa, zarządzanie ciągłością działania, zgłaszanie incydentów istotnych, prowadzenie ćwiczeń oraz przygotowanie do audytów i kontroli.

Wymagania obejmują nie tylko przygotowanie dokumentów, ale również wykazanie, że organizacja potrafi utrzymać świadczenie usług kluczowych, reagować na incydenty oraz skutecznie zarządzać ryzykiem związanym z bezpieczeństwem, ciągłością działania i zależnościami od dostawców.