Bezpieczeństwo informacji w administracji w świetle NIS 2

W dobie rosnącego znaczenia cyberbezpieczeństwa dla funkcjonowania państwa i usług publicznych skuteczne zarządzanie bezpieczeństwem informacji w administracji publicznej staje się kluczowym wyzwaniem strategicznym. Artykuł analizuje systemy zarządzania bezpieczeństwem informacji w kontekście dyrektywy NIS 2 oraz krajowych regulacji prawnych, wskazując, że bezpieczeństwo informacji to nie tylko kwestia technologii, lecz integralny element systemu zarządzania organizacją. Szczególna uwaga poświęcona jest roli kierownictwa, obowiązkom związanym z ciągłością działania, zarządzaniem ryzykiem oraz integracją procedur bezpieczeństwa z procesami decyzyjnymi, co umożliwia budowę spójnych, audytowalnych i odpornych systemów w administracji publicznej.

Celem artykułu jest analiza systemu zarządzania bezpieczeństwem informacji w administracji publicznej w kontekście dyrektywy NIS 2 oraz krajowych regulacji prawnych, ze szczególnym uwzględnieniem ich wpływu na organizację, sposób zarządzania oraz zakres odpowiedzialności kierownictwa podmiotów publicznych. W opracowaniu przyjęto założenie, że bezpieczeństwo informacji w administracji publicznej nie powinno być rozpatrywane wyłącznie w kategoriach technicznych lub informatycznych, lecz traktowane jako element szerszego systemu zarządzania, obejmującego aspekty prawne, organizacyjne i decyzyjne. Artykuł podejmuje próbę uporządkowania relacji pomiędzy regulacjami unijnymi i krajowymi a normami międzynarodowymi w zakresie zarządzania bezpieczeństwem informacji, wskazując na ich komplementarny charakter w procesie budowy spójnych i audytowalnych systemów zarządzania. Szczególna uwaga poświęcona jest dyrektywie NIS 2, która wprowadza istotne zmiany w podejściu do bezpieczeństwa informacji, wzmacniając odpowiedzialność kierownictwa oraz podkreślając konieczność systemowego zarządzania ryzykiem, ciągłością działania i reagowaniem na incydenty. W artykule zastosowano metodę analizy aktów prawnych, dokumentów normatywnych oraz literatury przedmiotu, uzupełnioną o analizę materiałów interpretacyjnych i szkoleniowych dotyczących wdrażania dyrektywy NIS 2 w administracji publicznej. Rozszerzając przyjęte założenia badawcze, należy podkreślić, że jednym z kluczowych elementów systemu zarządzania bezpieczeństwem informacji w administracji publicznej, w świetle dyrektywy NIS 2 oraz krajowych regulacji prawnych, jest zapewnienie ciągłości działania oraz systemowe zarządzanie ryzykiem.

NIS 2 a bezpieczeństwo informacji w administracji

Dyrektywa NIS 2 wyraźnie odchodzi od podejścia reaktywnego, skupionego wyłącznie na reagowaniu na incydenty, na rzecz modelu prewencyjnego, w którym identyfikacja, analiza i ograniczanie ryzyka stanowią fundament skutecznego systemu zarządzania bezpieczeństwem informacji. Zarządzanie ryzykiem nie jest przy tym jednorazowym działaniem, lecz procesem ciągłym, wymagającym regularnej oceny zagrożeń, podatności oraz potencjalnych skutków zakłóceń dla realizacji zadań publicznych.

W kontekście administracji publicznej szczególne znaczenie zyskuje ciągłość działania, rozumiana jako zdolność organizacji do utrzymania lub szybkiego przywrócenia kluczowych procesów i usług w sytuacji wystąpienia incydentu związanego z bezpieczeństwem informacji lub cyberbezpieczeństwem. Dyrektywa NIS 2 nakłada na podmioty objęte regulacją obowiązek wdrażania odpowiednich środków organizacyjnych i technicznych, zapewniających odporność operacyjną, w tym planów ciągłości działania oraz planów odtwarzania po awarii.

W praktyce oznacza to konieczność integracji systemu zarządzania bezpieczeństwem informacji z systemem zarządzania kryzysowego i zarządzania ciągłością działania, co stanowi istotne wyzwanie organizacyjne dla podmiotów publicznych.

NIS 2 i odpowiedzialność administracji publicznej

Dyrektywa NIS 2 w istotny sposób rozszerza zakres podmiotowy regulacji, wprowadzając podział na podmioty kluczowe oraz podmioty ważne. Kryterium objęcia regulacją nie ogranicza się jedynie do sektora prywatnego, lecz obejmuje szeroko administrację publiczną oraz podmioty realizujące zadania o znaczeniu publicznym. Do podmiotów objętych dyrektywą zaliczają się w szczególności organy administracji publicznej na poziomie centralnym i regionalnym, a także jednostki wykonujące zadania publiczne w sektorach uznanych za krytyczne dla funkcjonowania państwa i społeczeństwa.

Zakres przedmiotowy dyrektywy NIS 2 obejmuje m.in.: administrację rządową i samorządową, sektor transportu, energii, ochrony zdrowia, gospodarki wodnej, infrastrukturę cyfrową, usługi zaufania, a także inne podmioty świadczące usługi istotne dla bezpieczeństwa państwa, porządku publicznego i ciągłości funkcjonowania podstawowych usług społecznych. W przypadku administracji publicznej oznacza to objęcie obowiązkami regulacyjnymi nie tylko centralnych organów, lecz także podmiotów zależnych i jednostek realizujących zadania publiczne na poziomie lokalnym, o ile ich działalność ma istotne znaczenie dla funkcjonowania państwa lub regionu.

Wprowadzenie tak szerokiego zakresu podmiotowego znacząco wzmacnia rolę kierownictwa podmiotów publicznych w obszarze bezpieczeństwa informacji. Odpowiedzialność kierownictwa nie ogranicza się wyłącznie do zapewnienia zgodności formalnej z przepisami prawa, lecz obejmuje podejmowanie decyzji strategicznych dotyczących akceptowalnego poziomu ryzyka, alokacji zasobów oraz nadzoru nad skutecznością wdrożonych środków bezpieczeństwa. W tym kontekście system zarządzania bezpieczeństwem informacji staje się narzędziem realizacji odpowiedzialności zarządczej, umożliwiającym wykazanie zgodności z wymaganiami regulacyjnymi i zapewnienie audytowalności podejmowanych działań.

Przeprowadzone analizy wskazują, że skuteczne wdrożenie systemu zarządzania bezpieczeństwem informacji w administracji publicznej wymaga podejścia zintegrowanego, łączącego zarządzanie ryzykiem, ciągłość działania oraz reagowanie na incydenty w ramach jednego, spójnego systemu zarządczego. Dyrektywa NIS 2, w połączeniu z krajowymi regulacjami prawnymi oraz normami międzynarodowymi w zakresie bezpieczeństwa informacji, tworzy ramy prawne sprzyjające takiemu podejściu, jednocześnie stawiając przed podmiotami publicznymi wysokie wymagania dotyczące dojrzałości organizacyjnej i zarządczej.

Wnioski

Wnioski z przeprowadzonych analiz wskazują, że skuteczne wdrożenie systemu zarządzania bezpieczeństwem informacji w podmiotach publicznych wymaga nie tylko spełnienia formalnych wymogów prawnych, lecz także świadomego zaangażowania kierownictwa oraz integracji bezpieczeństwa informacji z procesami zarządczymi i strategicznymi organizacji.

Piśmiennictwo

1. Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. w  sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii, zmieniająca rozporządzenie (UE) nr 910/2014 oraz dyrektywę (UE) 2018/1972 (dyrektywa NIS 2).
2. Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (Dz.U. z późn. zm.).
3. PN-EN ISO/IEC 27001:2023-01 Technika informatyczna – Techniki bezpieczeństwa – Systemy zarządzania bezpieczeństwem informacji – Wymagania.
4. PN-EN ISO/IEC 27002:2023-01 Technika informatyczna – Techniki bezpieczeństwa – Zasady postępowania w zakresie zabezpieczeń informacji.
5. PN-EN ISO 22301:2020-04 Bezpieczeństwo i odporność – Systemy zarządzania ciągłością działania – Wymagania.

Przeczytaj również: System zarządzania bezpieczeństwem informacji w administracji publicznej