Obowiązki wynikające z ustawy o Krajowym Systemie Cyberbezpieczeństwa oraz z RODO związane z niepożądanym zdarzeniem mogą się przenikać. Często o incydencie należy też zawiadomić organy ścigania. Na ten temat dyskutowali w poniedziałek uczestnicy jednego z paneli na konferencji „NIS2 i RODO w praktyce”.
Konferencję zorganizował Urząd Ochrony Danych Osobowych. Jeden z paneli dotyczył incydentów na gruncie RODO oraz ustawy o krajowym systemie cyberbezpieczeństwa (KSC), która implementowała w Polsce dyrektywę NIS2. Wprowadza ona obowiązek informowania o określonych zdarzeniach odpowiedni CSIRT, czyli Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego. Dotyczy on podmiotów zaliczanych do tzw. ważnych lub kluczowych.
Maciej Siciarek, dyrektor pionu CSIRT w NASK, mówił, że często zdarzenie kwalifikowane jako incydent poważny na gruncie ustawy o KSC wiąże się z naruszeniem ochrony danych osobowych.
– Czyli jeżeli zgłoszę incydent poważny na gruncie KSC do państwa, to państwo mnie zapytacie, czy zgłosiłem to do Urzędu Ochrony Danych Osobowych, bo tam widać dane osobowe? – pytał prowadzący panel dr Mirosław Gumularz, przewodniczący Społecznego Zespołu Ekspertów przy prezesie UODO.
– Nie musimy, ale zapytamy. Nasz pierwotny porządek to jest KSC. Natomiast my pytamy też znacznie szerzej, czy było zgłoszenie już na policję, czy były jakieś inne działania. Co więcej, pytamy też, czy dana organizacja potrzebuje jakichś podstawowych informacji i rad, jeżeli chodzi o komunikowanie, gdy zdarza się większy wyciek związany z danymi klientów. Chociaż teoretycznie wykracza to poza nasze obowiązki ustawowe, można na nas liczyć w tym zakresie – mówi dyrektor.
Jak doprecyzował, atak DDoS na systemy, w którym nie dochodzi do zagrożenia dla konkretnych danych osobowych, to po prostu incydent na gruncie KSC. Gdy jednak na skutek ataku ransomware nastąpi wyciek albo zaszyfrowanie tych danych, mamy skrzyżowanie naruszenia RODO i KSC.
– Ale jeżeli zgłoszę do państwa incydent poważny na gruncie KSC, to państwo nie przekazujecie bezpośrednio do UODO tej informacji, tylko poinformujecie mnie, żebym jeszcze do Urzędu się zgłosił? – pytał prowadzący.
– Obowiązek zgłoszenia leży wyłącznie po stronie tego, w czyjej infrastrukturze doszło do zdarzenia – uściślił dyrektor Siciarek. – Nie zmienia to faktu, że w trakcie analizy obsługi incydentu dochodzi do różnych kontaktów. Na przykład w art. 34 ust. 2 ustawy o KSC mamy wprost przewidziane, że CSIRT-y poziomu krajowego oraz sektorowe, koordynując obsługę incydentu, który doprowadził do naruszenia ochrony danych osobowych, współpracują z organem właściwym do spraw ochrony danych osobowych. W związku z tym to nie jest nasz obowiązek, ale my nie zamiatamy takich rzeczy pod dywan i współpracujemy z właściwym organem, czyli z UODO – podsumował dyrektor.
Uczestnicy wspominali też o planach uruchomienia w ramach systemu S46 tzw. jednego okienka, które pozwoli jednym zgłoszeniem poinformować o tym samym zdarzeniu różne potencjalnie zainteresowane nim instytucje, jak CSIRT, UODO i policja.
Dr hab. Agnieszka Gryszczyńska, prof. UKSW, dyrektor Departamentu ds. Cyberprzestępczości i Informatyzacji w Prokuraturze Krajowej, zwróciła uwagę, że bardzo często w dyskusji na temat obowiązków zgłaszania incydentów bądź naruszeń pomijane jest składanie zawiadomień o podejrzeniu popełnienia przestępstwa.
Wyjaśniła, że w przypadku osoby fizycznej zgłoszenie zdarzenia organom ścigania będzie obowiązkiem społecznym, natomiast jego naruszenie z reguły nie grozi prokuratorskimi zarzutami. Kodeks karny przewiduje odpowiedzialność za niezłożenie zawiadomienia, ale dotyczy to najpoważniejszych przestępstw, np. zabójstwa. Na liście nie ma czynów, które można przyporządkować do kategorii incydentów KSC czy naruszeń ochrony danych osobowych.
– Natomiast dla instytucji państwowych i samorządowych mamy w zakresie przestępstw ściganych z urzędu prawny obowiązek zawiadomienia w określonych sytuacjach. Jeżeli ktoś był prawnie zobowiązany, ale tego nie zrobił, to może podlegać odpowiedzialności karnej za niedopełnienie określonych obowiązków. Czyli do tego przecięcia reżimów KSC i RODO najczęściej dochodzi jeszcze trzeci element, czyli kodeks karny bądź inna ustawa, która wprowadza odpowiedzialność karną – mówiła prof. Gryszczyńska.
Oceniła, że przestępstwem będzie zawsze DDoS (nawet jeśli nie jest naruszeniem ochrony danych osobowych) oraz ransomware, a także wyciek danych. Obecnie penalizowane są także smishing i spoofing, czyli oszustwa popełniane na odległość, związane z podszywaniem się pod inną osobę lub instytucję. – Przestępstwem jest samo wysłanie SMS-a bądź maila z linkiem. Nawet jeśli nikt nie da się nabrać i nie kliknie, to pojawia się odpowiedzialność karna – oceniła ekspertka.
Zobacz w LEX: Biblioteka promptów w duchu legal design, czyli jak zaangażować sztuczną inteligencję do optymalizacji doświadczeń klienta? >
Małgorzata Kozak, dyrektor Departamentu Rozwoju Rynków i Spraw Konsumenckich w Urzędzie Regulacji Energetyki, zwróciła jednak uwagę na bardzo niski poziom wiedzy w zakresie nowych obowiązków, co omówiła na przykładzie energetyki.
6 tys. podmiotów-wytwórców jest zobowiązanych do przekazywania planów pracy, a ponad 800 wezwań musiało wyjść z urzędu, żeby niektórzy w ogóle zaczęli cokolwiek robić. Część w ogóle się wtedy dowiedziała, że ma jakiś obowiązek. Chciałabym wiedzieć, ilu już zgłosiło się jako podmioty kluczowe albo ważne – mówiła dyrektor.
– Część z nich nie ma kompletnej świadomości, że na przykład profile zużycia to dane osobowe, że geolokalizacja punktów poboru energii elektrycznej to dane osobowe. Są podmioty na rynku, które działają w sposób beztroski, i o ile jeszcze mogą mieć świadomość, że nastąpiły jakieś incydenty i trzeba zgłosić to do CSIRT sektorowego, o tyle większość z nich nie ma świadomości, że może dojść do wycieku danych w rozumieniu RODO – dodała.
Linki w tekście artykułu mogą odsyłać bezpośrednio do odpowiednich dokumentów w programie LEX. Aby móc przeglądać te dokumenty, konieczne jest zalogowanie się do programu. Dostęp do treści dokumentów LEX jest zależny od posiadanych licencji.
