Dostawca chmury a KSC — kto podlega?

Definicja dostawcy chmury w KSC

Dostawca chmury obliczeniowej jest zdefiniowany w art. 2 pkt 4e ustawy o KSC jako osoba fizyczna, osoba prawna albo jednostka organizacyjna nieposiadająca osobowości prawnej, która świadczy usługę umożliwiającą dostęp do skalowalnego i elastycznego zbioru zasobów obliczeniowych do wspólnego wykorzystywania przez wielu użytkowników. Definicja ta obejmuje trzy podstawowe modele usług chmurowych.

Podmiot kluczowy czy ważny?

Dostawca chmury obliczeniowej jest wymieniony w załączniku nr 1 do ustawy o KSC, w sektorze infrastruktury cyfrowej. Oznacza to, że duży przedsiębiorca świadczący usługi chmurowe jest podmiotem kluczowym (PK), a średni przedsiębiorca — podmiotem ważnym (PW). Co istotne, dostawca chmury może być podmiotem kluczowym niezależnie od wielkości, jeżeli zostanie wskazany decyzją organu właściwego (art. 5 ust. 1 pkt 4).

SaaS a chmura obliczeniowa

Nie każdy dostawca oprogramowania udostępnianego przez Internet (SaaS) jest dostawcą chmury obliczeniowej w rozumieniu KSC. Zgodnie z Q&A Ministerstwa Cyfryzacji (pkt 1.22), kluczowym kryterium jest to, czy usługa zapewnia użytkownikowi bezpośredni dostęp do skalowalnej i elastycznej puli zasobów obliczeniowych. Dostawca oprogramowania, który jedynie korzysta z chmury obliczeniowej innego podmiotu, ale sam nie udostępnia zasobów obliczeniowych, nie jest dostawcą chmury.

Rozporządzenie wykonawcze 2024/2690

Art. 8b ustawy o KSC nakłada na dostawców chmury obliczeniowej obowiązek stosowania środków zarządzania ryzykiem określonych w rozporządzeniu wykonawczym Komisji (UE) 2024/2690 z dnia 17 października 2024 r. Rozporządzenie to precyzuje wymogi techniczne i metodyczne dotyczące środków zarządzania ryzykiem w cyberbezpieczeństwie dla dostawców usług cyfrowych, w tym dostawców chmury.

• Dostawcy objęci art. 8b: DNS, rejestry TLD, dostawcy chmury, centra danych, CDN, dostawcy usług zarządzanych i zarządzanych w zakresie cyberbezpieczeństwa, platformy handlowe, wyszukiwarki, sieci społecznościowe
• Rozporządzenie 2024/2690 określa szczegółowe wymagania dotyczące polityk bezpieczeństwa, zarządzania incydentami, ciągłości działania i bezpieczeństwa łańcucha dostaw
• Pozostałe podmioty kluczowe i ważne stosują środki zarządzania ryzykiem określone w odrębnych aktach wykonawczych Komisji Europejskiej (art. 8b ust. 2)

Obowiązki dostawcy chmury

Dostawca chmury obliczeniowej, niezależnie od tego czy jest podmiotem kluczowym czy ważnym, podlega pełnemu katalogowi obowiązków z ustawy o KSC. Dodatkowo musi stosować wymogi rozporządzenia 2024/2690 w zakresie środków zarządzania ryzykiem.

1. Rejestracja w wykazie podmiotów kluczowych i ważnych — ze wskazaniem państw UE, w których świadczy usługi (art. 7a ust. 3 pkt 8).
2. Wdrożenie SZBI zgodnego z art. 8, z uwzględnieniem wymogów rozporządzenia 2024/2690 (art. 8b).
3. Szacowanie ryzyka dla infrastruktury chmurowej i świadczonych usług.
4. Raportowanie incydentów poważnych: wczesne ostrzeżenie 24h, zgłoszenie 72h, raport końcowy 1 miesiąc.
5. Szkolenie kierownika podmiotu z zakresu cyberbezpieczeństwa (art. 8e).
6. Audyt bezpieczeństwa co 3 lata dla PK (art. 15 ust. 1); PW — na żądanie organu (art. 15 ust. 1b).
7. Zarządzanie bezpieczeństwem łańcucha dostaw — w tym wobec poddostawców infrastruktury.

Pomagamy we wdrożeniu KSC od identyfikacji statusu po pełny audyt.