Definicja dostawcy chmury w KSC
Dostawca chmury obliczeniowej jest zdefiniowany w art. 2 pkt 4e ustawy o KSC jako osoba fizyczna, osoba prawna albo jednostka organizacyjna nieposiadająca osobowości prawnej, która świadczy usługę umożliwiającą dostęp do skalowalnego i elastycznego zbioru zasobów obliczeniowych do wspólnego wykorzystywania przez wielu użytkowników. Definicja ta obejmuje trzy podstawowe modele usług chmurowych. Więcej o obowiązkach dla całego sektora znajdziesz na stronie sektor ICT w KSC.
| Model | Opis | Przykłady |
|---|---|---|
| IaaS (Infrastructure as a Service) | Udostępnienie infrastruktury obliczeniowej: serwerów, pamięci masowej, sieci | AWS EC2, Azure Virtual Machines, Google Compute Engine |
| PaaS (Platform as a Service) | Udostępnienie platformy do tworzenia i uruchamiania aplikacji | AWS Elastic Beanstalk, Azure App Service, Google App Engine |
| SaaS (Software as a Service) | Udostępnienie gotowego oprogramowania przez Internet | Microsoft 365, Google Workspace, Salesforce |
Podmiot kluczowy czy ważny?
Dostawca chmury obliczeniowej jest wymieniony w załączniku nr 1 do ustawy o KSC, w sektorze infrastruktury cyfrowej. Oznacza to, że duży przedsiębiorca świadczący usługi chmurowe jest podmiotem kluczowym (PK), a średni przedsiębiorca — podmiotem ważnym (PW). Co istotne, dostawca chmury może być podmiotem kluczowym niezależnie od wielkości, jeżeli zostanie wskazany decyzją organu właściwego (art. 5 ust. 1 pkt 4).
| Wielkość przedsiębiorcy | Załącznik | Status w KSC |
|---|---|---|
| Duży (≥250 prac. lub (obrót > 50 mln EUR oraz bilans > 43 mln EUR)) | Załącznik nr 1 | Podmiot kluczowy (PK) |
| Średni (50–249 pracowników, obrót 10–50 mln EUR) | Załącznik nr 1 | Podmiot ważny (PW) |
| Mikro/Mały (< 50 pracowników, obrót < 10 mln EUR) | — | Co do zasady nie podlega, chyba że wskazany decyzją organu |
SaaS a chmura obliczeniowa
Nie każdy dostawca oprogramowania udostępnianego przez Internet (SaaS) jest dostawcą chmury obliczeniowej w rozumieniu KSC. Zgodnie z Q&A Ministerstwa Cyfryzacji (pkt 1.22), kluczowym kryterium jest to, czy usługa zapewnia użytkownikowi bezpośredni dostęp do skalowalnej i elastycznej puli zasobów obliczeniowych. Dostawca oprogramowania, który jedynie korzysta z chmury obliczeniowej innego podmiotu, ale sam nie udostępnia zasobów obliczeniowych, nie jest dostawcą chmury.
| Scenariusz | Czy dostawca chmury w rozumieniu KSC? |
|---|---|
| Firma udostępnia skalowalne zasoby IaaS/PaaS | Tak — klasyczny dostawca chmury |
| Firma oferuje SaaS i zarządza własną infrastrukturą chmurową | Tak — świadczy usługę chmury obliczeniowej |
| Firma oferuje SaaS, ale korzysta z chmury innego dostawcy (np. AWS), a dane przetwarzane on-premise u klienta | Nie — jest dostawcą oprogramowania, nie dostawcą chmury |
| Firma oferuje SaaS hostowany w całości na infrastrukturze innego dostawcy chmury | Wymaga indywidualnej analizy — zależy czy udostępnia zasoby obliczeniowe |
Rozporządzenie wykonawcze 2024/2690
Art. 8b ustawy o KSC nakłada na dostawców chmury obliczeniowej obowiązek stosowania środków zarządzania ryzykiem określonych w rozporządzeniu wykonawczym Komisji (UE) 2024/2690 z dnia 17 października 2024 r. Rozporządzenie to precyzuje wymogi techniczne i metodyczne dotyczące środków zarządzania ryzykiem w cyberbezpieczeństwie dla dostawców usług cyfrowych, w tym dostawców chmury.
- Dostawcy objęci art. 8b: DNS, rejestry TLD, dostawcy chmury, centra danych, CDN, dostawcy usług zarządzanych i zarządzanych w zakresie cyberbezpieczeństwa, platformy handlowe, wyszukiwarki, sieci społecznościowe
- Rozporządzenie 2024/2690 określa szczegółowe wymagania dotyczące polityk bezpieczeństwa, zarządzania incydentami, ciągłości działania i bezpieczeństwa łańcucha dostaw
- Pozostałe podmioty kluczowe i ważne stosują środki zarządzania ryzykiem określone w odrębnych aktach wykonawczych Komisji Europejskiej (art. 8b ust. 2)
Obowiązki dostawcy chmury
Dostawca chmury obliczeniowej, niezależnie od tego czy jest podmiotem kluczowym czy ważnym, podlega pełnemu katalogowi obowiązków z ustawy o KSC. Musi też uwzględniać ryzyka związane z korzystaniem z produktów dostawców wysokiego ryzyka. Dodatkowo musi stosować wymogi rozporządzenia 2024/2690 w zakresie środków zarządzania ryzykiem.
- Rejestracja w wykazie podmiotów kluczowych i ważnych — ze wskazaniem państw UE, w których świadczy usługi (art. 7 ust. 2 pkt 14 KSC).
- Wdrożenie SZBI zgodnego z art. 8, z uwzględnieniem wymogów rozporządzenia 2024/2690 (art. 8b).
- Szacowanie ryzyka dla infrastruktury chmurowej i świadczonych usług.
- Raportowanie incydentów poważnych: wczesne ostrzeżenie 24h, zgłoszenie 72h, raport końcowy 1 miesiąc.
- Szkolenie kierownika podmiotu z zakresu cyberbezpieczeństwa (art. 8e).
- Audyt bezpieczeństwa co 3 lata dla PK (art. 15 ust. 1); PW — na żądanie organu (art. 15 ust. 1b).
- Zarządzanie bezpieczeństwem łańcucha dostaw — w tym wobec poddostawców infrastruktury.