Zasada niezależności systemów
Art. 5 ust. 6 i 7 ustawy o KSC wprowadza istotny wyjątek od zasady klasyfikacji na podstawie progów wielkościowych. Jeżeli podmiot spełnia wymogi do uznania za podmiot kluczowy lub ważny wyłącznie dlatego, że przekracza kryteria wielkościowe po uwzględnieniu przedsiębiorstw powiązanych lub partnerskich, ale jego system informacyjny jest niezależny od systemów tych przedsiębiorstw lub nie świadczy on usług wspólnie z nimi — nie jest podmiotem kluczowym ani ważnym.
Warunki wyłączenia
Aby wyłączenie miało zastosowanie, musi być spełniony co najmniej jeden z dwóch warunków:
- System informacyjny podmiotu jest niezależny od systemów informacyjnych jego przedsiębiorstw powiązanych lub partnerskich — tj. do świadczenia usług przez podmiot nie jest konieczne działanie podmiotu powiązanego czy partnerskiego, a systemy mogą być zastąpione w akceptowalnym czasie i kosztach.
- Podmiot nie świadczy usług wspólnie z przedsiębiorstwami powiązanymi lub partnerskimi — tj. podmioty nie dzielą między sobą zakresu obowiązków związanych z tą samą usługą podlegającą KSC.
Jak udokumentować niezależność
Jeżeli podmiot powołuje się na wyjątek niezależności systemów, powinien należycie udokumentować tę okoliczność. W przypadku kontroli organu właściwego trzeba będzie wykazać, że systemy informacyjne są faktycznie niezależne.
- Przygotuj dokumentację techniczną potwierdzającą odrębność infrastruktury IT.
- Opisz brak zależności operacyjnych od systemów przedsiębiorstw powiązanych.
- Udokumentuj, że usługi objęte KSC nie są świadczone wspólnie z grupą kapitałową.
- Zachowaj dokumentację na wypadek czynności sprawdzających organu właściwego (art. 7k).
Praktyczne wymagania niezależności infrastruktury
Aby wykazać niezależność systemów informacyjnych w praktyce, podmiot powinien spełniać konkretne wymagania techniczne i organizacyjne dotyczące separacji infrastruktury. Niezależność oznacza, że systemy informatyczne podmiotu mogą funkcjonować autonomicznie — bez konieczności korzystania z zasobów, sieci lub usług IT przedsiębiorstw powiązanych lub partnerskich. W szczególności dotyczy to segmentacji sieci, odrębności serwerów, niezależnych systemów kopii zapasowych oraz własnych mechanizmów uwierzytelniania i zarządzania tożsamością.
- Segmentacja sieci — systemy informatyczne podmiotu muszą działać w odrębnych segmentach sieciowych, fizycznie lub logicznie oddzielonych od sieci przedsiębiorstw powiązanych (np. osobne VLAN-y, firewalle, odrębne domeny Active Directory)
- Separacja systemów — serwery, bazy danych i aplikacje krytyczne dla świadczenia usług objętych KSC nie mogą być współdzielone z podmiotami powiązanymi ani hostowane na ich infrastrukturze
- Niezależność operacyjna — podmiot musi dysponować własnym zespołem IT lub niezależnym dostawcą usług zarządzanych (MSP), który nie jest jednocześnie dostawcą dla podmiotu powiązanego w zakresie tych samych usług
- Odrębne mechanizmy bezpieczeństwa — własne systemy backupu, monitoringu, zarządzania incydentami i odzyskiwania po awarii (disaster recovery), niezależne od grupy kapitałowej
Dostawca wysokiego ryzyka a niezależność
Kwestia niezależności systemów informacyjnych zyskuje dodatkowy wymiar w kontekście przepisów o dostawcach wysokiego ryzyka (art. 67a–67c ustawy o KSC). Jeżeli podmiot powiązany korzysta z produktów ICT, usług ICT lub procesów ICT dostawcy uznanego za dostawcę wysokiego ryzyka, a systemy nie są niezależne — ryzyko to może rozciągać się na cały łańcuch powiązanych podmiotów. Dlatego przy ocenie niezależności systemów należy uwzględnić również, czy infrastruktura podmiotu nie jest pośrednio zależna od dostawcy wysokiego ryzyka poprzez systemy przedsiębiorstwa powiązanego.
Łańcuch dostaw ICT a niezależność systemów
Art. 8 ust. 1 pkt 2 lit. e ustawy o KSC nakłada na podmioty kluczowe i ważne obowiązek uwzględnienia w procesie szacowania ryzyka bezpieczeństwa łańcucha dostaw — zależności od dostawców sprzętu i oprogramowania. W kontekście niezależności systemów przepis ten ma szczególne znaczenie — podmiot powołujący się na wyjątek z art. 5 ust. 6 powinien wykazać, że jego łańcuch dostaw ICT jest niezależny od łańcucha dostaw przedsiębiorstw powiązanych. Obejmuje to analizę, czy kluczowe komponenty infrastruktury (sprzęt sieciowy, systemy operacyjne, oprogramowanie bezpieczeństwa) nie są dostarczane i zarządzane przez ten sam podmiot co w przypadku przedsiębiorstwa powiązanego. Zgodność tych ustaleń można potwierdzić w ramach audytu bezpieczeństwa KSC.