Ustawa o krajowym systemie cyberbezpieczeństwa a podmioty medyczne

Obowiązki operatorów usługi kluczowej

Wiedząc już, czy znajdujemy się w gronie podmiotów, które mają dużą szansę otrzymania odpowiedniej decyzji ministra zdrowia (jako właściwego w tym sektorze), wracamy do ustawy, aby sprawdzić, jakie warunki musi spełnić podmiot, który został zakwalifikowany jako dostawca usługi kluczowej. W tym celu należy się zapoznać z treścią rozdziału 3. Obowiązki operatorów usługi kluczowej, gdzie wśród bardzo licznych wymagań (zainteresowanych odsyłam do szczegółowego zapoznania się z treścią ustawy) oprócz oczywistych i wynikających z tzw. „dobrych praktyk” zarządzania systemem informatycznym znajdujemy:

Art. 8 p. 2 pp. e) objęcie systemu informacyjnego wykorzystywanego do świadczenia usługi kluczowej systemem monitorowania w trybie ciągłym;
Art. 8 p. 3) zbieranie informacji o zagrożeniach cyberbezpieczeństwa i podatnościach na incydenty systemu informacyjnego wykorzystywanego do świadczenia usługi kluczowej;
Art. 9. 1. Operator usługi kluczowej:
1) wyznacza osobę odpowiedzialną za utrzymywanie kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa;
2) zapewnia użytkownikowi usługi kluczowej dostęp do wiedzy pozwalającej na zrozumienie zagrożeń cyberbezpieczeństwa i stosowanie skutecznych sposobów zabezpieczania się przed tymi zagrożeniami w zakresie związanym ze świadczoną usługą kluczową, w szczególności przez publikowanie informacji na ten temat na swojej stronie internetowej;
Art. 10. 1. Operator usługi kluczowej opracowuje, stosuje i aktualizuje dokumentację dotyczącą cyberbezpieczeństwa systemu informacyjnego wykorzystywanego do świadczenia usługi...