- Rejestracja w S46
Złożenie wniosku o wpis do Wykazu KSC na rządowej platformie wykaz-ksc.gov.pl to proces o charakterze modułowym, wymagający zasilenia systemu zweryfikowanymi danymi z kilku odrębnych sekcji formularza.
Z perspektywy kadry zarządzającej kluczowe jest zrozumienie, że rejestracja w Systemie S46 nie jest wyłącznie formalnością administracyjną. Ze względu na rygor odpowiedzialności karnej oraz powiązanie z systemem operacyjnym S46 Cyber Hub, proces ten wymaga ścisłej koordynacji obszarów prawnych, compliance oraz technicznych jeszcze przed rozpoczęciem wypełniania wniosku.
- Autoklasyfikacja działalności jako punkt wyjścia
Pierwszym i najbardziej fundamentalnym etapem prac jest przeprowadzenie rzetelnej autoklasyfikacji działalności przedsiębiorstwa. Aktualne wytyczne wskazują, że weryfikacji podlega działalność faktycznie wykonywana przez podmiot, a nie wyłącznie formalny zakres ujawniony w rejestrach takich jak KRS czy CEIDG.
W praktyce wykonywanie działalności objętej przepisami może skutkować objęciem organizacji obowiązkami wynikającymi z ustawy o KSC. Każdy przypadek wymaga jednak indywidualnej analizy, w szczególności w organizacjach wielobranżowych oraz strukturach grupowych.
Od tej zasady ustawodawca przewidział również odrębne podejście do niektórych sektorów, w szczególności związanych z gospodarką wodno-ściekową oraz gospodarowaniem odpadami, gdzie kwalifikacja działalności może podlegać szczególnym zasadom oceny.
Równolegle należy zidentyfikować właściwy organ ds. cyberbezpieczeństwa oraz sprawdzić ewentualne obowiązki wynikające z rejestrów działalności regulowanej właściwych dla danego sektora.
- Organizacja procesu wewnętrznego i pełnomocnictwa
Drugim krytycznym obszarem przygotowań jest organizacja procesu wewnętrznego. W wielu firmach przyjmuje się model, w którym dział IT przygotowuje dane, a zarząd jedynie zatwierdza dokumentację.
W przypadku Systemu S46 należy uwzględnić, że wniosek jest składany i podpisywany przez konkretną osobę fizyczną działającą w imieniu podmiotu, co w praktyce wymaga odpowiedniego umocowania oraz spójnego procesu decyzyjnego.
Jeżeli organizacja decyduje się na delegowanie czynności na pełnomocnika (np. dyrektora IT, CISO lub doradcę zewnętrznego), konieczne jest zapewnienie odpowiedniego umocowania obejmującego zakres obsługi Wykazu KSC. Do wniosku dołącza się wówczas dokument pełnomocnictwa w formie elektronicznej.
System S46 przewiduje obsługę dokumentów podpisanych kwalifikowanym podpisem elektronicznym, podpisem zaufanym, podpisem osobistym lub kwalifikowaną pieczęcią elektroniczną osób uprawnionych do reprezentacji.
W praktyce oznacza to konieczność zapewnienia, aby dokument pełnomocnictwa spełniał wymagania techniczne systemu – w przeciwnym razie może pojawić się konieczność jego uzupełnienia.
Wyjątek od obowiązku załączania pełnomocnictwa dotyczy sytuacji, gdy umocowanie wynika bezpośrednio z wpisu do CEIDG lub KRS (np. prokurent).
Należy również uwzględnić obowiązki o charakterze fiskalnym, w szczególności w zakresie opłaty skarbowej za udzielenie pełnomocnictwa. Choć system S46 nie weryfikuje tego automatycznie na etapie składania wniosku, jej prawidłowe rozliczenie powinno zostać ujęte w dokumentacji wewnętrznej organizacji.
- Dane techniczne
Po uregulowaniu kwestii formalno-prawnych i umocowań, kolejnym etapem jest przygotowanie danych technicznych.
Formularz wymaga wskazania zakresów publicznych adresów IP oraz nazw domenowych wykorzystywanych przez podmiot. W tym samym obszarze należy zidentyfikować dostawców usług zarządzanych (MSP) oraz dostawców usług bezpieczeństwa (MSSP), co ma znaczenie z perspektywy analizy łańcucha dostaw ICT.
Dodatkowo organizacja może być zobowiązana do przekazania informacji o uczestnictwie w systemach wymiany informacji o zagrożeniach cyberbezpieczeństwa, jeśli takie mechanizmy są stosowane.
- Struktura operacyjna i dostęp do Systemu S46
Ostatnim filarem przygotowań jest struktura organizacyjno-operacyjna.
Formularz wymaga wskazania osób odpowiedzialnych za kontakt operacyjny w sytuacjach incydentowych oraz osoby pełniącej funkcję administratora konta w Systemie S46.
Na wskazany adres e-mail przypisany do administratora konta przekazywane są dane dostępowe do platformy S46 Cyber Hub po zatwierdzeniu wpisu przez właściwy organ. Błędne lub nieaktualne dane w tym zakresie mogą opóźnić proces nadania dostępu i utrudnić realizację obowiązków operacyjnych wynikających z ustawy.
- Podsumowanie – przygotowanie przed złożeniem wniosku
Dopiero skonsolidowanie wszystkich powyższych elementów pozwala na bezpieczne i poprawne przejście do etapu złożenia wniosku w Systemie S46.
W praktyce oznacza to, że przygotowanie do wpisu do Wykazu KSC powinno być traktowane jako projekt międzyfunkcyjny – łączący prawo, IT, bezpieczeństwo informacji oraz zarządzanie ryzykiem.
W kolejnej części cyklu omówimy sam proces technicznego składania wniosku w systemie S46 oraz najczęstsze błędy, które pojawiają się na etapie rejestracji.
#NIS2 #Cyberbezpieczeństwo #KSC #SystemS46 #Compliance #ZarządzanieRyzykiem #CISO #PrawoIT #Zarząd
Autor:
Jakub Betka,
Ekspert ds. Cyberbezpieczeństwa i bezpieczeństwa informacji
