Art. 13. Dobrowolne przekazywanie informacji o cyberbezpieczeństwie

1. Podmiot kluczowy lub podmiot ważny mogą przekazywać do właściwego CSIRT MON, CSIRT NASK, CSIRT GOV lub CSIRT sektorowego informacje o:

1) innych incydentach;

2) cyberzagrożeniach;

3) wynikach szacowania ryzyka;

4) podatnościach;

5) potencjalnych zdarzeniach dla cyberbezpieczeństwa;

6) wykorzystywanych technologiach.

2. Informacje, o których mowa w ust. 1, są przekazywane w postaci elektronicznej za pomocą systemu teleinformatycznego, o którym mowa w art. 46 ust. 1, a w przypadku braku możliwości przekazania w postaci elektronicznej przy użyciu innych dostępnych środków komunikacji.

3. Podmiot kluczowy lub podmiot ważny oznacza informacje, o których mowa w ust. 1, stanowiące tajemnice prawnie chronione, w tym stanowiące tajemnicę przedsiębiorstwa.

Komentarz do Art. 13.

Przepis określa możliwość przekazywania informacji przez podmiot kluczowy lub podmiot ważny do właściwego CSIRT MON, CSIRT NASK, CSIRT GOV albo CSIRT sektorowego. Zakres tych informacji jest szeroki i obejmuje:

inne incydenty,
cyberzagrożenia,
wyniki szacowania ryzyka,
podatności,
potencjalne zdarzenia dla cyberbezpieczeństwa,
wykorzystywane technologie.

Użycie sformułowania „mogą przekazywać” wskazuje, że przepis tworzy podstawę do dobrowolnego udostępniania wymienionych informacji, a nie ustanawia w tym zakresie obowiązku. O tym, do którego zespołu CSIRT informacja może zostać skierowana, decyduje jego właściwość, przy czym przepis wymienia zarówno zespoły MON, NASK i GOV, jak i CSIRT sektorowy.

Podstawowym sposobem przekazywania informacji jest forma elektroniczna, za pomocą systemu teleinformatycznego, o którym mowa w art. 46 ust. 1. Jeżeli przekazanie informacji w ten sposób nie jest możliwe, można wykorzystać inne dostępne środki komunikacji. Rozwiązanie to pozwala zachować możliwość wymiany informacji także w razie niedostępności podstawowego kanału elektronicznego.

Jeżeli przekazywane informacje stanowią tajemnice prawnie chronione, podmiot przekazujący musi je odpowiednio oznaczyć. Dotyczy to również informacji stanowiących tajemnicę przedsiębiorstwa. Oznaczenie takich informacji jest elementem przekazania ich do właściwego zespołu CSIRT i obejmuje każdą informację objętą ochroną jako tajemnica prawnie chroniona.

Komentarz ma charakter informacyjny i nie stanowi porady prawnej.

Tekst przepisu: akt wydany przez SEJM, Dziennik Ustaw z 2018 r. poz. 1560.Indeks rzeczowy, tytuł redakcyjny i interpretacja przepisu: Kancelarium.

cyberbezpieczeństwo

Art. 12c.Art. 14.