Art. 14. Struktury cyberbezpieczeństwa lub usługi zarządzane

Podmiot kluczowy lub podmiot ważny w celu realizacji zadań, o których mowa w art. 8 oraz w art. 9–13, powołuje wewnętrzne struktury odpowiedzialne za cyberbezpieczeństwo lub zawiera umowę z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa.

Komentarz do Art. 14.

Przepis określa sposób organizacyjnego zapewnienia realizacji zadań związanych z cyberbezpieczeństwem przez podmioty kluczowe i podmioty ważne. Podmioty te są zobowiązane do podjęcia jednego z dwóch działań: powołania wewnętrznych struktur odpowiedzialnych za cyberbezpieczeństwo albo zawarcia umowy z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa.

Wewnętrzne struktury mogą oznaczać wyodrębnione w ramach danego podmiotu rozwiązania organizacyjne, którym przypisano odpowiedzialność za cyberbezpieczeństwo. Alternatywą jest skorzystanie z usług zewnętrznego dostawcy na podstawie umowy. Przepis nie wskazuje szczegółowej formy ani składu struktur wewnętrznych i nie określa treści umowy z dostawcą, lecz wyznacza dwa dopuszczalne modele organizacji tych zadań.

Obowiązek ten służy realizacji zadań, o których mowa w art. 8 oraz w art. 9-13. Oznacza to, że odpowiedzialność za cyberbezpieczeństwo ma zostać przypisana konkretnym strukturom działającym wewnątrz podmiotu albo podmiotowi zewnętrznemu wykonującemu usługi zarządzane. Rozwiązanie to porządkuje sposób wykonywania zadań i wskazuje, że podmiot kluczowy lub podmiot ważny nie powinien pozostawiać ich bez określonego zaplecza organizacyjnego. Jednocześnie przepis pozostawia wybór modelu organizacyjnego, umożliwiając realizację zadań własnymi zasobami albo przy wykorzystaniu dostawcy usług zarządzanych.

Komentarz ma charakter informacyjny i nie stanowi porady prawnej.

Tekst przepisu: akt wydany przez SEJM, Dziennik Ustaw z 2018 r. poz. 1560.Indeks rzeczowy, tytuł redakcyjny i interpretacja przepisu: Kancelarium.

cyberbezpieczeństwo

Art. 13.Art. 15.