Dostawca usług zarządzanych w zakresie cyberbezpieczeństwa

Dostawca usług zarządzanych w zakresie cyberbezpieczeństwa to podmiot, który zawodowo świadczy usługi związane z zarządzaniem ryzykiem w cyberbezpieczeństwie albo wspiera inne podmioty w realizacji takich działań. Pojęcie to ma ustawową definicję w ustawie „Krajowy system cyberbezpieczeństwa” i obejmuje trzy kategorie podmiotów: osoby fizyczne, osoby prawne oraz jednostki organizacyjne nieposiadające osobowości prawnej.

Istotą tej definicji jest charakter świadczonych usług, a nie sama forma prawna usługodawcy. Aby uznać dany podmiot za dostawcę, jego działalność powinna polegać na wykonywaniu lub wspieraniu działań służących rozpoznawaniu, ograniczaniu albo obsłudze ryzyka dotyczącego cyberbezpieczeństwa. Chodzi więc o usługi, które pomagają chronić systemy informacyjne i reagować na zagrożenia związane z ich funkcjonowaniem.

Ustawa wskazuje przykładowe rodzaje takich usług. Należą do nich między innymi obsługa incydentów, czyli działania związane z reagowaniem na zdarzenia naruszające lub mogące naruszać bezpieczeństwo, testy bezpieczeństwa, audyty systemów informacyjnych oraz doradztwo. Katalog ten pokazuje, że dostawca może zarówno bezpośrednio realizować określone czynności, jak i zapewniać wsparcie przy ich wykonywaniu. O zakwalifikowaniu działalności decyduje zatem jej związek z zarządzaniem ryzykiem w cyberbezpieczeństwie.

W praktyce pojęcie służy do wskazania podmiotów oferujących wyspecjalizowane wsparcie w ochronie systemów informacyjnych, ocenie ich bezpieczeństwa oraz reagowaniu na incydenty. Ma znaczenie przy ustalaniu, czy konkretny usługodawca mieści się w zakresie podmiotowym przepisów posługujących się tym określeniem. Dzięki temu możliwe jest odróżnienie usług zarządzanych w zakresie cyberbezpieczeństwa od usług, które nie dotyczą zarządzania ryzykiem cyberbezpieczeństwa, mimo że mogą być świadczone w obszarze technologii informacyjnych.