Szanowni Państwo, Członkowie Izby,
do konsultacji publicznych skierowano projekt rozporządzenia Rady Ministrów w sprawie progów uznania incydentu za poważny. Projekt, przygotowany przez Ministerstwo Cyfryzacji, ma zastąpić obowiązujące rozporządzenie z 31 października 2018 r. i dostosować regulację do nowych wymagań wynikających z ustawy o krajowym systemie cyberbezpieczeństwa.
W załączeniu przekazujemy projekt rozporządzenia wraz z załącznikiem, uzasadnieniem oraz oceną skutków regulacji.
Prosimy o przesyłanie uwag do 25 września br., w formie edytowalnej, na adres: konsultacje@igwp.org.pl.
Określenie konkretnych progów ma przede wszystkim ułatwić podmiotom kluczowym i podmiotom ważnym ustalenie, kiedy incydent należy zakwalifikować jako poważny. Projektowane kryteria uwzględniają m.in. liczbę użytkowników objętych zakłóceniem, czas oddziaływania incydentu, jego zasięg geograficzny oraz inne czynniki charakterystyczne dla danego sektora lub podsektora.
Projekt ma szczególne znaczenie dla sektora wodociągowo-kanalizacyjnego, dla którego przewidziano odrębne progi zarówno dla zaopatrzenia w wodę pitną i jej dystrybucji, jak i zbiorowego odprowadzania ścieków. W uzasadnieniu wskazano, że określenie tych kryteriów pozwoli podmiotom z sektora wod.-kan. odpowiednio dostosować wewnętrzne procedury dotyczące identyfikacji i zgłaszania incydentów.
Projektowany załącznik do rozporządzenia Rady Ministrów określa progi, po przekroczeniu których incydent w poszczególnych sektorach i podsektorach uznawany jest za poważny. W przypadku sektora wodociągowo-kanalizacyjnego wskazano odrębne kryteria dla dostarczania wody oraz zbiorowego odprowadzania i oczyszczania ścieków.
Dostarczanie wody
Za poważny uznawany będzie incydent dotyczący dostarczania wody, jeżeli doprowadzi on do niedostępności usługi dla co najmniej 100 000 użytkowników przez okres powyżej 8 godzin.
Dodatkowo wymagane jest, aby incydent dotyczył terenu co najmniej dwóch gmin. Za poważny będzie uznawany również incydent, który spowoduje co najmniej jedną z określonych konsekwencji: śmierć człowieka, ciężki uszczerbek na zdrowiu, inny niż ciężki uszczerbek na zdrowiu więcej niż jednej osoby, straty finansowe przekraczające 2 mln zł albo ujawnienie tajemnicy prawnie chronionej, w tym tajemnicy przedsiębiorstwa.
Zbiorowe odprowadzanie ścieków
W przypadku incydentu dotyczącego odprowadzania ścieków próg poważnego incydentu określono na poziomie co najmniej 100 000 RLM, dla których usługa stała się niedostępna przez ponad 8 godzin.
Dodatkowym kryterium jest wystąpienie szkody w środowisku.
Oczyszczanie ścieków
Analogiczne kryteria zastosowano do incydentów dotyczących oczyszczania ścieków. Incydent uznaje się za poważny, jeżeli prowadzi do niedostępności usługi dla co najmniej 100 000 RLM przez ponad 8 godzin oraz powoduje szkodę w środowisku.
