uKSC

KSC technicznie

Środki techniczne z art. 8 ust. 1 zestawione z wymogami załącznika nr 4. Puste miejsce po prawej oznacza, że załącznik takiego wymogu nie stawia.

Art. 8 — środki techniczne
Załącznik nr 4

Art. 8 ust. 1 dotyczy podmiotu kluczowego i podmiotu ważnego. Podmioty z sektora bankowości i infrastruktury rynków finansowych stosują z art. 8 głównie szacowanie ryzyka (ust. 1 pkt 1) i cyberhigienę (ust. 1 pkt 2 lit. j).

Podmiot ważny będący podmiotem publicznym nie stosuje ust. 1. Z art. 8 ust. 3 prowadzi system według załącznika nr 4. To samo dotyczy części uczelni, gdy realizują zadania publiczne i w tym zakresie nie są organizacją badawczą.

ust. 1 pkt 2 lit. m

Zarządzanie aktywami

Zarządzanie aktywami wykorzystywanymi w systemie informacyjnym, w tym oprogramowaniem.

część I pkt 1–2

Inwentaryzacja ICT

  • pkt 1 — inwentaryzacja produktów ICT, usług ICT i procesów ICT służących do przetwarzania informacji;
  • pkt 2 — kontrola podstawowych wersji produktów lub usług ICT oraz, jeżeli to możliwe, kontrola ich instalacji, także na urządzeniach mobilnych.
ust. 1 pkt 2 lit. g

Monitorowanie ciągłe

System informacyjny wykorzystywany do świadczenia usługi jest objęty monitorowaniem w trybie ciągłym.

część I pkt 16

Wersje bez krytycznych podatności

Stabilne wersje produktów lub usług ICT, co do których nie ma informacji o krytycznych podatnościach. Gdy taka informacja jest, wersja nie może istotnie obniżać bezpieczeństwa systemów.

ust. 1 pkt 5 lit. b

Aktualizacje oprogramowania

Regularne aktualizacje według zaleceń producenta, z analizą wpływu na bezpieczeństwo usługi i z uwzględnieniem krytyczności aktualizacji.

ust. 1 pkt 5 lit. a

Kopie zapasowe

Mechanizm zapewniający dostępność danych przetwarzanych w systemie informacyjnym.

część I pkt 10–11

Zapasowe kopie danych

  • pkt 10 — zapasowe kopie danych odseparowane logicznie i fizycznie od danych przetwarzanych przy realizacji zadania publicznego;
  • pkt 11 — test kompletności i możliwości odtworzenia danych z tych kopii.
ust. 1 pkt 5 lit. a

Poufność, integralność, autentyczność

Mechanizmy zapewniające te właściwości danych przetwarzanych w systemie informacyjnym.

część I

Ochrona urządzeń i antywirus

  • pkt 3 lit. b — ochrona programowa albo sprzętowa urządzeń przetwarzających informacje;
  • pkt 13 — stosowanie oprogramowania antywirusowego.
ust. 1 pkt 5 lit. c

Ochrona przed nieuprawnioną modyfikacją

Ochrona systemu informacyjnego przed nieuprawnioną modyfikacją.

ust. 1 pkt 2 lit. k

Kryptografia i szyfrowanie

Stosowanie kryptografii, w tym szyfrowania, gdy jest to stosowne.

ust. 1 pkt 2 lit. l

Bezpieczna komunikacja i MFA

Bezpieczne środki komunikacji elektronicznej w krajowym systemie cyberbezpieczeństwa oraz wewnątrz podmiotu, z uwierzytelnianiem wieloskładnikowym, gdy jest to stosowne.

część I pkt 9

Kontrola poczty elektronicznej

Kontrola usług poczty elektronicznej mechanizmami z art. 24 ustawy o zwalczaniu nadużyć w komunikacji elektronicznej.

ust. 1 pkt 2 lit. n

Kontrola dostępu

Kontrola dostępu do systemów informacyjnych i przetwarzanych w nich danych.

część I pkt 4–7

Uprawnienia

  • pkt 4 — dostęp tylko dla osób uprawnionych oraz środki uniemożliwiające dostęp nieautoryzowany;
  • pkt 5 — minimalne uprawnienia potrzebne do zadań;
  • pkt 6 — cofnięcie uprawnień przy braku podstawy albo zawieszenie, gdy obowiązków nie wykonuje się co najmniej przez miesiąc;
  • pkt 7 — zmiana uprawnień, gdy zmieniają się zadania albo zakres dostępu.

Art. 8 ust. 1 i załącznik nr 4 ustawy o krajowym systemie cyberbezpieczeństwa, w brzmieniu uwzględniającym ustawę z dnia 23 stycznia 2026 r. (Dz.U. poz. 252).