Wzór planu ciągłości działania według ustawy o KSC (NIS2)

Sam wzór planu ciągłości działania nie wystarczy. Ustawa o KSC wymaga także działań rozłożonych w czasie: kierownik podejmuje decyzje w zakresie przeglądu i nadzoru SZBI (art. 8d), incydent poważny zgłasza się w dwóch krokach, najpóźniej 24 godziny i 72 godziny od wykrycia (art. 11 ust. 1 pkt 4 i 4a), a kierownik raz w roku kalendarzowym przechodzi szkolenie (art. 8e ust. 1). Plan Firma w SZBIhub możesz sprawdzić w ramach okresu próbnego.

W skrócie

• Plan ciągłości działania opisuje, jak organizacja utrzyma albo odtworzy usługi, gdy zawiodą systemy, dostawcy lub ludzie.
• Plany ciągłości działania wdraża, dokumentuje, testuje i utrzymuje podmiot kluczowy i podmiot ważny (art. 8 ust. 1 pkt 2 lit. f ustawy o KSC).
• Dokumentacja systemu zarządzania ciągłością działania jest częścią dokumentacji normatywnej podmiotu (art. 10 ust. 3 pkt 3).
• Wzór SZBIhub ma dwie części. Część I dotyczy ciągłości działania organizacji: cel i zakres, usługi krytyczne i parametry odtworzenia, środki ciągłości, uruchomienie planu i role, testowanie i utrzymanie. Część II dotyczy bezpieczeństwa łańcucha dostaw ICT i pojawia się, gdy organizacja ma dostawców.

Co plan musi zawierać według ustawy

1. Plany ciągłości działania. Plany mają umożliwiać ciągłe i niezakłócone świadczenie usługi oraz zapewniać poufność, integralność, dostępność i autentyczność informacji (art. 8 ust. 1 pkt 2 lit. f ustawy o KSC).
2. Plany awaryjne i plany odtworzenia. Ten sam przepis wymaga planów awaryjnych oraz planów odtworzenia działalności po zdarzeniu, które spowodowało straty przekraczające zdolności odbudowy własnymi środkami.
3. Cztery czynności. Plany się wdraża, dokumentuje, testuje i utrzymuje.
4. Dokumentacja. Dokumentacja systemu zarządzania ciągłością działania stanowi część dokumentacji normatywnej (art. 10 ust. 3 pkt 3).

Kontekst dyrektywy, a nie wymóg ustawy: art. 21 ust. 2 lit. c dyrektywy (UE) 2022/2555 wymienia tu wprost kopie zapasowe, przywracanie normalnego działania i zarządzanie kryzysowe. Parametry odtworzenia, takie jak RTO i RPO, to dobra praktyka zarządzania ciągłością działania (ISO 22301). Ustawa pozostawia ich dobór organizacji.

Jak podejść do ciągłości działania w małej firmie, opisuje artykuł Ciągłość działania. Ta strona pokazuje sam dokument.

Fragment wzoru

Poniżej dosłowny fragment sekcji „Cel i zakres” z wzoru planu ciągłości działania SZBIhub. Pole w nawiasie kwadratowym w wygenerowanym dokumencie wypełniają dane organizacji.

Podstawa prawna: art. 8 ust. 1 pkt 2 lit. f oraz art. 10 ust. 3 pkt 3 ustawy o KSC.

Organizacja [nazwa organizacji] wdraża, dokumentuje, testuje i utrzymuje plany ciągłości działania umożliwiające ciągłe i niezakłócone świadczenie usługi oraz zapewniające poufność, integralność, dostępność i autentyczność informacji, a także plany awaryjne i plany odtworzenia działalności po zdarzeniu, które spowodowało straty przekraczające zdolności odbudowy własnymi środkami (art. 8 ust. 1 pkt 2 lit. f ustawy o KSC). Niniejszy dokument stanowi dokumentację systemu zarządzania ciągłością działania, będącą częścią dokumentacji normatywnej podmiotu (art. 10 ust. 3 pkt 3 ustawy o KSC).

Kontekst unijny: odpowiadający temu obowiązkowi przepis dyrektywy (UE) 2022/2555 (art. 21 ust. 2 lit. c) wymienia wprost kopie zapasowe, przywracanie normalnego działania i zarządzanie kryzysowe - dyrektywa stanowi tu kontekst interpretacyjny, podstawą obowiązku jest ustawa o KSC.

Część I planu (sekcje: usługi krytyczne, środki ciągłości, uruchomienie, testowanie) dotyczy ciągłości działania organizacji. Część II (sekcje o łańcuchu dostaw) dotyczy bezpieczeństwa i ciągłości łańcucha dostaw ICT (art. 8 ust. 1 pkt 2 lit. e ustawy o KSC).

Jak dopasować wzór do firmy

1. Wypisz usługi krytyczne. Wzór pyta o usługi i procesy, których przerwa najbardziej zaszkodzi klientom. Zacznij od dwóch lub trzech, nie od całej firmy.
2. Ustal docelowy czas przywrócenia. Wzór zapisuje RTO w godzinach od stwierdzenia niedostępności. Wartość jest decyzją organizacji, nie wymogiem ustawowym, więc wybierz taką, którą da się dotrzymać.
3. Sprawdź zasoby. Systemy, dane, sprzęt, usługi zewnętrzne i osoby niezbędne do usług krytycznych wskazuje rejestr aktywów (aktywa o wysokiej krytyczności).
4. Zaplanuj test. Wpisz, kiedy i jak plan zostanie przetestowany, i zapisz wynik. Test, który ujawnił problem, jest wartościowym zapisem.
5. Wygeneruj dokument na danych organizacji. Dokument stanowi wzór wspierający realizację danego obowiązku i wymaga dostosowania do organizacji. W SZBIhub plan Firma zaczyna się od 14 dni bezpłatnie, bez podawania karty. W okresie próbnym PDF ma znak wodny SPECIMEN, a plik DOCX do edycji jest dostępny po opłaceniu planu Firma.