10 mln zł na nowy zespół cyberbezpieczeństwa. Pomysł rządu poruszył branżę

• Ministerstwo Cyfryzacji tworzy nową jednostkę odpowiedzialną za cyberbezpieczeństwo - CSIRT Cyfra. Rząd tylko w tym roku zapłaci za niego 10 mln zł.
• Ogłoszenie MC wzbudziło jednak kontrowersje w branży. Pojawiły się pytania o likwidację zespołu reagowania na incydenty bezpieczeństwa komputerowego w NASK, czyli podległym resortowi instytucie badawczym.
• MC dementuje. Jak dowiedział się WNP, nowy zespół ma powstać na bazie dzisiejszego departamentu cyberbezpieczeństwa w resorcie. Ma mieć też inne zadania niż NASK.

Ministerstwo Cyfryzacji ogłosiło powstanie nowego zespołu cyberbezpieczeństwa - CSIRT Cyfra. Jego zadaniem będzie monitorowanie zagrożeń w sieci, reagowanie na cyberataki oraz wsparcie instytucji cyfrowych.

Opublikowany w środę lakoniczny komunikat resortu wzbudził jednak wiele kontrowersji w branży. Tuż po ogłoszeniu rozmawialiśmy z kilkoma ekspertami ds. cyberbezpieczeństwa. Zwracali między innymi uwagę na to, że taka jednostka jest w podległym MC instytucie badawczym NASK. Część przyznawała, że to niepotrzebne mnożenie zespołów.

Sprawę publicznie komentował np. Adam Haertle, autor serwisu ZaufanaTrzeciaStrona.pl.

Nie ma planów likwidacji CERT Polska w NASK

Poprosiliśmy o dodatkowe wyjaśnienia Ministerstwo Cyfryzacji. Według resortu CSIRT Cyfra to tzw. sektorowy zespół cyberbezpieczeństwa, który ma zajmować się ochroną sektora infrastruktury cyfrowej. Chodzi o podmioty takie jak operatorzy DNS, punkty wymiany ruchu internetowego (IXP), czy rejestry domen.

Jak zapewnia nas Marek Gieorgica, dyrektor biura komunikacji resortu, nie ma planów likwidacji CERT Polska w NASK ani przenosin jego zespołu do MC. Nowa jednostka ma być szczeblem pośrednim między podmiotami krajowego systemu bezpieczeństwa a analogicznymi zespołami działającymi na poziomie krajowym. To CSIRT GOV (działa w ramach ABW), CSIRT MON i CERT Polska w NASK.

Według deklaracji MC ma być uzupełnieniem i wsparciem działań ekspertów pracujących w tych zespołach. Zasady współpracy między tymi jednostkami wynikają z ustawy o krajowym systemie cyberbezpieczeństwa.

Struktura organizacyjna CSIRT Cyfra zostanie wypracowana w ramach ogłoszonego w środę projektu. Jego finansowanie w całości pokrywa Krajowy Plan Odbudowy (KPO). Projekt nadzoruje Centrum Projektów Polska Cyfrowa.

Nowa jednostka, stara kadra ministerstwa

Jak słyszymy w MC, nowa jednostka będzie tworzona w oparciu o obecne kadry Departamentu Cyberbezpieczeństwa Ministerstwa Cyfryzacji oraz specjalistów pozyskanych w ramach naborów zarówno do służby cywilnej jak i poza służbą cywilną.

10 mln zł z KPO ma wystarczyć na budowę zespołu CSIRT Cyfra i finansowanie jego kadry w czasie trwania projektu, zakup sprzętu oraz systemów cyberbezpieczeństwa niezbędnych do realizacji zadań CSIRT. Z KPO mają być też sfinansowane szkolenia dla pracowników zespołu.

Według urzędników MC, wprowadzenie nowego zespołu reagowania na incydenty bezpieczeństwa komputerowego to odpowiedź na wyzwania związane ze zbliżającą się nowelizacją ustawy o Krajowym systemie cyberbezpieczeństwa.

Pechowa ustawa - lata na wdrożenie, ponad 20 wersji

Nad nowelizacją ustawy o KSC kolejne rządy pracują już od kilku lat. Ma on wprowadzić restrykcyjne zasady ochrony sieci i systemów teleinformatycznych i implementować do polskiego porządku prawnego unijną dyrektywę NIS2.

Największe kontrowersje budzi w niej kwestia dostawców wysokiego ryzyka (High Risk Vendors, HRV). To firmy lub podmioty, które dostarczają sprzęt, oprogramowanie lub usługi IT, ale budzą obawy co do bezpieczeństwa. Wykluczenia HRV odczytywane są jako cios w chińską firmę Huawei, choć ministrowie w kolejnych rządach zaprzeczają, by były one wymierzone w konkretnych dostawców.

Ustawa prawdopodobnie stanie w czwartek, 12 czerwca, na posiedzeniu Stałego Komitetu Rady Ministrów. Według harmonogramu MC, rząd powinien przyjąć ją do końca czerwca. Potem ustawa trafi do Sejmu.