Cyberbezpieczeństwo w organizacji – praktyczne podstawy i pierwsze kroki

Cyberbezpieczeństwo coraz częściej jest przedmiotem konkretnych obowiązków prawnych, a nie wyłącznie kwestią techniczną. Na działalność organizacji wpływają przede wszystkim przepisy ustawy o krajowym systemie cyberbezpieczeństwa po nowelizacji wdrażającej dyrektywę NIS2, przepisy RODO oraz wymagania kontraktowe stawiane przez klientów, dostawców i podmioty z łańcucha dostaw.

W ramach szkolenia zostanie przedstawione jak uporządkować podstawowe obowiązki organizacji w tym obszarze:

• jak ustalić, czy i w jakim zakresie organizacja podlega regulacjom cyberbezpieczeństwa,
• jakie role i odpowiedzialności trzeba przypisać wewnętrznie,
• jaką dokumentację i polityki należy przygotować, jak uwzględnić cyberbezpieczeństwo w umowach z dostawcami oraz
• jak przygotować prostą procedurę reakcji na incydent lub naruszenie ochrony danych osobowych.

W przystępny sposób zostanie omówione jak w efektywny organizacyjnie i zarządczo sposób spełnić wymagania prawne, wynikające z regulacji w obszarze cyberbezpieczeństwa.

Cel szkolenia

Celem szkolenia jest przekazanie uczestnikom uporządkowanej wiedzy o podstawowych obowiązkach prawnych i organizacyjnych związanych z cyberbezpieczeństwem oraz pokazanie, jak przełożyć je na pierwsze działania w organizacji.

Po szkoleniu uczestnik będzie potrafił określić, jakie regulacje i wymagania mogą mieć zastosowanie do jego organizacji, jakie obszary wymagają uregulowania w dokumentacji wewnętrznej, jakie postanowienia powinny znaleźć się w umowach z dostawcami oraz jakie decyzje należy podjąć przy przygotowaniu procedury reagowania na incydenty.

Na szkoleniu dowiesz się:

• jakie przepisy i regulacje wpływają na obowiązki organizacji w obszarze cyberbezpieczeństwa, w szczególności NIS2/UKSC oraz RODO,
• jak ustalić, czy organizacja podlega obowiązkom bezpośrednio, czy pośrednio – przez wymagania kontraktowe, zakupowe lub łańcuch dostaw,
• jakie role, odpowiedzialności i decyzje powinny zostać przypisane w organizacji, w tym po stronie kierownictwa, działu prawnego, compliance, IT oraz inspektora ochrony danych,
• jakie dokumenty i polityki warto przygotować lub zaktualizować, w tym politykę bezpieczeństwa informacji, procedurę incydentową, zasady współpracy z dostawcami oraz dokumentację zgodności,
• jak uregulować obszar cyberbezpieczeństwa w umowach z dostawcami, w szczególności w zakresie wymogów bezpieczeństwa, zgłaszania incydentów, współpracy przy naruszeniach, odpowiedzialności oraz powierzenia przetwarzania danych osobowych,
• jak przygotować prosty schemat reakcji na incydent: kto podejmuje decyzje, kogo należy włączyć, co dokumentować oraz kiedy rozważyć zgłoszenie do właściwego organu.

Dla kogo jest to szkolenie?

 W szkoleniu powinni wziąć udział: członkowie zarządu i kadra kierownicza odpowiedzialni za nadzór nad zgodnością i ryzykiem; menedżerowie IT, operacji i zakupów uczestniczący w wyborze dostawców, obsłudze umów lub reagowaniu na incydenty; dostawcy usług i rozwiązań dla podmiotów objętych wymaganiami cyberbezpieczeństwa; osoby odpowiedzialne za compliance, zarządzanie ryzykiem i dokumentację wewnętrzną; inspektorzy ochrony danych oraz osoby zajmujące się bezpieczeństwem informacji; prawnicy in-house oraz prawnicy kancelaryjni (w tym radcy prawni i adwokaci) doradzający organizacjom w obszarze regulacji, umów i compliance.

Profil organizacji: średnie i duże podmioty, organizacje objęte lub potencjalnie objęte wymaganiami NIS2/UKSC oraz dostawcy działający w łańcuchach dostaw takich podmiotów.

Wprowadzenie do tematyki szkolenia.

1. Podstawy prawne cyberbezpieczeństwa w organizacji (ok. 65 min)

• Ustawa o krajowym systemie cyberbezpieczeństwa po nowelizacji wdrażającej Dyrektywę NIS2, RODO oraz wybrane regulacje sektorowe jako źródła obowiązków.
• Relacja między obowiązkiem ustawowym, dobrą praktyką, wymaganiem kontraktowym i oczekiwaniem ze strony klienta lub dostawcy.
• Podstawowe pojęcia niezbędne w praktycznym wdrażaniu regulacji.

2. Zakres obowiązków, role i odpowiedzialność (ok. 65 min)

• Kiedy organizacja może podlegać obowiązkom bezpośrednio, a kiedy obowiązki pojawiają się pośrednio przez łańcuch dostaw lub umowę.
• Kategorie obowiązków: zarządzanie ryzykiem, środki organizacyjne, dokumentacja, zgłaszanie incydentów, bezpieczeństwo dostawców.
• Odpowiedzialność kierownictwa oraz podział ról między zarząd, pion prawny, compliance, IT, pion zakupów i inspektora ochrony danych.

3. Dokumentacja, polityki i umowy z dostawcami (ok. 80 min)

• Jak przełożyć obowiązki prawne na dokumenty i procesy wewnętrzne.
• Podstawowe polityki i procedury, w tym polityka bezpieczeństwa informacji, procedura reagowania na incydenty, zasady klasyfikacji informacji, rejestry i dokumentowanie decyzji.
• Cyberbezpieczeństwo w umowach z dostawcami: wymagania bezpieczeństwa, obowiązki informacyjne, zgłaszanie incydentów, współpraca przy naruszeniach, audytowalność, podwykonawcy, odpowiedzialność i powierzenie przetwarzania danych osobowych.

4. Reakcja na incydent i obowiązki zgłoszeniowe (ok. 45 min)

• Prawno-organizacyjny schemat pierwszych działań po wykryciu incydentu.
• Ustalenie osób decyzyjnych i kanałów komunikacji; rola IT lub dostawcy, pionu prawnego, compliance, inspektora ochrony danych i kierownictwa.
• Dokumentowanie zdarzenia.
• Ocena, czy incydent uruchamia obowiązki zgłoszeniowe wynikające z przepisów.
• Podstawowe elementy wewnętrznej procedury incydentowej.

Sesja pytań i odpowiedzi (Q&A).

W trakcie szkolenia przewidziane są 2 przerwy.