Przewoźnik kolejowy a KSC: kogo obejmuje i od czego zacząć

Kogo dokładnie obejmuje ustawa?

Załącznik nr 1 do ustawy, za dyrektywą NIS2, wymienia w transporcie kolejowym trzy rodzaje podmiotów: zarządcę infrastruktury, przewoźnika kolejowego i operatora obiektu infrastruktury usługowej, na przykład terminalu towarowego, stacji rozrządowej czy zaplecza utrzymaniowego. O statusie decyduje wielkość. Mały przewoźnik co do zasady pozostaje poza ustawą, chyba że organ uzna go za podmiot kluczowy lub ważny w drodze decyzji.

Organem właściwym do spraw cyberbezpieczeństwa jest minister właściwy do spraw transportu. Incydenty poważne zgłasza się przez system S46 do właściwego CSIRT.

Co, jeśli przewoźnik należy do grupy kapitałowej?

Część przewoźników towarowych w Polsce to spółki zależne grup, także zagranicznych. Spółka zarejestrowana w Polsce podlega polskiej ustawie, nawet jeśli systemy dostarcza jej centrala. Wielkość liczy się z danymi grupy, więc mała spółka może formalnie stać się dużym przedsiębiorstwem i podmiotem kluczowym.

Ustawa pozwala nie doliczać danych grupy, jeśli systemy spółki są niezależne od systemów grupy albo spółka nie świadczy usług wspólnie z grupą. Trudno o to, gdy planowanie przewozów, ERP i poczta są wspólne dla całej grupy. Szczegóły opisujemy w artykule o wyłączeniu z art. 5 ust. 6 i 7.

Które systemy trzeba objąć?

Ustawa dotyczy systemów informacyjnych, z których korzystasz, świadcząc usługę. U przewoźnika to przede wszystkim systemy, bez których pociąg nie wyjedzie albo nie dojedzie:

1. planowanie przewozów i zamawianie tras,
2. dyspozytura i obsługa drużyn trakcyjnych,
3. utrzymanie taboru,
4. wymiana danych z zarządcą infrastruktury i z klientami.

W analizie ryzyka uwzględnij też systemy pokładowe i zdalny dostęp serwisów do lokomotyw, nawet jeśli tabor należy do leasingodawcy, a utrzymaniem zajmuje się inny podmiot.

Jak nie budować drugiego systemu obok SMS?

Przewoźnik prowadzi już system zarządzania bezpieczeństwem (SMS), bez którego nie uzyska certyfikatu bezpieczeństwa. Ma w nim ocenę ryzyka, zarządzanie zmianą, kompetencje, audyty wewnętrzne i badanie zdarzeń. Te same mechanizmy mogą obsłużyć cyberbezpieczeństwo: ryzyka cyber dopisz do rejestru zagrożeń, incydenty do procesu raportowania zdarzeń, a przegląd zarządzania rozszerz o decyzje, których ustawa wymaga od kierownika.

Osobny zestaw dokumentów obok SMS oznacza podwójną pracę i dwa komplety procedur, których mała organizacja nie utrzyma.

Od czego zacząć?

1. Ustal status: policz wielkość z danymi grupy i bez nich, sprawdź wpis w wykazie.
2. Wskaż osobę odpowiedzialną za cyberbezpieczeństwo i zaplanuj coroczne szkolenie kierownictwa.
3. Spisz systemy krytyczne dla przewozu i ich dostawców, w tym zdalny dostęp do taboru.
4. Dopisz ryzyka cyber do rejestru zagrożeń w SMS.
5. Zabezpiecz zdalny dostęp uwierzytelnianiem wieloskładnikowym.
6. Przygotuj procedurę obsługi incydentów z terminami 24 i 72 godzin i przećwicz ją na scenariuszu, w którym nie działa planowanie przewozów. Więcej o terminach w artykule o incydencie poważnym.

Źródła

• Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, art. 5 i załącznik nr 1 (ISAP)
• Dyrektywa (UE) 2022/2555 (NIS2), art. 26 i załącznik I
• Dyrektywa 2012/34/UE w sprawie utworzenia jednolitego europejskiego obszaru kolejowego, art. 3 i załącznik II
• Dyrektywa (UE) 2016/798 w sprawie bezpieczeństwa kolei, art. 9 i 10

Powiązane artykuły

• Podmiot kluczowy tylko przez grupę? Wyłączenie z art. 5 ust. 6 i 7 KSC
• Incydent poważny w KSC: jak go rozpoznać, zanim wejdą nowe progi
• Audyt KSC: kto może go przeprowadzić i jak wybrać audytora