Ustawa o krajowym systemie certyfikacji cyberbezpieczeństwa obowiązuje od 28 sierpnia 2025 roku i daje polskim podmiotom podstawę prawną do pełnego udziału w europejskim systemie certyfikacji produktów, usług i procesów ICT. Ustawa uzupełnia ramy unijnego aktu o cyberbezpieczeństwie z 2019 roku. Minister Cyfryzacji wykonuje zadania krajowego organu do spraw certyfikacji cyberbezpieczeństwa, nadzoruje system oraz może tworzyć krajowe schematy dla obszarów pozostających poza zakresem programów europejskich.
Ocenie podlegają produkty, usługi i procesy ICT, usługi zarządzane w zakresie bezpieczeństwa oraz systemy zarządzania cyberbezpieczeństwem, a ustawa dopuszcza również programy potwierdzające kompetencje osób. Zgodność sprawdzają niezależne jednostki oceniające, działające według właściwego programu albo schematu. Europejskie programy przewidują trzy poziomy uzasadnienia zaufania, oznaczone jako podstawowy, istotny i wysoki. Poziomy różnią się zakresem badań, głębokością oceny oraz odpornością wymaganą wobec sprawców o określonych kompetencjach i zasobach. Oznaczenie informuje o rygorze zastosowanej oceny w odniesieniu do określonego zastosowania i profilu ryzyka.
Model krajowy pozostaje dobrowolny, zgodnie z zasadą przyjętą w akcie o cyberbezpieczeństwie, który dopuszcza wprowadzenie obowiązku certyfikacji w odrębnych przepisach unijnych lub krajowych. Praktyka rynkowa działa niezależnie od tej dobrowolności. Zamawiający mogą uwzględniać certyfikat w kryteriach wyboru dostawcy, jeżeli pozwalają na to przepisy i warunki postępowania, a podmioty objęte DORA, NIS2 oraz regulacjami sektorowymi traktują go jako jeden z dowodów w ocenie ryzyka łańcucha dostaw. W części segmentów brak certyfikatu ogranicza dostęp do kontraktów przy zachowaniu ustawowej dobrowolności.
Certyfikat potwierdza spełnienie określonych wymagań w określonym zakresie. Nabywca ustala, czy ten zakres odpowiada kupowanej usłudze, wdrożonej wersji produktu i planowanemu zastosowaniu, oraz sprawdza datę wydania, okres ważności, poziom uzasadnienia zaufania i wykaz wyłączeń. Certyfikat wydany dla jednej konfiguracji pozostawia poza swoim zakresem pozostałe implementacje, a usługa po certyfikacji może zmienić architekturę, podwykonawców albo sposób przetwarzania danych. W ocenie ryzyka certyfikat stanowi jeden z elementów materiału dowodowego, zestawiany z wynikami testów technicznych, informacjami o podatnościach, procesem aktualizacji oraz zdolnością dostawcy do reagowania na incydenty. W tej formie ocena pozostaje użyteczna przed Zarządem i podczas audytu.
Dla dostawcy przygotowanie zaczyna się od wskazania produktu, procesu albo usługi objętej oceną, następnie od wyboru właściwego programu i zebrania dowodów działania zabezpieczeń. Wyższy poziom uzasadnienia zaufania oznacza większą głębokość oceny, dlatego powinien wynikać z ryzyka oraz oczekiwań rynku. Wartość systemu pokażą wydane certyfikaty, dostępność jednostek oceniających i sposób interpretowania wyników oceny przez zamawiających.
Potrzebujesz ustalić, w jakim zakresie ustawa o krajowym systemie certyfikacji cyberbezpieczeństwa dotyczy oferowanych produktów i usług?
