• admin@kibc
• 4 sierpnia 2026
• Brak komentarzy

Ogłoszenie trzeciego stopnia alarmowego CHARLIE-CRP to moment, w którym teoretyczne procedury i polityki bezpieczeństwa przechodzą natychmiastowy sprawdzian. W realiach nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC) oraz dyrektywy NIS2 z tego roku, presja związana z odpowiedzią na to zagrożenie nie rozkłada się anonimowo na całą firmę. trafia bezpośrednio w nowo zdefiniowaną rolę, czyli kierownika w zakresie cyberbezpieczeństwa.
W związku z tym kwestia tego jak zareagować na alarm CHARLIE-CRP przestaje być jedynie kwestią odhaczenia punktów z rozporządzenia. Każdy podmiot ważny lub kluczowy musi odpowiedzieć na pytanie kto w organizacji bierze operacyjną odpowiedzialność za egzekucję tych zadań i jak łączy obowiązki KSC z procedurami kryzysowymi?

Od przepisów KSC po tryb alarmowy

Wprowadzenie stanowiska Kierownika w zakresie cyberbezpieczeństwa (lub powierzenie tej funkcji podmiotowi zewnętrznemu w modelu vCISO – więcej na ten temat w naszym materiale: Kierownik ds. cyberbezpieczeństwa – czytaj więcej można porównać do wdrożenia roli Inspektora Ochrony Danych w 2018 roku. Z tą różnicą, że o ile IOD dba o prywatność danych, o tyle Kierownik ds. Cyberbezpieczeństwa odpowiada za ciągłość usług, odporność systemów i techniczne zarządzanie ryzykiem.

Co kluczowe – zgodnie z art. 8c ustawy o KSC, to kierownik podmiotu (zarząd, prezes, dyrektor) ponosi osobistą odpowiedzialność za cyberbezpieczeństwo. Odpowiedzialność ta nie wygasa, nawet jeśli wykonanie zadań powierzono innej osobie. Aby uniknąć konfliktu interesów (np. zarząd nadzorujący własne decyzje budżetowe), organizacje powołują wyspecjalizowanych kierowników ds. cyberbezpieczeństwa, których zadaniem jest sprawna koordynacja działań – szczególnie wtedy, gdy w kraju wprowadzony jest jeden ze stopni alarmowych CRP. Gdy Minister Cyfryzacji lub Premier wprowadzają stopień CHARLIE-CRP, teoretyczne zapisy z art. 8d (planowanie, przydzielanie zadań, nadzór) stają się presją czasu w trybie 24/7.

CHARLIE-CRP wymaga zaplecza ALFA i BRAVO

Przypomnijmy podstawową zasadę, która mówi, że w przypadku ogłoszenia 3. stopnia alarmowego CRP, podmiot kluczowy lub ważny musi realizować nie tylko procedury przypisane do stopnia CHARLIE-CRP, ale również kontynuować lub wdrożyć wszystkie obowiązki wynikające ze stopni ALFA-CRP oraz BRAVO-CRP.

Kierownik w zakresie cyberbezpieczeństwa staje się w tym procesie dyrygentem całego zespołu IT, bezpieczeństwa i kadr. Jak w praktyce wygląda reakcja na poszczególnych poziomach?
Weryfikacja fundamentów (spadek po ALFA-CRP i BRAVO-CRP)

Zanim Kierownik ds. Cyberbezpieczeństwa przejdzie do obostrzeń stopnia trzeciego, musi upewnić się, że zadania z niższych stopni działają bez zarzutu. Mowa o:
– Wzmożonym monitoringu i czujności (ALFA-CRP):
Trwa ciągłe weryfikowanie integralności komunikacji i dostępności usług elektronicznych.
Personel organizacji został poinformowany o konieczności zachowania szczególnej czujności (np. uwaga na zaawansowany phishing).

Obowiązek KSC: Zgodnie z art. 9 ustawy o KSC, to na tym etapie kluczowa jest sprawność wyznaczonych punktów kontaktowych i kanałów łączności z właściwym zespołem CSIRT (CSIRT NASK, CSIRT GOV lub CSIRT MON) oraz Ministrem Cyfryzacji.
– Kopie zapasowe i czas odtwarzania (RTO/RPO):

Przeprowadzono weryfikację poprawności kopii zapasowych systemów kluczowych oraz czasu wymaganego do ich przywrócenia.
– Tryb alarmowy personelu (BRAVO-CRP):
Zapewniono pełną dostępność w trybie alarmowym personelu odpowiedzialnego za bezpieczeństwo systemów (gotowość do natychmiastowego stawiennictwa).

Reakcja na stopień CHARLIE-CRP

Gdy na tablicy pojawia się stopień CHARLIE, Kierownik ds. Cyberbezpieczeństwa wdraża rygorystyczne procedury z Rozporządzenia PRM:
1. Całodobowe dyżury decyzyjne i techniczne:
Wprowadzenie 24-godzinnych dyżurów administratorów systemów kluczowych oraz – co niezwykle ważne – osób uprawnionych do podejmowania wiążących decyzji w sprawach bezpieczeństwa. Kierownik ds. cyberbezpieczeństwa musi zagwarantować proces decyzyjny 24/7.
2. Audyt i przegląd zasobów zapasowych:
Szczegółowa weryfikacja wszystkich zapasowych serwerów, łącz oraz infrastruktury pod kątem natychmiastowej możliwości ich uruchomienia, gdyby doszło do paraliżu głównego środowiska.
3. Gotowość Planów Ciągłości Działania (BCP):

Kierownik nadzoruje przegląd i audyt planów awaryjnych. Kluczowym technologicznym wyzwaniem w stopniu CHARLIE-CRP jest przygotowanie procedur ograniczenia operacji na serwerach, aby w razie bezpośredniego ataku można je było szybko i bezawaryjnie zamknąć, minimalizując straty.

Spojrzenie w stronę DELTA-CRP

Stopień CHARLIE-CRP nie wyklucza dalszej eskalacji. W roli Kierownika ds. Cyberbezpieczeństwa leży stała ocena ryzyka i przygotowanie organizacji do ewentualnego ogłoszenia stopnia DELTA-CRP – czyli momentu, w którym plany ciągłości działania i procedury Disaster Recovery są fizycznie uruchamiane, a zainfekowane segmenty sieci bezwzględnie odcinane.

Sytuacja wprowadzenia stopnia CHARLIE-CRP wyraźnie pokazuje, dlaczego ustawodawca w nowelizacji KSC tak mocno akcentuje rolę Kierownika w zakresie cyberbezpieczeństwa oraz porządkuje strukturę dokumentacji normatywnej i operacyjnej (art. 10).

W czasie kryzysu technologia jest tylko narzędziem. O sukcesie obrony podmiotu kluczowego decyduje precyzyjnie przypisana odpowiedzialność, przeszkolony personel (art. 8e) oraz sprawna komunikacja operacyjna na linii Zarząd – Kierownik ds. Cyberbezpieczeństwa – Zespół IT – CSIRT.