Umowa o cyberbezpieczeństwo

Umowa o cyberbezpieczeństwo w Polsce to umowa, na podstawie której wyspecjalizowany dostawca usług bezpieczeństwa informatycznego (MSSP — Managed Security Services Provider) zobowiązuje się świadczyć na rzecz zamawiającego kompleksowe usługi ochrony systemów informatycznych przed cyberatakami, a zamawiający zobowiązuje się do zapłaty wynagrodzenia. Usługi cyberbezpieczeństwa obejmują monitoring zagrożeń, reagowanie na incydenty, testy penetracyjne, zarządzanie podatnościami, audyty bezpieczeństwa oraz szkolenia pracowników.

Podstawę prawną umowy o cyberbezpieczeństwo stanowią: zasada swobody umów z art. 353[1] Kodeksu cywilnego (ustawa z dnia 23 kwietnia 1964 r., Dz.U. 1964 nr 16 poz. 93 ze zm.), przepisy o zleceniu (art. 734 i następne w zw. z art. 750) jako umowy starannego działania, a dla podmiotów objętych regulacjami — ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (ustawa o KSC, Dz.U. 2018 poz. 1560 ze zm.), która implementuje dyrektywę UE NIS (2016/1148) i określa obowiązki operatorów usług kluczowych i dostawców usług cyfrowych w zakresie bezpieczeństwa.

Ustawa o krajowym systemie cyberbezpieczeństwa (KSC) nakłada na operatorów usług kluczowych z sektorów energetyki, transportu, bankowości, ochrony zdrowia, zaopatrzenia w wodę i infrastruktury cyfrowej obowiązki w zakresie wdrożenia środków bezpieczeństwa, zarządzania incydentami i współpracy z CSIRT NASK (Computer Security Incident Response Team działającym przy Naukowej i Akademickiej Sieci Komputerowej — Państwowym Instytucie Badawczym). Operatorzy są zobowiązani do zgłaszania poważnych incydentów do CSIRT NASK w ciągu 24 godzin od wykrycia.

Ochrona danych osobowych jest integralną częścią cyberbezpieczeństwa. Naruszenie ochrony danych osobowych (data breach) musi być zgłoszone Prezesowi Urzędu Ochrony Danych Osobowych (PUODO) w ciągu 72 godzin od wykrycia, zgodnie z art. 33 rozporządzenia (UE) 2016/679 (RODO). Gdy dostawca usług cyberbezpieczeństwa w ramach monitoringu uzyskuje dostęp do danych osobowych zamawiającego, konieczna jest umowa powierzenia przetwarzania zgodna z art. 28 RODO z zachowaniem środków bezpieczeństwa z art. 32 RODO.

Umowa o cyberbezpieczeństwo zawiera zazwyczaj parametry SLA dotyczące czasów reakcji na incydenty sklasyfikowane według poziomu zagrożenia: krytyczne (np. ransomware, breach), wysokie, średnie i niskie. Naruszenie czasów reakcji jest zobowiązaniem niepieniężnym, które można zabezpieczyć karą umowną (art. 483 Kodeksu cywilnego). Szczególnie wrażliwe informacje ujawnione w raportach z testów penetracyjnych i audytów — listy podatności, architektura sieci, konfiguracje urządzeń — wymagają ochrony jako tajemnica przedsiębiorstwa na podstawie art. 11 ustawy z dnia 16 kwietnia 1993 r. o zwalczaniu nieuczciwej konkurencji.

Umowa o cyberbezpieczeństwo w Polsce jest potrzebna wówczas, gdy przedsiębiorstwo zleca zewnętrznemu dostawcy ochronę swoich systemów informatycznych przed zagrożeniami cyfrowymi.

Operatorzy usług kluczowych. Podmioty z sektorów energetyki, transportu, bankowości i ochrony zdrowia objęte ustawą o krajowym systemie cyberbezpieczeństwa (KSC) są zobowiązane wdrożyć środki bezpieczeństwa i zarządzać incydentami. Outsourcing usług SOC do wyspecjalizowanego MSSP wymaga umowy o cyberbezpieczeństwo precyzującej zakres monitorowania, czasy reakcji i obowiązki zgłoszeniowe wobec CSIRT NASK.

Sektor finansowy — DORA. Instytucje finansowe, banki, zakłady ubezpieczeń i inne podmioty rynku finansowego objęte rozporządzeniem (UE) 2022/2554 (DORA — Digital Operational Resilience Act) są zobowiązane do zarządzania ryzykiem operacyjnym ICT, co obejmuje umowy z dostawcami usług cyberbezpieczeństwa spełniające wymogi DORA dotyczące klauzul umownych, audytu i exit strategy.

Zamówienia publiczne i administracja. Jednostki sektora finansów publicznych zamawiające monitoring bezpieczeństwa i testy penetracyjne zawierają umowę o cyberbezpieczeństwo regulującą dostęp do systemów rządowych, poufność wyników testów i zgodność z przepisami o ochronie informacji niejawnych.

MSP po incydencie lub dla prewencji. Małe i średnie przedsiębiorstwa, które doświadczyły ataku ransomware lub phishingu, zawierają umowę o cyberbezpieczeństwo jako element planu odbudowy i wzmocnienia bezpieczeństwa, obejmującą monitoring, szkolenia i procedury reagowania na incydenty.

Testy penetracyjne i audyty bezpieczeństwa. Firmy zamawiające jednorazowe testy penetracyjne (penetration testing) lub audyt bezpieczeństwa IT zawierają umowę regulującą zakres testów, dostęp do systemów, poufność wyników i zasady odpowiedzialności za ewentualne szkody w trakcie testów.

Zarządzanie podatnościami. Organizacje zarządzające złożoną infrastrukturą IT zawierają umowę o ciągłe zarządzanie podatnościami (vulnerability management), obejmujące skanowanie, priorytetyzację i śledzenie usuwania podatności przez zamawiającego.

Umowa o cyberbezpieczeństwo w Polsce powinna zawierać następujące kluczowe elementy.

Oznaczenie stron. Pełne dane zamawiającego i dostawcy (firma, adres, NIP, KRS lub CEIDG), dane osób odpowiedzialnych za realizację umowy (CISO lub IT Security Manager zamawiającego, account manager dostawcy).

Szczegółowy zakres usług. Precyzyjny opis usług: monitoring SOC 24/7, testy penetracyjne (zakres, częstotliwość, metodologia — OWASP, PTES, NIST), audyty bezpieczeństwa, zarządzanie podatnościami, incident response (IR), zarządzanie dostępem uprzywilejowanym (PAM), szkolenia. forms-legal.com zaleca określenie, które usługi są objęte abonamentem, a które rozliczane oddzielnie.

Parametry SLA i klasyfikacja incydentów. Definicja kategorii incydentów (krytyczne, wysokie, średnie, niskie) z czasami reakcji i eskalacji. Kary umowne za naruszenie SLA (art. 483 Kodeksu cywilnego za zobowiązanie niepieniężne).

Obowiązki zgłoszeniowe. Procedura powiadamiania zamawiającego o incydentach bezpieczeństwa (w tym data breach w 4 h wewnętrznie, PUODO/UODO w 72 h na podstawie art. 33 RODO, CSIRT NASK w 24 h na podstawie ustawy o KSC). Dostawca asystuje przy sporządzaniu zgłoszeń.

Poufność wyników testów i raportów. Raporty z testów penetracyjnych i audytów zawierają krytyczne informacje o podatnościach systemu zamawiającego. Ochrona jako tajemnica przedsiębiorstwa (art. 11 ustawy o zwalczaniu nieuczciwej konkurencji) przez określony czas (np. 10 lat). Bezpieczne przechowywanie i niszczenie raportów po zakończeniu umowy.

Powierzenie przetwarzania danych (RODO art. 28). Jeżeli dostawca monitoruje ruch sieciowy zawierający dane osobowe, konieczna jest umowa powierzenia z wymogami art. 28 RODO: środki bezpieczeństwa (art. 32), podpowierzenie, pomoc administratorowi, usunięcie danych po zakończeniu.

Odpowiedzialność. Zakres odpowiedzialności dostawcy za niewykonanie zobowiązania (art. 471 KC), limit odpowiedzialności (np. roczne wynagrodzenie), wyłączenia odpowiedzialności (incydenty z winy zamawiającego, niezastosowanie rekomendacji), zakaz wyłączenia odpowiedzialności umyślnej (art. 473 § 2 KC).

Dostęp do systemów i zasada minimalnych uprawnień. Procedury udzielania i odbierania dostępu do systemów zamawiającego (zasada least privilege), rejestr dostępów, usunięcie dostępów po zakończeniu umowy, narzędzia hakerskie używane wyłącznie za pisemną zgodą.

Umowa o cyberbezpieczeństwo w Polsce wypełniana jest według poniższych kroków.

Krok 1 — oznacz strony. Wpisz pełne dane zamawiającego i dostawcy: firmę, adres, NIP, KRS lub CEIDG. Wskaż CISO lub osobę odpowiedzialną za bezpieczeństwo IT po stronie zamawiającego.

Krok 2 — opisz zakres usług. Wymień wszystkie usługi objęte umową: monitoring SOC, testy penetracyjne, audyty, incident response, szkolenia. Wyodrębnij usługi objęte abonamentem od usług jednorazowych (testy, szkolenia). Dołącz szczegółową specyfikację usług jako Załącznik nr 1.

Krok 3 — ustal parametry SLA. Wpisz definicje kategorii incydentów (krytyczne/wysokie/średnie/niskie) z czasami reakcji i eskalacji. Wskaż kary umowne za naruszenie SLA (art. 483 Kodeksu cywilnego).

Krok 4 — ureguluj obowiązki zgłoszeniowe. Wpisz procedurę zgłaszania incydentów: powiadomienie wewnętrzne w 4 h, zgłoszenie do PUODO w 72 h (art. 33 RODO), zgłoszenie do CSIRT NASK w 24 h (ustawa o KSC). Wskaż obowiązek asysty dostawcy przy sporządzaniu zgłoszeń.

Krok 5 — ustal wynagrodzenie. Wpisz abonament miesięczny netto plus VAT 23% i stawki za usługi jednorazowe. Wskaż termin płatności i odsetki za opóźnienie (art. 481 KC).

Krok 6 — ureguluj poufność. Wpisz zasady poufności raportów z testów penetracyjnych i podatności systemu (art. 11 ustawy o zwalczaniu nieuczciwej konkurencji), czas trwania zobowiązania i procedurę niszczenia raportów.

Krok 7 — ureguluj RODO. Wskaż, że dostawca jest podmiotem przetwarzającym i zawrzyj umowę powierzenia jako Załącznik nr 2 zgodnie z art. 28 RODO.

Krok 8 — ureguluj dostęp do systemów. Wskaż zasadę minimalnych uprawnień, rejestr dostępów i obowiązek ich usunięcia po zakończeniu umowy.

Krok 9 — podpisz umowę. Wpisz miejscowość i datę. Podpisz w dwóch egzemplarzach lub z kwalifikowanym podpisem elektronicznym (art. 78[1] Kodeksu cywilnego).

Umowa o cyberbezpieczeństwo w Polsce podlega przepisom Kodeksu cywilnego, ustawy o KSC, RODO i prawa podatkowego.

Ustawa o krajowym systemie cyberbezpieczeństwa (KSC). Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (Dz.U. 2018 poz. 1560 ze zm.) implementuje dyrektywę (UE) 2016/1148 (NIS). Nakłada na operatorów usług kluczowych z sektorów energetyki, transportu, bankowości, infrastruktury rynków finansowych, ochrony zdrowia, zaopatrzenia w wodę pitną i infrastruktury cyfrowej obowiązek wdrożenia środków zarządzania ryzykiem cyberbezpieczeństwa (art. 8 ustawy o KSC) i zgłaszania poważnych incydentów do CSIRT NASK w ciągu 24 godzin od wykrycia (art. 11). Dostawcy usług cyfrowych mają analogiczne obowiązki z art. 18 tej ustawy.

RODO i naruszenia ochrony danych. Art. 33 RODO nakłada na administratora obowiązek zgłoszenia naruszenia ochrony danych osobowych do organu nadzorczego (PUODO) bez zbędnej zwłoki, nie później niż 72 godziny od stwierdzenia naruszenia. Art. 28 RODO reguluje powierzenie przetwarzania danych dostawcy usług cyberbezpieczeństwa. Art. 32 RODO nakłada obowiązek wdrożenia odpowiednich środków technicznych i organizacyjnych bezpieczeństwa. Nadzór sprawuje Prezes Urzędu Ochrony Danych Osobowych (PUODO).

RODO — DORA. Podmioty finansowe objęte rozporządzeniem (UE) 2022/2554 (DORA) są zobowiązane do zarządzania ryzykiem operacyjnym ICT, stosowania umów z kluczowymi dostawcami usług IT (w tym cyberbezpieczeństwa) zawierających klauzule wymagane przez art. 30 DORA (zakres, poziomy usług, audyt, exit strategy) oraz do testowania odporności cyfrowej (TLPT — Threat-Led Penetration Testing).

Odpowiedzialność kontraktowa. Dostawca odpowiada za niewykonanie lub nienależyte wykonanie zobowiązania na zasadach art. 471 Kodeksu cywilnego. Strony mogą umownie ograniczyć odpowiedzialność, lecz nie mogą wyłączyć odpowiedzialności za szkodę wyrządzoną umyślnie (art. 473 § 2). Kary umowne za naruszenie SLA (zobowiązanie niepieniężne) zastrzega się na podstawie art. 483 Kodeksu cywilnego i podlegają miarkowaniu z art. 484 § 2.

Forma umowy. Umowa o cyberbezpieczeństwo nie wymaga formy szczególnej pod rygorem nieważności. Zaleca się formę pisemną lub elektroniczną z kwalifikowanym podpisem elektronicznym (art. 78[1] Kodeksu cywilnego) ze względów dowodowych i regulacyjnych.

Umowa o cyberbezpieczeństwo w Polsce bywa wadliwa z powodu typowych błędów.

Błąd 1 — brak precyzyjnych SLA dla kategorii incydentów. Umowy bez zdefiniowanych kategorii incydentów i mierzalnych czasów reakcji są nieskuteczne. Zalecenie: zdefiniuj kategorie (krytyczne/wysokie/średnie/niskie) z precyzyjnymi czasami reakcji i usuwania oraz karami umownymi (art. 483 KC).

Błąd 2 — brak regulacji obowiązków zgłoszeniowych. Pominięcie procedury powiadamiania PUODO (RODO art. 33) i CSIRT NASK (KSC) naraża zamawiającego na odpowiedzialność za spóźnione zgłoszenie. Zalecenie: wpisz terminy i procedury powiadamiania, zobowiązując dostawcę do asysty i natychmiastowego alertowania (4 h wewnętrznie).

Błąd 3 — brak umowy powierzenia RODO. Monitoring ruchu sieciowego zawierającego dane osobowe bez umowy powierzenia narusza RODO. Zalecenie: zawrzyj odrębną umowę powierzenia spełniającą wymogi art. 28 RODO ze środkami bezpieczeństwa art. 32.

Błąd 4 — brak ochrony raportów z testów penetracyjnych. Raporty zawierają listę krytycznych podatności systemu zamawiającego. Bez klauzuli poufności mogą trafić do nieuprawnionych podmiotów. Zalecenie: objęj raporty ochroną tajemnicy przedsiębiorstwa (art. 11 ustawy o zwalczaniu nieuczciwej konkurencji) przez co najmniej 5 lat i ustal procedurę bezpiecznego niszczenia.

Błąd 5 — brak klauzuli o dostępach do systemów. Brak regulacji dostępu do systemów zamawiającego i zasady minimalnych uprawnień naraża na nieuprawnione działania. Zalecenie: prowadź rejestr dostępów, stosuj zasadę least privilege i zobowiązuj do usunięcia dostępów w 24 h po zakończeniu zadania.

Błąd 6 — wyłączenie odpowiedzialności za błędy dostawcy wynikające z niezastosowania rekomendacji. Zbyt szerokie wyłączenie odpowiedzialności dostawcy za incydenty, których nie zapobiegł mimo wykrycia podatności, pozbawia zamawiającego ochrony. Zalecenie: wyłączaj odpowiedzialność tylko gdy zamawiający pisemnie odmówił wdrożenia rekomendacji dostawcy.

Błąd 7 — brak klauzuli exit strategy. Brak procedury zakończenia umowy i przekazania wiedzy nowemu dostawcy skutkuje lukami w bezpieczeństwie. Zalecenie: ustal obowiązek przekazania dokumentacji, raportów i procedur bezpieczeństwa nowemu dostawcy i minimalizacji ryzyka w okresie przejściowym.