Wpływ Ustawy o krajowym systemie cyberbezpieczeństwa na sektor edukacyjny w Polsce: obowiązki uczelni i placówek edukacyjnych
Aktualnie obowiązująca Ustawa o krajowym systemie cyberbezpieczeństwa nakłada na uczelnie publiczne w Polsce podstawowy obowiązek zgłaszania incydentów cyberbezpieczeństwa do zespołu CSIRT NASK w ciągu 24 godzin od ich wykrycia. Podobny obowiązek dotyczy szkół korzystających z dzienników elektronicznych. Jednakże, w świetle planowanych zmian i wdrożenia dyrektywy NIS2, można spodziewać się znaczącego rozszerzenia obowiązków sektora edukacyjnego w zakresie cyberbezpieczeństwa.
Uczelnie, jako podmioty publiczne i często świadczące usługi o kluczowym znaczeniu dla społeczeństwa, prawdopodobnie zostaną uznane za podmioty kluczowe lub ważne w znowelizowanej ustawie. W związku z tym, będą musiały wdrożyć kompleksowe systemy zarządzania bezpieczeństwem informacji, przeprowadzać regularne analizy ryzyka cyberbezpieczeństwa oraz stosować adekwatne środki techniczne i organizacyjne w celu minimalizacji ryzyka incydentów.
Obowiązki te mogą obejmować ustanowienie i utrzymanie dokumentacji dotyczącej cyberbezpieczeństwa, w tym polityk, procedur i planów reagowania na incydenty. Uczelnie będą musiały zapewnić ciągłość działania swoich systemów informatycznych, od których zależy świadczenie usług edukacyjnych i prowadzenie badań naukowych. Należy regularnie monitorować systemy, przeprowadzać testy penetracyjne i audyty bezpieczeństwa, aby identyfikować i eliminować potencjalne luki.
Ustawa nakłada również na podmioty publiczne obowiązek zapewnienia osobom korzystającym z ich usług dostępu do wiedzy pozwalającej na zrozumienie zagrożeń cyberbezpieczeństwa i stosowanie skutecznych metod ochrony. W kontekście sektora edukacyjnego oznacza to, że uczelnie i szkoły będą musiały podejmować działania mające na celu podniesienie świadomości cyberbezpieczeństwa wśród studentów, uczniów i pracowników, np. poprzez publikowanie informacji na swoich stronach internetowych i organizowanie szkoleń.
