Blisko 70% incydentów bezpieczeństwa w administracji publicznej ma źródło u dostawcy lub podwykonawcy — to dane z raportów CSIRT NASK i ENISA. Dyrektywa NIS2 i znowelizowana ustawa o KSC wprost nakładają na JST obowiązek zarządzania ryzykiem łańcucha dostaw. W praktyce oznacza to konkretne zapisy w SIWZ, umowach powierzenia i procedurach nadzoru nad dostawcami IT. Poniżej pokazujemy, co dokładnie musi znaleźć się w dokumentach, żeby urząd nie odpowiadał za wpadkę wykonawcy.

Dlaczego łańcuch dostaw to najsłabsze ogniwo JST

Typowy urząd korzysta z kilkunastu-kilkudziesięciu dostawców IT: dostawca systemu EZD, dostawca systemów dziedzinowych, integrator, serwis techniczny, dostawca poczty i hostingu, dostawca podpisu elektronicznego, dostawca chmury, firma outsourcująca IOD. Każdy z nich ma dostęp do części danych lub infrastruktury. Kompromitacja jednego z nich zwykle otwiera drzwi do reszty.

Najbardziej znane incydenty ostatnich lat — ataki przez zaufane oprogramowanie do zarządzania IT, kompromitacja repozytoriów aktualizacji, wycieki z chmury dostawcy — potwierdzają, że nadzór nad dostawcą musi być umowny, techniczny i procesowy jednocześnie.

Wymagania NIS2 i KSC dotyczące dostawców

Artykuł 21 dyrektywy NIS2 wprost wymienia „bezpieczeństwo łańcucha dostaw” jako jeden z obszarów, w którym podmiot musi wdrożyć środki adekwatne do ryzyka. Polska ustawa o KSC transponuje to w postaci obowiązku:

• identyfikacji dostawców istotnych dla świadczonych usług;
• oceny ich dojrzałości bezpieczeństwa;
• zawierania w umowach klauzul dotyczących ochrony informacji, zgłaszania incydentów i prawa do audytu;
• okresowego przeglądu spełniania wymagań przez dostawcę.

Brak tych elementów jest kwalifikowany podczas audytu KSC i kontroli NIK jako naruszenie obowiązków kierownika jednostki.

Klauzule bezpieczeństwa w SIWZ i umowie — obowiązkowe minimum

1. Zakres przetwarzania i klasyfikacja informacji

Umowa musi jednoznacznie wskazywać, jakie dane i o jakiej klasyfikacji dostawca przetwarza. Nie „dane związane z realizacją zamówienia”, lecz konkretnie: dane osobowe, dane wrażliwe, informacje niejawne, dane techniczne infrastruktury.

2. Środki techniczne i organizacyjne

Odwołanie do konkretnych norm (ISO/IEC 27001, ISO 22301, SOC 2) albo załącznik z wymaganiami minimalnymi: szyfrowanie w spoczynku i w tranzycie, MFA na kontach dostępowych, logowanie akcji administracyjnych, rozdzielenie środowisk, przeglądy uprawnień.

3. Obowiązek zgłaszania incydentów

Dostawca ma obowiązek zgłosić urzędowi każdy incydent mogący dotyczyć danych JST w ciągu 24 godzin od wykrycia — nie od potwierdzenia. Termin krótszy niż wynikający z KSC pozwala urzędowi wywiązać się z własnego obowiązku wobec CSIRT NASK.

4. Prawo do audytu

Klauzula umożliwiająca urzędowi (samodzielnie lub przez podmiot upoważniony) przeprowadzenie audytu bezpieczeństwa u dostawcy raz na 12 miesięcy lub po incydencie. Alternatywnie: obowiązek dostarczenia aktualnego raportu z audytu certyfikacyjnego ISO 27001 lub SOC 2 Type II.

5. Podwykonawcy

Lista podwykonawców z prawem urzędu do wyrażenia sprzeciwu, obowiązek przenoszenia tych samych klauzul bezpieczeństwa na kolejnych podwykonawców i zakaz podpowierzenia poza EOG bez zgody urzędu.

6. Zwrot i usunięcie danych po zakończeniu umowy

Termin (zwykle 30 dni), forma (protokół), obowiązek dostarczenia zaświadczenia o trwałym usunięciu danych z systemów dostawcy i wszystkich podwykonawców.

7. Kary umowne

Kary za nieterminowe zgłoszenie incydentu, brak współpracy podczas audytu i naruszenie klauzuli poufności. Bez sankcji finansowych klauzule pozostają na papierze.

Ocena dostawcy przed podpisaniem umowy

Praktyczne narzędzie to kwestionariusz bezpieczeństwa dostawcy (30–50 pytań) plus przegląd dowodów: polityka bezpieczeństwa informacji, wynik ostatniego audytu, plan ciągłości działania, wykaz podwykonawców. Odpowiedzi są archiwizowane i stanowią element rejestru SZBI. Kwestionariusz powinien być proporcjonalny — dla dostawcy tonera inny niż dla dostawcy systemu EZD.

Nadzór po podpisaniu umowy — trzy poziomy

1. Ciągły: monitoring SLA, przegląd logów dostępowych do systemów urzędu, weryfikacja aktualności certyfikatów.
2. Roczny: aktualizacja kwestionariusza, przegląd rejestru incydentów po stronie dostawcy, spotkanie przeglądowe z kierownictwem dostawcy.
3. Zdarzeniowy: audyt lub żądanie wyjaśnień po incydencie u dostawcy lub w podobnym podmiocie z branży.

Dobrze zaprojektowane zarządzanie dostawcami IT w JST pozwala udokumentować wobec kontrolerów, że urząd świadomie zarządza ryzykiem łańcucha dostaw. Pomagamy budować wzory klauzul SIWZ, kwestionariusze bezpieczeństwa dostawców i przeprowadzać audyty drugiej strony u wykonawców kluczowych systemów.