Laboratorium 10

Powiązanie z sylabusem i treściami programowymi:

• U4 Opracowanie zintegrowanego raportu poaudytowego (4-8 stron A4) łączącego wymogi RODO, NIS2 i KRI oraz wygłoszenie referatu seminaryjnego.
• U2 Identyfikacja, opis i kwalifikacja niezgodności w świetle zbieżnych przepisów prawnych i normy PN-EN ISO/IEC 27001:2022.
• U1 Opracowanie zaleceń inżynierskich i proceduralnych harmonizujących procesy ochrony danych i cyberbezpieczeństwa.
• U3 Szacowanie ryzyka operacyjnego i prawnego naruszenia przepisów RODO, NIS2 i KRI.
• W1W3 Rozumienie relacji i zbieżności pomiędzy RODO (art. 32), NIS2 (art. 21) a KRI (§ 19 i § 20) w działalności jednostek sektora finansów publicznych.
• K1K2K3 Obiektywizm audytorski, kultura dialogu z personelem urzędu oraz umiejętność pracy w zespole redakcyjnym.
• Powiązanie z wykładem: Wyk1 (Rola audytu w jednostkach publicznych), Wyk2 (Zasady audytowania wg ISO 19011), Wyk3 (Kontrole Załącznika A ISO 27001), Wyk4 (Zbieżność audytowa RODO, NIS2 i KRI), Wyk7 (Niezgodności, zalecenia SMART i plan CAP).

Wybrane efekty uczenia się realizowane w tym zadaniu:

• U4 Opracowanie zintegrowanego raportu poaudytowego RODO/NIS2/KRI dla urzędu gminy.
• U2 Identyfikacja i klasyfikacja niezgodności w administracji samorządowej.
• U1 Projekt zintegrowanej procedury reagowania na incydenty i zarządzania uprawnieniami.
• U3 Analiza ryzyka operacyjnego i prawnego uchybień teleinformatycznych.
• W1W3 Znajomość zbieżnych regulacji RODO, NIS2, KRI i Ustawy o informatyzacji.
• K1K2K3 Obiektywizm audytorski, etyka i sprawna współpraca w zespole projektowym.

Podstawy prawne i normatywne zadania: RODO art. 5, 24, 32 i 33; ustawa o KSC art. 8 i 11; rozporządzenie w sprawie KRI § 19 i § 20; PN-EN ISO 19011:2018

Temat zadania: ZINTEGROWANY AUDYT ZGODNOŚCI URZĘDU SAMORZĄDOWEGO Z TRIADĄ REGULACYJNĄ: OCHRONA DANYCH MIESZKAŃCÓW (RODO), OBOWIĄZKI PODMIOTU KLUCZOWEGO (DYREKTYWA NIS2 / KSC) ORAZ WYMAGANIA INTEROPERACYJNOŚCI I SZBI (§ 19 i § 20 rozporządzenia KRI)

Głównym celem zadania jest opanowanie przez studentów umiejętności przeprowadzania zintegrowanego badania audytowego w jednostce samorządu terytorialnego, łączącego równoległe wymogi trzech kluczowych reżimów prawnych: ogólnego rozporządzenia o ochronie danych (RODO), Dyrektywy NIS2 / Ustawy o Krajowym Systemie Cyberbezpieczeństwa (status podmiotu kluczowego sektora administracji publicznej) oraz Rozporządzenia w sprawie Krajowych Ram Interoperacyjności (§ 19 i § 20 rozporządzenia KRI). Studenci badają stan bezpieczeństwa teleinformatycznego Urzędu Miasta i Gminy w Piasecznie, analizując wzajemne zależności pomiędzy ochroną prywatności mieszkańców, odpornością infrastruktury e-usług publicznych na cyberataki a formalnymi wymaganiami interoperacyjności rejestrów publicznych. Zadanie obejmuje: identyfikację luk prawno-organizacyjnych i technicznych, sformułowanie kart niezgodności (NC2/NC3/OFI), opracowanie spójnych zaleceń poaudytowych w formule SMART oraz skonstruowanie harmonogramu Planu Działań Korygujących (CAP).

Kryterium zaliczenia zadania: sprawozdanie poaudytowe uznaje się za zaliczone, jeżeli zawiera metrykę audytu, katalog uchybień sklasyfikowanych jako NC2, NC3 lub OFI z odwołaniem do przepisu lub kontrolki normatywnej, ocenę ryzyka w skali 1-25 dla trzech najpoważniejszych uchybień, jedną zintegrowaną procedurę reagowania na incydent z terminami 24/72/72 godzin, tabelę planu działań korygujących z miernikami sukcesu, analizę wad i zalet rozwiązania oraz bibliografię z numerami artykułów i paragrafów.

Karta organizacyjna analizowanej jednostki (na podstawie scenariusza):

Narracja scenariusza i stan faktyczny w obszarze zbadanym:

Urząd Miasta i Gminy w Piasecznie zatrudnia 180 pracowników, realizując zadania publiczne na rzecz 80 000 mieszkańców. W urzędzie funkcjonuje system Elektronicznego Zarządzania Dokumentacją (EZD), dziedzinowe bazy podatkowe, ewidencja ludności oraz platforma e-usług zintegrowana z ePUAP i Węzłem Krajowym. Urząd podlega równolegle przepisom RODO (przetwarzanie danych obywateli), § 19 i § 20 rozporządzenia KRI (roczny audyt SZBI rejestrów publicznych) oraz nowym przepisom Dyrektywy NIS2 (jako podmiot kluczowy sektora administracji publicznej).

Stan faktyczny w obszarze zbadanym i zidentyfikowane luki:

• Obszar RODO: Rejestr czynności przetwarzania nie był aktualizowany od 2 lat i nie uwzględnia nowych e-usług. W systemie EZD brak jest mechanizmu automatycznego wygaszania dostępu po zakończeniu sprawy, co skutkuje wglądem urzędników w dane wrażliwe mieszkańców bez uzasadnienia służbowego (naruszenie art. 5 ust. 1 lit. c i f oraz art. 32 RODO).
• Obszar NIS2: Urząd nie posiada sformalizowanej procedury zgłaszania incydentów cyberbezpieczeństwa do właściwego zespołu CSIRT NASK w rygorze wczesnego ostrzeżenia w ciągu 24 godzin oraz zgłoszenia incydentu w ciągu 72 godzin (art. 23 NIS2 i art. 11 ustawy o KSC). Brak jest również procedury zarządzania podatnościami w urządzeniach sieciowych i serwerach (naruszenie art. 21 NIS2).
• Obszar KRI: Ostatni kompleksowy audyt KRI przeprowadzono 18 miesięcy temu (przekroczenie limitu rocznego z § 19 ust. 2 pkt 14 rozporządzenia w sprawie KRI (wymóg okresowego audytu wewnętrznego nie rzadziej niż raz na rok)). Dokumentacja SZBI nie była weryfikowana pod kątem minimalnych wymagań dla systemów teleinformatycznych, a w serwerowni brakuje aktualnego planu ciągłości działania (Disaster Recovery Plan).
• Punkt styku (Triada RODO + NIS2 + KRI): W przypadku incydentu ransomware w węźle EZD urząd nie posiada zintegrowanej procedury, która jednocześnie powiadamiałaby Prezesa UODO (RODO), zespół CSIRT NASK (NIS2) oraz uruchamiała procedury awaryjnego odtwarzania rejestrów publicznych (KRI).

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący / Ekspert Zgodności Administracyjnej i KRI - koordynuje badanie, weryfikuje spełnienie wymogów § 19 i § 20 rozporządzenia KRI, bada ład zarządczy urzędu oraz odpowiada za strukturę raportu.
• Rola 2: Audytor Techniczny Cyberbezpieczeństwa i NIS2 - analizuje zabezpieczenia sieciowe, procedury zarządzania podatnościami, mechanizmy wykrywania i zgłaszania incydentów do CSIRT oraz ciągłość działania IT.
• Rola 3: Audytor Ochrony Danych Osobowych i Zgodności RODO - bada legalność procesów przetwarzania danych mieszkańców, weryfikuje rejestry, uprawnienia w EZD oraz środki techniczne z art. 32 RODO. (W zespole 2-osobowym zadania te dzielą Studenci 1 i 2).

Na co zwrócić uwagę przy analizie scenariusza:

• 1 Najpierw ustalcie, który z trzech reżimów regulacyjnych jest właściwy dla każdej uchybienia: ta sama okoliczność może być jednocześnie naruszeniem RODO, art. 21 dyrektywy NIS2 i wymagań rozporządzenia w sprawie KRI.
• 2 Rozróżnijcie objaw od przyczyny: brak aktualnego rejestru czynności jest przyczyną, a nieprawidłowe uprawnienia w systemie są jej skutkiem.
• 3 Gradacja ustaleń musi uwzględniać dotkliwość konsekwencji: paraliż usługi publicznej, utrata reputacji instytucji i wysokość możliwej kary administracyjnej.
• 4 Dla każdej karty ustaleń wskażcie kontrolę Załącznika A normy PN-EN ISO/IEC 27001:2022, która odpowiada na zidentyfikowaną lukę.

Odpowiedzcie w zespołach na poniższe pytania przed przystąpieniem do redagowania sprawozdania poaudytowego:

1. Które z opisanych luk uzasadniają kwalifikację NC2, a które NC3, i jakie kryterium prawne lub normatywne przyjąłeś za podstawę tej gradacji?
2. Jak rozwiązać w urzędzie kolizję dwóch terminów zgłoszeń: wczesnego ostrzeżenia w ciągu 24 godzin do zespołu reagowania na incydenty oraz zawiadomienia Prezesa UODO w terminie 72 godzin od uzyskania świadomości o naruszeniu? Kto i kiedy podejmuje decyzję o zgłoszeniu?
3. Dlaczego brak mechanizmu wygaszania dostępu po zakończeniu sprawy należy ocenić jako naruszenie zasady minimalizacji danych, a nie wyłącznie jako uchybienie porządkowe?
4. Jak zaprojektować procedurę odtwarzania rejestrów publicznych po incydencie ransomware, aby spełnić wymagania dotyczące ciągłości działania i kopii zapasowych z § 19 rozporządzenia w sprawie KRI?
5. Które kontrole Załącznika A normy PN-EN ISO/IEC 27001:2022 odpowiadają na zidentyfikowane luki w zakresie kontroli dostępu, logów i zarządzania podatnościami? Podaj numery kontrolek.
6. Które kategorie danych mieszkańców wymagają zaostrzonej ochrony i jakie dodatkowe środki techniczne oraz organizacyjne należy zastosować?

Pytania problemowe z zakresu raportu:

• W jaki sposób zintegrować obowiązek zgłaszania naruszeń ochrony danych do UODO (termin 72 godzin od uzyskania świadomości o naruszeniu, art. 33 ust. 1 RODO) z obowiązkiem zgłaszania incydentów poważnych do CSIRT NASK (termin 24 godzin, art. 11 ust. 2 ustawy o KSC oraz art. 23 NIS2) w samorządzie?
• Jakie konkretne wymagania techniczne stawia § 19 i § 20 rozporządzenia KRI przed systemem EZD w zakresie rozliczalności i kontroli dostępu do akt spraw?
• W jaki sposób status podmiotu kluczowego w rozumieniu NIS2 wpływa na odpowiedzialność kierownictwa urzędu (Burmistrza i Sekretarza) za cyberbezpieczeństwo?

Uwaga: Każda odpowiedź musi wskazywać właściwy reżim regulacyjny (RODO, NIS2/ustawa o KSC lub rozporządzenie w sprawie KRI) i konkretny przepis, a nie ogólne hasło typu „poprawa bezpieczeństwa”. Odpowiedź bez odwołania do artykułu ustawy, paragrafu rozporządzenia lub punktu kontrolnego normy nie zalicza punktacji.

Praca w zespole 2-3 osobowym polega na przeanalizowaniu powyższego scenariusza, sklasyfikowaniu uchybień według trzech reżimów regulacyjnych i przygotowaniu spójnego sprawozdania poaudytowego wraz z tabelą planu działań korygujących.

Zadanie realizowane jest przez 2-3 osobowy zespół w formule studium przypadku:

• Krok 1 (Podział ról i analiza wstępna):

  Zapoznajcie się ze specyfiką urzędu gminy i podzielcie role w zespole. Przygotujcie macierz korelacji trzech aktów prawnych (RODO, NIS2, KRI) wykazującą punkty wspólne (zarządzanie incydentem, ciągłość działania, kontrola dostępu).

• Krok 2 (Triangulacja dowodów i identyfikacja uchybień):

  Przeanalizujcie stan faktyczny urzędu w trzech obszarach:

  1. Sprawdźcie zgodność procesów EZD z zasadami minimalizacji i integralności RODO (art. 5 i 32).

  2. Zweryfikujcie brak procedury notyfikacji do CSIRT w świetle art. 21 i 23 Dyrektywy NIS2.

  3. Zidentyfikujcie uchybienia w cykliczności audytu i dokumentacji SZBI wg § 19 i § 20 rozporządzenia KRI.

• Krok 3 (Kwalifikacja niezgodności i szans na doskonalenie):

  Sformułujcie formalne karty ustaleń:

  • Niezgodność Zasadnicza (NC2) w obszarze NIS2/KRI: Brak sformalizowanej i przetestowanej procedury zarządzania incydentami teleinformatycznymi zintegrowanej z raportowaniem do CSIRT NASK.
  • Niezgodność Zasadnicza (NC2) w obszarze RODO/KRI: Nadmiarowe uprawnienia w systemie EZD i brak okresowego przeglądu kont urzędników.
  • Niezgodność Drobna (NC3) w obszarze KRI: Nieterminowe przeprowadzenie audytu okresowego SZBI.
  • Szansa na doskonalenie (OFI): Wdrożenie zintegrowanej platformy do jednoczesnego rejestrowania incydentów RODO i cyberzagrożeń NIS2.
• Krok 4 (Opracowanie zaleceń poaudytowych SMART):

  Sformułujcie konkretne rekomendacje inżynierskie i organizacyjne eliminujące zidentyfikowane luki, ze szczególnym uwzględnieniem Zintegrowanej Procedury Reagowania na Incydenty.

• Krok 5 (Konstrukcja Planu Działań Korygujących CAP):

  Opracujcie tabelę CAP zawierającą: identyfikację uchybienia, działanie naprawcze, właściciela biznesowego (np. Sekretarz Gminy, Kierownik IT, IOD), termin realizacji (14-90 dni), miernik sukcesu oraz szacowany budżet.

• Krok 6 (Synteza raportu i przygotowanie referatu):

  Zredagujcie sprawozdanie końcowe (4-8 stron A4) i przygotujcie 10-15 minutowe wystąpienie seminaryjne.

Podział ról w triadzie audytorskiej:

• Rola 1 - Audytor Wiodący: ład organizacyjny i KRI metryka audytu, wymagania § 19 i § 20 rozporządzenia w sprawie KRI, roczny audyt SZBI, ciągłość działania (DRP/BCP), koordynacja sprawozdania i obrony.
• Rola 2 - Audytor ds. Cyberbezpieczeństwa i NIS2/KSC odporność teleinformatyczna, zarządzanie podatnościami, separacja stref IT/OT/IoT, monitorowanie zagrożeń, ścieżka zgłaszania incydentów poważnych w terminach 24 i 72 godzin.
• Rola 3 - Audytor Ochrony Danych Osobowych i Zgodności z RODO legalność przetwarzania, w tym art. 9 RODO, rejestry czynności, umowy powierzenia (art. 28), środki techniczne i organizacyjne (art. 32) oraz procedura zawiadamiania Prezesa UODO. W zespole dwuosobowym rolę tę realizują wspólnie osoby pełniące rolę 1 i rolę 2.

Pełny harmonogram ćwiczenia wraz z zegarem 180 minut, podziałem etapów między role i listą artefaktów znajduje się w sekcji Interaktywny harmonogram ćwiczeń. Rejestr uchybień z oceną ryzyka prowadzicie w sekcji Interaktywny kalkulator ryzyka, a ustalenia w skali prawdopodobieństwo × skutek weryfikujecie w sekcji macierzy ryzyka 5 × 5.

Plan referatu seminaryjnego grupy (10-15 minut):

• Część 1 (Minuty 00-03): Wprowadzenie do problematyki zbieżności RODO, NIS2 i KRI w administracji samorządowej oraz profil badanej jednostki (Student 1).
• Część 2 (Minuty 03-07): Prezentacja stanu faktycznego, analiza luk w systemie EZD, braków procedur CSIRT i przeterminowanego audytu KRI (Student 2 i 3).
• Część 3 (Minuty 07-11): Omówienie kwalifikacji niezgodności (NC2/NC3/OFI), koncepcji zintegrowanej procedury incydentowej oraz harmonogramu Planu CAP (Student 2 i 3).
• Część 4 (Minuty 11-15): Analiza zalet i wad zaproponowanego rozwiązania, wnioski końcowe i odpowiedzi na pytania audytorium (Wszyscy członkowie grupy).

Podczas wystąpienia seminaryjnego przedstawcie diagram przepływu informacji w przypadku wykrycia incydentu ransomware w urzędzie: wskażcie, kto, w jakim terminie i w jakiej kolejności powiadamia Burmistrza, Zespół CSIRT NASK (w reżimie NIS2) oraz Prezesa UODO (w reżimie RODO) oraz jak zachować ciągłość e-usług publicznych zgodnie z KRI.

Wymagania formalne sprawozdania poaudytowego (ocena 3.0):

• Wymagane: sprawozdanie poaudytowe w formacie PDF o objętości 4-8 stron znormalizowanego maszynopisu A4 (1 200-2 400 słów), przekazane najpóźniej 24 godziny przed terminem zajęć;
• Wymagane: wystąpienie seminaryjne trwające 10-15 minut, w którym każdy członek zespołu prezentuje własny fragment pracy i odpowiada na pytania kontrolne prowadzącego;
• Wymagane: strona tytułowa z nazwą jednostki, pełnym tytułem zadania, kodem Lab10 i składem zespołu z podziałem ról;
• Wymagane: metryka audytu: podstawa prawna, zakres, metoda, kryteria i uczestnicy;
• Wymagane: rejestr uchybień z klasyfikacją NC2, NC3 i OFI, oceną ryzyka w skali 1-25 oraz wskazaniem naruszonego artykułu, paragrafu lub kontrolki normatywnej;
• Wymagane: jedna zintegrowana procedura reagowania na incydent obsługująca terminy 24/72/72 godzin oraz tabela planu działań korygujących (CAP) z rolami, terminami, budżetami i miernikami sukcesu;
• Wymagane: analiza wad i zalet własnego rozwiązania wraz z ograniczeniami przyjętych założeń;
• Wymagane: bibliografia z numerami artykułów i paragrafów oraz numerami kontrolek norm;
• Skutkuje niezaliczeniem: sprawozdanie krótsze niż 4 strony A4 albo dłuższe niż 8 stron, sprawozdanie bez planu CAP, referat bez bibliografii albo praca nieprzygotowana do obrony ustnej.

Szkic sprawozdania przygotowujecie w sekcji Formularz sprawozdania poaudytowego, a kompletność pracy sprawdzacie na czterech etapach ćwiczenia w sekcji checklistcie zgodności (licznik objętości wskazuje, czy tekst mieści się w wymaganych 4-8 stronach A4).

Uwaga: Najczęstsze błędy obniżające ocenę: przedstawienie scenariusza zamiast jego analizy, kwalifikowanie uchybień bez wskazania kryterium prawnego, pomylenie terminu 24 godziny (incydent poważny) z terminem 72 godziny (naruszenie ochrony danych), podanie zaleceń bez miernika sukcesu oraz sprawozdanie krótsze niż 4 strony A4 albo pozbawione planu działań korygujących CAP.

• Opracowanie Zintegrowanej Procedury Zarządzania Incydentami i Naruszeniami Danych (łączącej ścieżkę IOD-UODO oraz CISO-CSIRT).
• Wdrożenie automatycznego modułu zarządzania uprawnieniami w EZD z integracją z systemem kadrowo-płacowym urzędu.
• Aktualizacja dokumentacji Polityki Bezpieczeństwa Informacji i harmonogramu audytów KRI.

Wzorcowa tabela planu działań korygujących (CAP):

• Zalety: Pełna zgodność z triadą RODO+NIS2+KRI, uniknięcie kar UODO i sankcji NIS2, ochrona praw mieszkańców, uporządkowanie procesów kancelaryjnych.
• Wady: Konieczność wygospodarowania środków w budżecie gminy, dodatkowe obowiązki sprawozdawcze dla urzędników, konieczność przeszkolenia 180 pracowników.

Bilans wdrożenia proponowanego rozwiązania dla tej jednostki:

Porównajcie koszt wdrożenia, liczbę zaangażowanych osób i ryzyko resztkowe. Rozwiązanie, które personel jest w stanie faktycznie stosować, jest skuteczniejsze niż rozbudowana procedura, której nikt nie przestrzega; uzasadnijcie wybrany wariant ryzyka, kosztu i obciążenia operacyjnego.

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 5, 24, 32, 33, 34.
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. (Dyrektywa NIS2) - art. 21 i 23.
• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. z 2024 r. poz. 773) - § 19 (system zarządzania bezpieczeństwem informacji, w tym wymóg zapewnienia okresowego audytu wewnętrznego nie rzadziej niż raz na rok: § 19 ust. 2 pkt 14) oraz § 20 (rozliczalność i prowadzenie dzienników systemów, których zapisy przechowuje się co najmniej dwa lata, jeżeli przepisy odrębne nie stanowią inaczej). Rozporządzenie z dnia 12 kwietnia 2012 r. utraciło moc z dniem 23 maja 2024 r.
• Norma PN-EN ISO 19011:2018: Wytyczne dotyczące audytowania systemów zarządzania.
• Norma PN-EN ISO/IEC 27001:2022: Systemy zarządzania bezpieczeństwem informacji - Wymagania.
• Ustawa z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (tekst jedn. Dz.U. z 2026 r. poz. 1241) - art. 18 jako podstawa prawna rozporządzenia w sprawie KRI.
• Ministerstwo Cyfryzacji: "Wytyczne dotyczące cyberbezpieczeństwa w jednostkach samorządu terytorialnego", Warszawa 2023.

Podstawy prawne i normatywne obowiązujące w całym module (weryfikowany stan prawny):

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 5 (zasady przetwarzania, w tym minimalizacja, ograniczenie retencji i rozliczalność), art. 9 (dane szczególnych kategorii), art. 25 (ochrona danych z naturyry), art. 28 (przetwarzanie przez podmioty przetwarzające), art. 32 (bezpieczeństwo przetwarzania), art. 33 ust. 1 (zawiadomienie organu nadzorczego w terminie 72 godzin) oraz art. 34 (zawiadomienie osób, których dane dotyczą).
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (dyrektywa NIS2) - art. 21 (środki zarządzania ryzykiem, w tym bezpieczeństwo łańcucha dostaw) oraz art. 23 (wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie incydentu w ciągu 72 godzin, sprawozdanie końcowe w ciągu miesiąca).
• Ustawa z dnia 5 lipca 2018 r. o Krajowym Systemie Cyberbezpieczeństwa (tekst jedn. Dz.U. z 2026 r. poz. 20, zm. Dz.U. z 2026 r. poz. 252) - art. 8 (środki zapewniające poufność, integralność i dostępność oraz ograniczenie mechanizmów dostępu do systemów sterowania), art. 10 (dokumentacja), art. 11 (obsługa i zgłaszanie incydentów poważnych w ciągu 24 godzin) oraz art. 15 (audyt bezpieczeństwa co najmniej raz na 3 lata).
• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. z 2024 r. poz. 773) - § 19 (system zarządzania bezpieczeństwem informacji, w tym wymóg okresowego audytu wewnętrznego nie rzadziej niż raz na rok: § 19 ust. 2 pkt 14) oraz § 20 (rozliczalność i prowadzenie dzienników systemów, których zapisy przechowuje się co najmniej dwa lata). Rozporządzenie z dnia 12 kwietnia 2012 r. utraciło moc z dniem 23 maja 2024 r.
• Ustawa z dnia 17 lutnia 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (tekst jedn. Dz.U. z 2026 r. poz. 1241) - art. 18 jako podstawa prawna rozporządzenia w sprawie KRI.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 (DORA) - art. 8 (zarządzanie ryzykiem operacyjnym ICT) oraz art. 9 i 10 (zdarzenia operacyjne ICT, ich zgłaszanie, ochrona i archiwizacja dzienników oraz testy ciągłości działania).
• PCI Security Standards Council 2024 - standard PCI DSS v4.0, w tym wymóg 6.2 (bezpieczne oprogramowanie dedykowane), 8.3.4 (ograniczenie nieudanych prób uwierzytelniania) oraz 10.5.1 (retencja dzienników: minimum 12 miesięcy, w tym 3 miesiące w trybie natychmiastowego dostępu online).
• Ustawa z dnia 26 czerwca 1974 r. - Kodeks pracy (Dz.U. z 2026 r. poz. 1245) - art. 22² §§ 1-2 (monitoring wizyjny w zakładzie pracy: obowiązek poinformowania pracowników, uregulowania zasad monitoringu w regulaminie pracy lub układzie zbiorowym oraz wszczególnienie sposobu stosowania monitoringu), art. 22² § 6 (zasady, cel i zakres monitoringu) i art. 22² § 7 (informowanie co najmniej 2 tygodnie wcześniej).
• Norma PN-EN ISO 19011:2018 - wytyczne dotyczące audytowania systemów zarządzania, w tym treść raportu z auditu (pkt 6.5) oraz planowanie i realizacja auditu.
• Norma PN-EN ISO/IEC 27001:2022 - systemy zarządzania bezpieczeństwem informacji: klauzule 4.4, 6.1, 8.1, 9.2, 10.2 oraz kontrole Załącznika A.
• Norma PN-EN ISO/IEC 27005:2022 - zarządzanie ryzykiem bezpieczeństwa informacji: identyfikacja, analiza, ocena i postępowanie z ryzykiem.
• Wytyczne Europejskiej Rady Ochrony Danych 3/2019 w sprawie przetwarzania danych osobowych przez urządzenia wideo - uzasadnienie celu monitoringu, zasada minimalizacji i retencji nagrań.
• Rekomendacja D Komisji Nadzoru Finansowego dotycząca stosowania przez banki spółdzielcze dobrych praktyk w zakresie zarządzania ryzykiem operacyjnym oraz Rekomendacja M dotycząca zarządzania ryzykiem technologicznym - stosowane jako uznane praktyki i metody oceny.

Normy ISO, standardy branżowe (PCI DSS, DORA w zakresie praktyk nadzoru, Rekomendacje D i M KNF, IFC/BRC, IEC 62443-3-3) oraz wytyczne organów nadzorczych stosuje się jako uznane praktyki i metody oceny, a nie jako przepisy ustawowe; ich zastosowanie wymaga krótkiego uzasadnienia w sprawozdaniu.

Powiązanie z sylabusem i treściami programowymi:

• U4 Opracowanie zintegrowanego raportu poaudytowego (4-8 stron A4) dla dyrekcji szpitala oraz wygłoszenie referatu seminaryjnego.
• U2 Poprawna identyfikacja i gradacja uchybień w środowisku podmiotu leczniczego podlegającego rygorystycznym regulacjom sektorowym.
• U1 Opracowanie zaleceń inżynierskich łączących rozliczalność dostępu z ergonomią pracy personelu medycznego.
• U3 Szacowanie ryzyka dla praw i wolności pacjentów oraz ciągłości funkcjonowania oddziałów ratunkowych.
• W1W3 Znajomość przepisów art. 9 i 32 RODO, Dyrektywy NIS2 dla sektora zdrowia, § 19 i § 20 rozporządzenia KRI oraz Ustawy o systemie informacji w ochronie zdrowia.
• K1K2K3 Wrażliwość etyczna na kwestie ochrony danych pacjentów, konstruktywny dialog z personelem medycznym i współpraca zespołowa.
• Powiązanie z wykładem: Wyk1 (SZBI w sektorze medycznym), Wyk2 (Zasady audytowania ISO 19011), Wyk3 (Kontrole A.5 i A.8 ISO 27001), Wyk4 (RODO, NIS2 i KRI w ochronie zdrowia), Wyk7 (Niezgodności, zalecenia SMART i plan CAP).

Wybrane efekty uczenia się realizowane w tym zadaniu:

• U4 Opracowanie zintegrowanego raportu poaudytowego dla dyrekcji szpitala.
• U2 Precyzyjna gradacja niezgodności w sektorze ochrony zdrowia.
• U1 Projekt inżynierski systemu RFID Tap-in oraz mikrosegmentacji sieci medycznej.
• U3 Szacowanie ryzyka naruszenia prywatności i ciągłości aparatury ratunkowej.
• W1W3 Znajomość przepisów art. 9 RODO, NIS2, KRI i normy ISO 27799.
• K1K2K3 Etyka zawodowa, kultura dialogu z personelem medycznym i rzetelność audytorska.

Podstawy prawne i normatywne zadania: RODO art. 9, 32 i 33; ustawa o KSC art. 8 i 11; rozporządzenie w sprawie KRI § 19 i § 20; ustawa o prawach pacjenta

Temat zadania: ZINTEGROWANY AUDYT SZPITALNEGO SYSTEMU INFORMACYJNEGO (HIS) I APARATURY MEDYCZNEJ: OCHRONA DANYCH SZCZEGÓLNYCH KATEGORII (ART. 9 RODO), ODPORNOŚĆ PODMIOTU KLUCZOWEGO OCHRONY ZDROWIA (NIS2) ORAZ CIĄGŁOŚĆ I INTEROPERACYJNOŚĆ Z PLATFORMĄ P1 (KRI/KSC)

Głównym celem zadania jest nabycie przez studentów umiejętności przeprowadzenia zintegrowanego audytu bezpieczeństwa informacji w podmiocie leczniczym, ze szczególnym uwzględnieniem ochrony danych o stanie zdrowia (art. 9 RODO), rygorów cyberodporności podmiotu kluczowego sektora zdrowia (Dyrektywa NIS2) oraz minimalnych wymagań ciągłości działania i interoperacyjności rejestrów medycznych (§ 19 i § 20 rozporządzenia KRI i integracja z platformą P1 Centrum e-Zdrowia). Studenci badają stan bezpieczeństwa szpitalnego systemu informatycznego (HIS) oraz urządzeń medycznych podłączonych do sieci w Wojewódzkim Szpitalu Zespolonym w Kaliszu. Zadanie wymaga: identyfikacji uchybień na styku procedur medycznych i teleinformatycznych, sklasyfikowania niezgodności audytowych (NC2/NC3/OFI), sformułowania zaleceń inżynierskich i organizacyjnych gwarantujących niezakłócone ratowanie życia pacjentów przy jednoczesnym spełnieniu normy ISO/IEC 27001 oraz opracowania harmonogramu Planu Działań Korygujących (CAP).

Kryterium zaliczenia zadania: sprawozdanie poaudytowe uznaje się za zaliczone, jeżeli zawiera metrykę audytu, katalog uchybień sklasyfikowanych jako NC2, NC3 lub OFI z odwołaniem do przepisu lub kontrolki normatywnej, ocenę ryzyka w skali 1-25 dla trzech najpoważniejszych uchybień, jedną zintegrowaną procedurę reagowania na incydent z terminami 24/72/72 godzin, tabelę planu działań korygujących z miernikami sukcesu, analizę wad i zalet rozwiązania oraz bibliografię z numerami artykułów i paragrafów.

Karta organizacyjna analizowanej jednostki (na podstawie scenariusza):

Narracja scenariusza i stan faktyczny w obszarze zbadanym:

Wojewódzki Szpital Zespolony w Kaliszu dysponuje 650 łóżkami, 18 oddziałami szpitalnymi oraz Szpitalnym Oddziałem Ratunkowym (SOR). Szpital przetwarza rocznie dane medyczne 45 000 hospitalizowanych pacjentów w zintegrowanym systemie HIS połączonym z centralną platformą P1 (e-Recepta, e-Skierowanie, e-Zwolnienie). Infrastruktura obejmuje 350 stacji roboczych, 40 serwerów oraz kilkaset urządzeń medycznych podłączonych do sieci LAN (kardiomonitory, aparaty USG, tomografy).

Stan faktyczny w obszarze zbadanym i zidentyfikowane luki:

• Obszar RODO: Na oddziałach zabiegowych i w dyżurkach pielęgniarskich powszechnie stosowane są wspólne konta użytkowników o uprawnieniach edycyjnych (pielegniarka_dyzur), a ekrany komputerów na korytarzach i w punktach przyjęć są widoczne dla osób postronnych (brak filtrów prywatyzujących, naruszenie art. 9 i 32 RODO).
• Obszar NIS2: Szpital nie wdrożył systemu całodobowego monitorowania incydentów (brak usługi SOC lub dyżuru 24/7), a aparatura medyczna (kardiomonitory na OIOM) pracuje w tej samej płaskiej podsieci co komputery administracyjne, co stwarza ryzyko rozprzestrzenienia się złośliwego oprogramowania na sprzęt ratujący życie (naruszenie art. 21 NIS2).
• Obszar KRI: Procedury ciągłości działania nie uwzględniają scenariusza awarii łącza do platformy P1 CeZ. Kopie zapasowe bazy HIS są wykonywane, lecz testy ich odtwarzania nie były przeprowadzane od ponad 2 lat, co narusza § 19 rozporządzenia w sprawie KRI (wymagania dotyczące systemu zarządzania bezpieczeństwem informacji, w tym ciągłości działania, kopii zapasowych i testów odtworzeniowych).
• Punkt styku (Triada RODO + NIS2 + KRI): Ewentualny atak ransomware na sieć szpitalną sparaliżowałby jednocześnie przetwarzanie danych medycznych pacjentów (RODO), wywołałby incydent krytyczny w podmiocie ochrony zdrowia (NIS2) oraz uniemożliwiłby wymianę danych z rejestrami publicznymi P1 (KRI).

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący / Ekspert Bezpieczeństwa Zdrowotnego i KRI - koordynuje prace, analizuje procedury ciągłości działania, interoperacyjność z platformą P1 oraz redaguje raport dla Dyrekcji.
• Rola 2: Audytor Techniczny Cyberbezpieczeństwa i NIS2 - bada konfigurację sieci szpitalnej, brak segmentacji aparatury medycznej, luki w monitorowaniu cyberzagrożeń oraz projektuje mikrosegmentację VLAN.
• Rola 3: Audytor Ochrony Danych Osobowych i Zgodności RODO - weryfikuje przetwarzanie danych szczególnych kategorii, praktyki współdzielenia kont przez personel medyczny oraz opracowuje zalecenia ergonomiczne. (W zespole 2-osobowym zadania te dzielą Studenci 1 i 2).

Na co zwrócić uwagę przy analizie scenariusza:

• 1 Najpierw ustalcie, który z trzech reżimów regulacyjnych jest właściwy dla każdej uchybienia: ta sama okoliczność może być jednocześnie naruszeniem RODO, art. 21 dyrektywy NIS2 i wymagań rozporządzenia w sprawie KRI.
• 2 Rozróżnijcie objaw od przyczyny: brak aktualnego rejestru czynności jest przyczyną, a nieprawidłowe uprawnienia w systemie są jej skutkiem.
• 3 Gradacja ustaleń musi uwzględniać dotkliwość konsekwencji: paraliż usługi publicznej, utrata reputacji instytucji i wysokość możliwej kary administracyjnej.
• 4 Dla każdej karty ustaleń wskażcie kontrolę Załącznika A normy PN-EN ISO/IEC 27001:2022, która odpowiada na zidentyfikowaną lukę.

Odpowiedzcie w zespołach na poniższe pytania przed przystąpieniem do redagowania sprawozdania poaudytowego:

1. Dlaczego wspólne konto o uprawnieniach edycyjnych uniemożliwia ustalenie sprawcy naruszenia i które środki z art. 32 RODO oraz art. 21 dyrektywy NIS2 należy zastosować, aby rozwiązać ten problem bez paraliżowania pracy oddziału?
2. Jak zaprojektować segmentację sieci szpitalnej, aby aparatura medyczna na oddziale intensywnej terapii nie komunikowała się z komputerami administracyjnymi? Wskaż mechanizmy techniczne i uzasadnij wybór.
3. Dlaczego testy odtwarzania kopii zapasowej bazy HIS wykonywane dłużej niż dwa lata temu są niezgodne z wymaganiami § 19 rozporządzenia w sprawie KRI?
4. Jakie są skutki procesowe awarii łącza do platformy P1 dla realizacji obowiązków pacjenta i dla ciągłości usług szpitala oraz co należy zgłosić do właściwego zespołu reagowania na incydenty?
5. Jak uzasadnić prawnie i etycznie ograniczenie dostępu do danych pacjenta w celu zapewnienia bezpieczeństwa leczenia ratującego życie?
6. Które elementy należy ująć w planie działań korygujących, aby zabezpieczenia nie pogorszyły ergonomii pracy personelu medycznego?

Pytania problemowe z zakresu raportu:

• W jaki sposób pogodzić wymóg indywidualnego logowania i rozliczalności personelu (art. 32 RODO) z koniecznością natychmiastowego dostępu do danych pacjenta na SOR w stanach zagrożenia życia?
• Jakie zagrożenia dla życia pacjentów stwarza brak segmentacji sieciowej aparatury medycznej IoT w świetle Dyrektywy NIS2?
• Jakie procedury awaryjne musi posiadać szpital na wypadek niedostępności centralnej platformy P1 zgodnie z wytycznymi KRI?

Uwaga: Każda odpowiedź musi wskazywać właściwy reżim regulacyjny (RODO, NIS2/ustawa o KSC lub rozporządzenie w sprawie KRI) i konkretny przepis, a nie ogólne hasło typu „poprawa bezpieczeństwa”. Odpowiedź bez odwołania do artykułu ustawy, paragrafu rozporządzenia lub punktu kontrolnego normy nie zalicza punktacji.

Praca w zespole 2-3 osobowym polega na przeanalizowaniu powyższego scenariusza, sklasyfikowaniu uchybień według trzech reżimów regulacyjnych i przygotowaniu spójnego sprawozdania poaudytowego wraz z tabelą planu działań korygujących.

Zadanie realizowane jest przez 2-3 osobowy zespół w formule studium przypadku:

• Krok 1 (Podział ról i specyfika sektora medycznego):

  Podzielcie zadania w zespole. Przeanalizujcie uwarunkowania pracy szpitala: priorytet ratowania życia pacjentów i presję czasu personelu medycznego w zderzeniu z rygorami cyberbezpieczeństwa.

• Krok 2 (Triangulacja dowodów w triadzie regulacyjnej):

  Dokonajcie oceny zebranych dowodów:

  1. Zbadajcie naruszenia zasad rozliczalności i poufności danych medycznych z art. 9 i 32 RODO (współdzielenie kont i brak filtrów prywatyzujących).

  2. Oceńcie podatność płaskiej sieci szpitalnej i brak monitorowania pod kątem wymogów Dyrektywy NIS2 dla podmiotów kluczowych.

  3. Zweryfikujcie brak testów odtworzeniowych kopii zapasowych HIS w świetle § 19 i § 20 rozporządzenia KRI.

• Krok 3 (Kwalifikacja niezgodności):

  Sformułujcie karty niezgodności:

  • Niezgodność Zasadnicza (NC2) w obszarze NIS2/KRI: Brak logicznej i fizycznej segmentacji sieci aparatury medycznej od sieci biurowej szpitala.
  • Niezgodność Zasadnicza (NC2) w obszarze RODO: Powszechne stosowanie kont współdzielonych przez personel medyczny uniemożliwiające ustalenie sprawcy wpisu w dokumentacji medycznej.
  • Niezgodność Drobna (NC3) w obszarze KRI: Brak udokumentowanych i przetestowanych procedur odzyskiwania danych bazy HIS.
  • Szansa na doskonalenie (OFI): Wdrożenie kart zbliżeniowych RFID/NFC dla personelu medycznego umożliwiających błyskawiczne logowanie do stacji bez wpisywania haseł alfanumerycznych.
• Krok 4 (Opracowanie zaleceń SMART):

  Zaproponujcie wdrożenie mikrosegmentacji sieciowej (izolacja kardiomonitorów w osobnym VLAN za zaporą ogniową), wprowadzenie kart zbliżeniowych z uwierzytelnianiem dwuskładnikowym oraz harmonogram kwartalnych testów kopii zapasowych.

• Krok 5 (Konstrukcja Planu CAP):

  Sporządźcie tabelę CAP z przydziałem odpowiedzialności (Kierownik Działu IT, Zastępca Dyrektora ds. Medycznych, IOD), realistycznymi terminami (14-90 dni) i wskaźnikami weryfikacji.

• Krok 6 (Przygotowanie raportu i referatu):

  Zredagujcie raport poaudytowy (4-8 stron A4) i przygotujcie prezentację dla Dyrekcji Szpitala.

Podział ról w triadzie audytorskiej:

• Rola 1 - Audytor Wiodący: ład organizacyjny i KRI metryka audytu, wymagania § 19 i § 20 rozporządzenia w sprawie KRI, roczny audyt SZBI, ciągłość działania (DRP/BCP), koordynacja sprawozdania i obrony.
• Rola 2 - Audytor ds. Cyberbezpieczeństwa i NIS2/KSC odporność teleinformatyczna, zarządzanie podatnościami, separacja stref IT/OT/IoT, monitorowanie zagrożeń, ścieżka zgłaszania incydentów poważnych w terminach 24 i 72 godzin.
• Rola 3 - Audytor Ochrony Danych Osobowych i Zgodności z RODO legalność przetwarzania, w tym art. 9 RODO, rejestry czynności, umowy powierzenia (art. 28), środki techniczne i organizacyjne (art. 32) oraz procedura zawiadamiania Prezesa UODO. W zespole dwuosobowym rolę tę realizują wspólnie osoby pełniące rolę 1 i rolę 2.

Pełny harmonogram ćwiczenia wraz z zegarem 180 minut, podziałem etapów między role i listą artefaktów znajduje się w sekcji Interaktywny harmonogram ćwiczeń. Rejestr uchybień z oceną ryzyka prowadzicie w sekcji Interaktywny kalkulator ryzyka, a ustalenia w skali prawdopodobieństwo × skutek weryfikujecie w sekcji macierzy ryzyka 5 × 5.

Plan referatu seminaryjnego grupy (10-15 minut):

• Część 1 (Minuty 00-03): Wprowadzenie: charakterystyka szpitala jako podmiotu kluczowego NIS2, administratora danych szczególnych kategorii RODO i uczestnika rejestrów medycznych KRI/P1 (Student 1).
• Część 2 (Minuty 03-07): Analiza krytycznych luk: współdzielenie kont pielęgniarskich, brak separacji kardiomonitorów i zaniedbania kopii zapasowych (Student 2 i 3).
• Część 3 (Minuty 07-11): Przedstawienie kart niezgodności, zaleceń SMART (karty RFID, segmentacja VLAN) oraz Planu Działań Korygujących CAP (Student 2 i 3).
• Część 4 (Minuty 11-15): Analiza kompromisu pomiędzy szybkością obsługi pacjenta a rygorem bezpieczeństwa, podsumowanie i dyskusja (Wszyscy członkowie grupy).

W trakcie referatu seminaryjnego zademonstrujcie symulację dialogu audytora z dyrektorem medycznym szpitala: pokażcie, w jaki sposób przekonać kadrę lekarską, że wdrożenie kart zbliżeniowych RFID jest w rzeczywistości szybsze i bardziej ergonomiczne niż wpisywanie haseł, a jednocześnie zapewnia zgodność z RODO, NIS2 i KRI.

Wymagania formalne sprawozdania poaudytowego (ocena 3.0):

• Wymagane: sprawozdanie poaudytowe w formacie PDF o objętości 4-8 stron znormalizowanego maszynopisu A4 (1 200-2 400 słów), przekazane najpóźniej 24 godziny przed terminem zajęć;
• Wymagane: wystąpienie seminaryjne trwające 10-15 minut, w którym każdy członek zespołu prezentuje własny fragment pracy i odpowiada na pytania kontrolne prowadzącego;
• Wymagane: strona tytułowa z nazwą jednostki, pełnym tytułem zadania, kodem Lab10 i składem zespołu z podziałem ról;
• Wymagane: metryka audytu: podstawa prawna, zakres, metoda, kryteria i uczestnicy;
• Wymagane: rejestr uchybień z klasyfikacją NC2, NC3 i OFI, oceną ryzyka w skali 1-25 oraz wskazaniem naruszonego artykułu, paragrafu lub kontrolki normatywnej;
• Wymagane: jedna zintegrowana procedura reagowania na incydent obsługująca terminy 24/72/72 godzin oraz tabela planu działań korygujących (CAP) z rolami, terminami, budżetami i miernikami sukcesu;
• Wymagane: analiza wad i zalet własnego rozwiązania wraz z ograniczeniami przyjętych założeń;
• Wymagane: bibliografia z numerami artykułów i paragrafów oraz numerami kontrolek norm;
• Skutkuje niezaliczeniem: sprawozdanie krótsze niż 4 strony A4 albo dłuższe niż 8 stron, sprawozdanie bez planu CAP, referat bez bibliografii albo praca nieprzygotowana do obrony ustnej.

Szkic sprawozdania przygotowujecie w sekcji Formularz sprawozdania poaudytowego, a kompletność pracy sprawdzacie na czterech etapach ćwiczenia w sekcji checklistcie zgodności (licznik objętości wskazuje, czy tekst mieści się w wymaganych 4-8 stronach A4).

Uwaga: Najczęstsze błędy obniżające ocenę: przedstawienie scenariusza zamiast jego analizy, kwalifikowanie uchybień bez wskazania kryterium prawnego, pomylenie terminu 24 godziny (incydent poważny) z terminem 72 godziny (naruszenie ochrony danych), podanie zaleceń bez miernika sukcesu oraz sprawozdanie krótsze niż 4 strony A4 albo pozbawione planu działań korygujących CAP.

• Wdrożenie systemu szybkiej autoryzacji zbliżeniowej kartami RFID/Mifare sprzężonymi z identyfikatorami personelu.
• Mikrosegmentacja sieci szpitalnej z wydzieleniem chronionego VLAN dla aparatury podtrzymującej życie.
• Opracowanie procedury DRP i harmonogramu testów odzyskiwania bazy HIS.

Wzorcowa tabela planu działań korygujących (CAP):

• Zalety: Wyeliminowanie haseł na karteczkach, skrócenie czasu logowania do 1 sekundy, ochrona aparatury ratującej życie, pełna rozliczalność ordynacji leków.
• Wady: Koszt zakupu czytników RFID i kart kodowanych, konieczność przekonania personelu lekarskiego do noszenia identyfikatorów.

Bilans wdrożenia proponowanego rozwiązania dla tej jednostki:

Porównajcie koszt wdrożenia, liczbę zaangażowanych osób i ryzyko resztkowe. Rozwiązanie, które personel jest w stanie faktycznie stosować, jest skuteczniejsze niż rozbudowana procedura, której nikt nie przestrzega; uzasadnijcie wybrany wariant ryzyka, kosztu i obciążenia operacyjnego.

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 9, 32, 33, 34.
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (NIS2) - podmioty kluczowe sektora ochrony zdrowia.
• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. z 2024 r. poz. 773) - § 19 (system zarządzania bezpieczeństwem informacji, w tym wymóg zapewnienia okresowego audytu wewnętrznego nie rzadziej niż raz na rok: § 19 ust. 2 pkt 14) oraz § 20 (rozliczalność i prowadzenie dzienników systemów, których zapisy przechowuje się co najmniej dwa lata, jeżeli przepisy odrębne nie stanowią inaczej). Rozporządzenie z dnia 12 kwietnia 2012 r. utraciło moc z dniem 23 maja 2024 r.
• Norma PN-EN ISO 27799:2016: Informatyka medyczna - Zarządzanie bezpieczeństwem informacji w dziedzinie zdrowia.
• Norma PN-EN ISO/IEC 27001:2022: Systemy zarządzania bezpieczeństwem informacji.
• Ustawa z dnia 28 kwietnia 2011 r. o systemie informacji w ochronie zdrowia (tekst jedn. Dz.U. z 2026 r. poz. 208) - dokumentacja medyczna i systemy teleinformatyczne podmiotów leczniczych.
• Centrum e-Zdrowia (CeZ): "Standardy bezpieczeństwa dla podmiotów leczniczych", Warszawa 2023.

Podstawy prawne i normatywne obowiązujące w całym module (weryfikowany stan prawny):

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 5 (zasady przetwarzania, w tym minimalizacja, ograniczenie retencji i rozliczalność), art. 9 (dane szczególnych kategorii), art. 25 (ochrona danych z naturyry), art. 28 (przetwarzanie przez podmioty przetwarzające), art. 32 (bezpieczeństwo przetwarzania), art. 33 ust. 1 (zawiadomienie organu nadzorczego w terminie 72 godzin) oraz art. 34 (zawiadomienie osób, których dane dotyczą).
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (dyrektywa NIS2) - art. 21 (środki zarządzania ryzykiem, w tym bezpieczeństwo łańcucha dostaw) oraz art. 23 (wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie incydentu w ciągu 72 godzin, sprawozdanie końcowe w ciągu miesiąca).
• Ustawa z dnia 5 lipca 2018 r. o Krajowym Systemie Cyberbezpieczeństwa (tekst jedn. Dz.U. z 2026 r. poz. 20, zm. Dz.U. z 2026 r. poz. 252) - art. 8 (środki zapewniające poufność, integralność i dostępność oraz ograniczenie mechanizmów dostępu do systemów sterowania), art. 10 (dokumentacja), art. 11 (obsługa i zgłaszanie incydentów poważnych w ciągu 24 godzin) oraz art. 15 (audyt bezpieczeństwa co najmniej raz na 3 lata).
• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. z 2024 r. poz. 773) - § 19 (system zarządzania bezpieczeństwem informacji, w tym wymóg okresowego audytu wewnętrznego nie rzadziej niż raz na rok: § 19 ust. 2 pkt 14) oraz § 20 (rozliczalność i prowadzenie dzienników systemów, których zapisy przechowuje się co najmniej dwa lata). Rozporządzenie z dnia 12 kwietnia 2012 r. utraciło moc z dniem 23 maja 2024 r.
• Ustawa z dnia 17 lutnia 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (tekst jedn. Dz.U. z 2026 r. poz. 1241) - art. 18 jako podstawa prawna rozporządzenia w sprawie KRI.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 (DORA) - art. 8 (zarządzanie ryzykiem operacyjnym ICT) oraz art. 9 i 10 (zdarzenia operacyjne ICT, ich zgłaszanie, ochrona i archiwizacja dzienników oraz testy ciągłości działania).
• PCI Security Standards Council 2024 - standard PCI DSS v4.0, w tym wymóg 6.2 (bezpieczne oprogramowanie dedykowane), 8.3.4 (ograniczenie nieudanych prób uwierzytelniania) oraz 10.5.1 (retencja dzienników: minimum 12 miesięcy, w tym 3 miesiące w trybie natychmiastowego dostępu online).
• Ustawa z dnia 26 czerwca 1974 r. - Kodeks pracy (Dz.U. z 2026 r. poz. 1245) - art. 22² §§ 1-2 (monitoring wizyjny w zakładzie pracy: obowiązek poinformowania pracowników, uregulowania zasad monitoringu w regulaminie pracy lub układzie zbiorowym oraz wszczególnienie sposobu stosowania monitoringu), art. 22² § 6 (zasady, cel i zakres monitoringu) i art. 22² § 7 (informowanie co najmniej 2 tygodnie wcześniej).
• Norma PN-EN ISO 19011:2018 - wytyczne dotyczące audytowania systemów zarządzania, w tym treść raportu z auditu (pkt 6.5) oraz planowanie i realizacja auditu.
• Norma PN-EN ISO/IEC 27001:2022 - systemy zarządzania bezpieczeństwem informacji: klauzule 4.4, 6.1, 8.1, 9.2, 10.2 oraz kontrole Załącznika A.
• Norma PN-EN ISO/IEC 27005:2022 - zarządzanie ryzykiem bezpieczeństwa informacji: identyfikacja, analiza, ocena i postępowanie z ryzykiem.
• Wytyczne Europejskiej Rady Ochrony Danych 3/2019 w sprawie przetwarzania danych osobowych przez urządzenia wideo - uzasadnienie celu monitoringu, zasada minimalizacji i retencji nagrań.
• Rekomendacja D Komisji Nadzoru Finansowego dotycząca stosowania przez banki spółdzielcze dobrych praktyk w zakresie zarządzania ryzykiem operacyjnym oraz Rekomendacja M dotycząca zarządzania ryzykiem technologicznym - stosowane jako uznane praktyki i metody oceny.

Normy ISO, standardy branżowe (PCI DSS, DORA w zakresie praktyk nadzoru, Rekomendacje D i M KNF, IFC/BRC, IEC 62443-3-3) oraz wytyczne organów nadzorczych stosuje się jako uznane praktyki i metody oceny, a nie jako przepisy ustawowe; ich zastosowanie wymaga krótkiego uzasadnienia w sprawozdaniu.

Powiązanie z sylabusem i treściami programowymi:

• U4 Opracowanie zintegrowanego raportu poaudytowego (4-8 stron A4) dla Zarządu Banku i Komitetu Audytu oraz wygłoszenie referatu seminaryjnego.
• U2 Precyzyjna kwalifikacja uchybień w świetle przepisów Prawa bankowego, RODO, DORA i Rekomendacji D KNF.
• U1 Opracowanie zaleceń inżynierskich dotyczących zarządzania podatnościami, testów odporności oraz bezpiecznych interfejsów API.
• U3 Szacowanie ryzyka operacyjnego, finansowego i reputacyjnego w metodyce risk-based audit.
• W1W3 Znajomość wymogów RODO w sektorze bankowym, reżimu Rozporządzenia DORA / NIS2, § 19 i § 20 rozporządzenia KRI oraz Rekomendacji D i M KNF.
• K1K2K3 Odporność na presję ze strony kierownictwa instytucji finansowej, niezależność osądu i kultura prezentacji biznesowej.
• Powiązanie z wykładem: Wyk1 (Ład korporacyjny w bankowości), Wyk2 (Zasady audytowania ISO 19011), Wyk3 (Kontrole techniczne ISO 27001), Wyk4 (RODO, DORA, NIS2 i KRI w finansach), Wyk7 (Niezgodności, zalecenia SMART i plan CAP).

Wybrane efekty uczenia się realizowane w tym zadaniu:

• U4 Opracowanie zintegrowanego raportu poaudytowego dla Zarządu Banku.
• U2 Identyfikacja i klasyfikacja niezgodności w świetle Rekomendacji D KNF, DORA i RODO.
• U1 Projekt inżynierski procedury anonimizacji danych oraz zarządzania podatnościami.
• U3 Szacowanie ryzyka operacyjnego i regulacyjnego w sektorze bankowym.
• W1W3 Znajomość przepisów DORA, Rekomendacji D KNF, Prawa bankowego i KRI.
• K1K2K3 Profesjonalizm audytorski, niezależność i kultura komunikacji biznesowej.

Podstawy prawne i normatywne zadania: RODO art. 5, 25, 28 i 32; DORA art. 9 i 10; NIS2 art. 21; Prawo bankowe art. 104; rozporządzenie w sprawie KRI § 19 i § 20

Temat zadania: ZINTEGROWANY AUDYT TELEINFORMATYCZNY BANKU SPÓŁDZIELCZEGO: ZGODNOŚĆ Z RODO (OCHRONA DANYCH FINANSOWYCH I TAJEMNICY BANKOWEJ), REŻIM PODMIOTU KLUCZOWEGO (NIS2 / DORA) ORAZ INTEROPERACYJNOŚĆ I CIĄGŁOŚĆ ROZLICZEŃ Z NBP/KIR (KRI)

Głównym celem zadania jest opanowanie przez studentów umiejętności przeprowadzania kompleksowego audytu bezpieczeństwa informacji w instytucji finansowej, łączącego ochronę danych osobowych klientów (RODO), odporność operacyjną podmiotu kluczowego sektora bankowego (Dyrektywa NIS2 oraz Rozporządzenie DORA) oraz minimalne standardy interoperacyjności i ciągłości rozliczeń międzybankowych (§ 19 i § 20 rozporządzenia KRI, systemy Elixir/KIR i NBP). Studenci badają stan bezpieczeństwa bankowości elektronicznej, sieci oddziałowej oraz procesów przetwarzania danych w Małopolskim Banku Spółdzielczym w Wieliczce. Zadanie obejmuje: analizę powiązań pomiędzy Rekomendacją D KNF, przepisami unijnymi i normą ISO/IEC 27001, identyfikację podatności w środowisku transakcyjnym, sklasyfikowanie niezgodności audytowych (NC2/NC3/OFI), opracowanie zaleceń w metodyce SMART oraz sporządzenie Planu Działań Korygujących (CAP) dopasowanego do wymogów regulatora finansowego.

Kryterium zaliczenia zadania: sprawozdanie poaudytowe uznaje się za zaliczone, jeżeli zawiera metrykę audytu, katalog uchybień sklasyfikowanych jako NC2, NC3 lub OFI z odwołaniem do przepisu lub kontrolki normatywnej, ocenę ryzyka w skali 1-25 dla trzech najpoważniejszych uchybień, jedną zintegrowaną procedurę reagowania na incydent z terminami 24/72/72 godzin, tabelę planu działań korygujących z miernikami sukcesu, analizę wad i zalet rozwiązania oraz bibliografię z numerami artykułów i paragrafów.

Karta organizacyjna analizowanej jednostki (na podstawie scenariusza):

Narracja scenariusza i stan faktyczny w obszarze zbadanym:

Małopolski Bank Spółdzielczy w Wieliczce obsługuje 35 000 klientów indywidualnych oraz 3 000 podmiotów gospodarczych, dysponując centralą oraz 7 oddziałami. Bank udostępnia system bankowości internetowej oraz aplikację mobilną zintegrowaną z Krajową Izbą Rozliczeniową (KIR), systemem płatności BLIK oraz rejestrem Ognivo. Jako podmiot sektora finansowego bank podlega równolegle przepisom RODO (ochrona danych klientów i tajemnica bankowa), Rekomendacji D KNF, Rozporządzeniu DORA / Dyrektywie NIS2 (odporność cyfrowa podmiotu finansowego) oraz § 19 i § 20 rozporządzenia KRI (interoperacyjność systemów płatniczych i wymiana informacji z podmiotami publicznymi).

Stan faktyczny w obszarze zbadanym i zidentyfikowane luki:

• Obszar RODO: Dane finansowe klientów (w tym historia transakcji i numery PESEL) były wykorzystywane na środowisku testowym nowej bankowości mobilnej bez uprzedniej anonimizacji lub pseudonimizacji, z bezpośrednim dostępem programistów zewnętrznego integratora IT (naruszenie art. 25, 28 i 32 RODO).
• Obszar NIS2 / DORA: Serwery bankowości internetowej posiadały niezałatane podatności krytyczne w bibliotekach kryptograficznych (znane od 8 miesięcy). Bank nie posiada udokumentowanego procesu zarządzania ryzykiem stron trzecich (TPRM) dla dostawców chmurowych ani harmonogramu zaawansowanych testów odporności cyfrowej TLPT (naruszenie wymogów DORA i art. 21 NIS2).
• Obszar KRI: Węzeł wymiany danych z systemem Ognivo i KIR nie posiadał przetestowanego łącza zapasowego, a procedura odtworzeniowa baz danych po awarii nie była weryfikowana pod kątem maksymalnego dopuszczalnego czasu przestoju RTO (naruszenie § 19 i § 20 rozporządzenia KRI i Rekomendacji D KNF).
• Punkt styku (Triada RODO + NIS2 + KRI): Ewentualne włamanie przez lukę w serwerze bankowości doprowadziłoby do wycieku danych finansowych klientów (RODO), paraliżu usług transakcyjnych banku (NIS2/DORA) oraz zablokowania realizacji zajęć komorniczych i rozliczeń z NBP/KIR (KRI).

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący / Ekspert Zgodności Finansowej i DORA - koordynuje prace, analizuje wymogi Rekomendacji D KNF i DORA, bada ład zarządczy i relacje z KNF oraz odpowiada za strukturę raportu.
• Rola 2: Audytor Techniczny Bezpieczeństwa Aplikacji i Infrastruktury IT - bada podatności serwerów transakcyjnych, luki w środowisku deweloperskim, brak anonimizacji oraz projektuje środowisko testowe UAT.
• Rola 3: Audytor Ochrony Danych i Ryzyka Operacyjnego RODO/KRI - analizuje legalność operacji na danych klientów, ryzyko ujawnienia tajemnicy bankowej, interoperacyjność z KIR/Ognivo oraz konstruuje plan CAP. (W zespole 2-osobowym zadania te dzielą Studenci 1 i 2).

Na co zwrócić uwagę przy analizie scenariusza:

• 1 Najpierw ustalcie, który z trzech reżimów regulacyjnych jest właściwy dla każdej uchybienia: ta sama okoliczność może być jednocześnie naruszeniem RODO, art. 21 dyrektywy NIS2 i wymagań rozporządzenia w sprawie KRI.
• 2 Rozróżnijcie objaw od przyczyny: brak aktualnego rejestru czynności jest przyczyną, a nieprawidłowe uprawnienia w systemie są jej skutkiem.
• 3 Gradacja ustaleń musi uwzględniać dotkliwość konsekwencji: paraliż usługi publicznej, utrata reputacji instytucji i wysokość możliwej kary administracyjnej.
• 4 Dla każdej karty ustaleń wskażcie kontrolę Załącznika A normy PN-EN ISO/IEC 27001:2022, która odpowiada na zidentyfikowaną lukę.

Odpowiedzcie w zespołach na poniższe pytania przed przystąpieniem do redagowania sprawozdania poaudytowego:

1. Jak zakwalifikować wykorzystanie danych finansowych klientów na środowisku testowym: jako naruszenie art. 5 ust. 1 lit. c RODO, art. 28 RODO czy oba jednocześnie? Uzasadnij kwalifikację.
2. Dlaczego podatności krytyczne znane od ośmiu miesięcy należy ocenić jako NC2 w kontekście obowiązków wynikających z DORA oraz art. 21 dyrektywy NIS2?
3. Jak zaprojektować środowisko testowe bankowości mobilnej, aby dane klientów były w nim pseudonimizowane, a dostęp integratora był ograniczony, kontrolowany i udokumentowany?
4. Jakie obowiązki dotyczące retencji i ochrony logów wynikają z DORA i Rekomendacji D KNF dla banku spółdzielczego i jak przełożyć je na politykę retencji?
5. W jaki sposób zapewnić ciągłość realizacji zleceń płatniczych w sytuacji utraty łącza z KIR i systemem Ognivo oraz jakie wartości RTO i RPO należy przyjąć i uzasadnić?
6. Jakie obowiązki wynikają z tajemnicy bankowej dla zakresu danych udostępnianych dostawcom chmurowym i podwykonawcom oraz jak je udokumentować?

Pytania problemowe z zakresu raportu:

• W jaki sposób audytor powinien uzasadnić Zarządowi Banku konieczność natychmiastowego usunięcia danych klientów ze środowisk testowych w świetle art. 83 RODO i sankcji KNF?
• Jakie konkretne obowiązki w zakresie testowania podatności i odporności cyfrowej nakłada Rozporządzenie DORA na podmioty bankowości spółdzielczej?
• Dlaczego brak procedur przełączania awaryjnego na łącza zapasowe w rozliczeniach z KIR narusza § 19 i § 20 rozporządzenia KRI i wymogi ciągłości działania?

Uwaga: Każda odpowiedź musi wskazywać właściwy reżim regulacyjny (RODO, NIS2/ustawa o KSC lub rozporządzenie w sprawie KRI) i konkretny przepis, a nie ogólne hasło typu „poprawa bezpieczeństwa”. Odpowiedź bez odwołania do artykułu ustawy, paragrafu rozporządzenia lub punktu kontrolnego normy nie zalicza punktacji.

Praca w zespole 2-3 osobowym polega na przeanalizowaniu powyższego scenariusza, sklasyfikowaniu uchybień według trzech reżimów regulacyjnych i przygotowaniu spójnego sprawozdania poaudytowego wraz z tabelą planu działań korygujących.

Zadanie realizowane jest przez 2-3 osobowy zespół w formule studium przypadku:

• Krok 1 (Podział ról i analiza wymogów sektora finansowego):

  Podzielcie zadania w zespole. Przygotujcie zestawienie wymagań Rekomendacji D KNF, Rozporządzenia DORA, RODO i KRI, wskazując obszary wspólne w zakresie zarządzania incydentem i dostawcami IT.

• Krok 2 (Triangulacja dowodów w środowisku bankowym):

  Oceńcie zebrane dowody:

  1. Zbadajcie nieprawidłowości związane z testowaniem aplikacji na rzeczywistych danych klientów (RODO art. 25 i 32).

  2. Zweryfikujcie brak zarządzania podatnościami serwerów transakcyjnych w świetle DORA i NIS2.

  3. Przeanalizujcie brak testów łącza zapasowego do systemów rozliczeniowych KIR w świetle KRI i Rekomendacji D.

• Krok 3 (Kwalifikacja uchybień i karty niezgodności):

  Sformułujcie karty niezgodności:

  • Niezgodność Zasadnicza (NC2) w obszarze RODO: Przetwarzanie rzeczywistych danych klientów na środowisku deweloperskim bez anonimizacji z dostępem zewnętrznych wykonawców.
  • Niezgodność Zasadnicza (NC2) w obszarze NIS2 / DORA: Występowanie niezałatanych podatności krytycznych na serwerach styku z Internetem i brak sformalizowanego procesu Patch Management.
  • Niezgodność Drobna (NC3) w obszarze KRI / KNF: Brak okresowych testów przełączania na łącze zapasowe w węźle komunikacji międzybankowej.
  • Szansa na doskonalenie (OFI): Wdrożenie automatycznego skanowania kodu źródłowego (SAST/DAST) w cyklu wytwórczym bankowości mobilnej.
• Krok 4 (Opracowanie zaleceń SMART):

  Zaproponujcie wdrożenie natychmiastowego maskowania danych w środowisku testowym, wprowadzenie rygorystycznej polityki łatania podatności (maks. 14 dni dla podatności krytycznych) oraz cyklicznych testów przełączania łączy rozliczeniowych.

• Krok 5 (Konstrukcja Planu CAP):

  Opracujcie tabelę CAP z przypisaniem ról (Kierownik IT, Pełnomocnik ds. Bezpieczeństwa Informacji, IOD), budżetów i terminów realizacji (14-90 dni).

• Krok 6 (Przygotowanie raportu i referatu):

  Zredagujcie raport poaudytowy (4-8 stron A4) i przygotujcie prezentację dla Zarządu Banku.

Podział ról w triadzie audytorskiej:

• Rola 1 - Audytor Wiodący: ład organizacyjny i KRI metryka audytu, wymagania § 19 i § 20 rozporządzenia w sprawie KRI, roczny audyt SZBI, ciągłość działania (DRP/BCP), koordynacja sprawozdania i obrony.
• Rola 2 - Audytor ds. Cyberbezpieczeństwa i NIS2/KSC odporność teleinformatyczna, zarządzanie podatnościami, separacja stref IT/OT/IoT, monitorowanie zagrożeń, ścieżka zgłaszania incydentów poważnych w terminach 24 i 72 godzin.
• Rola 3 - Audytor Ochrony Danych Osobowych i Zgodności z RODO legalność przetwarzania, w tym art. 9 RODO, rejestry czynności, umowy powierzenia (art. 28), środki techniczne i organizacyjne (art. 32) oraz procedura zawiadamiania Prezesa UODO. W zespole dwuosobowym rolę tę realizują wspólnie osoby pełniące rolę 1 i rolę 2.

Pełny harmonogram ćwiczenia wraz z zegarem 180 minut, podziałem etapów między role i listą artefaktów znajduje się w sekcji Interaktywny harmonogram ćwiczeń. Rejestr uchybień z oceną ryzyka prowadzicie w sekcji Interaktywny kalkulator ryzyka, a ustalenia w skali prawdopodobieństwo × skutek weryfikujecie w sekcji macierzy ryzyka 5 × 5.

Plan referatu seminaryjnego grupy (10-15 minut):

• Część 1 (Minuty 00-03): Wprowadzenie: bank spółdzielczy w obliczu zbieżności regulacyjnej RODO, DORA, NIS2, KRI i wytycznych KNF (Student 1).
• Część 2 (Minuty 03-07): Omówienie wyników badania: niezałatane podatności w bankowości internetowej, wyciek danych testowych do zewnętrznych programistów i ryzyka rozliczeniowe (Student 2 i 3).
• Część 3 (Minuty 07-11): Prezentacja kart niezgodności, zaleceń inżynierskich (anonimizacja danych, zarządzanie podatnościami) oraz Planu CAP (Student 2 i 3).
• Część 4 (Minuty 11-15): Analiza korzyści biznesowych i kosztów wdrożenia, podsumowanie menedżerskie i dyskusja (Wszyscy członkowie grupy).

W wystąpieniu seminaryjnym zwróćcie szczególną uwagę na zaprezentowanie matrycy translacji pojęć: wyjaśnijcie, w jaki sposób audytor powinien wytłumaczyć członkom Zarządu Banku nieposiadającym wiedzy technicznej, że niezałatana podatność w bibliotece OpenSSL oznacza bezpośrednie ryzyko kradzieży środków klientów i sankcji ze strony KNF.

Wymagania formalne sprawozdania poaudytowego (ocena 3.0):

• Wymagane: sprawozdanie poaudytowe w formacie PDF o objętości 4-8 stron znormalizowanego maszynopisu A4 (1 200-2 400 słów), przekazane najpóźniej 24 godziny przed terminem zajęć;
• Wymagane: wystąpienie seminaryjne trwające 10-15 minut, w którym każdy członek zespołu prezentuje własny fragment pracy i odpowiada na pytania kontrolne prowadzącego;
• Wymagane: strona tytułowa z nazwą jednostki, pełnym tytułem zadania, kodem Lab10 i składem zespołu z podziałem ról;
• Wymagane: metryka audytu: podstawa prawna, zakres, metoda, kryteria i uczestnicy;
• Wymagane: rejestr uchybień z klasyfikacją NC2, NC3 i OFI, oceną ryzyka w skali 1-25 oraz wskazaniem naruszonego artykułu, paragrafu lub kontrolki normatywnej;
• Wymagane: jedna zintegrowana procedura reagowania na incydent obsługująca terminy 24/72/72 godzin oraz tabela planu działań korygujących (CAP) z rolami, terminami, budżetami i miernikami sukcesu;
• Wymagane: analiza wad i zalet własnego rozwiązania wraz z ograniczeniami przyjętych założeń;
• Wymagane: bibliografia z numerami artykułów i paragrafów oraz numerami kontrolek norm;
• Skutkuje niezaliczeniem: sprawozdanie krótsze niż 4 strony A4 albo dłuższe niż 8 stron, sprawozdanie bez planu CAP, referat bez bibliografii albo praca nieprzygotowana do obrony ustnej.

Szkic sprawozdania przygotowujecie w sekcji Formularz sprawozdania poaudytowego, a kompletność pracy sprawdzacie na czterech etapach ćwiczenia w sekcji checklistcie zgodności (licznik objętości wskazuje, czy tekst mieści się w wymaganych 4-8 stronach A4).

Uwaga: Najczęstsze błędy obniżające ocenę: przedstawienie scenariusza zamiast jego analizy, kwalifikowanie uchybień bez wskazania kryterium prawnego, pomylenie terminu 24 godziny (incydent poważny) z terminem 72 godziny (naruszenie ochrony danych), podanie zaleceń bez miernika sukcesu oraz sprawozdanie krótsze niż 4 strony A4 albo pozbawione planu działań korygujących CAP.

• Wdrożenie narzędzia do automatycznej anonimizacji i syntetyzowania danych testowych.
• Sformalizowanie Polityki Zarządzania Podatnościami i Zmianą (Change Management) z rygorem czasowym instalacji poprawek.
• Opracowanie procedury testowania łączy awaryjnych z KIR/NBP.

Wzorcowa tabela planu działań korygujących (CAP):

• Zalety: Spełnienie rygorów KNF i DORA, ochrona tajemnicy bankowej, eliminacja ryzyka włamania do bankowości elektronicznej, zabezpieczenie ciągłości rozliczeń.
• Wady: Koszt zakupu narzędzi do maskowania danych, konieczność przeprowadzenia okien serwisowych i krótkotrwałych przerw technicznych.

Bilans wdrożenia proponowanego rozwiązania dla tej jednostki:

Porównajcie koszt wdrożenia, liczbę zaangażowanych osób i ryzyko resztkowe. Rozwiązanie, które personel jest w stanie faktycznie stosować, jest skuteczniejsze niż rozbudowana procedura, której nikt nie przestrzega; uzasadnijcie wybrany wariant ryzyka, kosztu i obciążenia operacyjnego.

• Komisja Nadzoru Finansowego: "Rekomendacja D dotycząca zarządzania obszarami technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego w bankach", Warszawa 2013.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 (DORA) z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 25, 28, 32.
• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. z 2024 r. poz. 773) - § 19 (system zarządzania bezpieczeństwem informacji, w tym wymóg zapewnienia okresowego audytu wewnętrznego nie rzadziej niż raz na rok: § 19 ust. 2 pkt 14) oraz § 20 (rozliczalność i prowadzenie dzienników systemów, których zapisy przechowuje się co najmniej dwa lata, jeżeli przepisy odrębne nie stanowią inaczej). Rozporządzenie z dnia 12 kwietnia 2012 r. utraciło moc z dniem 23 maja 2024 r.
• Norma PN-EN ISO/IEC 27001:2022: Systemy zarządzania bezpieczeństwem informacji.
• Ustawa z dnia 29 sierpnia 1997 r. - Prawo bankowe (tekst jedn. Dz.U. z 2026 r. poz. 38) - art. 104 ust. 1 (obowiązek zachowania tajemnicy bankowej), art. 105 (przesłanki ujawnienia informacji objętych tajemnicą bankową) oraz art. 105a (udostępnianie informacji o rachunku).

Podstawy prawne i normatywne obowiązujące w całym module (weryfikowany stan prawny):

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 5 (zasady przetwarzania, w tym minimalizacja, ograniczenie retencji i rozliczalność), art. 9 (dane szczególnych kategorii), art. 25 (ochrona danych z naturyry), art. 28 (przetwarzanie przez podmioty przetwarzające), art. 32 (bezpieczeństwo przetwarzania), art. 33 ust. 1 (zawiadomienie organu nadzorczego w terminie 72 godzin) oraz art. 34 (zawiadomienie osób, których dane dotyczą).
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (dyrektywa NIS2) - art. 21 (środki zarządzania ryzykiem, w tym bezpieczeństwo łańcucha dostaw) oraz art. 23 (wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie incydentu w ciągu 72 godzin, sprawozdanie końcowe w ciągu miesiąca).
• Ustawa z dnia 5 lipca 2018 r. o Krajowym Systemie Cyberbezpieczeństwa (tekst jedn. Dz.U. z 2026 r. poz. 20, zm. Dz.U. z 2026 r. poz. 252) - art. 8 (środki zapewniające poufność, integralność i dostępność oraz ograniczenie mechanizmów dostępu do systemów sterowania), art. 10 (dokumentacja), art. 11 (obsługa i zgłaszanie incydentów poważnych w ciągu 24 godzin) oraz art. 15 (audyt bezpieczeństwa co najmniej raz na 3 lata).
• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. z 2024 r. poz. 773) - § 19 (system zarządzania bezpieczeństwem informacji, w tym wymóg okresowego audytu wewnętrznego nie rzadziej niż raz na rok: § 19 ust. 2 pkt 14) oraz § 20 (rozliczalność i prowadzenie dzienników systemów, których zapisy przechowuje się co najmniej dwa lata). Rozporządzenie z dnia 12 kwietnia 2012 r. utraciło moc z dniem 23 maja 2024 r.
• Ustawa z dnia 17 lutnia 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (tekst jedn. Dz.U. z 2026 r. poz. 1241) - art. 18 jako podstawa prawna rozporządzenia w sprawie KRI.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 (DORA) - art. 8 (zarządzanie ryzykiem operacyjnym ICT) oraz art. 9 i 10 (zdarzenia operacyjne ICT, ich zgłaszanie, ochrona i archiwizacja dzienników oraz testy ciągłości działania).
• PCI Security Standards Council 2024 - standard PCI DSS v4.0, w tym wymóg 6.2 (bezpieczne oprogramowanie dedykowane), 8.3.4 (ograniczenie nieudanych prób uwierzytelniania) oraz 10.5.1 (retencja dzienników: minimum 12 miesięcy, w tym 3 miesiące w trybie natychmiastowego dostępu online).
• Ustawa z dnia 26 czerwca 1974 r. - Kodeks pracy (Dz.U. z 2026 r. poz. 1245) - art. 22² §§ 1-2 (monitoring wizyjny w zakładzie pracy: obowiązek poinformowania pracowników, uregulowania zasad monitoringu w regulaminie pracy lub układzie zbiorowym oraz wszczególnienie sposobu stosowania monitoringu), art. 22² § 6 (zasady, cel i zakres monitoringu) i art. 22² § 7 (informowanie co najmniej 2 tygodnie wcześniej).
• Norma PN-EN ISO 19011:2018 - wytyczne dotyczące audytowania systemów zarządzania, w tym treść raportu z auditu (pkt 6.5) oraz planowanie i realizacja auditu.
• Norma PN-EN ISO/IEC 27001:2022 - systemy zarządzania bezpieczeństwem informacji: klauzule 4.4, 6.1, 8.1, 9.2, 10.2 oraz kontrole Załącznika A.
• Norma PN-EN ISO/IEC 27005:2022 - zarządzanie ryzykiem bezpieczeństwa informacji: identyfikacja, analiza, ocena i postępowanie z ryzykiem.
• Wytyczne Europejskiej Rady Ochrony Danych 3/2019 w sprawie przetwarzania danych osobowych przez urządzenia wideo - uzasadnienie celu monitoringu, zasada minimalizacji i retencji nagrań.
• Rekomendacja D Komisji Nadzoru Finansowego dotycząca stosowania przez banki spółdzielcze dobrych praktyk w zakresie zarządzania ryzykiem operacyjnym oraz Rekomendacja M dotycząca zarządzania ryzykiem technologicznym - stosowane jako uznane praktyki i metody oceny.

Normy ISO, standardy branżowe (PCI DSS, DORA w zakresie praktyk nadzoru, Rekomendacje D i M KNF, IFC/BRC, IEC 62443-3-3) oraz wytyczne organów nadzorczych stosuje się jako uznane praktyki i metody oceny, a nie jako przepisy ustawowe; ich zastosowanie wymaga krótkiego uzasadnienia w sprawozdaniu.

Powiązanie z sylabusem i treściami programowymi:

• U4 Opracowanie zintegrowanego raportu poaudytowego (4-8 stron A4) dla Zarządu spółki logistycznej oraz wygłoszenie referatu seminaryjnego.
• U2 Poprawna identyfikacja i gradacja uchybień w relacjach z podwykonawcami i platformami państwowymi.
• U1 Opracowanie zaleceń inżynierskich dotyczących bezpiecznej integracji API oraz procedur nadzoru nad procesorami.
• U3 Szacowanie ryzyka paraliżu łańcucha dostaw oraz kar finansowych za błędy w raportowaniu SENT.
• W1W3 Znajomość przepisów art. 28 RODO, wymogów NIS2 dla sektora transportowego, § 19 i § 20 rozporządzenia KRI oraz Ustawy o systemie monitorowania drogowego i kolejowego przewozu towarów (SENT).
• K1K2K3 Umiejętność oceny procesów biznesowych B2B, kultura negocjacji poaudytowych i sprawna współpraca zespołowa.
• Powiązanie z wykładem: Wyk1 (Ład zarządczy w logistyce), Wyk2 (Zasady audytowania ISO 19011), Wyk3 (Kontrole A.5.19-A.5.23 ISO 27001), Wyk4 (RODO, NIS2 i KRI w łańcuchu dostaw), Wyk7 (Niezgodności, zalecenia SMART i plan CAP).

Wybrane efekty uczenia się realizowane w tym zadaniu:

• U4 Opracowanie zintegrowanego raportu poaudytowego dla operatora logistycznego.
• U2 Precyzyjna gradacja niezgodności w łańcuchu dostaw IT i usług transportowych.
• U1 Projekt inżynierski procedury nadzoru nad podwykonawcami i bezpiecznej integracji API.
• U3 Szacowanie ryzyka kar finansowych SENT i odpowiedzialności z art. 82 RODO.
• W1W3 Znajomość przepisów art. 28 RODO, NIS2, KRI i ustawy o SENT.
• K1K2K3 Obiektywizm audytorski, umiejętność mediacji biznesowej i etyka zawodowa.

Podstawy prawne i normatywne zadania: RODO art. 28, 32 i 33; NIS2 art. 21 i 23; rozporządzenie w sprawie KRI § 19 i § 20; ustawa o Krajowym Systemie Cyberbezpieczeństwa art. 8 i 11

Temat zadania: ZINTEGROWANY AUDYT ŁAŃCUCHA DOSTAW IT I SYSTEMÓW MAGAZYNOWO-TRANSPORTOWYCH: POWIERZENIE DANYCH KONTRAHENTÓW I KIEROWCÓW (RODO ART. 28), CYBERODPORNOŚĆ OPERATORA CYFROWEGO (NIS2) ORAZ INTEROPERACYJNOŚĆ Z SYSTEMAMI SENT/PUESC (KRI)

Głównym celem zadania jest nabycie przez studentów umiejętności przeprowadzenia zintegrowanego audytu bezpieczeństwa informacji w przedsiębiorstwie branży TSL (Transport-Spedycja-Logistyka), łączącego wymogi ochrony danych osobowych kontrahentów i kierowców w łańcuchu podwykonawców (art. 28 RODO), wymogi cyberbezpieczeństwa podmiotu kluczowego sektora transportu i logistyki (Dyrektywa NIS2) oraz standardy interoperacyjności i wymiany danych z systemami celno-skarbowymi i rejestrami publicznymi (§ 19 i § 20 rozporządzenia KRI oraz system SENT platformy PUESC). Studenci badają stan bezpieczeństwa systemów zarządzania magazynem (WMS) oraz transportem (TMS) w LogistykNet S.A. w Strykowie. Zadanie obejmuje: analizę bezpieczeństwa łańcucha dostaw IT, weryfikację umów powierzenia przetwarzania danych, identyfikację uchybień w komunikacji z platformami publicznymi, sklasyfikowanie niezgodności audytowych (NC2/NC3/OFI) oraz opracowanie Planu Działań Korygujących (CAP).

Kryterium zaliczenia zadania: sprawozdanie poaudytowe uznaje się za zaliczone, jeżeli zawiera metrykę audytu, katalog uchybień sklasyfikowanych jako NC2, NC3 lub OFI z odwołaniem do przepisu lub kontrolki normatywnej, ocenę ryzyka w skali 1-25 dla trzech najpoważniejszych uchybień, jedną zintegrowaną procedurę reagowania na incydent z terminami 24/72/72 godzin, tabelę planu działań korygujących z miernikami sukcesu, analizę wad i zalet rozwiązania oraz bibliografię z numerami artykułów i paragrafów.

Karta organizacyjna analizowanej jednostki (na podstawie scenariusza):

Narracja scenariusza i stan faktyczny w obszarze zbadanym:

LogistykNet S.A. zarządza centrum dystrybucyjnym o powierzchni 120 000 m2 w węźle autostradowym w Strykowie, obsługując 150 podwykonawców transportowych oraz 800 kierowców realizujących dostawy dla sieci handlowych i e-commerce. W operacjach wykorzystywany jest chmurowy system WMS, system geolokalizacji GPS floty oraz moduł automatycznej integracji z rządowym systemem monitorowania przewozów SENT na platformie PUESC (Ministerstwo Finansów). Spółka podlega RODO (dane kierowców, geolokalizacja GPS), Dyrektywie NIS2 (jako operator kluczowy sektora transportu i logistyki) oraz § 19 i § 20 rozporządzenia KRI (w zakresie systemów wymiany danych z rejestrami publicznymi administracji skarbowej).

Stan faktyczny w obszarze zbadanym i zidentyfikowane luki:

• Obszar RODO: Spółka nie posiada podpisanych umów powierzenia przetwarzania danych (art. 28 RODO) z 45 podwykonawcami transportowymi, którym przekazywane są dane osobowe odbiorców przesyłek i kierowców. Dane geolokalizacyjne GPS z pojazdów są przechowywane bezterminowo i dostępne dla wszystkich pracowników dyspozytorni bez ograniczeń uprawnień.
• Obszar NIS2: Główny dostawca oprogramowania chmurowego SaaS TMS nie przedstawił żadnego certyfikatu bezpieczeństwa ani niezależnego raportu z audytu (odmowa audytowalności powołująca się na tajemnicę handlową). W LogistykNet brak jest planu awaryjnego na wypadek niedostępności usług chmurowych (naruszenie art. 21 NIS2).
• Obszar KRI: Moduł integracji z systemem SENT wykorzystuje przestarzały klucz kryptograficzny API zapisany jawnym tekstem w skrypcie integracyjnym. Brak jest procedury weryfikacji integralności przesyłanych komunikatów celno-skarbowych, co doprowadziło do 3 incydentów opóźnienia zgłoszeń i nałożenia kar administracyjnych przez KAS (naruszenie § 19 i § 20 rozporządzenia KRI).
• Punkt styku (Triada RODO + NIS2 + KRI): Awaria chmurowego systemu TMS lub atak na interfejs API unieruchamia jednocześnie wysyłkę towarów, uniemożliwia realizację obowiązków celnych SENT (KRI), narusza bezpieczeństwo łańcucha dostaw (NIS2) oraz naraża na wyciek bazę danych kierowców i odbiorców (RODO).

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący / Ekspert Łańcucha Dostaw i Zgodności KRI - koordynuje badanie, analizuje poprawność integracji z systemem SENT/PUESC, bada ład korporacyjny i relacje z organami skarbowymi.
• Rola 2: Audytor Techniczny Bezpieczeństwa Chmury i NIS2 - weryfikuje odporność architektury chmurowej SaaS, podatności interfejsów API, brak planów ciągłości działania oraz procedury nadzoru nad dostawcami ICT.
• Rola 3: Audytor Ochrony Danych Osobowych i Zgodności RODO - bada umowy powierzenia z przewoźnikami, retencję danych telemetrycznych GPS oraz zasady ochrony prywatności kierowców. (W zespole 2-osobowym zadania te dzielą Studenci 1 i 2).

Na co zwrócić uwagę przy analizie scenariusza:

• 1 Najpierw ustalcie, który z trzech reżimów regulacyjnych jest właściwy dla każdej uchybienia: ta sama okoliczność może być jednocześnie naruszeniem RODO, art. 21 dyrektywy NIS2 i wymagań rozporządzenia w sprawie KRI.
• 2 Rozróżnijcie objaw od przyczyny: brak aktualnego rejestru czynności jest przyczyną, a nieprawidłowe uprawnienia w systemie są jej skutkiem.
• 3 Gradacja ustaleń musi uwzględniać dotkliwość konsekwencji: paraliż usługi publicznej, utrata reputacji instytucji i wysokość możliwej kary administracyjnej.
• 4 Dla każdej karty ustaleń wskażcie kontrolę Załącznika A normy PN-EN ISO/IEC 27001:2022, która odpowiada na zidentyfikowaną lukę.

Odpowiedzcie w zespołach na poniższe pytania przed przystąpieniem do redagowania sprawozdania poaudytowego:

1. Dlaczego brak umów powierzenia z podwykonawcami transportowymi należy zakwalifikować jako NC2 w obszarze RODO, a nie jako szansę na doskonalenie?
2. Jak uzasadnić wobec dostawcy systemu SaaS żądanie udokumentowanych dowodów bezpieczeństwa, skoro powołuje się on na tajemnicę handlową, i jakie minimum dokumentów uznać za wystarczające?
3. Co oznacza dla spółki przechowywanie klucza API do systemu SENT jawnym tekstem w skrypcie i jakie środki techniczne oraz organizacyjne eliminują to ryzyko?
4. Jakie są skutki prawne trzech przypadków opóźnienia zgłoszeń SENT i nałożonych kar administracyjnych z perspektywy wymagań KRI oraz odpowiedzialności z art. 82 RODO?
5. Jak zaprojektować retencję danych geolokalizacyjnych GPS, aby była zgodna z zasadą minimalizacji i uwzględniała obowiązek uzasadnienia monitoringu pracowników?
6. Które elementy procedury awaryjnej dla środowiska chmurowego należy przetestować w pierwszej kolejności i jakie kryteria odbioru przyjąć?

Pytania problemowe z zakresu raportu:

• Jakie sankcje grożą operatorowi logistycznemu za brak umów powierzenia przetwarzania danych z art. 28 RODO w relacjach z setkami niezależnych przewoźników?
• W jaki sposób podmiot objęty NIS2 powinien wyegzekwować prawo do audytu (Right to Audit) lub certyfikację bezpieczeństwa od zagranicznego dostawcy chmury SaaS?
• Jakie wymogi techniczne w zakresie kryptografii i integralności nakłada § 19 i § 20 rozporządzenia KRI na interfejsy wymiany danych z systemami administracji skarbowej?

Uwaga: Każda odpowiedź musi wskazywać właściwy reżim regulacyjny (RODO, NIS2/ustawa o KSC lub rozporządzenie w sprawie KRI) i konkretny przepis, a nie ogólne hasło typu „poprawa bezpieczeństwa”. Odpowiedź bez odwołania do artykułu ustawy, paragrafu rozporządzenia lub punktu kontrolnego normy nie zalicza punktacji.

Praca w zespole 2-3 osobowym polega na przeanalizowaniu powyższego scenariusza, sklasyfikowaniu uchybień według trzech reżimów regulacyjnych i przygotowaniu spójnego sprawozdania poaudytowego wraz z tabelą planu działań korygujących.

Zadanie realizowane jest przez 2-3 osobowy zespół w formule studium przypadku:

• Krok 1 (Podział ról i analiza procesów logistycznych):

  Podzielcie zadania w zespole. Przeanalizujcie przepływ danych w trójkącie: Klienci/Przewoźnicy (RODO) - Systemy chmurowe TMS/WMS (NIS2) - Systemy administracji skarbowej SENT (KRI).

• Krok 2 (Triangulacja dowodów w łańcuchu dostaw):

  Zidentyfikujcie i skorelujcie luki:

  1. Brak umów powierzenia i bezterminowe składowanie danych GPS kierowców (RODO art. 5 i 28).

  2. Odmowa audytowalności dostawcy chmurowego i brak planu DRP dla chmury (NIS2 art. 21).

  3. Jawne klucze API w skryptach SENT i brak weryfikacji integralności komunikatów (KRI § 19 i § 20).

• Krok 3 (Kwalifikacja niezgodności):

  Sformułujcie karty niezgodności:

  • Niezgodność Zasadnicza (NC2) w obszarze RODO: Przekazywanie danych osobowych dziesiątkom podwykonawców bez umów powierzenia przetwarzania danych z art. 28 RODO.
  • Niezgodność Zasadnicza (NC2) w obszarze NIS2: Całkowity brak weryfikacji bezpieczeństwa kluczowego dostawcy SaaS TMS oraz brak planu ciągłości działania na wypadek awarii chmury.
  • Niezgodność Drobna (NC3) w obszarze KRI: Niezgodne ze sztuką przechowywanie poświadczeń API do platformy PUESC/SENT w pliku tekstowym.
  • Szansa na doskonalenie (OFI): Wdrożenie automatycznego repozytorium sekretów (Vault) oraz platformy do cyfrowego obiegu umów DPA z przewoźnikami.
• Krok 4 (Opracowanie zaleceń SMART):

  Zaproponujcie natychmiastowe wdrożenie aneksów DPA z podwykonawcami, migrację kluczy API do bezpiecznego magazynu sekretów, wynegocjowanie z dostawcą SaaS dostarczenia raportu SOC 2 / certyfikatu ISO 27001 oraz opracowanie procedury awaryjnego zgłaszania SENT.

• Krok 5 (Konstrukcja Planu CAP):

  Opracujcie tabelę CAP z przypisaniem ról (Dyrektor Logistyki, CISO, Dyrektor Prawny, IOD), budżetów i terminów wdrożenia (14-90 dni).

• Krok 6 (Przygotowanie raportu i referatu):

  Zredagujcie raport poaudytowy (4-8 stron A4) i przygotujcie referat dla Zarządu spółki.

Podział ról w triadzie audytorskiej:

• Rola 1 - Audytor Wiodący: ład organizacyjny i KRI metryka audytu, wymagania § 19 i § 20 rozporządzenia w sprawie KRI, roczny audyt SZBI, ciągłość działania (DRP/BCP), koordynacja sprawozdania i obrony.
• Rola 2 - Audytor ds. Cyberbezpieczeństwa i NIS2/KSC odporność teleinformatyczna, zarządzanie podatnościami, separacja stref IT/OT/IoT, monitorowanie zagrożeń, ścieżka zgłaszania incydentów poważnych w terminach 24 i 72 godzin.
• Rola 3 - Audytor Ochrony Danych Osobowych i Zgodności z RODO legalność przetwarzania, w tym art. 9 RODO, rejestry czynności, umowy powierzenia (art. 28), środki techniczne i organizacyjne (art. 32) oraz procedura zawiadamiania Prezesa UODO. W zespole dwuosobowym rolę tę realizują wspólnie osoby pełniące rolę 1 i rolę 2.

Pełny harmonogram ćwiczenia wraz z zegarem 180 minut, podziałem etapów między role i listą artefaktów znajduje się w sekcji Interaktywny harmonogram ćwiczeń. Rejestr uchybień z oceną ryzyka prowadzicie w sekcji Interaktywny kalkulator ryzyka, a ustalenia w skali prawdopodobieństwo × skutek weryfikujecie w sekcji macierzy ryzyka 5 × 5.

Plan referatu seminaryjnego grupy (10-15 minut):

• Część 1 (Minuty 00-03): Wprowadzenie: rola LogistykNet S.A. w łańcuchu dostaw, zbieżność regulacyjna RODO, NIS2 i KRI w branży TSL (Student 1).
• Część 2 (Minuty 03-07): Analiza ustaleń: brak umów z przewoźnikami, odmowa audytu przez dostawcę chmurowego i luki w raportowaniu SENT (Student 2 i 3).
• Część 3 (Minuty 07-11): Prezentacja kart niezgodności, zaleceń inżynierskich (magazyn sekretów, audytowalność SaaS) oraz harmonogramu Planu CAP (Student 2 i 3).
• Część 4 (Minuty 11-15): Analiza korzyści i ryzyk biznesowych, podsumowanie menedżerskie i dyskusja (Wszyscy członkowie grupy).

W trakcie referatu seminaryjnego zaprezentujcie schemat blokowy procesu weryfikacji podwykonawców IT: wyjaśnijcie, w jaki sposób audytor powinien zareagować, gdy strategiczny dostawca oprogramowania chmurowego odmawia audytu, oraz jakie klauzule umowne zabezpieczają spółkę przed sankcjami z RODO i NIS2.

Wymagania formalne sprawozdania poaudytowego (ocena 3.0):

• Wymagane: sprawozdanie poaudytowe w formacie PDF o objętości 4-8 stron znormalizowanego maszynopisu A4 (1 200-2 400 słów), przekazane najpóźniej 24 godziny przed terminem zajęć;
• Wymagane: wystąpienie seminaryjne trwające 10-15 minut, w którym każdy członek zespołu prezentuje własny fragment pracy i odpowiada na pytania kontrolne prowadzącego;
• Wymagane: strona tytułowa z nazwą jednostki, pełnym tytułem zadania, kodem Lab10 i składem zespołu z podziałem ról;
• Wymagane: metryka audytu: podstawa prawna, zakres, metoda, kryteria i uczestnicy;
• Wymagane: rejestr uchybień z klasyfikacją NC2, NC3 i OFI, oceną ryzyka w skali 1-25 oraz wskazaniem naruszonego artykułu, paragrafu lub kontrolki normatywnej;
• Wymagane: jedna zintegrowana procedura reagowania na incydent obsługująca terminy 24/72/72 godzin oraz tabela planu działań korygujących (CAP) z rolami, terminami, budżetami i miernikami sukcesu;
• Wymagane: analiza wad i zalet własnego rozwiązania wraz z ograniczeniami przyjętych założeń;
• Wymagane: bibliografia z numerami artykułów i paragrafów oraz numerami kontrolek norm;
• Skutkuje niezaliczeniem: sprawozdanie krótsze niż 4 strony A4 albo dłuższe niż 8 stron, sprawozdanie bez planu CAP, referat bez bibliografii albo praca nieprzygotowana do obrony ustnej.

Szkic sprawozdania przygotowujecie w sekcji Formularz sprawozdania poaudytowego, a kompletność pracy sprawdzacie na czterech etapach ćwiczenia w sekcji checklistcie zgodności (licznik objętości wskazuje, czy tekst mieści się w wymaganych 4-8 stronach A4).

Uwaga: Najczęstsze błędy obniżające ocenę: przedstawienie scenariusza zamiast jego analizy, kwalifikowanie uchybień bez wskazania kryterium prawnego, pomylenie terminu 24 godziny (incydent poważny) z terminem 72 godziny (naruszenie ochrony danych), podanie zaleceń bez miernika sukcesu oraz sprawozdanie krótsze niż 4 strony A4 albo pozbawione planu działań korygujących CAP.

• Wdrożenie portalu przewoźnika z automatyczną akceptacją klauzul DPA i regulaminu bezpieczeństwa.
• Wdrożenie bezpiecznego repozytorium kluczy API (HashiCorp Vault) dla integracji z platformą PUESC/SENT.
• Opracowanie procedury awaryjnego buforowania zleceń w przypadku niedostępności chmury TMS.

Wzorcowa tabela planu działań korygujących (CAP):

• Zalety: Wyeliminowanie ryzyka kar UODO i KAS, zabezpieczenie ciągłości operacyjnej łańcucha dostaw, profesjonalizacja relacji z podwykonawcami.
• Wady: Czasochłonność aneksowania umów z przewoźnikami, konieczność zakupu licencji na oprogramowanie do zarządzania sekretami.

Bilans wdrożenia proponowanego rozwiązania dla tej jednostki:

Porównajcie koszt wdrożenia, liczbę zaangażowanych osób i ryzyko resztkowe. Rozwiązanie, które personel jest w stanie faktycznie stosować, jest skuteczniejsze niż rozbudowana procedura, której nikt nie przestrzega; uzasadnijcie wybrany wariant ryzyka, kosztu i obciążenia operacyjnego.

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 28, 32.
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (NIS2) - art. 21 (Środki zarządzania ryzykiem: bezpieczeństwo łańcucha dostaw).
• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. z 2024 r. poz. 773) - § 19 (system zarządzania bezpieczeństwem informacji, w tym wymóg zapewnienia okresowego audytu wewnętrznego nie rzadziej niż raz na rok: § 19 ust. 2 pkt 14) oraz § 20 (rozliczalność i prowadzenie dzienników systemów, których zapisy przechowuje się co najmniej dwa lata, jeżeli przepisy odrębne nie stanowią inaczej). Rozporządzenie z dnia 12 kwietnia 2012 r. utraciło moc z dniem 23 maja 2024 r.
• Ustawa z dnia 9 marca 2017 r. o systemie monitorowania drogowego i kolejowego przewozu towarów oraz obrotu paliwami opałowymi (SENT).
• Norma PN-EN ISO/IEC 27001:2022: Systemy zarządzania bezpieczeństwem informacji - kontrole A.5.19 - A.5.23.
• Norma PN-EN ISO 19011:2018: Wytyczne dotyczące audytowania systemów zarządzania.

Podstawy prawne i normatywne obowiązujące w całym module (weryfikowany stan prawny):

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 5 (zasady przetwarzania, w tym minimalizacja, ograniczenie retencji i rozliczalność), art. 9 (dane szczególnych kategorii), art. 25 (ochrona danych z naturyry), art. 28 (przetwarzanie przez podmioty przetwarzające), art. 32 (bezpieczeństwo przetwarzania), art. 33 ust. 1 (zawiadomienie organu nadzorczego w terminie 72 godzin) oraz art. 34 (zawiadomienie osób, których dane dotyczą).
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (dyrektywa NIS2) - art. 21 (środki zarządzania ryzykiem, w tym bezpieczeństwo łańcucha dostaw) oraz art. 23 (wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie incydentu w ciągu 72 godzin, sprawozdanie końcowe w ciągu miesiąca).
• Ustawa z dnia 5 lipca 2018 r. o Krajowym Systemie Cyberbezpieczeństwa (tekst jedn. Dz.U. z 2026 r. poz. 20, zm. Dz.U. z 2026 r. poz. 252) - art. 8 (środki zapewniające poufność, integralność i dostępność oraz ograniczenie mechanizmów dostępu do systemów sterowania), art. 10 (dokumentacja), art. 11 (obsługa i zgłaszanie incydentów poważnych w ciągu 24 godzin) oraz art. 15 (audyt bezpieczeństwa co najmniej raz na 3 lata).
• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. z 2024 r. poz. 773) - § 19 (system zarządzania bezpieczeństwem informacji, w tym wymóg okresowego audytu wewnętrznego nie rzadziej niż raz na rok: § 19 ust. 2 pkt 14) oraz § 20 (rozliczalność i prowadzenie dzienników systemów, których zapisy przechowuje się co najmniej dwa lata). Rozporządzenie z dnia 12 kwietnia 2012 r. utraciło moc z dniem 23 maja 2024 r.
• Ustawa z dnia 17 lutnia 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (tekst jedn. Dz.U. z 2026 r. poz. 1241) - art. 18 jako podstawa prawna rozporządzenia w sprawie KRI.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 (DORA) - art. 8 (zarządzanie ryzykiem operacyjnym ICT) oraz art. 9 i 10 (zdarzenia operacyjne ICT, ich zgłaszanie, ochrona i archiwizacja dzienników oraz testy ciągłości działania).
• PCI Security Standards Council 2024 - standard PCI DSS v4.0, w tym wymóg 6.2 (bezpieczne oprogramowanie dedykowane), 8.3.4 (ograniczenie nieudanych prób uwierzytelniania) oraz 10.5.1 (retencja dzienników: minimum 12 miesięcy, w tym 3 miesiące w trybie natychmiastowego dostępu online).
• Ustawa z dnia 26 czerwca 1974 r. - Kodeks pracy (Dz.U. z 2026 r. poz. 1245) - art. 22² §§ 1-2 (monitoring wizyjny w zakładzie pracy: obowiązek poinformowania pracowników, uregulowania zasad monitoringu w regulaminie pracy lub układzie zbiorowym oraz wszczególnienie sposobu stosowania monitoringu), art. 22² § 6 (zasady, cel i zakres monitoringu) i art. 22² § 7 (informowanie co najmniej 2 tygodnie wcześniej).
• Norma PN-EN ISO 19011:2018 - wytyczne dotyczące audytowania systemów zarządzania, w tym treść raportu z auditu (pkt 6.5) oraz planowanie i realizacja auditu.
• Norma PN-EN ISO/IEC 27001:2022 - systemy zarządzania bezpieczeństwem informacji: klauzule 4.4, 6.1, 8.1, 9.2, 10.2 oraz kontrole Załącznika A.
• Norma PN-EN ISO/IEC 27005:2022 - zarządzanie ryzykiem bezpieczeństwa informacji: identyfikacja, analiza, ocena i postępowanie z ryzykiem.
• Wytyczne Europejskiej Rady Ochrony Danych 3/2019 w sprawie przetwarzania danych osobowych przez urządzenia wideo - uzasadnienie celu monitoringu, zasada minimalizacji i retencji nagrań.
• Rekomendacja D Komisji Nadzoru Finansowego dotycząca stosowania przez banki spółdzielcze dobrych praktyk w zakresie zarządzania ryzykiem operacyjnym oraz Rekomendacja M dotycząca zarządzania ryzykiem technologicznym - stosowane jako uznane praktyki i metody oceny.

Normy ISO, standardy branżowe (PCI DSS, DORA w zakresie praktyk nadzoru, Rekomendacje D i M KNF, IFC/BRC, IEC 62443-3-3) oraz wytyczne organów nadzorczych stosuje się jako uznane praktyki i metody oceny, a nie jako przepisy ustawowe; ich zastosowanie wymaga krótkiego uzasadnienia w sprawozdaniu.

Powiązanie z sylabusem i treściami programowymi:

• U4 Opracowanie zintegrowanego raportu poaudytowego (4-8 stron A4) dla Zarządu spółki energetycznej i organów nadzorczych oraz wygłoszenie referatu.
• U2 Poprawna identyfikacja i gradacja uchybień w obiektach infrastruktury krytycznej podlegających rygorom obronnym.
• U1 Opracowanie zaleceń inżynierskich dotyczących strefy demilitaryzowanej DMZ pomiędzy IT a OT oraz procedur reagowania na blackout.
• U3 Szacowanie ryzyka sabotażu cyberfizycznego, utraty ciągłości dostaw ciepła i prądu oraz wycieku danych bilingowych.
• W1W3 Znajomość przepisów Ustawy o KSC / NIS2 dla sektora energii, § 19 i § 20 rozporządzenia KRI, art. 32 RODO oraz standardu ANSI/ISA/IEC 62443.
• K1K2K3 Najwyższy profesjonalizm, świadomość wagi bezpieczeństwa państwa, zachowanie tajemnicy przedsiębiorstwa i rzetelność audytorska.
• Powiązanie z wykładem: Wyk1 (Ład zarządczy w energetyce), Wyk2 (Zasady audytowania ISO 19011), Wyk3 (Kontrole A.8 ISO 27001), Wyk4 (RODO, NIS2 i KRI w infrastrukturze krytycznej), Wyk7 (Niezgodności, zalecenia SMART i plan CAP).

Wybrane efekty uczenia się realizowane w tym zadaniu:

• U4 Opracowanie zintegrowanego raportu poaudytowego dla zarządu operatora energetycznego.
• U2 Precyzyjna gradacja niezgodności w strefie automatyki przemysłowej OT/SCADA.
• U1 Projekt inżynierski strefy Industrial DMZ oraz bezpiecznego dostępu zdalnego.
• U3 Szacowanie ryzyka sabotażu przemysłowego, blackoutu i wycieku bilingów.
• W1W3 Znajomość przepisów Ustawy o KSC, Dyrektywy NIS2, standardu IEC 62443 i KRI.
• K1K2K3 Najwyższy profesjonalizm, świadomość bezpieczeństwa państwa i etyka audytora.

Podstawy prawne i normatywne zadania: Ustawa o KSC art. 8, 10 i 11; NIS2 art. 21 i 23; RODO art. 32 i 33; rozporządzenie w sprawie KRI § 19; IEC 62443-3-3

Temat zadania: ZINTEGROWANY AUDYT CYBERBEZPIECZEŃSTWA ELEKTROCIEPŁOWNI: OCHRONA INFRASTRUKTURY KRYTYCZNEJ I STREF OT/SCADA (NIS2 / USTAWA O KSC), MINIMALNE WYMAGANIA SZBI DLA DYSPOZYCJI MOCY (KRI) ORAZ OCHRONA DANYCH ODBIORCÓW I BILINGÓW (RODO)

Głównym celem zadania jest opanowanie przez studentów umiejętności przeprowadzenia zintegrowanego audytu bezpieczeństwa informacji w przedsiębiorstwie energetycznym będącym Podmiotem Kluczowym oraz podmiotem infrastruktury krytycznej państwa. Audyt łączy rygorystyczne wymagania cyberbezpieczeństwa automatyki przemysłowej OT/SCADA wynikające z Dyrektywy NIS2 i Ustawy o KSC, standardy minimalnych wymagań dla systemów teleinformatycznych i procedur ciągłości działania dyspozycji mocy (§ 19 i § 20 rozporządzenia KRI) oraz zasady ochrony danych osobowych milionów odbiorców energii i bazy bilingowej (RODO). Studenci badają stan bezpieczeństwa Elektrociepłowni 'Opole-Południe' zarządzanej przez EnergoDystrybucja Sp. z o.o. Zadanie obejmuje: analizę separacji sieci IT i OT wg modelu Purdue, ocenę mechanizmów ochrony stacji dyspozytorskich, identyfikację uchybień w procedurach ciągłości zasilania, sklasyfikowanie niezgodności audytowych (NC2/NC3/OFI) oraz opracowanie Planu Działań Korygujących (CAP).

Kryterium zaliczenia zadania: sprawozdanie poaudytowe uznaje się za zaliczone, jeżeli zawiera metrykę audytu, katalog uchybień sklasyfikowanych jako NC2, NC3 lub OFI z odwołaniem do przepisu lub kontrolki normatywnej, ocenę ryzyka w skali 1-25 dla trzech najpoważniejszych uchybień, jedną zintegrowaną procedurę reagowania na incydent z terminami 24/72/72 godzin, tabelę planu działań korygujących z miernikami sukcesu, analizę wad i zalet rozwiązania oraz bibliografię z numerami artykułów i paragrafów.

Karta organizacyjna analizowanej jednostki (na podstawie scenariusza):

Narracja scenariusza i stan faktyczny w obszarze zbadanym:

EnergoDystrybucja Sp. z o.o. w Opolu zasila w energię cieplną i elektryczną 110 000 mieszkańców aglomeracji oraz strategiczne zakłady przemysłowe. Jako Podmiot Kluczowy spółka eksploatuje 2 bloki kogeneracyjne z turbinami gazowymi sterowanymi przez zintegrowany system DCS/SCADA oraz sieć 45 przepompowni i węzłów telemetrycznych. Spółka przetwarza również dane bilingowe i telemetryczne inteligentnych liczników (Smart Metering) 85 000 odbiorców indywidualnych. Podlega przepisom Ustawy o KSC i Dyrektywie NIS2 (sektor energii), § 19 i § 20 rozporządzenia KRI (ciągłość dyspozycji mocy i wymiana danych z PSE/URE) oraz RODO (dane abonentów i odczyty zużycia energii).

Stan faktyczny w obszarze zbadanym i zidentyfikowane luki:

• Obszar NIS2 / KSC: W toku audytu ujawniono bezpośrednie mostki sieciowe pomiędzy siecią korporacyjną IT a sterownikami PLC w strefie automatyki OT (brak strefy Industrial DMZ, naruszenie modelu Purdue). Trzy stacje inżynierskie pracują na niewspieranym systemie Windows 7 z wyłączonym antywirusowym oprogramowaniem ochronnym. Ponadto niemiecki serwisant turbiny posiadał stały dostęp zdalny RDP bez wymogu MFA (naruszenie art. 21 dyrektywy NIS2 (środki zarządzania ryzykiem, w tym bezpieczeństwo łańcucha dostaw) oraz art. 8 ust. 1 pkt 2 lit. a oraz pkt 5 lit. a i b ustawy o KSC (środki zapewniające poufność, integralność i dostępność oraz ograniczenie mechanizmów dostępu do systemów sterowania)).
• Obszar KRI: Procedury ciągłości działania (Disaster Recovery) dla dyspozytorni mocy nie były testowane w warunkach pełnej symulacji odcięcia zasilania zewnętrznego (brak testu rozruchu z tzw. czarnego startu - Black Start) od 3 lat, co narusza § 19 rozporządzenia w sprawie KRI (wymagania dotyczące systemu zarządzania bezpieczeństwem informacji, w tym ciągłości działania, kopii zapasowych i testów odtworzeniowych).
• Obszar RODO: Baza danych bilingowych i profili zużycia energii odbiorców (mogących ujawnić obecność mieszkańców w domach) była przechowywana w nieszyfrowanej bazie SQL z uprawnieniami dostępu dla wszystkich 40 pracowników działu obsługi klienta (naruszenie art. 32 RODO).
• Punkt styku (Triada RODO + NIS2 + KRI): Infekcja złośliwym oprogramowaniem z sieci biurowej mogłaby przez mostek sieciowy sparaliżować sterowniki turbin (NIS2), wywołać przerwę w dostawie energii i paraliż systemów dyspozytorskich KRI oraz umożliwić eksfiltrację danych bilingowych abonentów (RODO).

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący / Ekspert Infrastruktury Krytycznej i KSC - koordynuje prace, analizuje spełnienie wymogów Ustawy o KSC i NIS2, relacje z CSIRT i URE oraz odpowiada za strukturę raportu dla Zarządu.
• Rola 2: Audytor Techniczny Automatyki Przemysłowej OT/SCADA - bada konfigurację sterowników PLC, separację stref Purdue Model, podatności stacji inżynierskich i projektuje strefę Industrial DMZ.
• Rola 3: Audytor Zgodności Regulacyjnej RODO i Ciągłości BCM/KRI - analizuje zabezpieczenia bazy bilingowej odbiorców, procedury Disaster Recovery dla dyspozytorni oraz konstruuje plan CAP. (W zespole 2-osobowym zadania te dzielą Studenci 1 i 2).

Na co zwrócić uwagę przy analizie scenariusza:

• 1 Najpierw ustalcie, który z trzech reżimów regulacyjnych jest właściwy dla każdej uchybienia: ta sama okoliczność może być jednocześnie naruszeniem RODO, art. 21 dyrektywy NIS2 i wymagań rozporządzenia w sprawie KRI.
• 2 Rozróżnijcie objaw od przyczyny: brak aktualnego rejestru czynności jest przyczyną, a nieprawidłowe uprawnienia w systemie są jej skutkiem.
• 3 Gradacja ustaleń musi uwzględniać dotkliwość konsekwencji: paraliż usługi publicznej, utrata reputacji instytucji i wysokość możliwej kary administracyjnej.
• 4 Dla każdej karty ustaleń wskażcie kontrolę Załącznika A normy PN-EN ISO/IEC 27001:2022, która odpowiada na zidentyfikowaną lukę.

Odpowiedzcie w zespołach na poniższe pytania przed przystąpieniem do redagowania sprawozdania poaudytowego:

1. Dlaczego mostki sieciowe między siecią IT a sterownikami PLC należy ocenić jako NC2 w kontekście art. 21 dyrektywy NIS2 oraz art. 8 ustawy o Krajowym Systemie Cyberbezpieczeństwa?
2. Jak zaprojektować strefę Industrial DMZ, aby ruch z sieci korporacyjnej był kontrolowany, a sterowniki nie były bezpośrednio osiągalne z sieci biurowej?
3. Dlaczego stały dostęp RDP serwisu zewnętrznego bez uwierzytelniania wieloskładnikowego jest nieakceptowalny i jakie rozwiązanie zastępcze zaproponować?
4. Jak często należy testować scenariusz czarnego startu i co jego udokumentowanie wnosi do oceny ciągłości działania w ujęciu § 19 rozporządzenia w sprawie KRI?
5. Jakie środki ochrony danych billingowych są adekwatne do ryzyka ujawnienia profili zużycia energii, które mogą zdradzić obecność mieszkańca w domu?
6. Które wymagania normy IEC 62443-3-3 można wskazać jako kryteria audytowe dla strefy automatyki przemysłowej i jak je przełożyć na ustalenia audytowe?

Pytania problemowe z zakresu raportu:

• Jakie konsekwencje dla bezpieczeństwa publicznego aglomeracji rodzi brak separacji sieci IT i OT w elektrociepłowni w świetle Dyrektywy NIS2?
• W jaki sposób standard ANSI/ISA/IEC 62443 definiuje strefy i kanały komunikacyjne (Zones and Conduits) w architekturze automatyki przemysłowej?
• Dlaczego profile zużycia energii elektrycznej i cieplnej w systemach Smart Metering podlegają ochronie na gruncie art. 32 RODO?

Uwaga: Każda odpowiedź musi wskazywać właściwy reżim regulacyjny (RODO, NIS2/ustawa o KSC lub rozporządzenie w sprawie KRI) i konkretny przepis, a nie ogólne hasło typu „poprawa bezpieczeństwa”. Odpowiedź bez odwołania do artykułu ustawy, paragrafu rozporządzenia lub punktu kontrolnego normy nie zalicza punktacji.

Praca w zespole 2-3 osobowym polega na przeanalizowaniu powyższego scenariusza, sklasyfikowaniu uchybień według trzech reżimów regulacyjnych i przygotowaniu spójnego sprawozdania poaudytowego wraz z tabelą planu działań korygujących.

Zadanie realizowane jest przez 2-3 osobowy zespół w formule studium przypadku:

• Krok 1 (Podział ról i specyfika infrastruktury krytycznej):

  Podzielcie zadania w zespole. Przeanalizujcie różnice pomiędzy bezpieczeństwem klasycznego IT (priorytet poufności) a środowiskiem przemysłowym OT (bezwzględny priorytet dostępności i bezpieczeństwa fizycznego ludzi).

• Krok 2 (Triangulacja dowodów w obiekcie podmiotu kluczowego):

  Zidentyfikujcie i powiążcie uchybienia:

  1. Brak separacji IT/OT, stacje Windows 7 i stały dostęp RDP bez MFA (NIS2/KSC).

  2. Brak testów procedur ciągłości działania i czarnego startu dyspozycji mocy (KRI).

  3. Nieszyfrowana baza danych bilingowych abonentów z nadmiarowymi uprawnieniami (RODO).

• Krok 3 (Kwalifikacja niezgodności):

  Sformułujcie karty niezgodności:

  • Niezgodność Zasadnicza (NC2) w obszarze NIS2/KSC: Bezpośrednie połączenie sieci biurowej ze strefą automatyki przemysłowej bez przemysłowej strefy demilitaryzowanej (IDMZ).
  • Niezgodność Zasadnicza (NC2) w obszarze NIS2/KSC: Niekontrolowany, nieszyfrowany dostęp zdalny do sterowników turbin przez serwis zewnętrzny bez uwierzytelniania wieloskładnikowego.
  • Niezgodność Drobna (NC3) w obszarze RODO: Brak szyfrowania bazy bilingowej i nadmiarowe uprawnienia personelu biurowego.
  • Niezgodność Drobna (NC3) w obszarze KRI: Nieterminowe testowanie planów odzyskiwania sprawności węzła dyspozytorskiego.
  • Szansa na doskonalenie (OFI): Wdrożenie jednokierunkowej diody danych (Data Diode) do bezpiecznego transferu telemetrii ze strefy SCADA do systemów raportowych IT.
• Krok 4 (Opracowanie zaleceń SMART):

  Zaproponujcie natychmiastowe odcięcie bezpośrednich połączeń IT/OT, wdrożenie strefy IDMZ z serwerem przesiadkowym (Jump Host) i MFA, uruchomienie szyfrowania bazy bilingowej TDE oraz przeprowadzenie testu ciągłości zasilania dyspozytorni.

• Krok 5 (Konstrukcja Planu CAP):

  Opracujcie tabelę CAP z przypisaniem ról (Dyrektor Techniczny, CISO, Główny Automatyk, IOD), budżetów i terminów wdrożenia (14-90 dni).

• Krok 6 (Przygotowanie raportu i referatu):

  Zredagujcie raport poaudytowy (4-8 stron A4) i przygotujcie referat dla Zarządu spółki.

Podział ról w triadzie audytorskiej:

• Rola 1 - Audytor Wiodący: ład organizacyjny i KRI metryka audytu, wymagania § 19 i § 20 rozporządzenia w sprawie KRI, roczny audyt SZBI, ciągłość działania (DRP/BCP), koordynacja sprawozdania i obrony.
• Rola 2 - Audytor ds. Cyberbezpieczeństwa i NIS2/KSC odporność teleinformatyczna, zarządzanie podatnościami, separacja stref IT/OT/IoT, monitorowanie zagrożeń, ścieżka zgłaszania incydentów poważnych w terminach 24 i 72 godzin.
• Rola 3 - Audytor Ochrony Danych Osobowych i Zgodności z RODO legalność przetwarzania, w tym art. 9 RODO, rejestry czynności, umowy powierzenia (art. 28), środki techniczne i organizacyjne (art. 32) oraz procedura zawiadamiania Prezesa UODO. W zespole dwuosobowym rolę tę realizują wspólnie osoby pełniące rolę 1 i rolę 2.

Pełny harmonogram ćwiczenia wraz z zegarem 180 minut, podziałem etapów między role i listą artefaktów znajduje się w sekcji Interaktywny harmonogram ćwiczeń. Rejestr uchybień z oceną ryzyka prowadzicie w sekcji Interaktywny kalkulator ryzyka, a ustalenia w skali prawdopodobieństwo × skutek weryfikujecie w sekcji macierzy ryzyka 5 × 5.

Plan referatu seminaryjnego grupy (10-15 minut):

• Część 1 (Minuty 00-03): Wprowadzenie: status elektrociepłowni jako Podmiotu Kluczowego i obiektu infrastruktury krytycznej, zbieżność KSC, NIS2, KRI i RODO (Student 1).
• Część 2 (Minuty 03-07): Analiza wektorów zagrożeń: mostki IT/OT, stacje Windows 7 na nastawni, otwarty port RDP i brak szyfrowania bilingów (Student 2 i 3).
• Część 3 (Minuty 07-11): Prezentacja kart niezgodności, zaleceń inżynierskich (strefa IDMZ wg Purdue Model, dioda danych, MFA) oraz Planu CAP (Student 2 i 3).
• Część 4 (Minuty 11-15): Analiza kompromisów operacyjnych (bezpieczeństwo vs ciągłość dostaw ciepła), podsumowanie menedżerskie i dyskusja (Wszyscy członkowie grupy).

W wystąpieniu seminaryjnym wyjaśnijcie słuchaczom specyfikę prawną i techniczną sprawozdania z audytu podmiotu kluczowego: wskażcie, w jaki sposób audytor powinien zarekomendować Zarządowi elektrociepłowni wdrożenie strefy IDMZ i diody danych, aby zagwarantować bezwzględną ciągłość dostaw ciepła i energii przy jednoczesnym spełnieniu wymagań KSC, NIS2, KRI i RODO.

Wymagania formalne sprawozdania poaudytowego (ocena 3.0):

• Wymagane: sprawozdanie poaudytowe w formacie PDF o objętości 4-8 stron znormalizowanego maszynopisu A4 (1 200-2 400 słów), przekazane najpóźniej 24 godziny przed terminem zajęć;
• Wymagane: wystąpienie seminaryjne trwające 10-15 minut, w którym każdy członek zespołu prezentuje własny fragment pracy i odpowiada na pytania kontrolne prowadzącego;
• Wymagane: strona tytułowa z nazwą jednostki, pełnym tytułem zadania, kodem Lab10 i składem zespołu z podziałem ról;
• Wymagane: metryka audytu: podstawa prawna, zakres, metoda, kryteria i uczestnicy;
• Wymagane: rejestr uchybień z klasyfikacją NC2, NC3 i OFI, oceną ryzyka w skali 1-25 oraz wskazaniem naruszonego artykułu, paragrafu lub kontrolki normatywnej;
• Wymagane: jedna zintegrowana procedura reagowania na incydent obsługująca terminy 24/72/72 godzin oraz tabela planu działań korygujących (CAP) z rolami, terminami, budżetami i miernikami sukcesu;
• Wymagane: analiza wad i zalet własnego rozwiązania wraz z ograniczeniami przyjętych założeń;
• Wymagane: bibliografia z numerami artykułów i paragrafów oraz numerami kontrolek norm;
• Skutkuje niezaliczeniem: sprawozdanie krótsze niż 4 strony A4 albo dłuższe niż 8 stron, sprawozdanie bez planu CAP, referat bez bibliografii albo praca nieprzygotowana do obrony ustnej.

Szkic sprawozdania przygotowujecie w sekcji Formularz sprawozdania poaudytowego, a kompletność pracy sprawdzacie na czterech etapach ćwiczenia w sekcji checklistcie zgodności (licznik objętości wskazuje, czy tekst mieści się w wymaganych 4-8 stronach A4).

Uwaga: Najczęstsze błędy obniżające ocenę: przedstawienie scenariusza zamiast jego analizy, kwalifikowanie uchybień bez wskazania kryterium prawnego, pomylenie terminu 24 godziny (incydent poważny) z terminem 72 godziny (naruszenie ochrony danych), podanie zaleceń bez miernika sukcesu oraz sprawozdanie krótsze niż 4 strony A4 albo pozbawione planu działań korygujących CAP.

• Implementacja strefy przemysłowej DMZ (Poziom 3.5 modelu Purdue) z zaporą przemysłową NGFW.
• Wdrożenie serwera przesiadkowego (Bastion Host) z wymuszonym uwierzytelnianiem MFA dla serwisu turbin.
• Wdrożenie szyfrowania Transparent Data Encryption (TDE) dla bazy bilingowej odbiorców.

Wzorcowa tabela planu działań korygujących (CAP):

• Zalety: Odcięcie wektorów cyberataku na infrastrukturę krytyczną, spełnienie rygorów NIS2/KSC, ochrona mieszkańców przed blackoutem, zabezpieczenie danych abonentów.
• Wady: Koszt wdrożenia zaawansowanych zapór przemysłowych, konieczność koordynacji prac serwisowych z zagranicznym producentem turbiny.

Bilans wdrożenia proponowanego rozwiązania dla tej jednostki:

Porównajcie koszt wdrożenia, liczbę zaangażowanych osób i ryzyko resztkowe. Rozwiązanie, które personel jest w stanie faktycznie stosować, jest skuteczniejsze niż rozbudowana procedura, której nikt nie przestrzega; uzasadnijcie wybrany wariant ryzyka, kosztu i obciążenia operacyjnego.

• Ustawa z dnia 5 lipca 2018 r. o Krajowym Systemie Cyberbezpieczeństwa (tekst jedn. Dz.U. z 2026 r. poz. 20, zm. Dz.U. z 2026 r. poz. 252) - art. 8 (system zarządzania bezpieczeństwem i środki zabezpieczające), art. 10 (dokumentacja cyberbezpieczeństwa), art. 11 (obsługa i zgłaszanie incydentów poważnych w ciągu 24 godzin) oraz art. 15 (audyt bezpieczeństwa co najmniej raz na 3 lata).
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (NIS2) - sektor energii i podmioty kluczowe.
• Standard ANSI/ISA/IEC 62443: Security for industrial automation and control systems.
• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. z 2024 r. poz. 773) - § 19 (system zarządzania bezpieczeństwem informacji, w tym wymóg zapewnienia okresowego audytu wewnętrznego nie rzadziej niż raz na rok: § 19 ust. 2 pkt 14) oraz § 20 (rozliczalność i prowadzenie dzienników systemów, których zapisy przechowuje się co najmniej dwa lata, jeżeli przepisy odrębne nie stanowią inaczej). Rozporządzenie z dnia 12 kwietnia 2012 r. utraciło moc z dniem 23 maja 2024 r.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 32.
• Norma PN-EN ISO/IEC 27001:2022: Systemy zarządzania bezpieczeństwem informacji.
• Narodowy Instytut Standardów i Technologii (NIST): SP 800-82 Rev. 2: "Guide to Industrial Control Systems (ICS) Security".

Podstawy prawne i normatywne obowiązujące w całym module (weryfikowany stan prawny):

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 5 (zasady przetwarzania, w tym minimalizacja, ograniczenie retencji i rozliczalność), art. 9 (dane szczególnych kategorii), art. 25 (ochrona danych z naturyry), art. 28 (przetwarzanie przez podmioty przetwarzające), art. 32 (bezpieczeństwo przetwarzania), art. 33 ust. 1 (zawiadomienie organu nadzorczego w terminie 72 godzin) oraz art. 34 (zawiadomienie osób, których dane dotyczą).
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (dyrektywa NIS2) - art. 21 (środki zarządzania ryzykiem, w tym bezpieczeństwo łańcucha dostaw) oraz art. 23 (wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie incydentu w ciągu 72 godzin, sprawozdanie końcowe w ciągu miesiąca).
• Ustawa z dnia 5 lipca 2018 r. o Krajowym Systemie Cyberbezpieczeństwa (tekst jedn. Dz.U. z 2026 r. poz. 20, zm. Dz.U. z 2026 r. poz. 252) - art. 8 (środki zapewniające poufność, integralność i dostępność oraz ograniczenie mechanizmów dostępu do systemów sterowania), art. 10 (dokumentacja), art. 11 (obsługa i zgłaszanie incydentów poważnych w ciągu 24 godzin) oraz art. 15 (audyt bezpieczeństwa co najmniej raz na 3 lata).
• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. z 2024 r. poz. 773) - § 19 (system zarządzania bezpieczeństwem informacji, w tym wymóg okresowego audytu wewnętrznego nie rzadziej niż raz na rok: § 19 ust. 2 pkt 14) oraz § 20 (rozliczalność i prowadzenie dzienników systemów, których zapisy przechowuje się co najmniej dwa lata). Rozporządzenie z dnia 12 kwietnia 2012 r. utraciło moc z dniem 23 maja 2024 r.
• Ustawa z dnia 17 lutnia 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (tekst jedn. Dz.U. z 2026 r. poz. 1241) - art. 18 jako podstawa prawna rozporządzenia w sprawie KRI.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 (DORA) - art. 8 (zarządzanie ryzykiem operacyjnym ICT) oraz art. 9 i 10 (zdarzenia operacyjne ICT, ich zgłaszanie, ochrona i archiwizacja dzienników oraz testy ciągłości działania).
• PCI Security Standards Council 2024 - standard PCI DSS v4.0, w tym wymóg 6.2 (bezpieczne oprogramowanie dedykowane), 8.3.4 (ograniczenie nieudanych prób uwierzytelniania) oraz 10.5.1 (retencja dzienników: minimum 12 miesięcy, w tym 3 miesiące w trybie natychmiastowego dostępu online).
• Ustawa z dnia 26 czerwca 1974 r. - Kodeks pracy (Dz.U. z 2026 r. poz. 1245) - art. 22² §§ 1-2 (monitoring wizyjny w zakładzie pracy: obowiązek poinformowania pracowników, uregulowania zasad monitoringu w regulaminie pracy lub układzie zbiorowym oraz wszczególnienie sposobu stosowania monitoringu), art. 22² § 6 (zasady, cel i zakres monitoringu) i art. 22² § 7 (informowanie co najmniej 2 tygodnie wcześniej).
• Norma PN-EN ISO 19011:2018 - wytyczne dotyczące audytowania systemów zarządzania, w tym treść raportu z auditu (pkt 6.5) oraz planowanie i realizacja auditu.
• Norma PN-EN ISO/IEC 27001:2022 - systemy zarządzania bezpieczeństwem informacji: klauzule 4.4, 6.1, 8.1, 9.2, 10.2 oraz kontrole Załącznika A.
• Norma PN-EN ISO/IEC 27005:2022 - zarządzanie ryzykiem bezpieczeństwa informacji: identyfikacja, analiza, ocena i postępowanie z ryzykiem.
• Wytyczne Europejskiej Rady Ochrony Danych 3/2019 w sprawie przetwarzania danych osobowych przez urządzenia wideo - uzasadnienie celu monitoringu, zasada minimalizacji i retencji nagrań.
• Rekomendacja D Komisji Nadzoru Finansowego dotycząca stosowania przez banki spółdzielcze dobrych praktyk w zakresie zarządzania ryzykiem operacyjnym oraz Rekomendacja M dotycząca zarządzania ryzykiem technologicznym - stosowane jako uznane praktyki i metody oceny.

Normy ISO, standardy branżowe (PCI DSS, DORA w zakresie praktyk nadzoru, Rekomendacje D i M KNF, IFC/BRC, IEC 62443-3-3) oraz wytyczne organów nadzorczych stosuje się jako uznane praktyki i metody oceny, a nie jako przepisy ustawowe; ich zastosowanie wymaga krótkiego uzasadnienia w sprawozdaniu.

Powiązanie z sylabusem i treściami programowymi:

• U4 Opracowanie zintegrowanego raportu poaudytowego (4-8 stron A4) dla Rektora i Senatu uczelni oraz wygłoszenie referatu seminaryjnego.
• U2 Poprawna identyfikacja i gradacja uchybień w środowisku akademickim w świetle RODO, NIS2 i KRI.
• U1 Opracowanie zaleceń inżynierskich dotyczących centralnego zarządzania tożsamością IAM/SSO oraz bezpiecznego przechowywania sekretów aplikacji.
• U3 Szacowanie ryzyka naruszenia prywatności, manipulacji ocenami w protokołach oraz sankcji nadzorczych.
• W1W3 Znajomość przepisów RODO, Dyrektywy NIS2, § 19 i § 20 rozporządzenia KRI oraz Ustawy - Prawo o szkolnictwie wyższym i nauce.
• K1K2K3 Poszanowanie etyki i autonomii akademickiej, wysoka kultura formułowania zaleceń i współpraca zespołowa.
• Powiązanie z wykładem: Wyk1 (SZBI w szkolnictwie wyższym), Wyk2 (Zasady audytowania ISO 19011), Wyk3 (Kontrole dostępowe ISO 27001), Wyk4 (RODO, NIS2 i KRI na uczelni), Wyk7 (Niezgodności, zalecenia SMART i plan CAP).

Wybrane efekty uczenia się realizowane w tym zadaniu:

• U4 Opracowanie zintegrowanego raportu poaudytowego dla władz uczelni.
• U2 Identyfikacja i klasyfikacja niezgodności w systemach dydaktycznych i e-learningowych.
• U1 Projekt inżynierski automatyzacji cyklu życia tożsamości i utwardzenia serwera Moodle.
• U3 Szacowanie ryzyka manipulacji protokołami ocen i naruszenia praw studentów.
• W1W3 Znajomość przepisów Prawa o szkolnictwie wyższym, RODO, NIS2 i KRI.
• K1K2K3 Poszanowanie etyki akademickiej, rzetelność audytorska i kultura dialogu.

Podstawy prawne i normatywne zadania: RODO art. 5, 32 i 33; NIS2 art. 21 i 23; KRI § 19 i § 20; Prawo o szkolnictwie wyższym i nauce; PN-EN ISO/IEC 27001:2022 (A.5.15, A.5.18, A.8.2)

Temat zadania: ZINTEGROWANY AUDYT SYSTEMÓW DZIEKANATOWYCH (USOS) I PLATFORMY E-LEARNINGOWEJ (MOODLE): OCHRONA DANYCH STUDENTÓW I KADRY (RODO), ODPORNOŚĆ CYFROWA SEKTORA EDUKACJI I BADAŃ (NIS2) ORAZ INTEROPERACYJNOŚĆ Z SYSTEMEM POL-ON (KRI)

Głównym celem zadania jest opanowanie przez studentów umiejętności przeprowadzenia zintegrowanego audytu bezpieczeństwa informacji w uczelni publicznej, łączącego wymogi ochrony danych osobowych studentów i pracowników (RODO), standardy cyberodporności podmiotu sektora szkolnictwa wyższego i badań (Dyrektywa NIS2) oraz minimalne wymagania dla systemów teleinformatycznych i interoperacyjności rejestrów akademickich (§ 19 i § 20 rozporządzenia KRI oraz centralny zintegrowany system informacji o szkolnictwie wyższym i nauce POL-on). Studenci badają stan bezpieczeństwa Zintegrowanego Systemu Obsługi Studentów (USOS/USOSweb) oraz platformy e-learningowej Moodle w Akademii Mazowieckiej w Płocku. Zadanie obejmuje: identyfikację nieprawidłowości w zarządzaniu tożsamością akademicką, ocenę podatności aplikacji webowych, weryfikację kanałów integracji z rejestrami państwowymi, sklasyfikowanie uchybień (NC2/NC3/OFI) oraz opracowanie Planu Działań Korygujących (CAP) wspierającego procesy akredytacji akademickiej.

Kryterium zaliczenia zadania: sprawozdanie poaudytowe uznaje się za zaliczone, jeżeli zawiera metrykę audytu, katalog uchybień sklasyfikowanych jako NC2, NC3 lub OFI z odwołaniem do przepisu lub kontrolki normatywnej, ocenę ryzyka w skali 1-25 dla trzech najpoważniejszych uchybień, jedną zintegrowaną procedurę reagowania na incydent z terminami 24/72/72 godzin, tabelę planu działań korygujących z miernikami sukcesu, analizę wad i zalet rozwiązania oraz bibliografię z numerami artykułów i paragrafów.

Karta organizacyjna analizowanej jednostki (na podstawie scenariusza):

Narracja scenariusza i stan faktyczny w obszarze zbadanym:

Akademia Mazowiecka w Płocku kształci 4 800 studentów na 14 kierunkach studiów oraz zatrudnia 340 nauczycieli akademickich i 120 pracowników administracyjnych. Głównymi narzędziami informatycznymi są system USOS (wraz z portalem USOSweb) oraz platforma e-learningowa Moodle. Uczelnia przekazuje cyklicznie dane o studentach, pracownikach i dorobku naukowym do centralnego rejestru POL-on (Ministerstwo Nauki i Szkolnictwa Wyższego). Jako uczelnia publiczna podlega przepisom RODO (dane studentów, wnioski stypendialne, dane wrażliwe), § 19 i § 20 rozporządzenia KRI (roczny audyt SZBI systemów teleinformatycznych) oraz Dyrektywie NIS2 (sektor edukacji wyższej i jednostek badawczych).

Stan faktyczny w obszarze zbadanym i zidentyfikowane luki:

• Obszar RODO: W systemie USOSweb wykryto 185 aktywnych kont absolwentów, którzy ukończyli studia w latach 2021-2023, oraz 9 kont byłych wykładowców, których umowy wygasły ponad rok temu. Konta te posiadały wgląd w historyczne protokoły ocen oraz dane osobowe studentów (imiona, nazwiska, PESEL, adresy zamieszkania, naruszenie art. 5 ust. 1 lit. e i art. 32 RODO).
• Obszar NIS2: Na serwerze platformy Moodle brakowało mechanizmów ochrony przed atakami siłowymi (brak blokowania kont po wielokrotnych nieudanych próbach logowania), a hasło do produkcyjnej bazy danych MySQL zapisane było jawnym tekstem w pliku konfiguracyjnym config.php z uprawnieniami odczytu dla wszystkich lokalnych użytkowników serwera Linux. Ponadto uczelnia nie posiada procedury zgłaszania poważnych incydentów do właściwego zespołu CSIRT (naruszenie art. 21 NIS2).
• Obszar KRI: Moduł synchronizacji danych z systemem POL-on wykorzystywał przestarzały protokół transmisji bez weryfikacji sum kontrolnych i integralności przesyłanych paczek danych. Ostatni audyt bezpieczeństwa SZBI przeprowadzono 20 miesięcy temu (naruszenie § 19 ust. 2 pkt 14 rozporządzenia w sprawie KRI (wymóg okresowego audytu wewnętrznego nie rzadziej niż raz na rok)).
• Punkt styku (Triada RODO + NIS2 + KRI): Przejęcie serwera Moodle przez lukę w konfiguracji mogłoby posłużyć jako przyczółek do ataku na bazę USOS (NIS2), doprowadzić do sfałszowania protokołów ocen i wycieku danych studentów (RODO) oraz zablokować prawidłowe raportowanie danych do państwowego rejestru POL-on (KRI).

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący / Ekspert Zgodności Akademickiej i KRI - koordynuje prace, analizuje procedury dyplomowania, interoperacyjność z rejestrem POL-on oraz redaguje raport dla Rektora i Senatu.
• Rola 2: Audytor Techniczny Bezpieczeństwa Aplikacji i NIS2 - bada konfigurację serwera Moodle, podatności bazy danych, brak mechanizmów ochrony brute-force i projektuje centralne uwierzytelnianie IAM/SSO.
• Rola 3: Audytor Ochrony Danych Osobowych i Zgodności RODO - weryfikuje retencję kont absolwentów, zasady ochrony danych stypendialnych oraz uprawnienia pracowników dziekanatów. (W zespole 2-osobowym zadania te dzielą Studenci 1 i 2).

Na co zwrócić uwagę przy analizie scenariusza:

• 1 Najpierw ustalcie, który z trzech reżimów regulacyjnych jest właściwy dla każdej uchybienia: ta sama okoliczność może być jednocześnie naruszeniem RODO, art. 21 dyrektywy NIS2 i wymagań rozporządzenia w sprawie KRI.
• 2 Rozróżnijcie objaw od przyczyny: brak aktualnego rejestru czynności jest przyczyną, a nieprawidłowe uprawnienia w systemie są jej skutkiem.
• 3 Gradacja ustaleń musi uwzględniać dotkliwość konsekwencji: paraliż usługi publicznej, utrata reputacji instytucji i wysokość możliwej kary administracyjnej.
• 4 Dla każdej karty ustaleń wskażcie kontrolę Załącznika A normy PN-EN ISO/IEC 27001:2022, która odpowiada na zidentyfikowaną lukę.

Odpowiedzcie w zespołach na poniższe pytania przed przystąpieniem do redagowania sprawozdania poaudytowego:

1. Jak zakwalifikować utrzymywanie 185 aktywnych kont absolwentów z dostępem do historycznych protokołów ocen: jako naruszenie art. 5 ust. 1 lit. e RODO, art. 32 RODO czy obie przesłanki jednocześnie? Uzasadnij kwalifikację.
2. Dlaczego przechowywanie hasła do produkcyjnej bazy MySQL jawnym tekstem w pliku `config.php` należy ocenić jako NC2 w obszarze NIS2, a nie jako uchybienie porządkowe? Jakie środki techniczne są adekwatne do ryzyka?
3. Jak zautomatyzować odbieranie uprawnień absolwentom po obronie pracy dyplomowej tak, aby jednocześnie spełnić zasady retencji RODO, wymagania KRI i autonomię akademicką?
4. Jakie zagrożenia dla integralności protokołów ocen stwarzają błędy konfiguracyjne Moodle i dlaczego brak ochrony przed atakami siłowymi jest nieodłącznym elementem tej oceny?
5. W jaki sposób zapewnić weryfikację sum kontrolnych i integralności paczek danych przesyłanych do rejestru POL-on oraz jakie są skutki prawne ich braku?
6. Które korzyści dla uczelni daje wdrożenie brokera tożsamości IAM w standardzie SAML/OpenID Connect w ramach federacji PIONIER.Id i eduroam? Potraktujcie to jako szansę na doskonalenie (OFI) i uzasadnijcie bilans korzyści i kosztów.

Pytania problemowe z zakresu raportu:

• W jaki sposób zautomatyzować proces odbierania uprawnień absolwentom po obronie pracy dyplomowej, aby spełnić zasady retencji RODO i KRI?
• Jakie zagrożenia dla integralności protokołów ocen stwarzają błędy konfiguracyjne platformy e-learningowej Moodle w świetle Dyrektywy NIS2?
• W jaki sposób § 19 i § 20 rozporządzenia KRI reguluje wymogi bezpieczeństwa przesyłania danych do państwowych baz takich jak POL-on?

Uwaga: Każda odpowiedź musi wskazywać właściwy reżim regulacyjny (RODO, NIS2/ustawa o KSC lub rozporządzenie w sprawie KRI) i konkretny przepis, a nie ogólne hasło typu „poprawa bezpieczeństwa”. Odpowiedź bez odwołania do artykułu ustawy, paragrafu rozporządzenia lub punktu kontrolnego normy nie zalicza punktacji.

Praca w zespole 2-3 osobowym polega na przeanalizowaniu powyższego scenariusza, sklasyfikowaniu uchybień według trzech reżimów regulacyjnych i przygotowaniu spójnego sprawozdania poaudytowego wraz z tabelą planu działań korygujących.

Zadanie realizowane jest przez 2-3 osobowy zespół w formule studium przypadku:

• Krok 1 (Podział ról i specyfika uczelni wyższej):

  Podzielcie zadania w zespole. Przeanalizujcie relacje pomiędzy systemami dziekanatowymi (USOS), e-learningiem (Moodle), rejestrem państwowym (POL-on) a wymaganiami RODO, NIS2 i KRI.

• Krok 2 (Triangulacja dowodów w środowisku akademickim):

  Zidentyfikujcie i skorelujcie uchybienia:

  1. Brak wygaszania kont absolwentów i wykładowców (RODO art. 5 i 32).

  2. Jawne hasła bazy danych w pliku config.php i brak ochrony brute-force w Moodle (NIS2 art. 21).

  3. Przeterminowany audyt SZBI i brak kontroli integralności danych przesyłanych do POL-on (KRI § 19 i § 20).

• Krok 3 (Kwalifikacja niezgodności):

  Sformułujcie karty niezgodności:

  • Niezgodność Zasadnicza (NC2) w obszarze RODO: Wieloletnie utrzymywanie aktywnych kont absolwentów i byłych pracowników z prawem dostępu do danych osobowych studentów.
  • Niezgodność Zasadnicza (NC2) w obszarze NIS2: Rażące błędy konfiguracyjne serwera Moodle (jawne hasło bazy danych i brak ochrony przed atakami brute-force).
  • Niezgodność Drobna (NC3) w obszarze KRI: Brak aktualnego audytu SZBI i niespójność procedur synchronizacji z rejestrem POL-on.
  • Szansa na doskonalenie (OFI): Wdrożenie federacyjnego jednokrotnego logowania (SSO) opartego na protokole SAML/OpenID Connect w ramach federacji PIONIER.Id/eduroam.
• Krok 4 (Opracowanie zaleceń SMART):

  Zaproponujcie natychmiastowe zabezpieczenie uprawnień do pliku konfiguracyjnego Moodle (chmod 640), wdrożenie automatycznego skryptu wygaszającego konta po ukończeniu studiów, ograniczenie uprawnień pracowników dziekanatów oraz wdrożenie centralnego brokera tożsamości.

• Krok 5 (Konstrukcja Planu CAP):

  Opracujcie tabelę CAP z przypisaniem ról (Prorektor ds. Kształcenia, Kierownik Uczelnianego Centrum IT, IOD), budżetów i terminów wdrożenia (14-90 dni).

• Krok 6 (Przygotowanie raportu i referatu):

  Zredagujcie raport poaudytowy (4-8 stron A4) i przygotujcie referat dla Senatu uczelni.

Podział ról w triadzie audytorskiej:

• Rola 1 - Audytor Wiodący: ład organizacyjny i KRI metryka audytu, wymagania § 19 i § 20 rozporządzenia w sprawie KRI, roczny audyt SZBI, ciągłość działania (DRP/BCP), koordynacja sprawozdania i obrony.
• Rola 2 - Audytor ds. Cyberbezpieczeństwa i NIS2/KSC odporność teleinformatyczna, zarządzanie podatnościami, separacja stref IT/OT/IoT, monitorowanie zagrożeń, ścieżka zgłaszania incydentów poważnych w terminach 24 i 72 godzin.
• Rola 3 - Audytor Ochrony Danych Osobowych i Zgodności z RODO legalność przetwarzania, w tym art. 9 RODO, rejestry czynności, umowy powierzenia (art. 28), środki techniczne i organizacyjne (art. 32) oraz procedura zawiadamiania Prezesa UODO. W zespole dwuosobowym rolę tę realizują wspólnie osoby pełniące rolę 1 i rolę 2.

Pełny harmonogram ćwiczenia wraz z zegarem 180 minut, podziałem etapów między role i listą artefaktów znajduje się w sekcji Interaktywny harmonogram ćwiczeń. Rejestr uchybień z oceną ryzyka prowadzicie w sekcji Interaktywny kalkulator ryzyka, a ustalenia w skali prawdopodobieństwo × skutek weryfikujecie w sekcji macierzy ryzyka 5 × 5.

Plan referatu seminaryjnego grupy (10-15 minut):

• Część 1 (Minuty 00-03): Wprowadzenie: uczelnia publiczna w reżimie zbieżności RODO, NIS2 i KRI, znaczenie systemów USOS i Moodle dla procesu dydaktycznego (Student 1).
• Część 2 (Minuty 03-07): Analiza ustaleń: 'martwe konta' absolwentów z wglądem w oceny, jawne hasło bazy Moodle i przeterminowany audyt KRI (Student 2 i 3).
• Część 3 (Minuty 07-11): Prezentacja kart niezgodności, zaleceń inżynierskich (broker IAM, integracja z POL-on) oraz harmonogramu Planu CAP (Student 2 i 3).
• Część 4 (Minuty 11-15): Analiza korzyści i ryzyk (w tym wsparcie akredytacji PKA), podsumowanie menedżerskie i dyskusja (Wszyscy członkowie grupy).

W trakcie wystąpienia seminaryjnego omówcie bilans szans na doskonalenie (OFI): pokażcie, w jaki sposób audytor może przekonać Senat Uczelni, że wdrożenie centralnego brokera tożsamości IAM nie tylko eliminuje luki RODO i NIS2, lecz ułatwia studentom i wykładowcom korzystanie z zasobów akademickich w ramach federacji eduroam.

Wymagania formalne sprawozdania poaudytowego (ocena 3.0):

• Wymagane: sprawozdanie poaudytowe w formacie PDF o objętości 4-8 stron znormalizowanego maszynopisu A4 (1 200-2 400 słów), przekazane najpóźniej 24 godziny przed terminem zajęć;
• Wymagane: wystąpienie seminaryjne trwające 10-15 minut, w którym każdy członek zespołu prezentuje własny fragment pracy i odpowiada na pytania kontrolne prowadzącego;
• Wymagane: strona tytułowa z nazwą jednostki, pełnym tytułem zadania, kodem Lab10 i składem zespołu z podziałem ról;
• Wymagane: metryka audytu: podstawa prawna, zakres, metoda, kryteria i uczestnicy;
• Wymagane: rejestr uchybień z klasyfikacją NC2, NC3 i OFI, oceną ryzyka w skali 1-25 oraz wskazaniem naruszonego artykułu, paragrafu lub kontrolki normatywnej;
• Wymagane: jedna zintegrowana procedura reagowania na incydent obsługująca terminy 24/72/72 godzin oraz tabela planu działań korygujących (CAP) z rolami, terminami, budżetami i miernikami sukcesu;
• Wymagane: analiza wad i zalet własnego rozwiązania wraz z ograniczeniami przyjętych założeń;
• Wymagane: bibliografia z numerami artykułów i paragrafów oraz numerami kontrolek norm;
• Skutkuje niezaliczeniem: sprawozdanie krótsze niż 4 strony A4 albo dłuższe niż 8 stron, sprawozdanie bez planu CAP, referat bez bibliografii albo praca nieprzygotowana do obrony ustnej.

Szkic sprawozdania przygotowujecie w sekcji Formularz sprawozdania poaudytowego, a kompletność pracy sprawdzacie na czterech etapach ćwiczenia w sekcji checklistcie zgodności (licznik objętości wskazuje, czy tekst mieści się w wymaganych 4-8 stronach A4).

Uwaga: Najczęstsze błędy obniżające ocenę: przedstawienie scenariusza zamiast jego analizy, kwalifikowanie uchybień bez wskazania kryterium prawnego, pomylenie terminu 24 godziny (incydent poważny) z terminem 72 godziny (naruszenie ochrony danych), podanie zaleceń bez miernika sukcesu oraz sprawozdanie krótsze niż 4 strony A4 albo pozbawione planu działań korygujących CAP.

• Wdrożenie automatycznego cyklu życia tożsamości zintegrowanego z protokołem dyplomowania.
• Utwardzenie konfiguracji serwerów Linux i platformy Moodle (zmienne środowiskowe, moduł Fail2ban).
• Wdrożenie centralnego brokera tożsamości Keycloak zintegrowanego z eduroam.

Wzorcowa tabela planu działań korygujących (CAP):

• Zalety: Eliminacja ryzyka wycieku danych studentów, zabezpieczenie wiarygodności ocen, spełnienie wymagań akredytacyjnych PKA, nowoczesne logowanie SSO.
• Wady: Konieczność modyfikacji procesów dziekanatowych, czasochłonność konfiguracji centralnego IAM.

Bilans wdrożenia proponowanego rozwiązania dla tej jednostki:

Porównajcie koszt wdrożenia, liczbę zaangażowanych osób i ryzyko resztkowe. Rozwiązanie, które personel jest w stanie faktycznie stosować, jest skuteczniejsze niż rozbudowana procedura, której nikt nie przestrzega; uzasadnijcie wybrany wariant ryzyka, kosztu i obciążenia operacyjnego.

• Ustawa z dnia 20 lipca 2018 r. - Prawo o szkolnictwie wyższym i nauce (tekst jedn. Dz.U. z 2024 r. poz. 1571) - dokumentacja przebiegu studiów i system POL-on.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 5, 32.
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (NIS2) - sektor szkolnictwa wyższego i badań.
• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. z 2024 r. poz. 773) - § 19 (system zarządzania bezpieczeństwem informacji, w tym wymóg zapewnienia okresowego audytu wewnętrznego nie rzadziej niż raz na rok: § 19 ust. 2 pkt 14) oraz § 20 (rozliczalność i prowadzenie dzienników systemów, których zapisy przechowuje się co najmniej dwa lata, jeżeli przepisy odrębne nie stanowią inaczej). Rozporządzenie z dnia 12 kwietnia 2012 r. utraciło moc z dniem 23 maja 2024 r.
• Norma PN-EN ISO/IEC 27001:2022: Systemy zarządzania bezpieczeństwem informacji - kontrole A.5.15, A.5.18, A.8.2.
• Norma PN-EN ISO 19011:2018: Wytyczne dotyczące audytowania systemów zarządzania.
• Polska Komisja Akredytacyjna (PKA): "Standardy jakości kształcenia", Warszawa 2023.

Podstawy prawne i normatywne obowiązujące w całym module (weryfikowany stan prawny):

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 5 (zasady przetwarzania, w tym minimalizacja, ograniczenie retencji i rozliczalność), art. 9 (dane szczególnych kategorii), art. 25 (ochrona danych z naturyry), art. 28 (przetwarzanie przez podmioty przetwarzające), art. 32 (bezpieczeństwo przetwarzania), art. 33 ust. 1 (zawiadomienie organu nadzorczego w terminie 72 godzin) oraz art. 34 (zawiadomienie osób, których dane dotyczą).
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (dyrektywa NIS2) - art. 21 (środki zarządzania ryzykiem, w tym bezpieczeństwo łańcucha dostaw) oraz art. 23 (wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie incydentu w ciągu 72 godzin, sprawozdanie końcowe w ciągu miesiąca).
• Ustawa z dnia 5 lipca 2018 r. o Krajowym Systemie Cyberbezpieczeństwa (tekst jedn. Dz.U. z 2026 r. poz. 20, zm. Dz.U. z 2026 r. poz. 252) - art. 8 (środki zapewniające poufność, integralność i dostępność oraz ograniczenie mechanizmów dostępu do systemów sterowania), art. 10 (dokumentacja), art. 11 (obsługa i zgłaszanie incydentów poważnych w ciągu 24 godzin) oraz art. 15 (audyt bezpieczeństwa co najmniej raz na 3 lata).
• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. z 2024 r. poz. 773) - § 19 (system zarządzania bezpieczeństwem informacji, w tym wymóg okresowego audytu wewnętrznego nie rzadziej niż raz na rok: § 19 ust. 2 pkt 14) oraz § 20 (rozliczalność i prowadzenie dzienników systemów, których zapisy przechowuje się co najmniej dwa lata). Rozporządzenie z dnia 12 kwietnia 2012 r. utraciło moc z dniem 23 maja 2024 r.
• Ustawa z dnia 17 lutnia 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (tekst jedn. Dz.U. z 2026 r. poz. 1241) - art. 18 jako podstawa prawna rozporządzenia w sprawie KRI.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 (DORA) - art. 8 (zarządzanie ryzykiem operacyjnym ICT) oraz art. 9 i 10 (zdarzenia operacyjne ICT, ich zgłaszanie, ochrona i archiwizacja dzienników oraz testy ciągłości działania).
• PCI Security Standards Council 2024 - standard PCI DSS v4.0, w tym wymóg 6.2 (bezpieczne oprogramowanie dedykowane), 8.3.4 (ograniczenie nieudanych prób uwierzytelniania) oraz 10.5.1 (retencja dzienników: minimum 12 miesięcy, w tym 3 miesiące w trybie natychmiastowego dostępu online).
• Ustawa z dnia 26 czerwca 1974 r. - Kodeks pracy (Dz.U. z 2026 r. poz. 1245) - art. 22² §§ 1-2 (monitoring wizyjny w zakładzie pracy: obowiązek poinformowania pracowników, uregulowania zasad monitoringu w regulaminie pracy lub układzie zbiorowym oraz wszczególnienie sposobu stosowania monitoringu), art. 22² § 6 (zasady, cel i zakres monitoringu) i art. 22² § 7 (informowanie co najmniej 2 tygodnie wcześniej).
• Norma PN-EN ISO 19011:2018 - wytyczne dotyczące audytowania systemów zarządzania, w tym treść raportu z auditu (pkt 6.5) oraz planowanie i realizacja auditu.
• Norma PN-EN ISO/IEC 27001:2022 - systemy zarządzania bezpieczeństwem informacji: klauzule 4.4, 6.1, 8.1, 9.2, 10.2 oraz kontrole Załącznika A.
• Norma PN-EN ISO/IEC 27005:2022 - zarządzanie ryzykiem bezpieczeństwa informacji: identyfikacja, analiza, ocena i postępowanie z ryzykiem.
• Wytyczne Europejskiej Rady Ochrony Danych 3/2019 w sprawie przetwarzania danych osobowych przez urządzenia wideo - uzasadnienie celu monitoringu, zasada minimalizacji i retencji nagrań.
• Rekomendacja D Komisji Nadzoru Finansowego dotycząca stosowania przez banki spółdzielcze dobrych praktyk w zakresie zarządzania ryzykiem operacyjnym oraz Rekomendacja M dotycząca zarządzania ryzykiem technologicznym - stosowane jako uznane praktyki i metody oceny.

Normy ISO, standardy branżowe (PCI DSS, DORA w zakresie praktyk nadzoru, Rekomendacje D i M KNF, IFC/BRC, IEC 62443-3-3) oraz wytyczne organów nadzorczych stosuje się jako uznane praktyki i metody oceny, a nie jako przepisy ustawowe; ich zastosowanie wymaga krótkiego uzasadnienia w sprawozdaniu.

Powiązanie z sylabusem i treściami programowymi:

• U4 Opracowanie zintegrowanego raportu poaudytowego (4-8 stron A4) dla Zarządu zakładu oraz wygłoszenie referatu seminaryjnego.
• U2 Poprawna identyfikacja i gradacja uchybień w środowisku przemysłowym w świetle RODO, NIS2 i KRI.
• U1 Opracowanie zaleceń inżynierskich łączących rygory higieniczne i produkcyjne z bezpieczeństwem teleinformatycznym.
• U3 Szacowanie ryzyka przestoju linii produkcyjnej, skażenia partii towaru i kar finansowych.
• W1W3 Znajomość przepisów RODO, Dyrektywy NIS2 dla łańcucha żywnościowego, § 19 i § 20 rozporządzenia KRI oraz Ustawy o ochronie zdrowia zwierząt i zwalczaniu chorób zakaźnych.
• K1K2K3 Zrozumienie specyfiki przemysłu wytwórczego, kultura dialogu z technologami i kadrą inżynierską oraz praca w zespole.
• Powiązanie z wykładem: Wyk1 (Ład zarządczy w przemyśle), Wyk2 (Zasady audytowania ISO 19011), Wyk3 (Kontrole fizyczne i techniczne ISO 27001), Wyk4 (RODO, NIS2 i KRI w łańcuchu żywnościowym), Wyk7 (Niezgodności, zalecenia SMART i plan CAP).

Wybrane efekty uczenia się realizowane w tym zadaniu:

• U4 Opracowanie zintegrowanego raportu poaudytowego dla przedsiębiorstwa produkcyjnego.
• U2 Precyzyjna gradacja niezgodności w środowisku hal produkcyjnych i IT.
• U1 Projekt inżynierski ergonomicznego uwierzytelniania RFID IP67 i buforowania danych.
• U3 Szacowanie ryzyka przestoju produkcyjnego, skażenia partii i kar UODO.
• W1W3 Znajomość przepisów Kodeksu pracy, RODO, NIS2, KRI i standardów żywnościowych.
• K1K2K3 Zrozumienie realiów przemysłowych, etyka zawodowa i sprawna praca zespołowa.

Podstawy prawne i normatywne zadania: RODO art. 5, 28, 32 i 33; Kodeksu pracy art. 22² §§ 1, 6-7; NIS2 art. 21 i 23; KRI § 19 i § 20; PN-EN ISO/IEC 27001:2022 (A.7.2, A.7.7, A.8.20)

Temat zadania: ZINTEGROWANY AUDYT BEZPIECZEŃSTWA INFORMACJI W ZAKŁADZIE PRODUKCYJNYM: OCHRONA DANYCH ZAŁOGI I MONITORING ZAKŁADOWY (RODO), REŻIM PODMIOTU KLUCZOWEGO W ŁAŃCUCHU DOSTAW ŻYWNOŚCI (NIS2) ORAZ INTEROPERACYJNOŚĆ Z SYSTEMAMI WETERYNARYJNYMI TRACEABILITY (KRI/PIW)

Głównym celem zadania jest nabycie przez studentów umiejętności przeprowadzenia zintegrowanego badania audytowego w przedsiębiorstwie produkcyjnym sektora rolno-spożywczego, łączącego ochronę danych osobowych pracowników i zasady monitoringu zakładowego (RODO / Kodeks pracy), wymogi cyberbezpieczeństwa podmiotu kluczowego w łańcuchu dostaw żywności (Dyrektywa NIS2 - sektor produkcji i dystrybucji żywności) oraz standardy interoperacyjności systemów identyfikowalności partii produkcyjnych (Traceability) z rejestrami publicznymi Powiatowego Inspektoratu Weterynarii (§ 19 i § 20 rozporządzenia KRI). Studenci badają stan bezpieczeństwa Zakładów Mięsnych Dolina Baryczy Sp. z o.o. w Miliczu, oceniając zabezpieczenia terminali wagowych na liniach uboju, bazy danych receptur technologicznych oraz systemów zgłoszeniowych. Zadanie wymaga: identyfikacji uchybień w środowisku produkcyjnym, sklasyfikowania niezgodności (NC2/NC3/OFI), sformułowania zaleceń SMART dostosowanych do warunków hal produkcyjnych oraz opracowania realistycznego Planu Działań Korygujących (CAP).

Kryterium zaliczenia zadania: sprawozdanie poaudytowe uznaje się za zaliczone, jeżeli zawiera metrykę audytu, katalog uchybień sklasyfikowanych jako NC2, NC3 lub OFI z odwołaniem do przepisu lub kontrolki normatywnej, ocenę ryzyka w skali 1-25 dla trzech najpoważniejszych uchybień, jedną zintegrowaną procedurę reagowania na incydent z terminami 24/72/72 godzin, tabelę planu działań korygujących z miernikami sukcesu, analizę wad i zalet rozwiązania oraz bibliografię z numerami artykułów i paragrafów.

Karta organizacyjna analizowanej jednostki (na podstawie scenariusza):

Narracja scenariusza i stan faktyczny w obszarze zbadanym:

Zakłady Mięsne Dolina Baryczy Sp. z o.o. zatrudniają 280 pracowników, osiągając 85 mln PLN rocznego obrotu. Spółka produkuje wędliny tradycyjne, dostarczając wyroby do ogólnopolskich sieci handlowych. Proces produkcyjny opiera się na skomputeryzowanych liniach rozbiorowych, przemysłowych wagach etykietujących połączonych z systemem ERP oraz systemie śledzenia pochodzenia surowca (Traceability) raportującym do Państwowej Inspekcji Weterynaryjnej (PIW). Jako producent żywności spółka podlega Dyrektywie NIS2 (podmiot kluczowy w łańcuchu dostaw żywności), RODO (dane pracowników, agencji pracy tymczasowej, monitoring CCTV na halach) oraz § 19 i § 20 rozporządzenia KRI (interoperacyjność systemów rejestracji partii mięsa i wymiana danych z rejestrami weterynaryjnymi).

Stan faktyczny w obszarze zbadanym i zidentyfikowane luki:

• Obszar RODO: Na terenie hal rozbiorowych i w szatniach pracowniczych zainstalowano 40 kamer monitoringu CCTV, przy czym w toku audytu stwierdzono, że kamery obejmują strefy socjalne pracowników, a okres przechowywania nagrań wynosi ponad 90 dni bez uzasadnienia (naruszenie art. 22² Kodeksu pracy (monitoring bez poinformowania pracowników i bez uregulowania zasad monitoringu w regulaminie pracy lub układzie zbiorowym) oraz art. 5 ust. 1 lit. f i art. 5 ust. 2 RODO (zasada minimalizacji danych i zasada rozliczalności)). Ponadto brak umów powierzenia z agencją pracy dostarczającą 50 pracowników tymczasowych.
• Obszar NIS2: Na 14 terminalach wagowych w hali produkcyjnej hasła dostępowe do systemu naważania były zapisane markerem olejowym na metalowych obudowach maszyn (WAGA123). Wagi połączone są z siecią zakładową bez zapory sieciowej, co w przypadku infekcji malware grozi zatrzymaniem uboju lub zafałszowaniem proporcji peklosoli (naruszenie art. 21 NIS2).
• Obszar KRI: Moduł eksportu danych weterynaryjnych do systemu PIW nie posiadał procedury weryfikacji sum kontrolnych i rejestracji zdarzeń przesyłu danych. W przypadku awarii łącza brak jest buforowania lokalnego, co skutkowało błędami w numeracji partii mięsa (naruszenie § 19 i § 20 rozporządzenia KRI).
• Punkt styku (Triada RODO + NIS2 + KRI): Przejęcie kontroli nad siecią wag przez złośliwe oprogramowanie (NIS2) mogłoby zafałszować rejestry traceability surowca dla Inspekcji Weterynaryjnej (KRI) oraz sparaliżować rozliczenia czasu pracy pracowników akordowych (RODO).

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący / Ekspert Zgodności Przemysłowej i KRI - koordynuje prace, analizuje procedury traceability, relacje z Inspekcją Weterynaryjną oraz strukturę raportu.
• Rola 2: Audytor Techniczny Bezpieczeństwa OT i NIS2 - bada konfigurację wag przemysłowych, sieć produkcyjną, brak zapór sieciowych i projektuje hermetyczną autoryzację RFID.
• Rola 3: Audytor Ochrony Danych i Prawa Pracy RODO - analizuje legalność monitoringu CCTV, retencję nagrań oraz umowy powierzenia z agencjami pracy. (W zespole 2-osobowym zadania te dzielą Studenci 1 i 2).

Na co zwrócić uwagę przy analizie scenariusza:

• 1 Najpierw ustalcie, który z trzech reżimów regulacyjnych jest właściwy dla każdej uchybienia: ta sama okoliczność może być jednocześnie naruszeniem RODO, art. 21 dyrektywy NIS2 i wymagań rozporządzenia w sprawie KRI.
• 2 Rozróżnijcie objaw od przyczyny: brak aktualnego rejestru czynności jest przyczyną, a nieprawidłowe uprawnienia w systemie są jej skutkiem.
• 3 Gradacja ustaleń musi uwzględniać dotkliwość konsekwencji: paraliż usługi publicznej, utrata reputacji instytucji i wysokość możliwej kary administracyjnej.
• 4 Dla każdej karty ustaleń wskażcie kontrolę Załącznika A normy PN-EN ISO/IEC 27001:2022, która odpowiada na zidentyfikowaną lukę.

Odpowiedzcie w zespołach na poniższe pytania przed przystąpieniem do redagowania sprawozdania poaudytowego:

1. W jakich miejscach hali produkcyjnej instalowanie monitoringu CCTV jest bezwzględnie niedopuszczalne na gruncie art. 22² Kodeksu pracy i RODO? Wskaż obszary, w któryych monitoring może zostać dopuszczony, i uzasadnij kryterium.
2. Jakie są skutki prawne utrzymywania nagrań monitoringu przez ponad 90 dni bez uzasadnienia, jeżeli obowiązek minimalizacji wynika z art. 5 ust. 1 lit. e RODO?
3. Dlaczego hasła zapisane markerem na obudowach wag przemysłowych oraz brak segmentacji sieci produkcyjnej należy zakwalifikować jako NC2 w kontekście art. 21 dyrektywy NIS2 dla podmiotu kluczowego w łańcuchu żywności?
4. W jaki sposób zaprojektować autoryzację operatora partii produkcyjnej w warunkach pracy w rękawicach, aby spełnić wymóg identyfikowalności z KRI i nie spowolnić pracy linii rozbiorowej?
5. Dlaczego brak buforowania lokalnego i weryfikacji sum kontrolnych w transmisji danych do Państwowej Inspekcji Weterynaryjnej skutkuje błędami w numeracji partii mięsa i jakie ma to skutki prawne?
6. Jakie elementy zabezpieczeń muszą uwzględniać rygory sanitarne (wilgoć, temperatura 4°C) i rękawice ochronne, aby nie zostały wyłączone przez użytkowników w warunkach produkcyjnych?

Pytania problemowe z zakresu raportu:

• W jakich miejscach zakładu produkcyjnego instalowanie monitoringu CCTV jest bezwzględnie zakazane na gruncie Kodeksu pracy i RODO?
• Jakie konsekwencje dla bezpieczeństwa łańcucha żywnościowego rodzi brak autoryzacji operatorów na przemysłowych wagach etykietujących w świetle Dyrektywy NIS2?
• Dlaczego interoperacyjność systemów Traceability z rejestrami Inspekcji Weterynaryjnej podlega wymogom § 19 i § 20 rozporządzenia KRI?

Uwaga: Każda odpowiedź musi wskazywać właściwy reżim regulacyjny (RODO, NIS2/ustawa o KSC lub rozporządzenie w sprawie KRI) i konkretny przepis, a nie ogólne hasło typu „poprawa bezpieczeństwa”. Odpowiedź bez odwołania do artykułu ustawy, paragrafu rozporządzenia lub punktu kontrolnego normy nie zalicza punktacji.

Praca w zespole 2-3 osobowym polega na przeanalizowaniu powyższego scenariusza, sklasyfikowaniu uchybień według trzech reżimów regulacyjnych i przygotowaniu spójnego sprawozdania poaudytowego wraz z tabelą planu działań korygujących.

Zadanie realizowane jest przez 2-3 osobowy zespół w formule studium przypadku:

• Krok 1 (Podział ról i uwarunkowania przemysłowe):

  Podzielcie zadania w zespole. Uwzględnijcie trudne warunki środowiskowe (wilgoć, temperatura 4°C, praca w rękawicach gumowych) oraz rygory weterynaryjne i sanitarne.

• Krok 2 (Triangulacja dowodów w zakładzie produkcyjnym):

  Zidentyfikujcie i powiążcie uchybienia:

  1. Kamery w strefach socjalnych i retencja 90 dni (RODO art. 5 i Kodeks pracy).

  2. Hasła na obudowach wag i brak segmentacji sieci produkcyjnej (NIS2 art. 21).

  3. Brak buforowania i sum kontrolnych w transmisji do PIW (KRI § 19 i § 20).

• Krok 3 (Kwalifikacja niezgodności):

  Sformułujcie karty niezgodności:

  • Niezgodność Zasadnicza (NC2) w obszarze RODO: Nielegalny monitoring stref socjalnych załogi i nadmierny okres przechowywania nagrań CCTV.
  • Niezgodność Zasadnicza (NC2) w obszarze NIS2: Zapisywanie haseł na obudowach wag przemysłowych i brak uwierzytelniania operatorów partii produkcyjnych.
  • Niezgodność Drobna (NC3) w obszarze KRI: Brak mechanizmów buforowania i weryfikacji integralności w module raportowania traceability.
  • Szansa na doskonalenie (OFI): Wdrożenie silikonowych opasek zbliżeniowych RFID IP67 dla pracowników umożliwiających autoryzację dotknięciem czytnika bez zdejmowania rękawic.
• Krok 4 (Opracowanie zaleceń SMART):

  Zaproponujcie natychmiastowy demontaż kamer z szatni i skrócenie retencji do 30 dni, montaż hermetycznych czytników RFID na wagach oraz wdrożenie buforowanej integracji z systemem weterynaryjnym.

• Krok 5 (Konstrukcja Planu CAP):

  Opracujcie tabelę CAP z przypisaniem ról (Dyrektor Produkcji, Główny Technolog, Administrator IT, IOD), terminów (14-60 dni) i wskaźników weryfikacji.

• Krok 6 (Przygotowanie raportu i referatu):

  Zredagujcie raport poaudytowy (4-8 stron A4) i przygotujcie referat dla Zarządu spółki.

Podział ról w triadzie audytorskiej:

• Rola 1 - Audytor Wiodący: ład organizacyjny i KRI metryka audytu, wymagania § 19 i § 20 rozporządzenia w sprawie KRI, roczny audyt SZBI, ciągłość działania (DRP/BCP), koordynacja sprawozdania i obrony.
• Rola 2 - Audytor ds. Cyberbezpieczeństwa i NIS2/KSC odporność teleinformatyczna, zarządzanie podatnościami, separacja stref IT/OT/IoT, monitorowanie zagrożeń, ścieżka zgłaszania incydentów poważnych w terminach 24 i 72 godzin.
• Rola 3 - Audytor Ochrony Danych Osobowych i Zgodności z RODO legalność przetwarzania, w tym art. 9 RODO, rejestry czynności, umowy powierzenia (art. 28), środki techniczne i organizacyjne (art. 32) oraz procedura zawiadamiania Prezesa UODO. W zespole dwuosobowym rolę tę realizują wspólnie osoby pełniące rolę 1 i rolę 2.

Pełny harmonogram ćwiczenia wraz z zegarem 180 minut, podziałem etapów między role i listą artefaktów znajduje się w sekcji Interaktywny harmonogram ćwiczeń. Rejestr uchybień z oceną ryzyka prowadzicie w sekcji Interaktywny kalkulator ryzyka, a ustalenia w skali prawdopodobieństwo × skutek weryfikujecie w sekcji macierzy ryzyka 5 × 5.

Plan referatu seminaryjnego grupy (10-15 minut):

• Część 1 (Minuty 00-03): Wprowadzenie: zakład mięsny w łańcuchu dostaw żywności podlegający wymogom RODO, NIS2 i KRI (Student 1).
• Część 2 (Minuty 03-07): Analiza uchybień: kamery w szatniach, hasła markerem na wagach i ryzyka w raportowaniu do Inspekcji Weterynaryjnej (Student 2 i 3).
• Część 3 (Minuty 07-11): Prezentacja kart niezgodności, zaleceń inżynierskich (opaski RFID IP67, buforowanie PIW) oraz harmonogramu Planu CAP (Student 2 i 3).
• Część 4 (Minuty 11-15): Analiza korzyści i ryzyk (w tym spełnienie standardów sieci handlowych IFS/BRC), podsumowanie menedżerskie i dyskusja (Wszyscy członkowie grupy).

W wystąpieniu seminaryjnym wyjaśnijcie, w jaki sposób zintegrowane podejście audytowe (RODO + NIS2 + KRI) pomaga przedsiębiorstwu produkcyjnemu spełnić rygorystyczne wymagania międzynarodowych sieci handlowych (standardy IFS/BRC) bez spowalniania tempa pracy na linii rozbiorowej.

Wymagania formalne sprawozdania poaudytowego (ocena 3.0):

• Wymagane: sprawozdanie poaudytowe w formacie PDF o objętości 4-8 stron znormalizowanego maszynopisu A4 (1 200-2 400 słów), przekazane najpóźniej 24 godziny przed terminem zajęć;
• Wymagane: wystąpienie seminaryjne trwające 10-15 minut, w którym każdy członek zespołu prezentuje własny fragment pracy i odpowiada na pytania kontrolne prowadzącego;
• Wymagane: strona tytułowa z nazwą jednostki, pełnym tytułem zadania, kodem Lab10 i składem zespołu z podziałem ról;
• Wymagane: metryka audytu: podstawa prawna, zakres, metoda, kryteria i uczestnicy;
• Wymagane: rejestr uchybień z klasyfikacją NC2, NC3 i OFI, oceną ryzyka w skali 1-25 oraz wskazaniem naruszonego artykułu, paragrafu lub kontrolki normatywnej;
• Wymagane: jedna zintegrowana procedura reagowania na incydent obsługująca terminy 24/72/72 godzin oraz tabela planu działań korygujących (CAP) z rolami, terminami, budżetami i miernikami sukcesu;
• Wymagane: analiza wad i zalet własnego rozwiązania wraz z ograniczeniami przyjętych założeń;
• Wymagane: bibliografia z numerami artykułów i paragrafów oraz numerami kontrolek norm;
• Skutkuje niezaliczeniem: sprawozdanie krótsze niż 4 strony A4 albo dłuższe niż 8 stron, sprawozdanie bez planu CAP, referat bez bibliografii albo praca nieprzygotowana do obrony ustnej.

Szkic sprawozdania przygotowujecie w sekcji Formularz sprawozdania poaudytowego, a kompletność pracy sprawdzacie na czterech etapach ćwiczenia w sekcji checklistcie zgodności (licznik objętości wskazuje, czy tekst mieści się w wymaganych 4-8 stronach A4).

Uwaga: Najczęstsze błędy obniżające ocenę: przedstawienie scenariusza zamiast jego analizy, kwalifikowanie uchybień bez wskazania kryterium prawnego, pomylenie terminu 24 godziny (incydent poważny) z terminem 72 godziny (naruszenie ochrony danych), podanie zaleceń bez miernika sukcesu oraz sprawozdanie krótsze niż 4 strony A4 albo pozbawione planu działań korygujących CAP.

• Dostosowanie systemu monitoringu CCTV do rygorów prawa pracy (kamery wyłącznie w ciągach technologicznych, retencja 30 dni).
• Wdrożenie ergonomicznego systemu kontroli dostępu opartego na opaskach RFID IP67 dla pracowników hal.
• Wdrożenie modułu buforowania i weryfikacji sum kontrolnych SHA-256 dla danych weterynaryjnych.

Wzorcowa tabela planu działań korygujących (CAP):

• Zalety: Spełnienie rygorów prawa pracy i RODO, zabezpieczenie certyfikacji IFS/BRC wymaganej przez sieci handlowe, eliminacja pomyłek w naważaniu partii.
• Wady: Koszt zakupu przemysłowych czytników RFID i opasek silikonowych, konieczność przeszkolenia pracowników fizycznych.

Bilans wdrożenia proponowanego rozwiązania dla tej jednostki:

Porównajcie koszt wdrożenia, liczbę zaangażowanych osób i ryzyko resztkowe. Rozwiązanie, które personel jest w stanie faktycznie stosować, jest skuteczniejsze niż rozbudowana procedura, której nikt nie przestrzega; uzasadnijcie wybrany wariant ryzyka, kosztu i obciążenia operacyjnego.

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 5, 28, 32.
• Ustawa z dnia 26 czerwca 1974 r. - Kodeks pracy (Dz.U. z 2026 r. poz. 1245) - art. 22² §§ 1-2 (monitoring wizyjny) oraz art. 22² § 7 (informowanie pracowników co najmniej 2 tygodnie wcześniej) oraz art. 22² § 6 (zasady, cel i zakres monitoringu).
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (NIS2) - sektor produkcji, przetwarzania i dystrybucji żywności.
• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. z 2024 r. poz. 773) - § 19 (system zarządzania bezpieczeństwem informacji, w tym wymóg zapewnienia okresowego audytu wewnętrznego nie rzadziej niż raz na rok: § 19 ust. 2 pkt 14) oraz § 20 (rozliczalność i prowadzenie dzienników systemów, których zapisy przechowuje się co najmniej dwa lata, jeżeli przepisy odrębne nie stanowią inaczej). Rozporządzenie z dnia 12 kwietnia 2012 r. utraciło moc z dniem 23 maja 2024 r.
• Norma PN-EN ISO/IEC 27001:2022: Systemy zarządzania bezpieczeństwem informacji.
• Standard IFS Food v8: Standard audytowania zgodności produktów i procesów w przemyśle spożywczym, 2023.

Podstawy prawne i normatywne obowiązujące w całym module (weryfikowany stan prawny):

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 5 (zasady przetwarzania, w tym minimalizacja, ograniczenie retencji i rozliczalność), art. 9 (dane szczególnych kategorii), art. 25 (ochrona danych z naturyry), art. 28 (przetwarzanie przez podmioty przetwarzające), art. 32 (bezpieczeństwo przetwarzania), art. 33 ust. 1 (zawiadomienie organu nadzorczego w terminie 72 godzin) oraz art. 34 (zawiadomienie osób, których dane dotyczą).
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (dyrektywa NIS2) - art. 21 (środki zarządzania ryzykiem, w tym bezpieczeństwo łańcucha dostaw) oraz art. 23 (wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie incydentu w ciągu 72 godzin, sprawozdanie końcowe w ciągu miesiąca).
• Ustawa z dnia 5 lipca 2018 r. o Krajowym Systemie Cyberbezpieczeństwa (tekst jedn. Dz.U. z 2026 r. poz. 20, zm. Dz.U. z 2026 r. poz. 252) - art. 8 (środki zapewniające poufność, integralność i dostępność oraz ograniczenie mechanizmów dostępu do systemów sterowania), art. 10 (dokumentacja), art. 11 (obsługa i zgłaszanie incydentów poważnych w ciągu 24 godzin) oraz art. 15 (audyt bezpieczeństwa co najmniej raz na 3 lata).
• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. z 2024 r. poz. 773) - § 19 (system zarządzania bezpieczeństwem informacji, w tym wymóg okresowego audytu wewnętrznego nie rzadziej niż raz na rok: § 19 ust. 2 pkt 14) oraz § 20 (rozliczalność i prowadzenie dzienników systemów, których zapisy przechowuje się co najmniej dwa lata). Rozporządzenie z dnia 12 kwietnia 2012 r. utraciło moc z dniem 23 maja 2024 r.
• Ustawa z dnia 17 lutnia 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (tekst jedn. Dz.U. z 2026 r. poz. 1241) - art. 18 jako podstawa prawna rozporządzenia w sprawie KRI.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 (DORA) - art. 8 (zarządzanie ryzykiem operacyjnym ICT) oraz art. 9 i 10 (zdarzenia operacyjne ICT, ich zgłaszanie, ochrona i archiwizacja dzienników oraz testy ciągłości działania).
• PCI Security Standards Council 2024 - standard PCI DSS v4.0, w tym wymóg 6.2 (bezpieczne oprogramowanie dedykowane), 8.3.4 (ograniczenie nieudanych prób uwierzytelniania) oraz 10.5.1 (retencja dzienników: minimum 12 miesięcy, w tym 3 miesiące w trybie natychmiastowego dostępu online).
• Ustawa z dnia 26 czerwca 1974 r. - Kodeks pracy (Dz.U. z 2026 r. poz. 1245) - art. 22² §§ 1-2 (monitoring wizyjny w zakładzie pracy: obowiązek poinformowania pracowników, uregulowania zasad monitoringu w regulaminie pracy lub układzie zbiorowym oraz wszczególnienie sposobu stosowania monitoringu), art. 22² § 6 (zasady, cel i zakres monitoringu) i art. 22² § 7 (informowanie co najmniej 2 tygodnie wcześniej).
• Norma PN-EN ISO 19011:2018 - wytyczne dotyczące audytowania systemów zarządzania, w tym treść raportu z auditu (pkt 6.5) oraz planowanie i realizacja auditu.
• Norma PN-EN ISO/IEC 27001:2022 - systemy zarządzania bezpieczeństwem informacji: klauzule 4.4, 6.1, 8.1, 9.2, 10.2 oraz kontrole Załącznika A.
• Norma PN-EN ISO/IEC 27005:2022 - zarządzanie ryzykiem bezpieczeństwa informacji: identyfikacja, analiza, ocena i postępowanie z ryzykiem.
• Wytyczne Europejskiej Rady Ochrony Danych 3/2019 w sprawie przetwarzania danych osobowych przez urządzenia wideo - uzasadnienie celu monitoringu, zasada minimalizacji i retencji nagrań.
• Rekomendacja D Komisji Nadzoru Finansowego dotycząca stosowania przez banki spółdzielcze dobrych praktyk w zakresie zarządzania ryzykiem operacyjnym oraz Rekomendacja M dotycząca zarządzania ryzykiem technologicznym - stosowane jako uznane praktyki i metody oceny.

Normy ISO, standardy branżowe (PCI DSS, DORA w zakresie praktyk nadzoru, Rekomendacje D i M KNF, IFC/BRC, IEC 62443-3-3) oraz wytyczne organów nadzorczych stosuje się jako uznane praktyki i metody oceny, a nie jako przepisy ustawowe; ich zastosowanie wymaga krótkiego uzasadnienia w sprawozdaniu.

Powiązanie z sylabusem i treściami programowymi:

• U4 Opracowanie zintegrowanego raportu poaudytowego (4-8 stron A4) dla Zarządu spółki fintech i Komitetu Audytu oraz wygłoszenie referatu.
• U2 Poprawna identyfikacja i gradacja uchybień w środowisku chmurowym i aplikacjach API.
• U1 Opracowanie zaleceń inżynierskich dotyczących autoryzacji obiektowej API oraz niezmiennej retencji logów (WORM).
• U3 Szacowanie ryzyka utraty licencji KIP, sankcji finansowych KNF i organizacji płatniczych.
• W1W3 Znajomość przepisów RODO, Rozporządzenia DORA, Dyrektywy NIS2, § 19 i § 20 rozporządzenia KRI oraz standardu PCI DSS v4.0.
• K1K2K3 Biegłość w łączeniu terminologii technicznej z językiem biznesowo-finansowym, niezależność audytorska i praca w zespole.
• Powiązanie z wykładem: Wyk1 (Ład zarządczy w fintechu), Wyk2 (Zasady audytowania ISO 19011), Wyk3 (Kontrole A.8 ISO 27001), Wyk4 (RODO, DORA, PCI DSS i KRI w fintechu), Wyk7 (Niezgodności, zalecenia SMART i plan CAP).

Wybrane efekty uczenia się realizowane w tym zadaniu:

• U4 Opracowanie zintegrowanego raportu poaudytowego dla zarządu fintechu.
• U2 Precyzyjna gradacja niezgodności w architekturze chmurowej i aplikacjach API.
• U1 Projekt inżynierski zabezpieczeń API Gateway oraz niezmiennej retencji telemetrii (WORM).
• U3 Szacowanie ryzyka utraty licencji KIP, kar DORA i pozwów klientów.
• W1W3 Znajomość przepisów DORA, PCI DSS 4.0, RODO i KRI w sektorze płatniczym.
• K1K2K3 Biegłość w łączeniu technologii z biznesem, rzetelność i profesjonalizm audytorski.

Podstawy prawne i normatywne zadania: RODO art. 32 i 33; PCI DSS v4.0 (wymóg 6.2 i 10.5); DORA art. 10; NIS2 art. 21 i 23; KRI § 19 i § 20; ustawa o usługach płatniczych

Temat zadania: ZINTEGROWANY AUDYT PLATFORMY PŁATNICZEJ I USŁUG CHMUROWYCH: OCHRONA DANYCH POSIADACZY KART (RODO I PCI DSS 4.0), CYBERODPORNOŚĆ PODMIOTU FINANSOWEGO (NIS2 / DORA) ORAZ INTEROPERACYJNOŚĆ Z KRAJOWYMI REJESTRAMI FINANSOWYMI (KRI)

Głównym celem zadania jest opanowanie przez studentów umiejętności przeprowadzenia zintegrowanego audytu bezpieczeństwa informacji w innowacyjnej instytucji finansowej (FinTech PayQuick S.A.), łączącego rygory ochrony danych osobowych i danych kartowych (RODO oraz standard PCI DSS v4.0), wymogi operacyjnej odporności cyfrowej sektora finansowego (Dyrektywa NIS2 oraz Rozporządzenie DORA) oraz minimalne standardy interoperacyjności i wymiany danych z rejestrami publicznymi (§ 19 i § 20 rozporządzenia KRI oraz system Ognivo/KIR). Studenci badają stan bezpieczeństwa cyfrowej bramki płatniczej w chmurze AWS, analizując podatności interfejsów API, procedury retencji logów oraz mechanizmy autoryzacji transakcji. Zadanie obejmuje: analizę zbieżności wieloaspektowych reżimów regulacyjnych, sklasyfikowanie niezgodności audytowych (NC2/NC3/OFI), sformułowanie inżynierskich zaleceń w metodyce SMART oraz sporządzenie Planu Działań Korygujących (CAP) chroniącego licencję Krajowej Instytucji Płatniczej (KIP).

Kryterium zaliczenia zadania: sprawozdanie poaudytowe uznaje się za zaliczone, jeżeli zawiera metrykę audytu, katalog uchybień sklasyfikowanych jako NC2, NC3 lub OFI z odwołaniem do przepisu lub kontrolki normatywnej, ocenę ryzyka w skali 1-25 dla trzech najpoważniejszych uchybień, jedną zintegrowaną procedurę reagowania na incydent z terminami 24/72/72 godzin, tabelę planu działań korygujących z miernikami sukcesu, analizę wad i zalet rozwiązania oraz bibliografię z numerami artykułów i paragrafów.

Karta organizacyjna analizowanej jednostki (na podstawie scenariusza):

Narracja scenariusza i stan faktyczny w obszarze zbadanym:

PayQuick S.A. jest licencjonowaną Krajową Instytucją Płatniczą (KIP) pod nadzorem KNF. Spółka obsługuje bramkę płatności internetowych dla 3 500 sklepów e-commerce, procesując 120 000 transakcji dziennie. Cała infrastruktura fintechu funkcjonuje w chmurze Amazon Web Services (AWS) w oparciu o architekturę mikroserwisową. Spółka podlega przepisom RODO (dane posiadaczy kart, transakcje), standardowi branżowemu PCI DSS v4.0, Rozporządzeniu DORA / Dyrektywie NIS2 (odporność cyfrowa instytucji płatniczej) oraz § 19 i § 20 rozporządzenia KRI (interoperacyjność z rejestrami publicznymi Ministerstwa Finansów i systemem Ognivo).

Stan faktyczny w obszarze zbadanym i zidentyfikowane luki:

• Obszar RODO / PCI DSS: W interfejsie API potwierdzeń płatności wykryto podatność BOLA/IDOR (Broken Object Level Authorization), umożliwiającą po zmianie numeru transakcji w adresie URL pobranie danych innego klienta (imię, nazwisko, maskowany numer karty PAN, kwota, e-mail). Narusza to art. 32 RODO oraz wymaganie 6.2 standardu PCI DSS 4.0.
• Obszar NIS2 / DORA: Logi audytowe operacji w chmurze AWS CloudTrail oraz logi dostępowe HTTP były kasowane automatycznie po 14 dniach z powodów oszczędnościowych. Uniemożliwia to prowadzenie analizy powłamaniowej i narusza wymóg retencji logów wynikający z PCI DSS 4.0 (wymóg 10.5.1: minimum 12 miesięcy, w tym 3 miesiące w trybie natychmiastowego dostępu online) oraz obowiązki wynikające z DORA (art. 9 ust. 4 - zapisywanie zdarzeń i ich ochrona, art. 10 - wykrywanie oraz monitorowanie i reagowanie na incydenty). Rozporządzenie DORA nie narzuca sztywnego rocznego okresu retencji logów.
• Obszar KRI: Interfejs komunikacyjny z systemem Ognivo (rejestracja rachunków i zajęć skarbowych) nie posiadał zaktualizowanych certyfikatów kryptograficznych zgodnych z aktualnymi wytycznymi KRI, a procedury odzyskiwania danych po awarii nie były testowane pod kątem RTO/RPO w chmurze AWS (naruszenie § 19 i § 20 rozporządzenia KRI).
• Punkt styku (Triada RODO + NIS2 + KRI): Luka w API umożliwia wyciek danych kartowych (RODO/PCI DSS), brak retencji logów uniemożliwia wyjaśnienie incydentu poważnego dla CSIRT/KNF (NIS2/DORA), a niespójność certyfikatów blokuje realizację obowiązków prawnych w relacjach z administracją skarbową (KRI).

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący / Ekspert Zgodności Finansowej i DORA - koordynuje prace, analizuje spełnienie wymogów licencyjnych KIP, DORA i relacje z KNF oraz odpowiada za strukturę raportu.
• Rola 2: Audytor Techniczny Bezpieczeństwa Chmury i Aplikacji API - bada podatność BOLA/IDOR, konfigurację AWS CloudTrail, potoki CI/CD i projektuje reguły weryfikacji API Gateway.
• Rola 3: Audytor Ochrony Danych i Ryzyka Kartowego RODO/PCI DSS/KRI - analizuje zabezpieczenia danych kartowych, procedury retencji telemetrii, zgodność z systemem Ognivo i konstruuje plan CAP. (W zespole 2-osobowym zadania te dzielą Studenci 1 i 2).

Na co zwrócić uwagę przy analizie scenariusza:

• 1 Najpierw ustalcie, który z trzech reżimów regulacyjnych jest właściwy dla każdej uchybienia: ta sama okoliczność może być jednocześnie naruszeniem RODO, art. 21 dyrektywy NIS2 i wymagań rozporządzenia w sprawie KRI.
• 2 Rozróżnijcie objaw od przyczyny: brak aktualnego rejestru czynności jest przyczyną, a nieprawidłowe uprawnienia w systemie są jej skutkiem.
• 3 Gradacja ustaleń musi uwzględniać dotkliwość konsekwencji: paraliż usługi publicznej, utrata reputacji instytucji i wysokość możliwej kary administracyjnej.
• 4 Dla każdej karty ustaleń wskażcie kontrolę Załącznika A normy PN-EN ISO/IEC 27001:2022, która odpowiada na zidentyfikowaną lukę.

Odpowiedzcie w zespołach na poniższe pytania przed przystąpieniem do redagowania sprawozdania poaudytowego:

1. Na czym polega podatność BOLA/IDOR w interfejsach REST API i dlaczego stanowi ona naruszenie art. 32 RODO oraz wymagania 6.2 standardu PCI DSS v4.0?
2. Jakie konkretne wymagania stawia DORA (art. 10) i PCI DSS (wymóg 10.5) przed retencją i niezmiennością logów w chmurze publicznej, skoro regulacje te nie określają sztywnego okresu 365 dni dla każdej kategorii logów?
3. Jak wdrożyć autoryzację na poziomie obiektu (Object-Level Authorization) na bramie AWS API Gateway i jak zwalidować poprawkę w potoku CI/CD testami DAST?
4. Dlaczego utrata logów po 14 dniach uniemożliwia wyjaśnienie incydentu poważnego wymagane przez art. 23 dyrektywy NIS2 i jakie są konsekwencje procesowe tego braku?
5. W jaki sposób procedury KRI dotyczące komunikacji z systemem Ognivo przekładają się na wymagania dotyczące aktualności certyfikatów kryptograficznych i ciągłości wymiany danych?
6. Jak opisać lukę BOLA dwujęzycznie: językiem ryzyka biznesowego dla Zarządu (zagrożenie utratą licencji KIP) i językiem zaleceń inżynierskich dla zespołu programistów?

Pytania problemowe z zakresu raportu:

• Na czym polega podatność BOLA/IDOR w interfejsach REST API i dlaczego stanowi rażące naruszenie art. 32 RODO oraz standardu PCI DSS?
• Jakie konkretne wymagania stawia Rozporządzenie DORA i norma PCI DSS przed retencją i niezmiennością logów telemetrycznych w chmurze publicznej?
• W jaki sposób § 19 i § 20 rozporządzenia KRI reguluje wymogi bezpieczeństwa i ciągłości interoperacyjności w integracji z systemem Ognivo?

Uwaga: Każda odpowiedź musi wskazywać właściwy reżim regulacyjny (RODO, NIS2/ustawa o KSC lub rozporządzenie w sprawie KRI) i konkretny przepis, a nie ogólne hasło typu „poprawa bezpieczeństwa”. Odpowiedź bez odwołania do artykułu ustawy, paragrafu rozporządzenia lub punktu kontrolnego normy nie zalicza punktacji.

Praca w zespole 2-3 osobowym polega na przeanalizowaniu powyższego scenariusza, sklasyfikowaniu uchybień według trzech reżimów regulacyjnych i przygotowaniu spójnego sprawozdania poaudytowego wraz z tabelą planu działań korygujących.

Zadanie realizowane jest przez 2-3 osobowy zespół w formule studium przypadku:

• Krok 1 (Podział ról i architektura chmurowa):

  Podzielcie zadania w zespole. Przeanalizujcie model współdzielonej odpowiedzialności w chmurze AWS oraz zbieżność wymogów DORA, PCI DSS 4.0, RODO i KRI.

• Krok 2 (Triangulacja dowodów w środowisku fintechu):

  Zidentyfikujcie i skorelujcie uchybienia:

  1. Luka BOLA w API transakcyjnym (RODO art. 32 i PCI DSS wymóg 6.2).

  2. Kasowanie logów CloudTrail po 14 dniach (DORA art. 9 ust. 4 i art. 10 oraz PCI DSS 4.0 wymóg 10.5.1).

  3. Przestarzałe certyfikaty i brak testów DRP w module Ognivo (KRI § 19 i § 20).

• Krok 3 (Kwalifikacja niezgodności):

  Sformułujcie karty niezgodności:

  • Niezgodność Zasadnicza (NC2) w obszarze RODO / PCI DSS: Występowanie podatności BOLA w produkcyjnym API płatniczym umożliwiającej nieautoryzowany wgląd w dane transakcyjne innych osób.
  • Niezgodność Zasadnicza (NC2) w obszarze NIS2 / DORA: Niezgodna z rygorami prawnymi retencja logów audytowych w chmurze (14 dni zamiast wymaganych 365 dni) uniemożliwiająca dochodzenie powłamaniowe.
  • Niezgodność Drobna (NC3) w obszarze KRI: Brak aktualizacji certyfikatów kryptograficznych w module komunikacji z systemem Ognivo.
  • Szansa na doskonalenie (OFI): Wdrożenie niezmiennego magazynu logów z blokadą AWS S3 Glacier Vault Lock (zasada WORM).
• Krok 4 (Opracowanie zaleceń SMART):

  Zaproponujcie natychmiastowe wdrożenie reguły walidacji tokenów na bramie API Gateway, zmianę polityki cyklu życia danych w AWS S3 na 365 dni, wymianę certyfikatów Ognivo oraz wdrożenie testów DAST w pipeline CI/CD.

• Krok 5 (Konstrukcja Planu CAP):

  Opracujcie tabelę CAP z przypisaniem ról (CTO, CISO, Lead DevOps, IOD), budżetów i terminów wdrożenia (7-60 dni).

• Krok 6 (Przygotowanie raportu i referatu):

  Zredagujcie raport poaudytowy (4-8 stron A4) i przygotujcie referat dla Zarządu fintechu.

Podział ról w triadzie audytorskiej:

• Rola 1 - Audytor Wiodący: ład organizacyjny i KRI metryka audytu, wymagania § 19 i § 20 rozporządzenia w sprawie KRI, roczny audyt SZBI, ciągłość działania (DRP/BCP), koordynacja sprawozdania i obrony.
• Rola 2 - Audytor ds. Cyberbezpieczeństwa i NIS2/KSC odporność teleinformatyczna, zarządzanie podatnościami, separacja stref IT/OT/IoT, monitorowanie zagrożeń, ścieżka zgłaszania incydentów poważnych w terminach 24 i 72 godzin.
• Rola 3 - Audytor Ochrony Danych Osobowych i Zgodności z RODO legalność przetwarzania, w tym art. 9 RODO, rejestry czynności, umowy powierzenia (art. 28), środki techniczne i organizacyjne (art. 32) oraz procedura zawiadamiania Prezesa UODO. W zespole dwuosobowym rolę tę realizują wspólnie osoby pełniące rolę 1 i rolę 2.

Pełny harmonogram ćwiczenia wraz z zegarem 180 minut, podziałem etapów między role i listą artefaktów znajduje się w sekcji Interaktywny harmonogram ćwiczeń. Rejestr uchybień z oceną ryzyka prowadzicie w sekcji Interaktywny kalkulator ryzyka, a ustalenia w skali prawdopodobieństwo × skutek weryfikujecie w sekcji macierzy ryzyka 5 × 5.

Plan referatu seminaryjnego grupy (10-15 minut):

• Część 1 (Minuty 00-03): Wprowadzenie: status PayQuick S.A. jako Krajowej Instytucji Płatniczej, zbieżność regulacyjna RODO, PCI DSS 4.0, DORA, NIS2 i KRI (Student 1).
• Część 2 (Minuty 03-07): Analiza ustaleń: luka BOLA w API transakcyjnym, kasowanie logów po 14 dniach i brak testów DRP w chmurze AWS (Student 2 i 3).
• Część 3 (Minuty 07-11): Prezentacja kart niezgodności, zaleceń inżynierskich (API Gateway, S3 Glacier WORM) oraz harmonogramu Planu CAP (Student 2 i 3).
• Część 4 (Minuty 11-15): Analiza ryzyk licencyjnych KNF i kar organizacji płatniczych, podsumowanie menedżerskie i dyskusja (Wszyscy członkowie grupy).

W wystąpieniu seminaryjnym przedstawcie dwupoziomowy charakter raportu: pokażcie, w jaki sposób audytor powinien opisać lukę BOLA językiem ryzyka biznesowego dla Zarządu (zagrożenie utratą licencji KIP) oraz językiem zaleceń inżynierskich dla zespołu programistów (konkretne reguły autoryzacji obiektu na bramie API Gateway).

Wymagania formalne sprawozdania poaudytowego (ocena 3.0):

• Wymagane: sprawozdanie poaudytowe w formacie PDF o objętości 4-8 stron znormalizowanego maszynopisu A4 (1 200-2 400 słów), przekazane najpóźniej 24 godziny przed terminem zajęć;
• Wymagane: wystąpienie seminaryjne trwające 10-15 minut, w którym każdy członek zespołu prezentuje własny fragment pracy i odpowiada na pytania kontrolne prowadzącego;
• Wymagane: strona tytułowa z nazwą jednostki, pełnym tytułem zadania, kodem Lab10 i składem zespołu z podziałem ról;
• Wymagane: metryka audytu: podstawa prawna, zakres, metoda, kryteria i uczestnicy;
• Wymagane: rejestr uchybień z klasyfikacją NC2, NC3 i OFI, oceną ryzyka w skali 1-25 oraz wskazaniem naruszonego artykułu, paragrafu lub kontrolki normatywnej;
• Wymagane: jedna zintegrowana procedura reagowania na incydent obsługująca terminy 24/72/72 godzin oraz tabela planu działań korygujących (CAP) z rolami, terminami, budżetami i miernikami sukcesu;
• Wymagane: analiza wad i zalet własnego rozwiązania wraz z ograniczeniami przyjętych założeń;
• Wymagane: bibliografia z numerami artykułów i paragrafów oraz numerami kontrolek norm;
• Skutkuje niezaliczeniem: sprawozdanie krótsze niż 4 strony A4 albo dłuższe niż 8 stron, sprawozdanie bez planu CAP, referat bez bibliografii albo praca nieprzygotowana do obrony ustnej.

Szkic sprawozdania przygotowujecie w sekcji Formularz sprawozdania poaudytowego, a kompletność pracy sprawdzacie na czterech etapach ćwiczenia w sekcji checklistcie zgodności (licznik objętości wskazuje, czy tekst mieści się w wymaganych 4-8 stronach A4).

Uwaga: Najczęstsze błędy obniżające ocenę: przedstawienie scenariusza zamiast jego analizy, kwalifikowanie uchybień bez wskazania kryterium prawnego, pomylenie terminu 24 godziny (incydent poważny) z terminem 72 godziny (naruszenie ochrony danych), podanie zaleceń bez miernika sukcesu oraz sprawozdanie krótsze niż 4 strony A4 albo pozbawione planu działań korygujących CAP.

• Wdrożenie walidacji kontekstu uprawnień (Object-Level Authorization) na bramie AWS API Gateway.
• Konfiguracja polityki retencji AWS S3 z blokadą Glacier Vault Lock na okres 365 dni.
• Aktualizacja certyfikatów kryptograficznych i wdrożenie testów odzyskiwania w chmurze.

Wzorcowa tabela planu działań korygujących (CAP):

• Zalety: Ochrona licencji KIP, uniknięcie kar od KNF i VISA/Mastercard, ochrona danych klientów, pełna rozliczalność audytowa.
• Wady: Niewielki wzrost kosztów magazynowania danych w AWS S3 Glacier, czasochłonność audytu kodu API.

Bilans wdrożenia proponowanego rozwiązania dla tej jednostki:

Porównajcie koszt wdrożenia, liczbę zaangażowanych osób i ryzyko resztkowe. Rozwiązanie, które personel jest w stanie faktycznie stosować, jest skuteczniejsze niż rozbudowana procedura, której nikt nie przestrzega; uzasadnijcie wybrany wariant ryzyka, kosztu i obciążenia operacyjnego.

• Standard Bezpieczeństwa Danych Branży Kart Płatniczych: PCI DSS v4.0, PCI Security Standards Council 2022 - wymagania 6.2 (bezpieczne oprogramowanie dedykowane), 8.3.4 (ograniczenie nieudanych prób uwierzytelniania) i 10.5.1 (retencja logów: minimum 12 miesięcy, 3 miesiące w trybie natychmiastowego dostępu online).
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 (DORA) z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 32.
• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. z 2024 r. poz. 773) - § 19 (system zarządzania bezpieczeństwem informacji, w tym wymóg zapewnienia okresowego audytu wewnętrznego nie rzadziej niż raz na rok: § 19 ust. 2 pkt 14) oraz § 20 (rozliczalność i prowadzenie dzienników systemów, których zapisy przechowuje się co najmniej dwa lata, jeżeli przepisy odrębne nie stanowią inaczej). Rozporządzenie z dnia 12 kwietnia 2012 r. utraciło moc z dniem 23 maja 2024 r.
• Open Web Application Security Project (OWASP): "OWASP API Security Top 10 2023" (API1:2023 - Broken Object Level Authorization).
• Ustawa z dnia 19 sierpnia 2011 r. o usługach płatniczych (tekst jedn. Dz.U. z 2026 r. poz. 623).

Podstawy prawne i normatywne obowiązujące w całym module (weryfikowany stan prawny):

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 5 (zasady przetwarzania, w tym minimalizacja, ograniczenie retencji i rozliczalność), art. 9 (dane szczególnych kategorii), art. 25 (ochrona danych z naturyry), art. 28 (przetwarzanie przez podmioty przetwarzające), art. 32 (bezpieczeństwo przetwarzania), art. 33 ust. 1 (zawiadomienie organu nadzorczego w terminie 72 godzin) oraz art. 34 (zawiadomienie osób, których dane dotyczą).
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (dyrektywa NIS2) - art. 21 (środki zarządzania ryzykiem, w tym bezpieczeństwo łańcucha dostaw) oraz art. 23 (wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie incydentu w ciągu 72 godzin, sprawozdanie końcowe w ciągu miesiąca).
• Ustawa z dnia 5 lipca 2018 r. o Krajowym Systemie Cyberbezpieczeństwa (tekst jedn. Dz.U. z 2026 r. poz. 20, zm. Dz.U. z 2026 r. poz. 252) - art. 8 (środki zapewniające poufność, integralność i dostępność oraz ograniczenie mechanizmów dostępu do systemów sterowania), art. 10 (dokumentacja), art. 11 (obsługa i zgłaszanie incydentów poważnych w ciągu 24 godzin) oraz art. 15 (audyt bezpieczeństwa co najmniej raz na 3 lata).
• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. z 2024 r. poz. 773) - § 19 (system zarządzania bezpieczeństwem informacji, w tym wymóg okresowego audytu wewnętrznego nie rzadziej niż raz na rok: § 19 ust. 2 pkt 14) oraz § 20 (rozliczalność i prowadzenie dzienników systemów, których zapisy przechowuje się co najmniej dwa lata). Rozporządzenie z dnia 12 kwietnia 2012 r. utraciło moc z dniem 23 maja 2024 r.
• Ustawa z dnia 17 lutnia 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (tekst jedn. Dz.U. z 2026 r. poz. 1241) - art. 18 jako podstawa prawna rozporządzenia w sprawie KRI.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 (DORA) - art. 8 (zarządzanie ryzykiem operacyjnym ICT) oraz art. 9 i 10 (zdarzenia operacyjne ICT, ich zgłaszanie, ochrona i archiwizacja dzienników oraz testy ciągłości działania).
• PCI Security Standards Council 2024 - standard PCI DSS v4.0, w tym wymóg 6.2 (bezpieczne oprogramowanie dedykowane), 8.3.4 (ograniczenie nieudanych prób uwierzytelniania) oraz 10.5.1 (retencja dzienników: minimum 12 miesięcy, w tym 3 miesiące w trybie natychmiastowego dostępu online).
• Ustawa z dnia 26 czerwca 1974 r. - Kodeks pracy (Dz.U. z 2026 r. poz. 1245) - art. 22² §§ 1-2 (monitoring wizyjny w zakładzie pracy: obowiązek poinformowania pracowników, uregulowania zasad monitoringu w regulaminie pracy lub układzie zbiorowym oraz wszczególnienie sposobu stosowania monitoringu), art. 22² § 6 (zasady, cel i zakres monitoringu) i art. 22² § 7 (informowanie co najmniej 2 tygodnie wcześniej).
• Norma PN-EN ISO 19011:2018 - wytyczne dotyczące audytowania systemów zarządzania, w tym treść raportu z auditu (pkt 6.5) oraz planowanie i realizacja auditu.
• Norma PN-EN ISO/IEC 27001:2022 - systemy zarządzania bezpieczeństwem informacji: klauzule 4.4, 6.1, 8.1, 9.2, 10.2 oraz kontrole Załącznika A.
• Norma PN-EN ISO/IEC 27005:2022 - zarządzanie ryzykiem bezpieczeństwa informacji: identyfikacja, analiza, ocena i postępowanie z ryzykiem.
• Wytyczne Europejskiej Rady Ochrony Danych 3/2019 w sprawie przetwarzania danych osobowych przez urządzenia wideo - uzasadnienie celu monitoringu, zasada minimalizacji i retencji nagrań.
• Rekomendacja D Komisji Nadzoru Finansowego dotycząca stosowania przez banki spółdzielcze dobrych praktyk w zakresie zarządzania ryzykiem operacyjnym oraz Rekomendacja M dotycząca zarządzania ryzykiem technologicznym - stosowane jako uznane praktyki i metody oceny.

Normy ISO, standardy branżowe (PCI DSS, DORA w zakresie praktyk nadzoru, Rekomendacje D i M KNF, IFC/BRC, IEC 62443-3-3) oraz wytyczne organów nadzorczych stosuje się jako uznane praktyki i metody oceny, a nie jako przepisy ustawowe; ich zastosowanie wymaga krótkiego uzasadnienia w sprawozdaniu.

Powiązanie z sylabusem i treściami programowymi:

• U4 Opracowanie zintegrowanego raportu poaudytowego (4-8 stron A4) dla Partnerów Zarządzających kancelarii oraz wygłoszenie referatu seminaryjnego.
• U2 Poprawna identyfikacja i gradacja uchybień w środowisku prawniczym w świetle przepisów korporacyjnych i państwowych.
• U1 Opracowanie zaleceń inżynierskich dotyczących centralnego szyfrowania BitLocker TPM, filtrów prywatyzujących oraz bezpiecznej chmury e-akt.
• U3 Szacowanie ryzyka odpowiedzialności dyscyplinarnej, karnej i cywilnej za ujawnienie tajemnicy klienta.
• W1W3 Znajomość przepisów Prawa o adwokaturze, Kodeksu Postępowania Karnego (art. 178 KPK), RODO, NIS2 i KRI.
• K1K2K3 Wysoka kultura dialogu z personelem prawniczym, odporność na presję autorytetu mecenasów i niezależność audytorska.
• Powiązanie z wykładem: Wyk1 (Ład zarządczy w usługach prawnych), Wyk2 (Zasady audytowania ISO 19011), Wyk3 (Kontrole kryptograficzne ISO 27001), Wyk4 (Tajemnica zawodowa a RODO, NIS2 i KRI), Wyk7 (Niezgodności, zalecenia SMART i plan CAP).

Wybrane efekty uczenia się realizowane w tym zadaniu:

• U4 Opracowanie zintegrowanego raportu poaudytowego dla kancelarii prawnej.
• U2 Precyzyjna gradacja niezgodności w obszarze tajemnicy zawodowej i IT.
• U1 Projekt inżynierski procedury szyfrowania BitLocker TPM i kryptoizolacji e-akt.
• U3 Szacowanie ryzyka odpowiedzialności karnej, dyscyplinarnej i odszkodowawczej.
• W1W3 Znajomość Prawa o adwokaturze, KPK, art. 266 KK, RODO, NIS2 i KRI.
• K1K2K3 Asertywność w dialogu z prawnikami, etyka i bezkompromisowa ochrona tajemnicy zawodowej.

Podstawy prawne i normatywne zadania: RODO art. 32 i 33; Kodeks Karny art. 266; KPK art. 178; NIS2 art. 21; KRI § 19 i § 20; Prawo o adwokaturze art. 3 ust. 1 i art. 6; PN-EN ISO/IEC 27001:2022 (A.7.7, A.8.1, A.8.24)

Temat zadania: ZINTEGROWANY AUDYT POUFNOŚCI W MODELU PRACY HYBRYDOWEJ: BEZWZGLĘDNA OCHRONA TAJEMNICY ZAWODOWEJ I OBROŃCZEJ (RODO I KODEKS KARNY), CYBERODPORNOŚĆ USŁUG CYFROWYCH W ŁAŃCUCHU DOSTAW (NIS2) ORAZ INTEROPERACYJNOŚĆ Z PORTALAMI SĄDOWYMI I REJESTRAMI PUBLICZNYMI (KRI)

Głównym celem zadania jest opanowanie przez studentów umiejętności przeprowadzenia zintegrowanego badania audytowego w podmiocie sektora usług prawnych (kancelaria adwokacko-radcowska), łączącego bezwzględną ochronę tajemnicy zawodowej i obrończej (art. 266 Kodeksu Karnego oraz RODO), wymogi cyberbezpieczeństwa usług profesjonalnych w łańcuchu dostaw klientów korporacyjnych (Dyrektywa NIS2) oraz standardy interoperacyjności i bezpiecznej wymiany pism procesowych z Portalami Informacyjnymi Sądów Powszechnych, Krajowym Rejestrem Zadłużonych i e-KRS (§ 19 i § 20 rozporządzenia KRI). Studenci badają stan bezpieczeństwa ProKancelarii w Katowicach w modelu pracy hybrydowej. Zadanie obejmuje: identyfikację zagrożeń związanych z urządzeniami mobilnymi prawników, chmurami konsumenckimi oraz obiegiem dokumentów papierowych, sklasyfikowanie niezgodności audytowych (NC2/NC3/OFI), sformułowanie zaleceń SMART chroniących immunitet zawodowy mecenasów oraz opracowanie Planu Działań Korygujących (CAP).

Kryterium zaliczenia zadania: sprawozdanie poaudytowe uznaje się za zaliczone, jeżeli zawiera metrykę audytu, katalog uchybień sklasyfikowanych jako NC2, NC3 lub OFI z odwołaniem do przepisu lub kontrolki normatywnej, ocenę ryzyka w skali 1-25 dla trzech najpoważniejszych uchybień, jedną zintegrowaną procedurę reagowania na incydent z terminami 24/72/72 godzin, tabelę planu działań korygujących z miernikami sukcesu, analizę wad i zalet rozwiązania oraz bibliografię z numerami artykułów i paragrafów.

Karta organizacyjna analizowanej jednostki (na podstawie scenariusza):

Narracja scenariusza i stan faktyczny w obszarze zbadanym:

ProKancelaria Adwokacka i Radcowska w Katowicach zatrudnia 45 prawników i 15 pracowników administracji. Specjalizuje się w procesach karnych gospodarczych, transakcjach fuzji i przejęć (M&A) oraz obsłudze korporacyjnej spółek giełdowych. Prawnicy w ponad 50% pracują mobilnie (sądy, hotele, podróże służbowe). Kancelaria wymienia codziennie setki pism procesowych z Portalem Informacyjnym Sądów Powszechnych, e-KRS oraz Krajowym Rejestrem Zadłużonych. Podlega rygorom tajemnicy obrończej i radcowskiej (art. 266 KK, art. 178 KPK), RODO (dane wrażliwe klientów i stron procesowych), § 19 i § 20 rozporządzenia KRI (interoperacyjność z portalami wymiaru sprawiedliwości) oraz Dyrektywie NIS2 (jako kluczowy podwykonawca korporacji objętych NIS2 podlegający wymogom bezpieczeństwa łańcucha dostaw).

Stan faktyczny w obszarze zbadanym i zidentyfikowane luki:

• Obszar RODO / Tajemnica Zawodowa: Na 38 laptopach służbowych szyfrowanie dysków funkcją BitLocker włączone było tylko na 9 maszynach. Prawnicy powszechnie przesyłają akta spraw karnych i projekty pism za pośrednictwem prywatnych kont Google Drive i Dropbox bez szyfrowania plików (naruszenie art. 32 RODO i art. 266 KK).
• Obszar NIS2: Kancelaria jako podwykonawca podmiotów kluczowych nie posiadała sformalizowanego Systemu Zarządzania Bezpieczeństwem Informacji (SZBI), brakowało procedury zgłaszania incydentów oraz bezpiecznego uwierzytelniania dwuskładnikowego (MFA) do poczty elektronicznej i zdalnego dostępu (naruszenie wymogów łańcucha dostaw NIS2).
• Obszar KRI: Wymiana dokumentów z Portalem Informacyjnym Sądów Powszechnych odbywała się z użyciem przeglądarek na stacjach roboczych, na których nie weryfikowano ważności certyfikatów podpisu elektronicznego. Brak jest procedury bezpiecznego archiwizowania pobranych e-doręczeń sądowych (naruszenie § 19 i § 20 rozporządzenia KRI).
• Punkt styku (Triada RODO + NIS2 + KRI): Kradzież niezaszyfrowanego laptopa mecenasa oznacza bezpośrednie ujawnienie tajemnicy obrończej (Kodeks Karny / RODO), naruszenie bezpieczeństwa łańcucha dostaw klienta korporacyjnego (NIS2) oraz utratę autoryzacji i nieuprawniony wgląd do spraw w Portalu Sądowym (KRI).

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący / Ekspert Etyki Zawodowej i KRI - koordynuje prace, analizuje procedury wymiany pism z sądami, rygory tajemnicy adwokackiej i odpowiada za strukturę raportu.
• Rola 2: Audytor Techniczny Bezpieczeństwa Mobilnego i NIS2 - bada konfigurację laptopów, brak szyfrowania BitLocker, transfery chmurowe i projektuje centralne zarządzanie MDM oraz bezpieczną chmurę akt.
• Rola 3: Audytor Ochrony Danych i Zgodności RODO - weryfikuje przetwarzanie danych osobowych w aktach spraw, procedury czystego biurka/ekranu i konstruuje plan CAP. (W zespole 2-osobowym zadania te dzielą Studenci 1 i 2).

Na co zwrócić uwagę przy analizie scenariusza:

• 1 Najpierw ustalcie, który z trzech reżimów regulacyjnych jest właściwy dla każdej uchybienia: ta sama okoliczność może być jednocześnie naruszeniem RODO, art. 21 dyrektywy NIS2 i wymagań rozporządzenia w sprawie KRI.
• 2 Rozróżnijcie objaw od przyczyny: brak aktualnego rejestru czynności jest przyczyną, a nieprawidłowe uprawnienia w systemie są jej skutkiem.
• 3 Gradacja ustaleń musi uwzględniać dotkliwość konsekwencji: paraliż usługi publicznej, utrata reputacji instytucji i wysokość możliwej kary administracyjnej.
• 4 Dla każdej karty ustaleń wskażcie kontrolę Załącznika A normy PN-EN ISO/IEC 27001:2022, która odpowiada na zidentyfikowaną lukę.

Odpowiedzcie w zespołach na poniższe pytania przed przystąpieniem do redagowania sprawozdania poaudytowego:

1. W jaki sposób brak szyfrowania laptopa mecenasa narusza bezwzględną tajemnicę obrończą z art. 178 KPK i jak rodzi odpowiedzialność z art. 266 Kodeksu Karnego oraz dyscyplinarną z art. 3 ust. 1 i art. 6 Prawa o adwokaturze?
2. Czy przesyłanie akt spraw przez prywatne konta Google Drive i Dropbox stanowi naruszenie RODO i tajemnicy zawodowej, mimo że dostawca jest podmiotem spoza UE? Uzasadnij kwalifikację i wskaż rolę administratora danych.
3. Jakie wymagania cyberbezpieczeństwa stawiają korporacje objęte NIS2 swoim kancelariom jako dostawcom usług, i dlaczego brak MFA oraz brak sformalizowanego SZBI stanowią NC2 w łańcuchu dostaw?
4. W jaki sposób procedury KRI dotyczące podpisu elektronicznego i e-doręczeń gwarantują pewność prawną wnoszenia pism procesowych i co oznacza brak weryfikacji ważności certyfikatów w praktyce?
5. Jak uzasadnić pracodawcy, że filtry prywatyzujące i szyfrowanie BitLocker nie są utrudnieniem technicznym, lecz tarczą chroniącą prawo do wykonywania zawodu?
6. Jak zaprojektować bezpieczną chmurę akt spraw z szyfrowaniem end-to-end, która nie naruszy obowiązku zachowania poufności i nie zostanie obejściu przez prawników z powodu wygody?

Pytania problemowe z zakresu raportu:

• W jaki sposób brak szyfrowania BitLocker na laptopie mecenasa narusza bezwzględną tajemnicę obrończą z art. 178 KPK i rodzi odpowiedzialność z art. 266 KK?
• Jakie wymagania cyberbezpieczeństwa stawiają korporacje objęte NIS2 przed kancelariami prawnymi jako strategicznymi dostawcami usług prawnych?
• W jaki sposób procedury KRI dotyczące e-doręczeń i podpisów elektronicznych gwarantują pewność prawną wnoszenia pism procesowych?

Uwaga: Każda odpowiedź musi wskazywać właściwy reżim regulacyjny (RODO, NIS2/ustawa o KSC lub rozporządzenie w sprawie KRI) i konkretny przepis, a nie ogólne hasło typu „poprawa bezpieczeństwa”. Odpowiedź bez odwołania do artykułu ustawy, paragrafu rozporządzenia lub punktu kontrolnego normy nie zalicza punktacji.

Praca w zespole 2-3 osobowym polega na przeanalizowaniu powyższego scenariusza, sklasyfikowaniu uchybień według trzech reżimów regulacyjnych i przygotowaniu spójnego sprawozdania poaudytowego wraz z tabelą planu działań korygujących.

Zadanie realizowane jest przez 2-3 osobowy zespół w formule studium przypadku:

• Krok 1 (Podział ról i specyfika środowiska prawniczego):

  Podzielcie zadania w zespole. Przeanalizujcie konflikt pomiędzy wygodą pracy mecenasów a bezwzględnym charakterem tajemnicy adwokackiej i wymogami RODO, NIS2 i KRI.

• Krok 2 (Triangulacja dowodów w kancelarii):

  Zidentyfikujcie i skorelujcie uchybienia:

  1. Brak szyfrowania BitLocker na 29 laptopach i chmury konsumenckie (RODO art. 32 i art. 266 KK).

  2. Brak MFA do poczty i brak SZBI w relacjach b2b (NIS2 łańcuch dostaw).

  3. Brak procedury bezpiecznej archiwizacji e-doręczeń z Portalu Sądowego (KRI § 19 i § 20).

• Krok 3 (Kwalifikacja niezgodności):

  Sformułujcie karty niezgodności:

  • Niezgodność Zasadnicza (NC2) w obszarze RODO / Tajemnica Zawodowa: Brak technicznego zabezpieczenia nośników mobilnych (brak BitLockera) stwarzający bezpośrednie ryzyko ujawnienia tajemnicy obrończej.
  • Niezgodność Zasadnicza (NC2) w obszarze NIS2: Korzystanie z konsumenckich chmur publicznych bez umów powierzenia i brak uwierzytelniania dwuskładnikowego (MFA).
  • Niezgodność Drobna (NC3) w obszarze KRI: Brak sformalizowanych procedur obiegu i weryfikacji integralności e-doręczeń z sądowych portali informacyjnych.
  • Szansa na doskonalenie (OFI): Wyposażenie wszystkich prawników w filtry polaryzacyjne 3M na ekrany laptopów chroniące przed podglądaniem akt w podróżach służbowych (Visual Hacking).
• Krok 4 (Opracowanie zaleceń SMART):

  Zaproponujcie natychmiastowe wymuszenie szyfrowania BitLocker TPM na wszystkich laptopach, wdrożenie dedykowanej, szyfrowanej chmury prywatnej kancelarii oraz procedury polityki czystego biurka i ekranu.

• Krok 5 (Konstrukcja Planu CAP):

  Opracujcie tabelę CAP z przypisaniem ról (Partner Zarządzający, Dyrektor Kancelarii, Administrator IT, IOD), budżetów i terminów wdrożenia (7-30 dni).

• Krok 6 (Przygotowanie raportu i referatu):

  Zredagujcie raport poaudytowy (4-8 stron A4) i przygotujcie referat dla Partnerów kancelarii.

Podział ról w triadzie audytorskiej:

• Rola 1 - Audytor Wiodący: ład organizacyjny i KRI metryka audytu, wymagania § 19 i § 20 rozporządzenia w sprawie KRI, roczny audyt SZBI, ciągłość działania (DRP/BCP), koordynacja sprawozdania i obrony.
• Rola 2 - Audytor ds. Cyberbezpieczeństwa i NIS2/KSC odporność teleinformatyczna, zarządzanie podatnościami, separacja stref IT/OT/IoT, monitorowanie zagrożeń, ścieżka zgłaszania incydentów poważnych w terminach 24 i 72 godzin.
• Rola 3 - Audytor Ochrony Danych Osobowych i Zgodności z RODO legalność przetwarzania, w tym art. 9 RODO, rejestry czynności, umowy powierzenia (art. 28), środki techniczne i organizacyjne (art. 32) oraz procedura zawiadamiania Prezesa UODO. W zespole dwuosobowym rolę tę realizują wspólnie osoby pełniące rolę 1 i rolę 2.

Pełny harmonogram ćwiczenia wraz z zegarem 180 minut, podziałem etapów między role i listą artefaktów znajduje się w sekcji Interaktywny harmonogram ćwiczeń. Rejestr uchybień z oceną ryzyka prowadzicie w sekcji Interaktywny kalkulator ryzyka, a ustalenia w skali prawdopodobieństwo × skutek weryfikujecie w sekcji macierzy ryzyka 5 × 5.

Plan referatu seminaryjnego grupy (10-15 minut):

• Część 1 (Minuty 00-03): Wprowadzenie: kancelaria prawna w dobie cyfryzacji wymiaru sprawiedliwości, zbieżność tajemnicy zawodowej, RODO, NIS2 i KRI (Student 1).
• Część 2 (Minuty 03-07): Analiza ustaleń: brak BitLockera na laptopach mecenasów, przesyłanie akt przez darmowe chmury i brak MFA (Student 2 i 3).
• Część 3 (Minuty 07-11): Prezentacja kart niezgodności, zaleceń inżynierskich (BitLocker TPM, filtry 3M, bezpieczna chmura e-akt) oraz Planu CAP (Student 2 i 3).
• Część 4 (Minuty 11-15): Analiza ryzyk dyscyplinarnych i odszkodowawczych, podsumowanie menedżerskie i dyskusja (Wszyscy członkowie grupy).

W trakcie wystąpienia seminaryjnego zwróćcie uwagę na specyfikę dialogu z adwokatami i radcami prawnymi: wyjaśnijcie, w jaki sposób audytor powinien uargumentować konieczność stosowania BitLockera i filtrów prywatyzujących nie jako 'utrudnienia technicznego', lecz jako tarczy chroniącej mecenasa przed utratą prawa do wykonywania zawodu na mocy art. 266 Kodeksu Karnego.

Wymagania formalne sprawozdania poaudytowego (ocena 3.0):

• Wymagane: sprawozdanie poaudytowe w formacie PDF o objętości 4-8 stron znormalizowanego maszynopisu A4 (1 200-2 400 słów), przekazane najpóźniej 24 godziny przed terminem zajęć;
• Wymagane: wystąpienie seminaryjne trwające 10-15 minut, w którym każdy członek zespołu prezentuje własny fragment pracy i odpowiada na pytania kontrolne prowadzącego;
• Wymagane: strona tytułowa z nazwą jednostki, pełnym tytułem zadania, kodem Lab10 i składem zespołu z podziałem ról;
• Wymagane: metryka audytu: podstawa prawna, zakres, metoda, kryteria i uczestnicy;
• Wymagane: rejestr uchybień z klasyfikacją NC2, NC3 i OFI, oceną ryzyka w skali 1-25 oraz wskazaniem naruszonego artykułu, paragrafu lub kontrolki normatywnej;
• Wymagane: jedna zintegrowana procedura reagowania na incydent obsługująca terminy 24/72/72 godzin oraz tabela planu działań korygujących (CAP) z rolami, terminami, budżetami i miernikami sukcesu;
• Wymagane: analiza wad i zalet własnego rozwiązania wraz z ograniczeniami przyjętych założeń;
• Wymagane: bibliografia z numerami artykułów i paragrafów oraz numerami kontrolek norm;
• Skutkuje niezaliczeniem: sprawozdanie krótsze niż 4 strony A4 albo dłuższe niż 8 stron, sprawozdanie bez planu CAP, referat bez bibliografii albo praca nieprzygotowana do obrony ustnej.

Szkic sprawozdania przygotowujecie w sekcji Formularz sprawozdania poaudytowego, a kompletność pracy sprawdzacie na czterech etapach ćwiczenia w sekcji checklistcie zgodności (licznik objętości wskazuje, czy tekst mieści się w wymaganych 4-8 stronach A4).

Uwaga: Najczęstsze błędy obniżające ocenę: przedstawienie scenariusza zamiast jego analizy, kwalifikowanie uchybień bez wskazania kryterium prawnego, pomylenie terminu 24 godziny (incydent poważny) z terminem 72 godziny (naruszenie ochrony danych), podanie zaleceń bez miernika sukcesu oraz sprawozdanie krótsze niż 4 strony A4 albo pozbawione planu działań korygujących CAP.

• Centralne wymuszenie szyfrowania dysków BitLocker TPM ze składowaniem kluczy w chmurze zarządzanej.
• Wdrożenie bezpiecznej chmury prywatnej z szyfrowaniem end-to-end do wymiany e-akt spraw.
• Opracowanie Regulaminu Pracy Hybrydowej i Polityki Czystego Biurka/Ekranu.

Wzorcowa tabela planu działań korygujących (CAP):

• Zalety: Całkowite zabezpieczenie tajemnicy adwokackiej i radcowskiej, ochrona przed utratą immunitetu, spełnienie wymogów klientów korporacyjnych NIS2.
• Wady: Konieczność zmiany nawyków prawników, niewielki koszt zakupu filtrów prywatyzujących i licencji MDM.

Bilans wdrożenia proponowanego rozwiązania dla tej jednostki:

Porównajcie koszt wdrożenia, liczbę zaangażowanych osób i ryzyko resztkowe. Rozwiązanie, które personel jest w stanie faktycznie stosować, jest skuteczniejsze niż rozbudowana procedura, której nikt nie przestrzega; uzasadnijcie wybrany wariant ryzyka, kosztu i obciążenia operacyjnego.

• Ustawa z dnia 26 maja 1982 r. - Prawo o adwokaturze (tekst jedn. Dz.U. z 2024 r. poz. 1564) - art. 19 (tajemnica adwokacka).
• Ustawa z dnia 6 czerwca 1997 r. - Kodeks Karny (Dz.U. z 2024 r. poz. 17 z późn. zm.) - art. 266 (Ujawnienie tajemnicy zawodowej).
• Ustawa z dnia 6 czerwca 1997 r. - Kodeks Postępowania Karnego (Dz.U. z 2024 r. poz. 37 z późn. zm.) - art. 178 (Tajemnica obrończa).
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 32.
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (NIS2) - bezpieczeństwo łańcucha dostaw.
• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. z 2024 r. poz. 773) - § 19 (system zarządzania bezpieczeństwem informacji, w tym wymóg zapewnienia okresowego audytu wewnętrznego nie rzadziej niż raz na rok: § 19 ust. 2 pkt 14) oraz § 20 (rozliczalność i prowadzenie dzienników systemów, których zapisy przechowuje się co najmniej dwa lata, jeżeli przepisy odrębne nie stanowią inaczej). Rozporządzenie z dnia 12 kwietnia 2012 r. utraciło moc z dniem 23 maja 2024 r.
• Norma PN-EN ISO/IEC 27001:2022: Systemy zarządzania bezpieczeństwem informacji - kontrole A.7.7, A.8.1, A.8.24.

Podstawy prawne i normatywne obowiązujące w całym module (weryfikowany stan prawny):

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 5 (zasady przetwarzania, w tym minimalizacja, ograniczenie retencji i rozliczalność), art. 9 (dane szczególnych kategorii), art. 25 (ochrona danych z naturyry), art. 28 (przetwarzanie przez podmioty przetwarzające), art. 32 (bezpieczeństwo przetwarzania), art. 33 ust. 1 (zawiadomienie organu nadzorczego w terminie 72 godzin) oraz art. 34 (zawiadomienie osób, których dane dotyczą).
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (dyrektywa NIS2) - art. 21 (środki zarządzania ryzykiem, w tym bezpieczeństwo łańcucha dostaw) oraz art. 23 (wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie incydentu w ciągu 72 godzin, sprawozdanie końcowe w ciągu miesiąca).
• Ustawa z dnia 5 lipca 2018 r. o Krajowym Systemie Cyberbezpieczeństwa (tekst jedn. Dz.U. z 2026 r. poz. 20, zm. Dz.U. z 2026 r. poz. 252) - art. 8 (środki zapewniające poufność, integralność i dostępność oraz ograniczenie mechanizmów dostępu do systemów sterowania), art. 10 (dokumentacja), art. 11 (obsługa i zgłaszanie incydentów poważnych w ciągu 24 godzin) oraz art. 15 (audyt bezpieczeństwa co najmniej raz na 3 lata).
• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. z 2024 r. poz. 773) - § 19 (system zarządzania bezpieczeństwem informacji, w tym wymóg okresowego audytu wewnętrznego nie rzadziej niż raz na rok: § 19 ust. 2 pkt 14) oraz § 20 (rozliczalność i prowadzenie dzienników systemów, których zapisy przechowuje się co najmniej dwa lata). Rozporządzenie z dnia 12 kwietnia 2012 r. utraciło moc z dniem 23 maja 2024 r.
• Ustawa z dnia 17 lutnia 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (tekst jedn. Dz.U. z 2026 r. poz. 1241) - art. 18 jako podstawa prawna rozporządzenia w sprawie KRI.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 (DORA) - art. 8 (zarządzanie ryzykiem operacyjnym ICT) oraz art. 9 i 10 (zdarzenia operacyjne ICT, ich zgłaszanie, ochrona i archiwizacja dzienników oraz testy ciągłości działania).
• PCI Security Standards Council 2024 - standard PCI DSS v4.0, w tym wymóg 6.2 (bezpieczne oprogramowanie dedykowane), 8.3.4 (ograniczenie nieudanych prób uwierzytelniania) oraz 10.5.1 (retencja dzienników: minimum 12 miesięcy, w tym 3 miesiące w trybie natychmiastowego dostępu online).
• Ustawa z dnia 26 czerwca 1974 r. - Kodeks pracy (Dz.U. z 2026 r. poz. 1245) - art. 22² §§ 1-2 (monitoring wizyjny w zakładzie pracy: obowiązek poinformowania pracowników, uregulowania zasad monitoringu w regulaminie pracy lub układzie zbiorowym oraz wszczególnienie sposobu stosowania monitoringu), art. 22² § 6 (zasady, cel i zakres monitoringu) i art. 22² § 7 (informowanie co najmniej 2 tygodnie wcześniej).
• Norma PN-EN ISO 19011:2018 - wytyczne dotyczące audytowania systemów zarządzania, w tym treść raportu z auditu (pkt 6.5) oraz planowanie i realizacja auditu.
• Norma PN-EN ISO/IEC 27001:2022 - systemy zarządzania bezpieczeństwem informacji: klauzule 4.4, 6.1, 8.1, 9.2, 10.2 oraz kontrole Załącznika A.
• Norma PN-EN ISO/IEC 27005:2022 - zarządzanie ryzykiem bezpieczeństwa informacji: identyfikacja, analiza, ocena i postępowanie z ryzykiem.
• Wytyczne Europejskiej Rady Ochrony Danych 3/2019 w sprawie przetwarzania danych osobowych przez urządzenia wideo - uzasadnienie celu monitoringu, zasada minimalizacji i retencji nagrań.
• Rekomendacja D Komisji Nadzoru Finansowego dotycząca stosowania przez banki spółdzielcze dobrych praktyk w zakresie zarządzania ryzykiem operacyjnym oraz Rekomendacja M dotycząca zarządzania ryzykiem technologicznym - stosowane jako uznane praktyki i metody oceny.

Normy ISO, standardy branżowe (PCI DSS, DORA w zakresie praktyk nadzoru, Rekomendacje D i M KNF, IFC/BRC, IEC 62443-3-3) oraz wytyczne organów nadzorczych stosuje się jako uznane praktyki i metody oceny, a nie jako przepisy ustawowe; ich zastosowanie wymaga krótkiego uzasadnienia w sprawozdaniu.

Powiązanie z sylabusem i treściami programowymi:

• U4 Opracowanie zintegrowanego raportu poaudytowego (4-8 stron A4) dla Zarządu spółki komunalnej i Prezydenta Miasta oraz wygłoszenie referatu.
• U2 Poprawna identyfikacja i gradacja uchybień w środowisku rozproszonych urządzeń IoT i telematyki miejskiej.
• U1 Opracowanie zaleceń inżynierskich dotyczących bezpiecznego zarządzania poświadczeniami urządzeń pokładowych i łączności bezprzewodowej.
• U3 Szacowanie ryzyka paraliżu sprzedaży biletów, wycieku nagrań monitoringu oraz kar administracyjnych.
• W1W3 Znajomość przepisów Ustawy o publicznym transporcie zbiorowym, RODO (monitoring CCTV), Dyrektywy NIS2 i § 19 i § 20 rozporządzenia KRI.
• K1K2K3 Świadomość wagi usług użyteczności publicznej, rzetelność w ocenie dowodów technicznych i praca zespołowa.
• Powiązanie z wykładem: Wyk1 (Ład zarządczy w transporcie), Wyk2 (Zasady audytowania ISO 19011), Wyk3 (Kontrole A.8 ISO 27001), Wyk4 (RODO, NIS2 i KRI w transporcie miejskim), Wyk7 (Niezgodności, zalecenia SMART i plan CAP).

Wybrane efekty uczenia się realizowane w tym zadaniu:

• U4 Opracowanie zintegrowanego raportu poaudytowego dla przedsiębiorstwa transportu miejskiego.
• U2 Precyzyjna gradacja niezgodności w urządzeniach pokładowych IoT i monitoringu.
• U1 Projekt inżynierski rotacji poświadczeń urządzeń brzegowych i bezpiecznego Wi-Fi 802.1X.
• U3 Szacowanie ryzyka paraliżu biletomatów, wycieku nagrań i kar nadzorczych.
• W1W3 Znajomość przepisów transportowych, wytycznych EROD, NIS2, RODO i KRI.
• K1K2K3 Świadomość wagi usług użyteczności publicznej, rzetelność i profesjonalizm audytorski.

Podstawy prawne i normatywne zadania: RODO art. 5, 32 i 33; NIS2 art. 21 i 23 (sektor transportu); KRI § 19 i § 20; ustawa o publicznym transporcie zbiorowym; PN-EN ISO/IEC 27001:2022 (A.8.1, A.8.2, A.8.20)

Temat zadania: ZINTEGROWANY AUDYT TELEMATYKI POKŁADOWEJ I BILETOMATÓW IOT: OCHRONA DANYCH PASAŻERÓW I MONITORING CCTV (RODO), CYBERODPORNOŚĆ PODMIOTU KLUCZOWEGO TRANSPORTU MIEJSKIEGO (NIS2) ORAZ INTEROPERACYJNOŚĆ SYSTEMÓW ITS Z REJESTRAMI PUBLICZNYMI (KRI)

Głównym celem zadania jest opanowanie przez studentów umiejętności przeprowadzenia zintegrowanego audytu bezpieczeństwa informacji w komunalnym przedsiębiorstwie transportu publicznego, łączącego ochronę danych osobowych pasażerów i monitoring wizyjny CCTV (RODO), wymogi cyberbezpieczeństwa podmiotu kluczowego sektora transportu (Dyrektywa NIS2) oraz standardy interoperacyjności Inteligentnych Systemów Transportowych (ITS) z rejestrami publicznymi (§ 19 i § 20 rozporządzenia KRI). Studenci badają stan bezpieczeństwa Zakładu Komunikacji Miejskiej w Bydgoszczy, analizując urządzenia pokładowe IoT (biletomaty mobilne, kasowniki, komputery pokładowe, kamery CCTV) zainstalowane w 240 pojazdach komunikacji miejskiej. Zadanie obejmuje: ocenę stanu bezpieczeństwa urządzeń brzegowych, weryfikację haseł fabrycznych i procedur aktualizacji, identyfikację uchybień w ochronie wizerunku pasażerów, sklasyfikowanie niezgodności audytowych (NC2/NC3/OFI) oraz skonstruowanie Planu Działań Korygujących (CAP).

Kryterium zaliczenia zadania: sprawozdanie poaudytowe uznaje się za zaliczone, jeżeli zawiera metrykę audytu, katalog uchybień sklasyfikowanych jako NC2, NC3 lub OFI z odwołaniem do przepisu lub kontrolki normatywnej, ocenę ryzyka w skali 1-25 dla trzech najpoważniejszych uchybień, jedną zintegrowaną procedurę reagowania na incydent z terminami 24/72/72 godzin, tabelę planu działań korygujących z miernikami sukcesu, analizę wad i zalet rozwiązania oraz bibliografię z numerami artykułów i paragrafów.

Karta organizacyjna analizowanej jednostki (na podstawie scenariusza):

Narracja scenariusza i stan faktyczny w obszarze zbadanym:

Zakład Komunikacji Miejskiej w Bydgoszczy (ZKM) eksploatuje 240 pojazdów (180 autobusów i 60 tramwajów), przewożąc rocznie 75 milionów pasażerów. Wszystkie pojazdy wyposażone są w komputery pokładowe, biletomaty mobilne przyjmujące płatności zbliżeniowe, elektroniczne kasowniki, systemy zapowiedzi głosowych oraz system monitoringu wizyjnego CCTV (średnio 6 kamer na pojazd). System zintegrowany jest z miejskim Inteligentnym Systemem Transportowym (ITS). Spółka podlega przepisom RODO (monitoring wizerunku pasażerów, bilety imienne), Dyrektywie NIS2 (jako podmiot kluczowy sektora transportu) oraz § 19 i § 20 rozporządzenia KRI (interoperacyjność systemów taryfowych i wymiana informacji o rozkładach jazdy z platformami samorządowymi).

Stan faktyczny w obszarze zbadanym i zidentyfikowane luki:

• Obszar NIS2: W toku audytu technicznego 25 losowo wybranych pojazdów stwierdzono, że w 21 biletomatach mobilnych nadal funkcjonuje domyślne hasło fabryczne admin123, a moduł bezprzewodowej konfiguracji Wi-Fi dostępny jest dla każdego pasażera wewnątrz pojazdu. Ponadto brak jest centralnego systemu zarządzania poprawkami oprogramowania urządzeń pokładowych (naruszenie art. 21 NIS2).
• Obszar RODO: Nagrania z kamer monitoringu wizyjnego CCTV w pojazdach są przechowywane na dyskach twardych rejestratorów przez 60 dni bez procedur pseudonimizacji i bez szyfrowania nośnika. Dostęp do nagrań na pętli końcowej posiadał każdy pracownik zaplecza technicznego (naruszenie art. 5 i 32 RODO).
• Obszar KRI: Procedury ciągłości działania dyspozytorni centralnej nie uwzględniają scenariusza awarii łącza radiowego pomiędzy pojazdami a serwerem ITS. Brak jest aktualnego audytu SZBI i analizy ryzyka dla węzłów telemetrycznych (naruszenie § 19 i § 20 rozporządzenia KRI).
• Punkt styku (Triada RODO + NIS2 + KRI): Przejęcie biletomatu przez sieć Wi-Fi za pomocą hasła fabrycznego (NIS2) stwarza ryzyko kradzieży danych kart płatniczych pasażerów (RODO) oraz umożliwia wysyłanie fałszywych komunikatów o położeniu pojazdów do miejskiego systemu ITS (KRI).

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący / Ekspert Bezpieczeństwa Transportu i KRI - koordynuje prace, analizuje procedury ITS, ciągłość dyspozytorni oraz redaguje raport dla Zarządu ZKM i Władz Miasta.
• Rola 2: Audytor Techniczny IoT Pokładowego i NIS2 - bada konfigurację biletomatów, brak haseł unikalnych, podatności sieci Wi-Fi w pojazdach i projektuje bezpieczną łączność 802.1X.
• Rola 3: Audytor Ochrony Danych i Praw Pasażerów RODO - analizuje monitoring CCTV, retencję nagrań, zabezpieczenia rejestratorów i konstruuje plan CAP. (W zespole 2-osobowym zadania te dzielą Studenci 1 i 2).

Na co zwrócić uwagę przy analizie scenariusza:

• 1 Najpierw ustalcie, który z trzech reżimów regulacyjnych jest właściwy dla każdej uchybienia: ta sama okoliczność może być jednocześnie naruszeniem RODO, art. 21 dyrektywy NIS2 i wymagań rozporządzenia w sprawie KRI.
• 2 Rozróżnijcie objaw od przyczyny: brak aktualnego rejestru czynności jest przyczyną, a nieprawidłowe uprawnienia w systemie są jej skutkiem.
• 3 Gradacja ustaleń musi uwzględniać dotkliwość konsekwencji: paraliż usługi publicznej, utrata reputacji instytucji i wysokość możliwej kary administracyjnej.
• 4 Dla każdej karty ustaleń wskażcie kontrolę Załącznika A normy PN-EN ISO/IEC 27001:2022, która odpowiada na zidentyfikowaną lukę.

Odpowiedzcie w zespołach na poniższe pytania przed przystąpieniem do redagowania sprawozdania poaudytowego:

1. Dlaczego pozostawienie domyślnych haseł serwisowych na mobilnych biletomatach pokładowych i brak izolacji sieci pasażersowej należy zakwalifikować jako NC2 w obszarze art. 21 dyrektywy NIS2?
2. Jakie jest realne ryzyko dla danych kart płatniczych pasażerów po przejęciu biletomatu w sieci Wi-Fi pojazdu i dlaczego ryzyko to należy ocenić w kontekście RODO, a nie tylko NIS2?
3. Jakie zasady retencji nagrań monitoringu wizyjnego w pojazdach wynikają z art. 5 RODO i Wytycznych 3/2019 Europejskiej Rady Ochrony Danych oraz dlaczego retencja 60 dni bez uzasadnienia jest niedopuszczalna?
4. Jak zabezpieczyć dane na dyskach rejestratorów CCTV kluczem sprzętowym i ograniczyć dostęp do pętli końcowej, aby spełnić art. 32 RODO bez utrudniania pracy zaplecza technicznego?
5. W jaki sposób zapewnić ciągłość i interoperacyjność systemów ITS zgodnie z § 20 rozporządzenia w sprawie KRI na wypadek zakłóceń łączności radiowej? Jakie wartości RTO i RPO należy przyjąć dla danych o kursach pojazdów?
6. Jak uzasadnić Zarządowi i Prezydentowi Miasta pilną akcję serwisową w 240 pojazdach, biorąc pod uwagę czasochłonność działań i ryzyko zakłócenia kursowania?

Pytania problemowe z zakresu raportu:

• Dlaczego pozostawienie domyślnych haseł producenta na urządzeniach pokładowych IoT stanowi bezpośrednie naruszenie art. 21 Dyrektywy NIS2?
• Jakie zasady retencji nagrań monitoringu wizyjnego CCTV w transporcie publicznym wynikają z wytycznych EROD i art. 5 RODO?
• W jaki sposób zapewnić ciągłość i interoperacyjność systemów zarządzania ruchem ITS zgodnie z § 19 i § 20 rozporządzenia KRI na wypadek zakłóceń łączności radiowej?

Uwaga: Każda odpowiedź musi wskazywać właściwy reżim regulacyjny (RODO, NIS2/ustawa o KSC lub rozporządzenie w sprawie KRI) i konkretny przepis, a nie ogólne hasło typu „poprawa bezpieczeństwa”. Odpowiedź bez odwołania do artykułu ustawy, paragrafu rozporządzenia lub punktu kontrolnego normy nie zalicza punktacji.

Praca w zespole 2-3 osobowym polega na przeanalizowaniu powyższego scenariusza, sklasyfikowaniu uchybień według trzech reżimów regulacyjnych i przygotowaniu spójnego sprawozdania poaudytowego wraz z tabelą planu działań korygujących.

Zadanie realizowane jest przez 2-3 osobowy zespół w formule studium przypadku:

• Krok 1 (Podział ról i specyfika taboru miejskiego):

  Podzielcie zadania w zespole. Przeanalizujcie rozproszony charakter infrastruktury (240 pojazdów poruszających się po mieście) oraz punkty styku RODO, NIS2 i KRI.

• Krok 2 (Triangulacja dowodów w pojazdach):

  Zidentyfikujcie i powiążcie uchybienia:

  1. Domyślne hasła admin123 w biletomatach i brak zapory Wi-Fi (NIS2 art. 21).

  2. Retencja 60 dni i brak szyfrowania rejestratorów CCTV (RODO art. 5 i 32).

  3. Brak procedur ciągłości łączności radiowej dyspozytorni z systemem ITS (KRI § 19 i § 20).

• Krok 3 (Kwalifikacja niezgodności):

  Sformułujcie karty niezgodności:

  • Niezgodność Zasadnicza (NC2) w obszarze NIS2: Pozostawienie domyślnych haseł serwisowych na mobilnych biletomatach pokładowych i brak izolacji sieci pasażerskiej.
  • Niezgodność Zasadnicza (NC2) w obszarze RODO: Brak szyfrowania dysków rejestratorów CCTV i nadmierny okres przechowywania wizerunku pasażerów bez uzasadnienia.
  • Niezgodność Drobna (NC3) w obszarze KRI: Brak sformalizowanych planów ciągłości działania dla łączności radiowej systemu ITS.
  • Szansa na doskonalenie (OFI): Wdrożenie automatycznej, nocnej aktualizacji konfiguracji i haseł urządzeń pokładowych podczas zjazdu do zajezdni przez chronione Wi-Fi 802.1X.
• Krok 4 (Opracowanie zaleceń SMART):

  Zaproponujcie natychmiastową akcję serwisową zmiany haseł na unikalne we wszystkich 240 pojazdach, skrócenie retencji CCTV do 14 dni z szyfrowaniem dysków oraz wdrożenie bezpiecznej łączności WPA3-Enterprise w zajezdniach.

• Krok 5 (Konstrukcja Planu CAP):

  Opracujcie tabelę CAP z przypisaniem ról (Dyrektor Eksploatacji, Główny Elektronik, Kierownik IT, IOD), budżetów i terminów wdrożenia (14-60 dni).

• Krok 6 (Przygotowanie raportu i referatu):

  Zredagujcie raport poaudytowy (4-8 stron A4) i przygotujcie referat dla Zarządu ZKM.

Podział ról w triadzie audytorskiej:

• Rola 1 - Audytor Wiodący: ład organizacyjny i KRI metryka audytu, wymagania § 19 i § 20 rozporządzenia w sprawie KRI, roczny audyt SZBI, ciągłość działania (DRP/BCP), koordynacja sprawozdania i obrony.
• Rola 2 - Audytor ds. Cyberbezpieczeństwa i NIS2/KSC odporność teleinformatyczna, zarządzanie podatnościami, separacja stref IT/OT/IoT, monitorowanie zagrożeń, ścieżka zgłaszania incydentów poważnych w terminach 24 i 72 godzin.
• Rola 3 - Audytor Ochrony Danych Osobowych i Zgodności z RODO legalność przetwarzania, w tym art. 9 RODO, rejestry czynności, umowy powierzenia (art. 28), środki techniczne i organizacyjne (art. 32) oraz procedura zawiadamiania Prezesa UODO. W zespole dwuosobowym rolę tę realizują wspólnie osoby pełniące rolę 1 i rolę 2.

Pełny harmonogram ćwiczenia wraz z zegarem 180 minut, podziałem etapów między role i listą artefaktów znajduje się w sekcji Interaktywny harmonogram ćwiczeń. Rejestr uchybień z oceną ryzyka prowadzicie w sekcji Interaktywny kalkulator ryzyka, a ustalenia w skali prawdopodobieństwo × skutek weryfikujecie w sekcji macierzy ryzyka 5 × 5.

Plan referatu seminaryjnego grupy (10-15 minut):

• Część 1 (Minuty 00-03): Wprowadzenie: komunikacja miejska jako podmiot kluczowy NIS2, administrator danych pasażerów RODO i komponent miejskiego ITS (KRI) (Student 1).
• Część 2 (Minuty 03-07): Analiza ustaleń: hasła fabryczne w biletomatach, brak szyfrowania nagrań kamer i ryzyka paraliżu ITS (Student 2 i 3).
• Część 3 (Minuty 07-11): Prezentacja kart niezgodności, zaleceń inżynierskich (szyfrowanie dysków CCTV, Wi-Fi 802.1X) oraz harmonogramu Planu CAP (Student 2 i 3).
• Część 4 (Minuty 11-15): Analiza korzyści dla mieszkańców i kosztów wdrożenia, podsumowanie menedżerskie i dyskusja (Wszyscy członkowie grupy).

W referacie seminaryjnym przedstawcie ideę planu awaryjnego (Contingency Plan) dla transportu miejskiego: wyjaśnijcie, jak audytor powinien zarekomendować Zarządowi spółki komunalnej zabezpieczenie urządzeń biletowych i telematycznych przed atakami hakerskimi, gwarantując mieszkańcom nieprzerwane i bezpieczne korzystanie z komunikacji miejskiej.

Wymagania formalne sprawozdania poaudytowego (ocena 3.0):

• Wymagane: sprawozdanie poaudytowe w formacie PDF o objętości 4-8 stron znormalizowanego maszynopisu A4 (1 200-2 400 słów), przekazane najpóźniej 24 godziny przed terminem zajęć;
• Wymagane: wystąpienie seminaryjne trwające 10-15 minut, w którym każdy członek zespołu prezentuje własny fragment pracy i odpowiada na pytania kontrolne prowadzącego;
• Wymagane: strona tytułowa z nazwą jednostki, pełnym tytułem zadania, kodem Lab10 i składem zespołu z podziałem ról;
• Wymagane: metryka audytu: podstawa prawna, zakres, metoda, kryteria i uczestnicy;
• Wymagane: rejestr uchybień z klasyfikacją NC2, NC3 i OFI, oceną ryzyka w skali 1-25 oraz wskazaniem naruszonego artykułu, paragrafu lub kontrolki normatywnej;
• Wymagane: jedna zintegrowana procedura reagowania na incydent obsługująca terminy 24/72/72 godzin oraz tabela planu działań korygujących (CAP) z rolami, terminami, budżetami i miernikami sukcesu;
• Wymagane: analiza wad i zalet własnego rozwiązania wraz z ograniczeniami przyjętych założeń;
• Wymagane: bibliografia z numerami artykułów i paragrafów oraz numerami kontrolek norm;
• Skutkuje niezaliczeniem: sprawozdanie krótsze niż 4 strony A4 albo dłuższe niż 8 stron, sprawozdanie bez planu CAP, referat bez bibliografii albo praca nieprzygotowana do obrony ustnej.

Szkic sprawozdania przygotowujecie w sekcji Formularz sprawozdania poaudytowego, a kompletność pracy sprawdzacie na czterech etapach ćwiczenia w sekcji checklistcie zgodności (licznik objętości wskazuje, czy tekst mieści się w wymaganych 4-8 stronach A4).

Uwaga: Najczęstsze błędy obniżające ocenę: przedstawienie scenariusza zamiast jego analizy, kwalifikowanie uchybień bez wskazania kryterium prawnego, pomylenie terminu 24 godziny (incydent poważny) z terminem 72 godziny (naruszenie ochrony danych), podanie zaleceń bez miernika sukcesu oraz sprawozdanie krótsze niż 4 strony A4 albo pozbawione planu działań korygujących CAP.

• Przeprowadzenie pilnej akcji serwisowej rotacji haseł we wszystkich pojazdach.
• Wdrożenie automatycznego szyfrowania dysków twardych rejestratorów CCTV kluczem sprzętowym.
• Wdrożenie bezpiecznej sieci bezprzewodowej w zajezdniach opartej na certyfikatach maszynowych 802.1X.

Wzorcowa tabela planu działań korygujących (CAP):

• Zalety: Wyeliminowanie ryzyka włamania do biletomatów, ochrona prywatności pasażerów, zabezpieczenie ciągłości sprzedaży biletów i lokalizacji floty.
• Wady: Czasochłonność akcji serwisowej w 240 pojazdach, konieczność zakupu oprogramowania szyfrującego rejestratory.

Bilans wdrożenia proponowanego rozwiązania dla tej jednostki:

Porównajcie koszt wdrożenia, liczbę zaangażowanych osób i ryzyko resztkowe. Rozwiązanie, które personel jest w stanie faktycznie stosować, jest skuteczniejsze niż rozbudowana procedura, której nikt nie przestrzega; uzasadnijcie wybrany wariant ryzyka, kosztu i obciążenia operacyjnego.

• Ustawa z dnia 16 grudnia 2010 r. o publicznym transporcie zbiorowym (tekst jedn. Dz.U. z 2026 r. poz. 1231).
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 5, 32.
• Europejska Rada Ochrony Danych (EROD): Wytyczne 3/2019 w sprawie przetwarzania danych osobowych za pomocą urządzeń wideo.
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (NIS2) - podmioty kluczowe w sektorze transportu.
• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. z 2024 r. poz. 773) - § 19 (system zarządzania bezpieczeństwem informacji, w tym wymóg zapewnienia okresowego audytu wewnętrznego nie rzadziej niż raz na rok: § 19 ust. 2 pkt 14) oraz § 20 (rozliczalność i prowadzenie dzienników systemów, których zapisy przechowuje się co najmniej dwa lata, jeżeli przepisy odrębne nie stanowią inaczej). Rozporządzenie z dnia 12 kwietnia 2012 r. utraciło moc z dniem 23 maja 2024 r.
• Norma PN-EN ISO/IEC 27001:2022: Systemy zarządzania bezpieczeństwem informacji - kontrole A.8.1, A.8.2, A.8.20.
• Norma PN-EN ISO 19011:2018: Wytyczne dotyczące audytowania systemów zarządzania.

Podstawy prawne i normatywne obowiązujące w całym module (weryfikowany stan prawny):

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 5 (zasady przetwarzania, w tym minimalizacja, ograniczenie retencji i rozliczalność), art. 9 (dane szczególnych kategorii), art. 25 (ochrona danych z naturyry), art. 28 (przetwarzanie przez podmioty przetwarzające), art. 32 (bezpieczeństwo przetwarzania), art. 33 ust. 1 (zawiadomienie organu nadzorczego w terminie 72 godzin) oraz art. 34 (zawiadomienie osób, których dane dotyczą).
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (dyrektywa NIS2) - art. 21 (środki zarządzania ryzykiem, w tym bezpieczeństwo łańcucha dostaw) oraz art. 23 (wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie incydentu w ciągu 72 godzin, sprawozdanie końcowe w ciągu miesiąca).
• Ustawa z dnia 5 lipca 2018 r. o Krajowym Systemie Cyberbezpieczeństwa (tekst jedn. Dz.U. z 2026 r. poz. 20, zm. Dz.U. z 2026 r. poz. 252) - art. 8 (środki zapewniające poufność, integralność i dostępność oraz ograniczenie mechanizmów dostępu do systemów sterowania), art. 10 (dokumentacja), art. 11 (obsługa i zgłaszanie incydentów poważnych w ciągu 24 godzin) oraz art. 15 (audyt bezpieczeństwa co najmniej raz na 3 lata).
• Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. z 2024 r. poz. 773) - § 19 (system zarządzania bezpieczeństwem informacji, w tym wymóg okresowego audytu wewnętrznego nie rzadziej niż raz na rok: § 19 ust. 2 pkt 14) oraz § 20 (rozliczalność i prowadzenie dzienników systemów, których zapisy przechowuje się co najmniej dwa lata). Rozporządzenie z dnia 12 kwietnia 2012 r. utraciło moc z dniem 23 maja 2024 r.
• Ustawa z dnia 17 lutnia 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (tekst jedn. Dz.U. z 2026 r. poz. 1241) - art. 18 jako podstawa prawna rozporządzenia w sprawie KRI.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 (DORA) - art. 8 (zarządzanie ryzykiem operacyjnym ICT) oraz art. 9 i 10 (zdarzenia operacyjne ICT, ich zgłaszanie, ochrona i archiwizacja dzienników oraz testy ciągłości działania).
• PCI Security Standards Council 2024 - standard PCI DSS v4.0, w tym wymóg 6.2 (bezpieczne oprogramowanie dedykowane), 8.3.4 (ograniczenie nieudanych prób uwierzytelniania) oraz 10.5.1 (retencja dzienników: minimum 12 miesięcy, w tym 3 miesiące w trybie natychmiastowego dostępu online).
• Ustawa z dnia 26 czerwca 1974 r. - Kodeks pracy (Dz.U. z 2026 r. poz. 1245) - art. 22² §§ 1-2 (monitoring wizyjny w zakładzie pracy: obowiązek poinformowania pracowników, uregulowania zasad monitoringu w regulaminie pracy lub układzie zbiorowym oraz wszczególnienie sposobu stosowania monitoringu), art. 22² § 6 (zasady, cel i zakres monitoringu) i art. 22² § 7 (informowanie co najmniej 2 tygodnie wcześniej).
• Norma PN-EN ISO 19011:2018 - wytyczne dotyczące audytowania systemów zarządzania, w tym treść raportu z auditu (pkt 6.5) oraz planowanie i realizacja auditu.
• Norma PN-EN ISO/IEC 27001:2022 - systemy zarządzania bezpieczeństwem informacji: klauzule 4.4, 6.1, 8.1, 9.2, 10.2 oraz kontrole Załącznika A.
• Norma PN-EN ISO/IEC 27005:2022 - zarządzanie ryzykiem bezpieczeństwa informacji: identyfikacja, analiza, ocena i postępowanie z ryzykiem.
• Wytyczne Europejskiej Rady Ochrony Danych 3/2019 w sprawie przetwarzania danych osobowych przez urządzenia wideo - uzasadnienie celu monitoringu, zasada minimalizacji i retencji nagrań.
• Rekomendacja D Komisji Nadzoru Finansowego dotycząca stosowania przez banki spółdzielcze dobrych praktyk w zakresie zarządzania ryzykiem operacyjnym oraz Rekomendacja M dotycząca zarządzania ryzykiem technologicznym - stosowane jako uznane praktyki i metody oceny.

Normy ISO, standardy branżowe (PCI DSS, DORA w zakresie praktyk nadzoru, Rekomendacje D i M KNF, IFC/BRC, IEC 62443-3-3) oraz wytyczne organów nadzorczych stosuje się jako uznane praktyki i metody oceny, a nie jako przepisy ustawowe; ich zastosowanie wymaga krótkiego uzasadnienia w sprawozdaniu.