Rozporządzenie Rady Ministrówz dnia 31 października 2018 r.w sprawie progów uznania incydentu za poważny 1)Niniejsze rozporządzenie w zakresie swojej regulacji wdraża dyrektywę Parlamentu Europejskiego i Rady (UE) 2016/1148 z dnia 6 lipca 2016 r. w sprawie środków na rzecz wysokiego wspólnego poziomu bezpieczeństwa sieci i systemów informatycznych na terytorium Unii (Dz. Urz. UE L 194 z 19.07.2016, str. 1). Spis treści Treść rozporządzenia Załącznik - Progi uznania incydentu za poważny według rodzaju zdarzenia w poszczególnych sektorach i podsektorach Treść rozporządzenia Na podstawie art. 11 ust. 4 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (Dz. U. poz. 1560) zarządza się, co następuje: § 1. Określa się progi uznania incydentu za poważny według rodzaju zdarzenia w poszczególnych sektorach i podsektorach określonych w załączniku nr 1 do ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, stanowiące załącznik do rozporządzenia. § 2. Rozporządzenie wchodzi w życie z dniem następującym po dniu ogłoszenia. 1) Niniejsze rozporządzenie w zakresie swojej regulacji wdraża dyrektywę Parlamentu Europejskiego i Rady (UE) 2016/1148 z dnia 6 lipca 2016 r. w sprawie środków na rzecz wysokiego wspólnego poziomu bezpieczeństwa sieci i systemów informatycznych na terytorium Unii (Dz. Urz. UE L 194 z 19.07.2016, str. 1). Załącznik - Progi uznania incydentu za poważny według rodzaju zdarzenia w poszczególnych sektorach i podsektorach Sektor Podsektor Zdarzenie Progi Energia Wydobywanie kopalin Incydent dotyczący wydobywania kopalin 1. liczba użytkowników, których dotyczy zakłócenie świadczenia usługi kluczowej: nie dotyczy; 2. czas oddziaływania incydentu na świadczoną usługę kluczową: incydent doprowadził do przerwania wydobycia na okres dłuższy niż 72 godziny; 3. zasięg geograficzny obszaru, którego dotyczy incydent: nie dotyczy; 4. inne czynniki charakterystyczne dla danego podsektora: incydent spowodował co najmniej jedną z poniżej wymienionych okoliczności: a) śmierć człowieka, b) ciężki uszczerbek na zdrowiu, c) inny niż ciężki uszczerbek na zdrowiu więcej niż jednej osoby, d) straty finansowe przekraczające 250 tys. zł. Energia elektryczna Incydent dotyczący pokrycia zapotrzebowania o zasięgu lokalnym 1. liczba użytkowników, których dotyczy zakłócenie świadczenia usługi kluczowej: nie dotyczy; 2. czas oddziaływania incydentu na świadczoną usługę kluczową: utrata na co najmniej 3 minuty zasilania odbiorców w wysokości powyżej 10% rzeczywistego zapotrzebowania systemu w okresie poprzedzającym incydent; 3. zasięg geograficzny obszaru, którego dotyczy incydent: nie dotyczy; 4. inne czynniki charakterystyczne dla danego podsektora: nie dotyczy. Incydent dotyczący pokrycia zapotrzebowania o zasięgu krajowym 1. liczba użytkowników, których dotyczy zakłócenie świadczenia usługi kluczowej: nie dotyczy; 2. czas oddziaływania incydentu na świadczoną usługę kluczową: utrata, na co najmniej 3 minuty, zasilania odbiorców w wysokości powyżej 10% rzeczywistego zapotrzebowania systemu w okresie poprzedzającym incydent; 3. zasięg geograficzny obszaru, którego dotyczy incydent: nie dotyczy; 4. inne czynniki charakterystyczne dla danego podsektora: nie dotyczy. Incydent dotyczący sieci przesyłowej 1. liczba użytkowników, których dotyczy zakłócenie świadczenia usługi kluczowej: nie dotyczy; 2. czas oddziaływania incydentu na świadczoną usługę kluczową: nie dotyczy; 3. zasięg geograficzny obszaru, którego dotyczy incydent: nie dotyczy; 4. inne czynniki charakterystyczne dla danego podsektora: awaryjne, równoczesne wyłączenie co najmniej dwóch elementów sieci przesyłowej powodujące: a) istotne pogorszenie warunków pracy systemu lub b) ograniczające zdolności wymiany transgranicznej lub c) ogłoszenie przez Operatora Systemu Przesyłowego stanu zagrożenia systemu przesyłowego lub stanu zaniku zasilania lub stanu odbudowy systemu zgodnie z klasyfikacją stanów systemu określoną w art. 18 rozporządzenia Komisji (UE) 2017/1485 z dnia 2 sierpnia 2017 r. ustanawiającego wytyczne dotyczące pracy systemu przesyłowego energii elektrycznej (Dz. Urz. UE L 220 z 25.08.2017, str. 1). Incydent dotyczący modułów wytwarzania energii 1. liczba użytkowników, których dotyczy zakłócenie świadczenia usługi kluczowej: nie dotyczy; 2. czas oddziaływania incydentu na świadczoną usługę kluczową: trwające powyżej 15 minut: a) równoczesne, nieplanowane wyłączenie co najmniej dwóch modułów wytwarzania energii w jednej elektrowni o sumarycznej mocy powyżej 400 MW brutto lub b) równoczesne, nieplanowane ograniczenie mocy lub wyłączenie modułów wytwarzania energii w łącznej wielkości mocy powyżej 1500 MW brutto; 3. zasięg geograficzny obszaru, którego dotyczy incydent: nie dotyczy; 4. inne czynniki charakterystyczne dla danego podsektora: nie dotyczy. Incydent dotyczący urządzeń i narzędzi wykorzystywanych do monitorowania i sterowania pracą systemu 1. liczba użytkowników, których dotyczy zakłócenie świadczenia usługi kluczowej: nie dotyczy; 2. czas oddziaływania incydentu na świadczoną usługę kluczową: utrata jednego z następujących urządzeń lub narzędzi wykorzystywanych w czasie rzeczywistym, przy jednoczesnym braku dostępności urządzeń i narzędzi podstawowych i rezerwowych: a) środków łączności dyspozytorskiej, przez okres co najmniej 1 godziny, lub b) systemów zdalnego sterowania urządzeniami stacyjnymi i źródłami wytwórczymi przez okres powyżej 15 minut, lub c) systemów monitorowania pracy systemu (w tym estymacji stanu systemu) przez okres powyżej 15 minut, lub d) narzędzi wykorzystywanych do oceny bezpieczeństwa pracy systemu przez okres powyżej 15 minut, lub e) systemów klasy „smart metering” w przypadku braku możliwości pozyskania danych z co najmniej 30% planowanych do odczytu układów pomiarowych, przez okres powyżej 48 godzin; 3. zasięg geograficzny obszaru, którego dotyczy incydent: nie dotyczy; 4. inne czynniki charakterystyczne dla danego podsektora: nie dotyczy. Ciepło Incydent dotyczący wytwarzania ciepła 1. liczba użytkowników, których dotyczy zakłócenie świadczenia usługi kluczowej: nie dotyczy; 2. czas oddziaływania incydentu na świadczoną usługę kluczową: incydent doprowadził do przerwania wytwarzania ciepła na okres dłuższy niż 24 godziny; 3. zasięg geograficzny obszaru, którego dotyczy incydent: nie dotyczy; 4. inne czynniki charakterystyczne dla danego podsektora: incydent spowodował co najmniej jedną z poniżej wymienionych okoliczności: a) śmierć człowieka, b) ciężki uszczerbek na zdrowiu, c) inny niż ciężki uszczerbek na zdrowiu więcej niż jednej osoby, d) straty finansowe przekraczające 250 tys. zł. Incydent dotyczący obrotu lub przesyłania lub dystrybucji ciepła 1. liczba użytkowników, których dotyczy zakłócenie świadczenia usługi kluczowej: nie dotyczy; 2. czas oddziaływania incydentu na świadczoną usługę kluczową: incydent doprowadził do przerwania przesyłania lub dystrybucji ciepła na dłużej niż 24 godziny; 3. zasięg geograficzny obszaru, którego dotyczy incydent: nie dotyczy; 4. inne czynniki charakterystyczne dla danego podsektora: incydent spowodował co najmniej jedną z poniżej wymienionych okoliczności: a) śmierć człowieka, b) ciężki uszczerbek na zdrowiu, c) inny niż ciężki uszczerbek na zdrowiu więcej niż jednej osoby, d) straty finansowe przekraczające 250 tys. zł. Ropa naftowa i Gaz Incydent dotyczący przesyłu ropy naftowej i paliw ciekłych 1. liczba użytkowników, których dotyczy zakłócenie świadczenia usługi kluczowej: nie dotyczy; 2. czas oddziaływania incydentu na świadczoną usługę kluczową: incydent skutkuje niemożliwością terminowego i w ilościach nominowanych dostarczania i przesyłu ropy naftowej, przez okres dłuższy niż 20 godzin; 3. zasięg geograficzny obszaru, którego dotyczy incydent: nie dotyczy; 4. inne czynniki charakterystyczne dla danego podsektora: niekontrolowany wyciek ropy naftowej lub innych substancji niebezpiecznych do atmosfery lub gruntu. Incydent dotyczący produkcji, wydobywania, wytwarzania paliw ciekłych, magazynowania ropy naftowej, przeładunku ropy naftowej, magazynowania paliw ciekłych, przeładunku paliw ciekłych, obrotu paliwami ciekłymi i obrotu paliwami ciekłymi z zagranicą, wytwarzania paliw syntetycznych 1. liczba użytkowników, których dotyczy zakłócenie świadczenia usługi kluczowej: nie dotyczy; 2. czas oddziaływania incydentu na świadczoną usługę kluczową: incydent skutkuje zakłóceniem w produkcji lub rafinacji lub w funkcjonowaniu urządzeń przetwarzających lub magazynowaniu i przesyłaniu ropy naftowej, dłuższym niż 20 godzin; 3. zasięg geograficzny obszaru, którego dotyczy incydent: nie dotyczy; 4. inne czynniki charakterystyczne dla danego podsektora: a) znacząca utrata integralności stacji, lub b) utrata ochrony stacji przeciwko efektom eksplozji, lub c) utrata stacji utrzymania w przypadku instalacji mobilnych, lub d) niekontrolowany wyciek ropy naftowej lub innych substancji niebezpiecznych do atmosfery lub gruntu. Incydent dotyczący wytwarzania paliw gazowych, przesyłania paliw gazowych, dystrybucji paliw gazowych, obrotu paliwami gazowymi lub obrotu gazem ziemnym z zagranicą, magazynowania paliw gazowych, skraplania lub regazyfikacji LNG lub sprowadzania i wyładunku LNG 1. liczba użytkowników, których dotyczy zakłócenie świadczenia usługi kluczowej: nie dotyczy; 2. czas oddziaływania incydentu na świadczoną usługę kluczową: incydent skutkuje niemożliwością prawidłowego dostarczania i przesyłu gazu ziemnego w okresie co najmniej 24 godzin lub zakłóceniem w produkcji lub w funkcjonowaniu urządzeń przetwarzających lub magazynowaniu lub przesyłaniu gazu ziemnego, przez okres dłuższy niż 20 godzin; 3. zasięg geograficzny obszaru, którego dotyczy incydent: nie dotyczy; 4. inne czynniki charakterystyczne dla danego podsektora: a) nieplanowany wyciek gazu lub innych substancji niebezpiecznych, niezależnie od tego czy doszło do zapłonu, stanowiący bezpośrednie niebezpieczeństwo: - utraty życia lub spowodowania uszczerbku na zdrowiu lub - wyrządzenia szkody w wielkich rozmiarach, lub b) niekontrolowane obniżenie lub wzrost ciśnienia w sieci gazowej, lub c) zatrzymanie pracy tłoczni gazu lub stacji gazowej, lub d) niekontrolowane zamknięcie lub otwarcie armatury na obiektach sieci gazowej. Dostawy i usługi dla sektora energii Incydent dotyczący dostaw systemów, maszyn, urządzeń, materiałów, surowców oraz świadczenia usług na rzecz sektora energii 1. liczba użytkowników, których dotyczy zakłócenie świadczenia usługi kluczowej: nie dotyczy; 2. czas oddziaływania incydentu na świadczoną usługę kluczową: a) incydent skutkuje zakłóceniem w produkcji paliw ciekłych lub rafinacji paliw ciekłych, lub w funkcjonowaniu urządzeń przetwarzających paliwa ciekłe, lub przeładunku paliw ciekłych, lub obrocie paliwami ciekłymi, lub obrocie paliwami ciekłymi z zagranicą, lub wytwarzaniu paliw syntetycznych, lub magazynowaniu i przesyłaniu ropy naftowej, w okresie dłuższym niż 4 godziny, lub b) incydent skutkuje przerwą w dostawie energii elektrycznej do systemu przesyłowego ropy naftowej przez okres powyżej 8 godzin, lub c) incydent skutkuje przerwą w dostawie energii elektrycznej do systemu magazynowego ropy naftowej przez okres powyżej 8 godzin, lub d) incydent skutkuje przerwą w świadczeniu usług w transporcie kolejowym i samochodowym (cysterny kolejowe i autocysterny) przez okres powyżej 24 godzin; 3. zasięg geograficzny obszaru, którego dotyczy incydent: nie dotyczy; 4. inne czynniki charakterystyczne dla danego podsektora: nie dotyczy. Incydent dotyczący utrzymywania rezerw strategicznych lub zapasów agencyjnych ropy naftowej, produktów naftowych i gazu ziemnego 1. liczba użytkowników, których dotyczy zakłócenie świadczenia usługi kluczowej: nie dotyczy; 2. czas oddziaływania incydentu na świadczoną usługę kluczową: incydent skutkuje przerwaniem realizacji procesu udostępniania rezerw strategicznych lub uwalniania zapasów agencyjnych ropy naftowej, produktów naftowych i gazu ziemnego na czas dłuższy niż 4 godziny; 3. zasięg geograficzny obszaru, którego dotyczy incydent: nie dotyczy; 4. inne czynniki charakterystyczne dla danego podsektora: nie dotyczy. Incydent dotyczący postępowania z odpadami promieniotwórczymi 1. liczba użytkowników, których dotyczy zakłócenie świadczenia usługi kluczowej: minimum 200 użytkowników, od których odbiera się odpady promieniotwórcze; 2. czas oddziaływania incydentu na świadczoną usługę kluczową: nie dotyczy; 3. zasięg geograficzny obszaru, którego dotyczy incydent: terytorium całego kraju; 4. inne czynniki charakterystyczne dla danego podsektora: incydent skutkuje bezpośrednim niebezpieczeństwem spowodowania uszczerbku na zdrowiu lub długotrwałym skażeniem środowiska. Transport Transport lotniczy Incydent dotyczący transportu lotniczego pasażerskiego 1. liczba użytkowników, których dotyczy zakłócenie świadczenia usługi kluczowej: nie dotyczy; 2. czas oddziaływania incydentu na świadczoną usługę kluczową: nie dotyczy; 3. zasięg geograficzny obszaru, którego dotyczy incydent: nie dotyczy; 4. inne czynniki charakterystyczne dla danego podsektora: a) przerwanie realizacji usług przez przewoźnika lotniczego na czas dłuższy niż 2 godziny lub b) uszkodzenie statku powietrznego lub systemów informacyjnych kluczowych dla jego sterowania i funkcjonowania lub c) incydent spowodował śmierć lub uszczerbek na zdrowiu ludzi. Incydent dotyczący transportu lotniczego towarów 1. liczba użytkowników, których dotyczy zakłócenie świadczenia usługi kluczowej: nie dotyczy; 2. czas oddziaływania incydentu na świadczoną usługę kluczową: nie dotyczy; 3. zasięg geograficzny obszaru, którego dotyczy incydent: nie dotyczy; 4. inne czynniki charakterystyczne dla danego podsektora: a) przerwanie realizacji usług przez przewoźnika lotniczego na czas dłuższy niż 2 godziny lub b) uszkodzenie statku powietrznego lub systemów informacyjnych kluczowych dla jego sterowania i funkcjonowania lub c) incydent spowodował śmierć lub uszczerbek na zdrowiu ludzi. Incydent dotyczący podmiotu o statusie zarejestrowanego agenta 1. liczba użytkowników, których dotyczy zakłócenie świadczenia usługi kluczowej: nie dotyczy; 2. czas oddziaływania incydentu na świadczoną usługę kluczową: nie dotyczy; 3. zasięg geograficzny obszaru, którego dotyczy incydent: nie dotyczy; 4. inne czynniki charakterystyczne dla danego podsektora: a) przerwanie realizacji procesu kontroli bezpieczeństwa przez zarejestrowanego agenta na czas dłuższy niż 2 godziny lub b) zakłócenie wykonywania usług przekazu informacji o statusie ochrony nadanym przesyłce na czas dłuższy niż 2 godziny. Incydent dotyczący dostępności obsługi naziemnej 1. liczba użytkowników, których dotyczy zakłócenie świadczenia usługi kluczowej: nie dotyczy; 2. czas oddziaływania incydentu na świadczoną usługę kluczową: nie dotyczy; 3. zasięg geograficzny obszaru, którego dotyczy incydent: nie dotyczy; 4. inne czynniki charakterystyczne dla danego podsektora: incydent doprowadził do braku dostępności usługi wykonywanej przez agenta obsługi naziemnej na czas dłuższy niż 2 godziny lub doprowadził do braku dostępności usług kluczowych wykonywanych przez inne podmioty w podsektorze. Incydent dotyczący zarządzającego lotniskiem 1. liczba użytkowników, których dotyczy zakłócenie świadczenia usługi kluczowej: nie dotyczy; 2. czas oddziaływania incydentu na świadczoną usługę kluczową: nie dotyczy; 3. zasięg geograficzny obszaru, którego dotyczy incydent: nie dotyczy; 4. inne czynniki charakterystyczne dla danego podsektora: a) zakłócenie wykonywania operacji lotniczych na czas dłuższy niż 2 godziny lub b) incydent spowodował śmierć lub uszczerbek na zdrowiu ludzi lub c) incydent doprowadził do braku dostępności usług kluczowych wykonywanych przez inne podmioty w podsektorze. Incydent dotyczący instytucji zapewniającej służby żeglugi powietrznej 1. liczba użytkowników, których dotyczy zakłócenie świadczenia usługi kluczowej: nie dotyczy; 2. czas oddziaływania incydentu na świadczoną usługę kluczową: nie dotyczy; 3. zasięg geograficzny obszaru, którego dotyczy incydent: nie dotyczy; 4. inne czynniki charakterystyczne dla danego podsektora: incydent doprowadził do zakłócenia systemu zarządzania ruchem lotniczym i ograniczenia przepustowości przestrzeni powietrznej o co najmniej 30%. Transport kolejowy Incydent dotyczący konstrukcji rozkładu jazdy pociągów 1. liczba użytkowników, których dotyczy zakłócenie świadczenia usługi kluczowej: nie dotyczy; 2. czas oddziaływania incydentu na świadczoną usługę kluczową: nie dotyczy; 3. zasięg geograficzny obszaru, którego dotyczy incydent: nie dotyczy; 4. inne czynniki charakterystyczne dla danego podsektora: brak możliwości konstrukcji rozkładów jazdy pociągów wynikający z: a) awarii oprogramowania powyżej 12 godzin lub b) braku zasilania energetycznego powodującego niedostępność usługi powyżej 2 godzin lub c) awarii sieci teleinformatycznych powyżej 12 godzin. Incydent dotyczący jazdy pociągów 1. liczba użytkowników, których dotyczy zakłócenie świadczenia usługi kluczowej: nie dotyczy; 2. czas oddziaływania incydentu na świadczoną usługę kluczową: nie dotyczy; 3. zasięg geograficzny obszaru, którego dotyczy incydent: nie dotyczy; 4. inne czynniki charakterystyczne dla danego podsektora: brak możliwości uruchomienia pociągów i prowadzenia ruchu kolejowego spowodowany brakiem możliwości konstrukcji rozkładu jazdy powyżej 2 godzin. Incydent w transporcie kolejowym pasażerskim 1. liczba użytkowników, których dotyczy zakłócenie świadczenia usługi kluczowej: nie dotyczy; 2. czas oddziaływania incydentu na świadczoną usługę kluczową: nie dotyczy; 3. zasięg geograficzny obszaru, którego dotyczy incydent: nie dotyczy; 4. inne czynniki charakterystyczne dla danego podsektora: a) przerwanie realizacji usług przez przewoźnika na czas dłuży niż 2 godziny lub b) uszkodzenie systemów informacyjnych kluczowych dla sterowania i funkcjonowania pojazdu szynowego. Incydent w transporcie kolejowym towarów 1. liczba użytkowników, których dotyczy zakłócenie świadczenia usługi kluczowej: nie dotyczy; 2. czas oddziaływania incydentu na świadczoną usługę kluczową: nie dotyczy; 3. zasięg geograficzny obszaru, którego dotyczy incydent: nie dotyczy; 4. inne czynniki charakterystyczne dla danego podsektora: a) przerwanie realizacji usług przez przewoźnika na czas dłuższy niż 6 godzin lub b) uszkodzenie systemów informacyjnych kluczowych dla sterowania i funkcjonowania pojazdu szynowego. Transport wodny Incydent dotyczący armatorów w transporcie morskim pasażerów podczas żeglugi 1. liczba użytkowników, których dotyczy zakłócenie świadczenia usługi kluczowej: nie dotyczy; 2. czas oddziaływania incydentu na świadczoną usługę kluczową: nie dotyczy; 3. zasięg geograficzny obszaru, którego dotyczy incydent: nie dotyczy; 4. inne czynniki charakterystyczne dla danego sektora lub podsektora: incydent spowodował uszkodzenie systemów informacyjnych kluczowych dla sterowania i funkcjonowania statku, powodujące zagrożenie dla zdrowia lub życia ludzkiego, środowiska naturalnego albo mienia. Incydent dotyczący armatorów w transporcie morskim pasażerów podczas cumowania 1. liczba użytkowników, których dotyczy zakłócenie świadczenia usługi kluczowej: nie dotyczy; 2. czas oddziaływania incydentu na świadczoną usługę kluczową: incydent spowodował brak możliwości świadczenia usługi kluczowej na czas dłuższy niż 48 godzin; 3. zasięg geograficzny obszaru, którego dotyczy incydent: nie dotyczy; 4. inne czynniki charakterystyczne dla danego sektora lub podsektora: nie dotyczy. Incydent dotyczący armatorów w transporcie morskim towarów podczas żeglugi 1. liczba użytkowników, których dotyczy zakłócenie świadczenia usługi kluczowej: nie dotyczy; 2. czas oddziaływania incydentu na świadczoną usługę kluczową: nie dotyczy; 3. zasięg geograficzny obszaru, którego dotyczy incydent: nie dotyczy; 4. inne czynniki charakterystyczne dla danego sektora lub podsektora: incydent spowodował uszkodzenie systemów informacyjnych kluczowych dla sterowania i funkcjonowania statku, powodujące zagro