Wprowadzenie do problemu / definicja luki
Rząd Zjednoczonego Królestwa przedstawił w Parlamencie ustawę Cyber Security and Resilience (Network and Information Systems) Bill. Jej celem jest gruntowna aktualizacja ram NIS 2018, tak aby objąć więcej podmiotów krytycznych, uszczelnić łańcuchy dostaw, ujednolicić raportowanie incydentów i dać państwu narzędzia reagowania na zagrożenia o charakterze narodowego bezpieczeństwa. Ustawa jest ukierunkowana na sektory energii, transportu, zdrowia, wody oraz infrastrukturę danych (data centers) i managed service providers (MSP).
W skrócie
- Zakres: do NIS dołączą data centers (jako „data infrastructure”), MSP (średnie i duże) oraz „large load controllers” w energetyce.
- Raportowanie: wstępne zgłoszenie w 24h od wykrycia istotnego/potencjalnie istotnego incydentu + pełny raport w 72h; jednoczesne informowanie NCSC oraz – dla DC/MSP/dostawców cyfrowych – klientów mogących być dotkniętymi.
- Dostawcy krytyczni (critical suppliers): regulator będzie mógł ich wyznaczać i obejmować reżimem NIS, domykając luki w łańcuchach dostaw (np. diagnostyka w NHS, chemikalia dla spółek wodociągowych).
- Egzekwowanie i koszty: nowoczesne, obrotowe kary za poważne naruszenia i szersze odzyskiwanie kosztów przez regulatorów; badania rządowe szacują koszt cyberataków na ~£14,7 mld/rok (0,5% PKB).
- Uprawnienia państwa: sekretarz stanu zyska możliwość wydawania kierunkowych priorytetów dla regulatorów i wiążących dyrektyw wobec podmiotów, gdy zagrożone jest bezpieczeństwo narodowe.
Kontekst / historia / powiązania
NIS 2018 podniósł poprzeczkę, ale nie obejmował szeregu podmiotów kluczowych dla ciągłości działania państwa (MSP, część DC, krytyczni poddostawcy). Po serii incydentów (m.in. w zdrowiu publicznym i przemyśle) rząd zapowiedział reformę – opartą także o CAF (Cyber Assessment Framework) i przeglądy NIS z lat 2020 i 2022. Projekt z 12 listopada 2025 r. jest kulminacją prac i towarzyszą mu faktyczne materiały: ustawa, noty wyjaśniające, ocena skutków, factsheety i badania ekonomiczne.
Analiza techniczna / szczegóły ustawy
1) Nowe kategorie w NIS
- Data centres: formalnie klasyfikowane jako „essential services” w podsektorze data infrastructure. Progi oparte o „rated IT load”:
– DC nie-enterprise: ≥1 MW;
– DC enterprise (na potrzeby własne): ≥10 MW.
Definicja zawiera m.in. wspierającą infrastrukturę (zasilanie, HVAC, bezpieczeństwo fizyczne, odporność). - Managed Service Providers (MSP): nowe obowiązki i dedykowane przepisy (Part 4A) – zarządzanie ryzykiem, obowiązki raportowe, oraz jasna definicja, czym jest i nie jest „managed service” (np. samo dostarczenie sprzętu lub pewnych form chmury nie zawsze kwalifikuje się jako MSP).
- „Large load controllers” (energetyka/Smart Grid): wejdą w zakres, by ograniczyć ryzyka destabilizacji sieci przez atak na systemy zarządzania obciążeniem.
- „Critical suppliers”: możliwość wyznaczania niektórych dostawców jako krytycznych i objęcia ich reżimem adekwatnym do ryzyka.
2) Raportowanie incydentów
- Definicja incydentu rozszerzona o zdarzenia „mogące mieć znaczący wpływ” (nie tylko już zakłócające usługę).
- Model 24/72h: pierwsze zgłoszenie w 24 h, pełny raport w 72 h; dla data center wymóg jest jawnie zapisany (nowy § dot. „data centre incidents”).
- Logika ekonomiczna (z oceny skutków): model dwustopniowy zmniejsza koszt i pozwala skupić zasoby na ograniczaniu skutków w pierwszej dobie.
3) Wzmocnienie egzekwowania i rola państwa
- Sankcje i egzekucja: ustawa przewiduje nowoczesny reżim kar i notyfikacji naruszeń (sekcje 48–51), a rząd zapowiada „tougher turnover-based penalties” dla najpoważniejszych naruszeń.
- Uprawnienia Sekretarza Stanu (Part 3 i 4): priorytety strategiczne dla regulatorów, kodeks praktyk, dyrektywy do podmiotów regulowanych i organów w sytuacjach zagrożenia bezpieczeństwa narodowego.
4) Koszty i skala problemu
- Nowe badania rządowe: cyberataki kosztują ~£14,7 mld rocznie (~0,5% PKB); średni koszt „znaczącego” ataku >£190 tys.; projekt wskazuje też na wzrost poważnych incydentów w statystykach NCSC.
Praktyczne konsekwencje / ryzyko
- SOC/IR: trzeba dostosować progi zgłoszeń (nie tylko „service disruption”), wdrożyć timer 24/72h, zsynchronizować kanały do regulatora i NCSC oraz – dla DC/MSP – kanał klientowski (notification to customers).
- MSP: konieczność udokumentowania zarządzania ryzykiem (Part 4A), asset & access management multi-tenant, segmentacja klientów, powiadamianie klientów o incydentach wpływających potencjalnie/znacząco.
- Data centers: compliance by design dla obiektów ≥1 MW (lub ≥10 MW enterprise), testy odporności (HVAC, zasilanie, systemy fizyczne), procedury „blackstart”, oraz gotowe szablony raportów i playbooki awaryjne.
- Operatorzy infrastruktury krytycznej i dostawcy krytyczni: konieczność przeglądu łańcucha dostaw (kto może być wyznaczony jako critical supplier) i włączenia ich do programu audytów i ćwiczeń.
Rekomendacje operacyjne / co zrobić teraz
Poniżej zestaw działań gotowych do wdrożenia (przykłady „z życia” dla zespołów bezpieczeństwa i operacji):
1) Zmiana progów i procedur IR (24/72h + „potentially significant”)
Polityka (fragment):
Trigger-NIS: Każdy incydent, który mógłby znacząco wpłynąć na (C/I/A) systemów istotnych dla świadczenia usługi, uruchamia ścieżkę NIS.
T+0: natychmiastowe utrwalenie dowodów, izolacja, triage.
T+4h: decyzja o klasyfikacji NIS (potencjalnie/znacząco istotny).
T+24h: wstępne zgłoszenie do regulatora + NCSC, a dla DC/MSP także notyfikacja klientów dotkniętych/„likely impacted”.
T+72h: raport pełny (IOC, kill chain, skutki, działania naprawcze, lessons learned).
Kanał stały: dedykowana skrzynka/endpoint, 24/7 on-call.Szablon „Initial Notification (24h)” (skrót):
- Organisation: <nazwa>
- Service in scope: <OES/R(D)SP/Data Centre/MSP>
- Incident time: <UTC ISO>
- Impact (potential/significant) on C/I/A: <krótko>
- Affected systems: <zakres>
- Customer impact likely? <Yes/No> (DC/MSP: jeśli "Yes", status powiadomień)
- Immediate actions taken: <izolacja, EDR, blokady>
- Point of contact (24/7): <telefon/e-mail>2) Mapowanie do CAF / kontrolki techniczne
Checklist (minimum):
- Identity & Access: PAM dla kont uprzywilejowanych, JIT/JEA, segmentacja tenants (MSP/DC).
- EDR + telemetry na węzłach krytycznych; sysmon/auditd na serwerach w strefach istotnych.
- Network: microsegmentation (np. z wykorzystaniem policy-based routing), east-west IDS (Suricata/Zeek), NetFlow/SVT.
- Backups: 3-2-1, w tym immutable (WORM, S3 Object Lock), testy odtwarzania pod scenariusz „wrogie środowisko”.
- Vulnerability & Patch: wskaźnik MTTP dla poprawek w strefach NIS, SBoM + monitorowanie known exploited vulns.
- OT/ICS: monitoring PLC/RTU (integrity checks), mapa sieci L2/L3, jump-hosts, polityka „no internet from OT”.
Przykładowe komendy i automatyzacje:
Linux (zbieranie artefaktów w 24h):
# szybkie paczkowanie triage (logi + artefakty) z serwera krytycznego
sudo tar -czf /tmp/triage_$(hostname)_$(date -u +%FT%TZ).tgz \
/var/log /etc /var/tmp /tmp \
/root/.bash_history /home/*/.bash_history \
--exclude='*.gz' --warning=no-file-changedWindows (PowerShell – stan poprawek krytycznych):
Get-WindowsUpdate -KBArticleID KB* -IsInstalled |
Select-Object KB, Title, InstalledOn |
Sort-Object InstalledOn -DescendingSIEM (KQL – ślady exfiltracji do nietypowego ASN):
DeviceNetworkEvents
| where Timestamp > ago(24h)
| where ActionType == "ConnectionSuccess"
| summarize dcount(RemoteIP) by RemoteASN, DeviceName
| where RemoteASN in ("AS9009","AS208091") // przykładowe AS-y high-riskMISP (curl – publikacja IoC do współdzielonego ekosystemu):
curl -X POST https://misp.example/api/events \
-H "Authorization: $MISP_KEY" -H "Content-Type: application/json" \
-d @ioc_event.json3) Specyfika MSP
- Contracting: odśwież umowy i runbooki komunikacji z klientami (wymogi powiadamiania, zakres telemetrii, SLO dla IR).
- Tenancy isolation: ensure-by-design – osobne jump-hosty, MFA per-tenant, least privilege dla RMM/PSA, rejestry dostępu awaryjnego (break glass).
- Attack surface: regularnie testuj RMM (np. podpisy binariów, allowlist na EDR), WAF dla paneli, MFA+FIDO2.
4) Data centers
- Rated IT load – upewnij się, że obiekt wpada/nie wpada w próg 1 MW / 10 MW; przygotuj dowody kontroli dla regulatora (HVAC, zasilanie, fizyczne).
- Playbook „facility+IT”: wspólne ćwiczenia DC/IT/SOC (scenariusze: utrata zasilania, HVAC, atak na BMS/EPMS).
- Customer notification: gotowy pipeline do powiadomień (listy dystrybucyjne, integracja z CRM/RMM, szablony).
Różnice / porównania z innymi przypadkami
- UK NIS 2018 → Cyber Security & Resilience Bill (2025): z „reakcji na zakłócenia” do proaktywnego raportowania także zdarzeń potencjalnie istotnych, objęcie MSP i data centers, narzędzia kierunkowego sterowania przez rząd.
- UE NIS2 (2024/2025) vs UK Bill: cele podobne (łańcuch dostaw, MSP, raportowanie wczesne), ale brytyjski projekt wprost definiuje progi DC (MW) i daje silne dyrektywy Sekretarzowi Stanu w trybie bezpieczeństwa narodowego. (Wniosek autorski na bazie projektu i factsheetów.)
- DORA/PSTI: komplementarne reżimy sektorowe (finanse/IoT konsumenckie). Nowy Bill skupia się na usługach krytycznych i cyfrowych w rozumieniu NIS.
Podsumowanie / kluczowe wnioski
- 24/72h + „potentially significant” to największa zmiana operacyjna – przygotuj proces, szablony i integracje już teraz.
- MSP i DC wchodzą do gry – ureguluj powiadamianie klientów, segmentację, dowody kontroli i CAF-mapping.
- Spodziewaj się bardziej stanowczych działań regulatorów (koszty odzyskiwane od podmiotów, kary obrotowe za rażące naruszenia).
- Ekonomicznie – skala szkód ~£14,7 mld/rok uzasadnia inwestycje w odporność i wcześniejsze zgłaszanie.
Źródła / bibliografia
- Tekst projektu ustawy: Cyber Security and Resilience (Network and Information Systems) Bill – Bill 329 (Part 2 – DC/MSP; Part 3–4 – uprawnienia, egzekucja). (Parliament Publications)
- Ocena skutków (Impact Assessment) – model 24/72h, koszty, uzasadnienie ekonomiczne. (GOV.UK)
- Factsheet – Summary of the Bill (DSIT) – filary reform, zakres, implementacja. (GOV.UK)
- Komunikat rządowy (DSIT) – główne tezy, cytaty, kierunek egzekwowania, rola NCSC. (GOV.UK)
- Analiza prasowa (The Record) – kontekst, harmonogram, uzasadnienie zmian, koszty wdrożenia w skali gospodarki. (The Record from Recorded Future)
