Podstawą działającego w NASK CSIRT (Computer Security Incident Response Team) jest ustawa o krajowym systemie cyberbezpieczeństwa implementująca do polskiego prawa dyrektywę w sprawie środków na rzecz wysokiego wspólnego poziomu bezpieczeństwa sieci i systemów informatycznych na terytorium Unii (tzw. dyrektywę NIS). Na mocy ustawy role CSIRT poziomu krajowego przyjęły na siebie Agencja Bezpieczeństwa Wewnętrznego (CSIRT GOV), NASK – Państwowy Instytut Badawczy (CSIRT NASK) oraz resort obrony narodowej (CSIRT MON). Współpracują one ze sobą oraz z organami właściwymi do spraw cyberbezpieczeństwa. Razem zapewniają spójny i kompletny system zarządzania ryzykiem na poziomie krajowym, realizując zadania na rzecz przeciwdziałania zagrożeniom cyberbezpieczeństwa o charakterze ponadsektorowym i transgranicznym, a także zapewniając koordynację obsługi zgłoszonych incydentów. Podmioty wchodzące w skład krajowego systemu cyberbezpieczeństwa tworzą system pozwalający na podejmowanie różnorodnych i skutecznych działań zarówno przeciwdziałających zagrożeniom, jak i zapewniających skuteczne reagowanie w przypadku pojawienia się takich zagrożeń.
Wyznaczenie osoby do kontaktu
Każdy podmiot publiczny, który realizuje zadania publiczne określone w ustawie o KSC zależne od systemu informacyjnego, a także operator usługi kluczowej ma obowiązek wyznaczyć osobę odpowiedzialną za utrzymywanie kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa. Informację o wyznaczeniu lub zmianie osoby należy wysłać do CSIRT NASK w ciągu 14 dni.
W celu zarejestrowania osoby odpowiedzialnej za utrzymywanie kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa, należy wypełnić formularz na stronie: https://incydent.cert.pl/osoba-kontaktowa.
Można też wysłać zgłoszenie:
1. na adres e-mail: cert@cert.pl
oraz
2. pocztą tradycyjną na adres:
NASK - Państwowy Instytut Badawczy
ul. Kolska 12
01-045 Warszawa
Zgłoszenie powinno zawierać następujące informacje:
• nazwa podmiotu/organizacji;
• sektor (administracja publiczna, finanse, energia itp.);
• imię i nazwisko osoby wyznaczonej przez instytucję do utrzymywania kontaktów wraz z podanym telefonem kontaktowym i służbowym e-mailem.
Wersja papierowa zgłoszenia musi być podpisana przez osobę upoważnioną do podejmowania decyzji w obszarze cyberbezpieczeństwa w danej Instytucji.