Prawnik ds. cyberbezpieczeństwa – doradztwo dla firm
Prawnik ds. cyberbezpieczeństwa pomaga ustalić obowiązki firmy, odpowiedzialność i zasady współpracy z dostawcami technologii. Michał Nowakowski łączy analizę prawną z porządkowaniem dokumentacji i decyzji organizacyjnych. Jest współautorem raportu o wdrażaniu DORA przez banki komercyjne w Polsce dla ZBP/PABWIB, opisanego w jego dorobku.
Dla kogo
Dla zarządów, zespołów prawnych, compliance i bezpieczeństwa, które potrzebują oceny obowiązków, przeglądu umów ICT lub uporządkowania prawnej strony obsługi incydentów.
Zakres współpracy
- Ocena obowiązków i odpowiedzialności: analiza działalności, usług i roli firmy. NIS2/uKSC, DORA i CRA są obszarami do sprawdzenia zależnie od sytuacji, nie jednym zestawem obowiązków dla wszystkich.
- Ryzyko ICT i dostawcy: przegląd podziału odpowiedzialności, podwykonawców, wymagań bezpieczeństwa, informacji o incydentach, kontroli i zakończenia współpracy. Możliwy rezultat: uwagi do umów i lista pytań do dostawców.
- Prawne zasady obsługi incydentów: ustalenie ról, eskalacji, obiegu informacji i dokumentowania decyzji oraz analiza właściwych obowiązków informacyjnych. Możliwy rezultat: rekomendacje do procedury współpracującej z planem technicznym.
- Organizacja dokumentacji: przegląd polityk, procedur i dowodów realizacji działań. Możliwy rezultat: lista luk, priorytety i uzgodnione projekty dokumentów, a nie deklaracja pełnej zgodności na podstawie szablonu.
Jak przebiega współpraca
- Opisz działalność, problem i decyzję wymagającą wsparcia prawnego.
- Przygotuj wykaz kluczowych usług i dostawców ICT, umowy, istniejące polityki oraz opis podziału odpowiedzialności. Nie przesyłaj przez formularz danych incydentu, haseł ani poufnych załączników.
- Uzgadniamy zakres, materiały, udział osób technicznych, wycenę i harmonogram.
- Analizujemy dokumenty, omawiamy ustalenia i uzgadniamy kolejne działania oraz ich właścicieli.
Podział odpowiedzialności
To wsparcie prawne i organizacyjne, nie pentesty, monitoring SOC ani operacyjne usuwanie skutków ataku. Nie obejmuje dyżuru 24/7. Techniczne testy, konfiguracja i reagowanie wymagają właściwego zespołu bezpieczeństwa. Formularz nie jest kanałem alarmowym.
Co otrzyma klient
Możesz uzgodnić analizę wybranego obowiązku, przegląd relacji z dostawcą albo prace nad dokumentacją. Nie gwarantuję wyniku audytu, certyfikacji ani stałego terminu bez rozpoznania sprawy.
Uzgadniane dokumenty i rezultaty
- Analiza zakresu obowiązków i odpowiedzialności organizacji
- Lista ryzyk ICT i rekomendacje do umów z dostawcami
- Projekty klauzul bezpieczeństwa i rekomendacje do procedur incydentowych
- Plan uporządkowania dokumentacji i podziału działań
Pytania klientów
Czy firma podlega jednocześnie NIS2/uKSC, DORA i CRA?
Nie można tego ustalić na podstawie samego korzystania z IT. Analiza uwzględnia działalność, usługi, produkty, rolę firmy i właściwe przepisy. Poszczególne obszary mogą wymagać odrębnych ocen.
Czy można zacząć od umowy z dostawcą ICT?
Tak. Przegląd może objąć klauzule bezpieczeństwa, zgłoszenia incydentów, podwykonawców, odpowiedzialność i warunki wyjścia. Potrzebny jest też opis znaczenia usługi dla organizacji.
Czy wykonujesz pentesty lub prowadzisz SOC?
Nie. Przedmiotem tej oferty jest analiza prawna i organizacyjna. Techniczne ustalenia dostarcza zespół bezpieczeństwa lub właściwy specjalista.
Jak rozpocząć współpracę i ustalić wycenę?
Przekaż krótki opis potrzeb i dostępnej dokumentacji, bez poufnych danych. Po ustaleniu zakresu i oczekiwanego rezultatu uzgadniamy wycenę i harmonogram. Nie trzeba od razu zamawiać kompleksowego projektu.
Zakres współpracy omówisz z dr. Michałem Nowakowskim, radcą prawnym.