Szkoła w ustawie o krajowym systemie cyberbezpieczeństwa (NIS2): obowiązki szkoły

Szkoła publiczna prowadzona przez gminę, powiat lub województwo jest podmiotem ważnym w rozumieniu ustawy o krajowym systemie cyberbezpieczeństwa. Minister Cyfryzacji wpisuje ją do wykazu z urzędu, a szkoła wdraża system zarządzania bezpieczeństwem informacji według załącznika nr 4 do ustawy.

Dlaczego ustawa obejmuje szkoły

Ustawa w obecnym brzmieniu wdraża unijną dyrektywę NIS2. Zgodnie z art. 5 ust. 2 pkt 8 podmiotem ważnym jest między innymi podmiot publiczny, który nie jest podmiotem kluczowym, a jest samorządową jednostką budżetową. Szkoła publiczna prowadzona przez samorząd jest taką jednostką. Ministerstwo Cyfryzacji wyjaśnia, że publiczna szkoła podstawowa prowadzona przez gminę podlega wpisowi do wykazu z urzędu, niezależnie od wpisu urzędu gminy.

Obowiązki szkoły

Uzupełnienie danych w wykazie w terminie 6 miesięcy od doręczenia wezwania (art. 7b ust. 2). Jak to zrobić.
System zarządzania bezpieczeństwem informacji według załącznika nr 4 (art. 8 ust. 3). Wymagania załącznika.
Co najmniej dwie osoby do kontaktu z podmiotami krajowego systemu cyberbezpieczeństwa (art. 9 ust. 1 pkt 1).
Obsługa incydentów poważnych: wczesne ostrzeżenie do właściwego zespołu CSIRT w ciągu 24 godzin od wykrycia, zgłoszenie w ciągu 72 godzin, sprawozdanie końcowe w ciągu miesiąca od zgłoszenia (art. 11 ust. 1 pkt 4, 4a i 4c).
Korzystanie z systemu teleinformatycznego ministra po uzyskaniu wpisu do wykazu (art. 9 ust. 1 pkt 4).
Coroczne szkolenie dyrektora z zakresu obowiązków wynikających z ustawy. Udział w szkoleniu jest dokumentowany (art. 8e).
Informacja z Krajowego Rejestru Karnego od osób, które mają realizować zadania z zakresu SZBI lub obsługi incydentów, przed rozpoczęciem tych zadań (art. 8f ust. 1).

Rola dyrektora

W ustawie dyrektor jest kierownikiem podmiotu. Podejmuje decyzje dotyczące systemu zarządzania bezpieczeństwem informacji, planuje środki finansowe, przydziela zadania i nadzoruje ich wykonanie, a także dba o to, by pracownicy znali obowiązki i wewnętrzne zasady szkoły (art. 8d). Odpowiedzialność za wykonywanie obowiązków pozostaje przy dyrektorze również wtedy, gdy powierzy je innej osobie (art. 8c ust. 3). Naszym zadaniem jest przygotować dla dyrektora rzetelną dokumentację i pomóc w codziennej realizacji obowiązków.

Wpis do wykazu

Szkoły publiczne nie muszą samodzielnie składać wniosku o wpis. Minister wpisuje je do wykazu z urzędu (art. 7a ust. 2 pkt 3), a następnie doręcza zawiadomienie o wpisie i wezwanie do uzupełnienia danych. Jeżeli szkoła złoży wniosek o wpis samodzielnie, choć jest już wpisana z urzędu, wniosek może pozostawać w statusie „Oczekuje na weryfikację” do czasu rozpatrzenia przez operatora systemu.

Pytania, które dostajemy najczęściej

Czy przedszkole publiczne również jest podmiotem ważnym?

Ustawa nie wyróżnia rodzajów placówek. Decyduje to, czy placówka jest samorządową jednostką budżetową (art. 5 ust. 2 pkt 8). To samo kryterium Ministerstwo Cyfryzacji wskazuje w wyjaśnieniach dotyczących szkół i zespołów szkół.

Szkoła wchodzi w skład zespołu szkół. Kto podlega wpisowi?

Według wyjaśnień Ministerstwa Cyfryzacji, jeżeli szkoły w zespole nie są odrębnymi jednostkami budżetowymi, obowiązki dotyczą zespołu szkół. Jeżeli zachowały status odrębnych jednostek budżetowych, obowiązki dotyczą zarówno zespołu, jak i każdej z tych szkół. Gdy zawiadomienie o wpisie otrzymała szkoła, która nie jest samodzielną jednostką, dyrektor zespołu składa wniosek o jej wykreślenie z wykazu.

Prowadzimy szkołę niepubliczną. Czy ustawa nas dotyczy?

Według wyjaśnień Ministerstwa Cyfryzacji co do zasady nie. Szkoły niepubliczne, także posiadające uprawnienia szkół publicznych i otrzymujące dotację, nie są wpisywane do wykazu z urzędu. Obowiązują natomiast przepisy RODO, w tym art. 32 o bezpieczeństwie przetwarzania.

Czy organ prowadzący może przejąć część obowiązków szkół?

Tak. Jednostka samorządu terytorialnego może zapewnić wspólną obsługę realizacji obowiązków z zakresu cyberbezpieczeństwa (art. 16e ust. 5) albo zawrzeć w tej sprawie porozumienie z innym samorządem (art. 16e ust. 6). Według ministerstwa status szkoły jako podmiotu ważnego się wtedy nie zmienia.

Podstawa prawna i źródła

Treść ma charakter informacyjny. W konkretnej sprawie rozstrzyga aktualne brzmienie przepisów i stanowisko właściwego organu.