Od zgodności do odporności.

Od ochrony infrastruktury do odporności organizacji

Dyrektywa CER zastąpiła wcześniejszą dyrektywę 2008/114/WE dotyczącą europejskiej infrastruktury krytycznej. CER istotnie rozszerza perspektywę zarządzania odpornością. Komisja Europejska wskazywała, że podejście koncentrujące się wyłącznie na ochronie poszczególnych aktywów infrastrukturalnych jest niewystarczające w coraz bardziej współzależnej gospodarce.

Ma to istotne konsekwencje praktyczne.

Elektrownia, gazociąg, centrum danych, magazyn, zakład produkcyjny czy centrum sterowania nie funkcjonują w izolacji. Świadczenie usługi może zależeć jednocześnie od infrastruktury technicznej, systemów IT i OT, dostępności pracowników, energii i paliw, dostawców, części zamiennych, usług transportowych oraz innych podmiotów.

Dlatego punktem wyjścia staje się nie tyle pytanie „co musimy chronić?”, ile: „jakie usługi musimy być zdolni świadczyć również wtedy, gdy wystąpi poważne zakłócenie i czego potrzebujemy, aby je utrzymać lub możliwie szybko odtworzyć?”.
 

Kogo dotyczy CER?

Dyrektywa obejmuje podmioty działające w sektorach kluczowych dla funkcjonowania gospodarki i społeczeństwa. Jej zakres obejmuje między innymi energetykę, transport, bankowość, infrastrukturę rynków finansowych, ochronę zdrowia, wodę pitną, ścieki, infrastrukturę cyfrową, administrację publiczną, przestrzeń kosmiczną oraz część sektora żywnościowego.

Sama działalność w jednym z tych sektorów nie przesądza jednak automatycznie o uznaniu przedsiębiorstwa za podmiot krytyczny. System CER zakłada identyfikację takich podmiotów z uwzględnieniem usług przez nie świadczonych oraz znaczenia potencjalnego zakłócenia tych usług.

Dyrektywa nakłada na państwa członkowskie obowiązki dotyczące krajowej oceny ryzyka oraz identyfikacji podmiotów krytycznych, a na zidentyfikowane podmioty między innymi obowiązek przeprowadzenia oceny ryzyka, wdrożenia odpowiednich środków zwiększających odporność oraz zgłaszania incydentów spełniających określone kryteria.
 

CER wymaga spojrzenia na pełen ekosystem ryzyka

CER wprowadza kompleksowe spojrzenie na odporność organizacji i jej zdolność do utrzymania usług kluczowych w warunkach poważnych zakłóceń. W centrum tego podejścia znajduje się cały ekosystem zależności: usługi, procesy, ludzie, systemy i dane, infrastruktura, lokalizacje, dostawcy oraz niezbędne media i zasoby. Budowanie odporności wymaga spójnego podejścia obejmującego zarządzanie ryzykiem, ciągłość działania, odporność łańcucha dostaw, bezpieczeństwo infrastruktury, ryzyka klimatyczne oraz zarządzanie kryzysowe.
 

Od zgodności z CER do odporności

Wdrożenie CER można potraktować jako projekt zapewnienia zgodności regulacyjnej, obejmujący wymagane analizy, polityki i dokumentację. Pełne wykorzystanie tej regulacji pozwala jednak szerzej spojrzeć na odporność organizacyjną i powiązać wymagania CER z istniejącymi mechanizmami zarządzania ryzykiem i ciągłością działania. CER może tym samym stać się impulsem do uporządkowania sposobu, w jaki organizacja identyfikuje swoje kluczowe zależności, przygotowuje się na zakłócenia i zarządza nimi, kiedy rzeczywiście wystąpią.
 

Jak przygotować organizację do CER?

Przygotowanie organizacji do wymagań CER może rozpocząć się od skoncentrowanej diagnozy obecnego poziomu przygotowania, pozwalającej zidentyfikować luki względem wymagań regulacyjnych oraz obszary wymagające wzmocnienia.

Deloitte może wspierać organizacje w szczególności w zakresie:

• CER Readiness Assessment – ocena zgodności z wymaganiami CER i przepisami krajowymi, identyfikacja luk oraz ocena poziomu przygotowania organizacji;
• Enterprise Risk Assessment – identyfikacja i ocena ryzyk zagrażających ciągłości usług krytycznych oraz integracja z systemem zarządzania ryzykiem;
• mapowania usług krytycznych – identyfikacja usług i ich kluczowych zależności obejmujących procesy, aktywa, lokalizacje, systemy i dostawców;
• Business Continuity Management – rozwój i wzmacnianie zdolności organizacji do utrzymania i odtworzenia kluczowych usług;
• Crisis Management – rozwój modelu reagowania kryzysowego, zasad odpowiedzialności, eskalacji i komunikacji;
• Supply Chain Resilience – ocena i wzmacnianie odporności łańcucha dostaw oraz zależności od kluczowych dostawców;
• Physical Security Assessment – ocena odporności fizycznej infrastruktury, obiektów i kluczowych aktywów;
• Organizational Resilience – projektowanie i rozwój modelu zarządzania odpornością organizacji;
• audytu zgodności z CER – niezależna ocena zgodności procesów, dokumentacji i mechanizmów kontrolnych z wymaganiami regulacyjnymi;
• ryzyk klimatycznych – ocena wpływu zagrożeń klimatycznych i ekstremalnych zjawisk pogodowych na usługi krytyczne, aktywa, lokalizacje i dostawców;
• ćwiczeń i testów odporności – weryfikacja skuteczności przygotowanych rozwiązań poprzez testy i ćwiczenia scenariuszowe;
• programu wdrożenia CER – kompleksowe zarządzanie procesem dostosowania organizacji do wymagań CER.

W sprawie wsparcia w powyższym zakresie prosimy o kontakt z Izabelą Filipiak (ifilipiak@deloittece.com) lub Alicją Korecką (akorecka@deloittece.com).

Podejście do CER powinno wykorzystywać i integrować istniejące w organizacji rozwiązania oraz uzupełniać zidentyfikowane luki, tak aby zgodność z wymogami regulacyjnymi wzmacniała rzeczywistą zdolność do utrzymania i odtworzenia kluczowych usług w sytuacji zakłócenia.