5.31 Wymagania prawne, ustawowe, regulacyjne i umowne
W skrócie: organizacja wie, które przepisy i umowy nakładają na nią wymagania bezpieczeństwa, i uwzględnia je w politykach i zabezpieczeniach.
Cel: zapewnienie zgodności z wymaganiami prawnymi, ustawowymi, regulacyjnymi i umownymi dotyczącymi bezpieczeństwa informacji.
Atrybuty
| Typ atrybutu | Wartości |
|---|---|
| Typ zabezpieczenia | #Preventive (prewencyjne) |
| Właściwości bezpieczeństwa informacji | #Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność) |
| Koncepcje cyberbezpieczeństwa | #Identify (identyfikacja) |
| Zdolności operacyjne | #Legal_and_compliance (prawo i zgodność) |
| Domeny bezpieczeństwa | #Governance_and_Ecosystem (ład i ekosystem), #Protection (ochrona) |
Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.
Wytyczne
- Wymagania zewnętrzne uwzględnia się przy tworzeniu polityk i procedur, projektowaniu i zmianie zabezpieczeń, klasyfikacji informacji, ocenie ryzyka oraz określaniu ról i wymagań wobec dostawców.
- Organizacja identyfikuje wszystkie przepisy dotyczące jej działalności — także w innych krajach, gdy tam działa lub stamtąd korzysta z usług.
- Wykaz wymagań i sposobu ich spełnienia dokumentuje się i aktualizuje.
- Szczególna uwaga dotyczy kryptografii: ograniczenia importu i eksportu sprzętu i oprogramowania kryptograficznego, ograniczenia użycia szyfrowania, obowiązki udostępniania dostępu organom, zasady podpisu elektronicznego.
- Wymagania umowne mogą wynikać z umów z klientami, dostawcami i ubezpieczycielami.
W praktyce
Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.
- Rejestr wymagań prawnych z właścicielem dla każdej pozycji: RODO, ustawa o krajowym systemie cyberbezpieczeństwa (nowelizacja wdrażająca NIS2 obowiązuje od 3 kwietnia 2026 r.), DORA dla sektora finansowego, ustawa o ochronie informacji niejawnych, Kodeks pracy (monitoring), prawo telekomunikacyjne.
- Wymagania z umów z kluczowymi klientami (np. audyty, certyfikacja, lokalizacja danych) w tym samym rejestrze.
- Przegląd rejestru przy każdej zmianie przepisów — dobrym źródłem jest monitoring legislacyjny prawników.
Powiązania
- ISO/IEC 27001:2022: Załącznik A, A.5.31 — wykaz zabezpieczeń organizacyjnych; klauzula 4.2 Potrzeby i oczekiwania zainteresowanych stron.
- Pokrewne zabezpieczenia: 5.32 Prawa własności intelektualnej, 5.33 Ochrona zapisów, 5.34 Prywatność i ochrona danych osobowych, 5.36 Zgodność z politykami, zasadami i standardami bezpieczeństwa informacji, 8.24 Stosowanie kryptografii.
- ISO/IEC 27002:2013: 18.1.1, 18.1.5.