มาตรา 54 พ.ร.บ. ไซเบอร์ฯ — CII ต้องประเมินและตรวจสอบทุกปี

หลายหน่วยงานสับสนระหว่างมาตรา 44 กับมาตรา 54 ของ พ.ร.บ. การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 บทความนี้สรุปว่ามาตรา 54 กำหนดอะไร ต่างจากมาตรา 44 อย่างไร และหน่วยงาน CII ต้องเตรียมอะไรบ้าง

มาตรา 54 กำหนดอะไร

มาตรา 54 แห่ง พ.ร.บ. การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 กำหนดให้หน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (Critical Information Infrastructure — CII) จะต้องดำเนินการ 3 อย่าง:

ข้อกำหนด	รายละเอียด	ระดับ
ประเมินความเสี่ยง (Risk Assessment)	จะต้องประเมินความเสี่ยงด้านไซเบอร์อย่างน้อยปีละ 1 ครั้ง	จะต้อง (มาตรา 54)
ตรวจสอบระบบ (Audit)	จะต้องตรวจสอบระบบสารสนเทศอย่างน้อยปีละ 1 ครั้ง	จะต้อง (มาตรา 54)
ส่งรายงาน	จะต้องส่งผลสรุปรายงานต่อ สกมช. ภายใน 30 วัน	จะต้อง (มาตรา 54)

ทั้ง 3 ข้อเป็นหน้าที่ที่ CII จะต้องปฏิบัติตาม ไม่ใช่คำแนะนำ

มาตรา 44 vs มาตรา 54 — ต่างกันอย่างไร

จุดที่สร้างความสับสนมากที่สุดคือขอบเขตของ 2 มาตรานี้:

เรื่อง	มาตรา 44	มาตรา 54
ใครต้องทำ	หน่วยงานของรัฐ หน่วยงานควบคุมหรือกำกับดูแล และหน่วยงาน CII	เฉพาะ CII
สิ่งที่ต้องทำ	จัดทำ ประมวลแนวทางปฏิบัติและกรอบมาตรฐาน รวมแผนตรวจสอบและประเมินความเสี่ยงอย่างน้อยปีละ 1 ครั้ง และแผนรับมือภัยคุกคาม	ประเมินความเสี่ยง + ตรวจสอบระบบ ปีละ 1 ครั้ง
การรายงาน	ไม่ได้ระบุกำหนดเวลาส่งรายงาน	จะต้องส่งรายงานภายใน 30 วัน
ระดับข้อกำหนด	วางแผน	ลงมือทำ + รายงานผล

กล่าวสั้น ๆ: มาตรา 44 กำหนดให้หน่วยงานของรัฐ หน่วยงานควบคุมหรือกำกับดูแล และหน่วยงาน CIIจะต้อง “วางแผน” ตรวจสอบ ส่วนมาตรา 54 กำหนดให้ CII จะต้อง “ลงมือทำ” ประเมินความเสี่ยงและตรวจสอบจริง แล้วรายงานผลภายใน 30 วัน (พ.ร.บ. การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 มาตรา 44 และมาตรา 54)

7 กลุ่ม CII ที่ต้องปฏิบัติตาม

พ.ร.บ. ไซเบอร์ฯ 2562 กำหนดกลุ่ม CII ไว้ 7 กลุ่ม:

ลำดับ	กลุ่ม CII
1	ความมั่นคงของรัฐ (National Security)
2	บริการภาครัฐที่สำคัญ (Critical Government Services)
3	การเงินการธนาคาร (Financial Services)
4	เทคโนโลยีสารสนเทศและโทรคมนาคม (ICT & Telecommunications)
5	การขนส่งและโลจิสติกส์ (Transportation & Logistics)
6	พลังงานและสาธารณูปโภค (Energy & Public Utilities)
7	สาธารณสุข (Public Health)

หน่วยงานที่ถูกประกาศให้เป็น CII ในกลุ่มใดกลุ่มหนึ่งจะต้องปฏิบัติตามมาตรา 54 โดยตรง (พ.ร.บ. การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562)

Timeline การปฏิบัติ

ดำเนินการ          ประเมินความเสี่ยง + ตรวจสอบระบบ
    │
    ▼
ภายใน 30 วัน       จัดทำและส่งผลสรุปรายงานต่อ สกมช.
    │
    ▼
ปีถัดไป             ดำเนินการรอบใหม่ (อย่างน้อยปีละ 1 ครั้ง)

มาตราอื่นที่เกี่ยวข้อง

นอกจากมาตรา 54 ยังมีมาตราอื่นที่ CII ต้องปฏิบัติ:

มาตรา 45 — จะต้องดำเนินมาตรการป้องกัน รับมือ และลดความเสี่ยงภัยคุกคามทางไซเบอร์ (มาตรา 45)
มาตรา 46 — จะต้องแจ้งรายชื่อเจ้าหน้าที่ผู้รับผิดชอบด้านไซเบอร์ต่อ สกมช. (มาตรา 46)
มาตรา 52 — จะต้องแจ้งข้อมูลการดำเนินการด้านความมั่นคงปลอดภัยไซเบอร์ภายใน 30 วัน (มาตรา 52)
มาตรา 56 — จะต้องจัดให้มีการเฝ้าระวัง (Monitoring) ภัยคุกคามอย่างต่อเนื่อง (มาตรา 56)
มาตรา 57 — จะต้องรายงานเหตุภัยคุกคามทางไซเบอร์ต่อ สกมช. (มาตรา 57)

→ อ่านรายละเอียด พ.ร.บ. ไซเบอร์ฯ กับหน้าที่ CII ฉบับเต็ม

ขอบเขตข้อกำหนด: มาตรา 54 กำหนดการประเมินความเสี่ยงและ Cybersecurity Audit โดยผู้ตรวจสอบภายในหรือผู้ตรวจสอบอิสระภายนอกอย่างน้อยปีละครั้ง และส่งผลสรุปรายงานภายใน 30 วันนับแต่ดำเนินการแล้วเสร็จ ตัวบทไม่ได้ระบุว่าต้องทำ Pentest ประจำปีโดยตรง ต้องแยกข้อกำหนดจากประกาศ/มาตรฐานเฉพาะที่ใช้กับหน่วยงานออกจากวิธีทดสอบที่แนะนำ ดู ตัวบทมาตรา 44 และ 54 ฉบับราชกิจจาฯ สำเนาบน DGA หน้า PDF 17–18 และ 21 และ คำชี้แจง สกมช. กันยายน 2566 ข้อ 9–10 (สำเนาที่ UBRU)

สรุปนี้เป็นข้อมูลทั่วไป ไม่ใช่คำปรึกษากฎหมายหรือการรับรอง compliance ขององค์กร