มาตรา 54 พ.ร.บ. ไซเบอร์ฯ — CII ต้องประเมินความเสี่ยงและตรวจสอบทุกปี

สรุปสั้น: พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 ประกาศในราชกิจจานุเบกษา เล่ม 136 ตอนที่ 69 ก เมื่อวันที่ 27 พฤษภาคม 2562 กำหนดให้หน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (Critical Information Infrastructure — CII) จะต้องประเมินความเสี่ยงและตรวจสอบระบบอย่างน้อยปีละ 1 ครั้ง แล้วส่งรายงานภายใน 30 วัน (มาตรา 54) นอกจากนี้หน่วยงานของรัฐ หน่วยงานควบคุมหรือกำกับดูแล และหน่วยงาน CIIจะต้องจัดทำแผนตรวจสอบปีละ 1 ครั้ง (มาตรา 44)

📎 ดูพระราชบัญญัติฉบับเต็ม (ราชกิจจานุเบกษา PDF)

มาตรา 54 — หัวใจของการตรวจสอบ CII

มาตรา 54 แห่ง พ.ร.บ. การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 กำหนดหน้าที่หลักของหน่วยงาน CII ไว้ดังนี้:

หน้าที่ตามมาตราสำคัญอื่น ๆ

พ.ร.บ. ไซเบอร์ฯ 2562 ไม่ได้มีแค่มาตรา 54 ยังมีมาตราที่เกี่ยวข้องกับหน้าที่ของหน่วยงานอีกหลายมาตรา:

มาตรา 44 — แผนตรวจสอบประจำปี (หน่วยงานตามขอบเขตมาตรา 44)

หน่วยงานของรัฐ หน่วยงานควบคุมหรือกำกับดูแล และหน่วยงาน CII จะต้องจัดทำแผนการตรวจสอบด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ปีละ 1 ครั้ง (มาตรา 44)

มาตรา 45 — ป้องกัน รับมือ ลดความเสี่ยง

หน่วยงานของรัฐ หน่วยงานควบคุมหรือกำกับดูแล และหน่วยงาน CIIจะต้องดำเนินมาตรการป้องกัน รับมือ และลดความเสี่ยงภัยคุกคามทางไซเบอร์ (มาตรา 45)

มาตรา 46 — แจ้งรายชื่อเจ้าหน้าที่

หน่วยงานของรัฐ หน่วยงานควบคุมหรือกำกับดูแล และหน่วยงาน CIIจะต้องแจ้งรายชื่อเจ้าหน้าที่ผู้รับผิดชอบด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ต่อ สกมช. (มาตรา 46)

มาตรา 52 — CII แจ้งข้อมูลภายใน 30 วัน

หน่วยงาน CII จะต้องแจ้งข้อมูลการดำเนินการด้านความมั่นคงปลอดภัยไซเบอร์ภายใน 30 วัน (มาตรา 52)

มาตรา 56 — เฝ้าระวัง

หน่วยงาน CII จะต้องจัดให้มีการเฝ้าระวัง (Monitoring) ภัยคุกคามทางไซเบอร์อย่างต่อเนื่อง (มาตรา 56)

มาตรา 57 — รายงานเหตุภัยคุกคาม

เมื่อเกิดเหตุภัยคุกคามทางไซเบอร์ หน่วยงานจะต้องรายงานต่อ สกมช. ตามหลักเกณฑ์ที่กำหนด (มาตรา 57)

7 กลุ่มโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (CII Sectors)

พ.ร.บ. ไซเบอร์ฯ กำหนดกลุ่ม CII ไว้ 7 กลุ่ม ดังนี้:

หน่วยงานใน 7 กลุ่มนี้ที่ถูกประกาศเป็น CII จะต้องปฏิบัติตามมาตรา 54 โดยตรง

Timeline การปฏิบัติตามมาตรา 54

วันที่ 1         ดำเนินการประเมินความเสี่ยง + ตรวจสอบระบบ
    │
    ▼
ภายใน 30 วัน    จัดทำและส่งผลสรุปรายงานต่อ สกมช.
    │
    ▼
ปีถัดไป          ดำเนินการรอบใหม่ (อย่างน้อยปีละ 1 ครั้ง)

ความเชื่อมโยงกับประกาศลำดับรอง

พ.ร.บ. ไซเบอร์ฯ 2562 เป็นกฎหมายแม่ที่ให้อำนาจออกประกาศลำดับรองหลายฉบับ ได้แก่:

• ประมวลแนวทางปฏิบัติและกรอบมาตรฐานด้านไซเบอร์ พ.ศ. 2564 — กรอบ NIST CSF สำหรับ Identify/Protect/Detect/Respond/Recover
• ชุดประกาศ 18 มกราคม 2567 — มาตรฐานการกำหนดคุณลักษณะและขั้นต่ำ
• มาตรฐาน Cloud Security สกมช. 2567 — ข้อกำหนดด้านคลาวด์ตาม ISO 27017/27018
• มาตรฐานเว็บไซต์ สกมช. 2568 — ข้อกำหนด VA/Pentest/MFA สำหรับเว็บไซต์
• ประกาศผู้ให้บริการด้านความมั่นคงปลอดภัยไซเบอร์ 2566 — ระบบรับรองผู้ให้บริการ

---

คำถามที่พบบ่อย (FAQ)

1. ผู้ตรวจสอบอิสระ (Independent Auditor) ตามมาตรา 54 คือใคร?

มาตรา 54 ระบุทั้งผู้ตรวจสอบภายในและผู้ตรวจสอบอิสระภายนอก ไม่ได้บังคับจ้างภายนอกเสมอ ต้องพิจารณาบทบาท ความเป็นอิสระ และมาตรฐานที่ใช้กับหน่วยงาน

2. 30 วันนับจากเมื่อไร?

ระยะเวลา 30 วันตามมาตรา 54 นับจากวันที่การประเมินความเสี่ยงหรือการตรวจสอบแล้วเสร็จ หน่วยงาน CII จะต้องจัดส่งรายงานต่อ สกมช. ภายในกำหนดดังกล่าว

3. หน่วยงานที่ไม่ใช่ CII ต้องทำอะไรบ้าง?

แม้ไม่ใช่ CII แต่ตามมาตรา 44 หน่วยงานของรัฐ หน่วยงานควบคุมหรือกำกับดูแล และหน่วยงาน CIIจะต้องจัดทำแผนตรวจสอบปีละ 1 ครั้ง และตามมาตรา 45 จะต้องดำเนินมาตรการป้องกัน รับมือ และลดความเสี่ยง ส่วนมาตรา 54 (ประเมินความเสี่ยง + ตรวจสอบ + ส่งรายงาน 30 วัน) เป็นหน้าที่เฉพาะของ CII

4. ถ้าไม่ปฏิบัติตามมาตรา 54 มีบทลงโทษอย่างไร?

ต้องตรวจฐานความผิด คำสั่ง และพฤติการณ์เฉพาะกรณีกับผู้เชี่ยวชาญกฎหมาย ไม่ควรนำโทษมาตราอื่นมาใช้กับการไม่ทำมาตรา 54 โดยอัตโนมัติ

5. ประเมินความเสี่ยงกับตรวจสอบระบบเป็นคนละขั้นตอนหรือไม่?

ใช่ มาตรา 54 ระบุทั้ง “ประเมินความเสี่ยง” (Risk Assessment) และ “ตรวจสอบ” (Audit) เป็น 2 กิจกรรมที่จะต้องดำเนินการ โดยอาจทำควบคู่กันหรือแยกกันก็ได้ แต่ทั้งสองอย่างจะต้องทำอย่างน้อยปีละ 1 ครั้ง

---

บริการของ ITSL ที่ช่วยให้ปฏิบัติตาม พ.ร.บ. ไซเบอร์ฯ

IT Audit & Compliance Assessment

ตรวจสอบระบบสารสนเทศตามกรอบมาตรา 54 ครอบคลุมการประเมินความเสี่ยงและจัดทำรายงานให้ส่ง สกมช. ภายใน 30 วัน

→ ดูรายละเอียด IT Audit

Vulnerability Assessment & Penetration Testing

ประเมินช่องโหว่และทดสอบเจาะระบบเพื่อรองรับมาตรา 45 (ป้องกัน ลดความเสี่ยง) และมาตรา 56 (เฝ้าระวัง)

→ ดูรายละเอียด Web Pentest

IT Policy Development

จัดทำนโยบายและแผนการตรวจสอบประจำปีตามมาตรา 44 รวมถึงแผนรับมือเหตุภัยคุกคามตามมาตรา 57

→ ดูรายละเอียด IT Policy

---

ขอบเขตข้อกำหนด: มาตรา 54 กำหนดการประเมินความเสี่ยงและ Cybersecurity Audit โดยผู้ตรวจสอบภายในหรือผู้ตรวจสอบอิสระภายนอกอย่างน้อยปีละครั้ง และส่งผลสรุปรายงานภายใน 30 วันนับแต่ดำเนินการแล้วเสร็จ ตัวบทไม่ได้ระบุว่าต้องทำ Pentest ประจำปีโดยตรง ต้องแยกข้อกำหนดจากประกาศ/มาตรฐานเฉพาะที่ใช้กับหน่วยงานออกจากวิธีทดสอบที่แนะนำ ดู ตัวบทมาตรา 44 และ 54 ฉบับราชกิจจาฯ สำเนาบน DGA หน้า PDF 17–18 และ 21 และ คำชี้แจง สกมช. กันยายน 2566 ข้อ 9–10 (สำเนาที่ UBRU)

สรุปนี้เป็นข้อมูลทั่วไป ไม่ใช่คำปรึกษากฎหมายหรือการรับรอง compliance ขององค์กร