Część 4 z 4 cyklu o tym, jak dziś wygląda ochrona firmy.

W trzech poprzednich wpisach pisaliśmy o tym, co warto mieć: kamery wewnątrz domu, pilnowaną skrzynkę na listy i centrum monitoringu dla całego osiedla. Ten wpis jest o czymś innym. O tym, co trzeba mieć.

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, wdrażająca unijną dyrektywę NIS2, weszła w życie 3 kwietnia 2026 roku. Dla wielu firm bezpieczeństwo przestało być kwestią rozsądku i stało się kwestią prawa, z terminami w kalendarzu i karami za ich niedotrzymanie.

Ustawa dzieli objęte firmy na podmioty kluczowe i podmioty ważne, a lista sektorów jest znacznie szersza niż w poprzedniej wersji przepisów. Obejmuje między innymi energetykę, transport, ochronę zdrowia, wodociągi i ścieki, gospodarkę odpadami, produkcję żywności, chemikaliów, elektroniki, maszyn i pojazdów, usługi pocztowe i kurierskie, infrastrukturę cyfrową i dostawców usług cyfrowych.

Kwalifikacja zależy od sektora i wielkości firmy, a ocenę trzeba przeprowadzić samodzielnie. Nikt nie przyśle Ci zawiadomienia, że podlegasz ustawie.

W kalendarzu są dwie daty:

• 3 października 2026: termin na tę samoocenę i na wpis do wykazu podmiotów kluczowych i ważnych.
• 3 kwietnia 2027: termin na wdrożenie wymaganych środków zarządzania bezpieczeństwem.

To najczęstsza reakcja i w wielu przypadkach formalnie słuszna. Tylko że ustawa nakazuje podmiotom kluczowym i ważnym zadbać o bezpieczeństwo łańcucha dostaw, czyli o ryzyko, które wnoszą ich dostawcy.

W praktyce te wymagania spływają w dół umowami. Jeśli produkujesz komponenty dla dużego zakładu, serwisujesz systemy w szpitalu, wozisz towar dla sieci handlowej albo hostujesz aplikację dla firmy energetycznej, pytania o Twoje zabezpieczenia pojawią się przy najbliższym przedłużeniu kontraktu. Nie w formie uprzejmej rozmowy, tylko ankiety bezpieczeństwa z konkretnymi rubrykami i załącznika do umowy.

Formalnie nie podlegasz przepisom. Praktycznie musisz na te pytania odpowiedzieć, a odpowiedź „mamy antywirusa” może zakończyć współpracę.

Ustawa nie wymienia produktów ani marek. Wymaga zdolności. Zestawmy je z tym, o czym pisaliśmy w poprzednich wpisach:

Nie jest przypadkiem, że to się tak dobrze pokrywa. Przepisy nie zostały wymyślone w oderwaniu od praktyki, tylko opisują to, co i tak jest dziś minimum, jeśli firma ma przetrwać poważny incydent.

To fragment, który najczęściej umyka na etapie planowania budżetu, a boli najbardziej w praktyce.

Poważny incydent trzeba zgłosić w ciągu 24 godzin od wykrycia jako wczesne ostrzeżenie. Pełne zgłoszenie, opisujące co się stało i jaki był zasięg, składa się w ciągu 72 godzin. Sprawozdanie końcowe przychodzi później.

Wyobraź sobie tę dobę. Systemy częściowo nie działają, zarząd chce wiedzieć, czy wyciekły dane klientów, klienci dzwonią, a Ty masz napisać do organu, co dokładnie się wydarzyło.

Z gotową osią czasu: sprawdzasz, od którego urządzenia się zaczęło, którędy napastnik szedł i czego dotknął. Godzina pracy.

Bez niej: zbierasz relacje pracowników, przeglądasz to, co akurat zostało w logach, i zgadujesz. Tydzień pracy, którego nie masz, i zgłoszenie, pod którym nikt nie chce się podpisać.

Dla podmiotów kluczowych do 10 mln euro albo 2% rocznego obrotu. Dla podmiotów ważnych do 7 mln euro albo 1,4% obrotu. W obu przypadkach liczy się kwota wyższa.

Osobno przewidziano odpowiedzialność osobistą kierownika podmiotu, sięgającą 600% jego miesięcznego wynagrodzenia. To akurat zmienia charakter rozmowy o budżecie na bezpieczeństwo w sposób, którego nie zmieniła żadna wcześniejsza regulacja: z „dział IT by chciał” na „zarząd odpowiada za to osobiście, ze swojej kieszeni”.

Żaden produkt nie daje zgodności z ustawą i nie wierz nikomu, kto twierdzi inaczej.

Zgodność to analiza ryzyka, procedury, dokumentacja, szkolenia pracowników, wyznaczone role i regularne przeglądy. To praca organizacyjna, w dużej części na papierze i nie da się jej kupić w pudełku.

Rozwiązania opisane w tym cyklu pokrywają istotną część wymagań technicznych, co podczas kontroli bywa równie ważne, pozwalają udowodnić, że są spełnione: pokazać zapisy, oś czasu, historię reakcji. Resztę trzeba zrobić samodzielnie albo z doradcą. Jeśli ktoś sprzedaje Ci licencję z obietnicą „zgodności z NIS2″, właśnie dowiedziałeś się o nim czegoś istotnego.

1. Sprawdź, czy podlegasz ustawie. Sektor i wielkość firmy, godzina pracy z listą w ręku.
2. Zapytaj swój dział IT o jedno. Gdyby dziś rano okazało się, że ktoś jest w naszej sieci od dwóch tygodni, ile czasu zajmie nam ustalenie, co robił? Odpowiedź powie Ci więcej niż niejeden audyt.
3. Sprawdź, co się dzieje z logami. Jak długo są przechowywane i czy ktokolwiek do nich zagląda.

Jeśli którakolwiek odpowiedź Cię zaniepokoi, zadzwoń albo napisz. Zaczniemy od tego, co faktycznie chcesz chronić i kto miałby obsługiwać zgłoszenia, a dopiero potem od rozwiązań.