{"id":20007,"date":"2026-11-11T23:54:23","date_gmt":"2026-11-11T22:54:23","guid":{"rendered":"https:\/\/teneg.pl\/its\/?p=20007"},"modified":"2026-11-12T00:07:04","modified_gmt":"2026-11-11T23:07:04","slug":"nis2-i-ustawa-o-ksc","status":"publish","type":"post","link":"https:\/\/teneg.pl\/its\/nis2-i-ustawa-o-ksc\/","title":{"rendered":"NIS2 i ustawa o KSC: co trzeba mie\u0107 i, co wa\u017cniejsze, jak to udowodni\u0107?\u00a0"},"content":{"rendered":"

Cz\u0119\u015b\u0107 4 z 4 cyklu o tym, jak dzi\u015b wygl\u0105da ochrona firmy.<\/em><\/p>\n

W trzech poprzednich wpisach pisali\u015bmy o tym, co warto mie\u0107: kamery wewn\u0105trz domu, pilnowan\u0105 skrzynk\u0119 na listy i centrum monitoringu dla ca\u0142ego osiedla. Ten wpis jest o czym\u015b innym. O tym, co trzeba<\/b> mie\u0107.<\/p>\n

Nowelizacja ustawy o krajowym systemie cyberbezpiecze\u0144stwa, wdra\u017caj\u0105ca unijn\u0105 dyrektyw\u0119 NIS2, wesz\u0142a w \u017cycie 3 kwietnia 2026 roku. Dla wielu firm bezpiecze\u0144stwo przesta\u0142o by\u0107 kwesti\u0105 rozs\u0105dku i sta\u0142o si\u0119 kwesti\u0105 prawa, z terminami w kalendarzu i karami za ich niedotrzymanie.<\/p>\n<\/div>

<\/div><\/div><\/div><\/div><\/div><\/div>

Kogo to dotyczy?<\/h3><\/div>

Ustawa dzieli obj\u0119te firmy na podmioty kluczowe i podmioty wa\u017cne<\/strong>, a lista sektor\u00f3w jest znacznie szersza ni\u017c w poprzedniej wersji przepis\u00f3w. Obejmuje mi\u0119dzy innymi energetyk\u0119, transport, ochron\u0119 zdrowia, wodoci\u0105gi i \u015bcieki, gospodark\u0119 odpadami, produkcj\u0119 \u017cywno\u015bci, chemikali\u00f3w, elektroniki, maszyn i pojazd\u00f3w, us\u0142ugi pocztowe i kurierskie, infrastruktur\u0119 cyfrow\u0105 i dostawc\u00f3w us\u0142ug cyfrowych.<\/p>\n

Kwalifikacja zale\u017cy od sektora i wielko\u015bci firmy, a ocen\u0119 trzeba przeprowadzi\u0107 samodzielnie. Nikt nie przy\u015ble Ci zawiadomienia, \u017ce podlegasz ustawie.<\/p>\n

W kalendarzu s\u0105 dwie daty:<\/p>\n

    \n
  • 3 pa\u017adziernika 2026:<\/strong> termin na t\u0119 samoocen\u0119 i na wpis do wykazu podmiot\u00f3w kluczowych i wa\u017cnych.<\/li>\n
  • 3 kwietnia 2027:<\/strong> termin na wdro\u017cenie wymaganych \u015brodk\u00f3w zarz\u0105dzania bezpiecze\u0144stwem.<\/li>\n<\/ul>\n<\/div><\/div><\/div><\/div><\/div>

    \u201eTo nas nie dotyczy, jeste\u015bmy za mali”<\/h3><\/div>

    To najcz\u0119stsza reakcja i w wielu przypadkach formalnie s\u0142uszna. Tylko \u017ce ustawa nakazuje podmiotom kluczowym i wa\u017cnym zadba\u0107 o bezpiecze\u0144stwo \u0142a\u0144cucha dostaw<\/strong>, czyli o ryzyko, kt\u00f3re wnosz\u0105 ich dostawcy.<\/p>\n

    W praktyce te wymagania sp\u0142ywaj\u0105 w d\u00f3\u0142 umowami. Je\u015bli produkujesz komponenty dla du\u017cego zak\u0142adu, serwisujesz systemy w szpitalu, wozisz towar dla sieci handlowej albo hostujesz aplikacj\u0119 dla firmy energetycznej, pytania o Twoje zabezpieczenia pojawi\u0105 si\u0119 przy najbli\u017cszym przed\u0142u\u017ceniu kontraktu. Nie w formie uprzejmej rozmowy, tylko ankiety bezpiecze\u0144stwa z konkretnymi rubrykami i za\u0142\u0105cznika do umowy.<\/p>\n

    Formalnie nie podlegasz przepisom. Praktycznie musisz na te pytania odpowiedzie\u0107, a odpowied\u017a \u201emamy antywirusa” mo\u017ce zako\u0144czy\u0107 wsp\u00f3\u0142prac\u0119.<\/p>\n<\/div><\/div><\/div><\/div><\/div>

    Czego wymagaj\u0105 przepisy i gdzie to ju\u017c opisali\u015bmy<\/h3><\/div>

    Ustawa nie wymienia produkt\u00f3w ani marek. Wymaga zdolno\u015bci. Zestawmy je z tym, o czym pisali\u015bmy w poprzednich wpisach:<\/p>\n\n\n\n\n\n\n\n\n\n\n\n
    Czego wymagaj\u0105 przepisy?<\/th>\nGdzie to jest?<\/th>\n<\/tr>\n<\/thead>\n
    Ci\u0105g\u0142e monitorowanie system\u00f3w i rejestrowanie zdarze\u0144 bezpiecze\u0144stwa<\/td>\nCi\u0105g\u0142y zapis na stacjach i serwerach (cz\u0119\u015b\u0107 1), zbieranie log\u00f3w z ca\u0142ej infrastruktury (cz\u0119\u015b\u0107 3)<\/td>\n<\/tr>\n
    Zdolno\u015b\u0107 wykrywania, analizy i ograniczania skutk\u00f3w incydent\u00f3w<\/td>\nWykrywanie zachowa\u0144 i reakcja z konsoli (cz\u0119\u015b\u0107 1), korelacja zdarze\u0144 z wielu \u017ar\u00f3de\u0142 (cz\u0119\u015b\u0107 3)<\/td>\n<\/tr>\n
    Mo\u017cliwo\u015b\u0107 odtworzenia dzia\u0142a\u0144 u\u017cytkownik\u00f3w i administrator\u00f3w<\/td>\nO\u015b czasu incydentu (cz\u0119\u015b\u0107 1 i 3)<\/td>\n<\/tr>\n
    Przechowywanie log\u00f3w przez okre\u015blony czas<\/td>\nRetencja w centrum monitoringu (cz\u0119\u015b\u0107 3)<\/td>\n<\/tr>\n
    Kontrola dost\u0119pu i bezpieczne uwierzytelnianie<\/td>\nUwierzytelnianie wielosk\u0142adnikowe (cz\u0119\u015b\u0107 2)<\/td>\n<\/tr>\n
    Zarz\u0105dzanie podatno\u015bciami<\/td>\nSkanowanie i automatyczne \u0142atanie (cz\u0119\u015b\u0107 2)<\/td>\n<\/tr>\n
    Bezpiecze\u0144stwo \u0142a\u0144cucha dostaw i poczty<\/td>\nOchrona poczty i aplikacji chmurowych (cz\u0119\u015b\u0107 2)<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

    Nie jest przypadkiem, \u017ce to si\u0119 tak dobrze pokrywa. Przepisy nie zosta\u0142y wymy\u015blone w oderwaniu od praktyki, tylko opisuj\u0105 to, co i tak jest dzi\u015b minimum, je\u015bli firma ma przetrwa\u0107 powa\u017cny incydent.<\/p>\n<\/div><\/div><\/div><\/div><\/div>

    Zegar, kt\u00f3ry zaczyna tyka\u0107 w najgorszym momencie<\/h3><\/div>

    To fragment, kt\u00f3ry najcz\u0119\u015bciej umyka na etapie planowania bud\u017cetu, a boli najbardziej w praktyce.<\/p>\n

    Powa\u017cny incydent trzeba zg\u0142osi\u0107 w ci\u0105gu 24 godzin<\/strong> od wykrycia jako wczesne ostrze\u017cenie. Pe\u0142ne zg\u0142oszenie, opisuj\u0105ce co si\u0119 sta\u0142o i jaki by\u0142 zasi\u0119g, sk\u0142ada si\u0119 w ci\u0105gu 72 godzin<\/strong>. Sprawozdanie ko\u0144cowe przychodzi p\u00f3\u017aniej.<\/p>\n

    Wyobra\u017a sobie t\u0119 dob\u0119. Systemy cz\u0119\u015bciowo nie dzia\u0142aj\u0105, zarz\u0105d chce wiedzie\u0107, czy wyciek\u0142y dane klient\u00f3w, klienci dzwoni\u0105, a Ty masz napisa\u0107 do organu, co dok\u0142adnie si\u0119 wydarzy\u0142o.<\/p>\n

    Z gotow\u0105 osi\u0105 czasu: sprawdzasz, od kt\u00f3rego urz\u0105dzenia si\u0119 zacz\u0119\u0142o, kt\u00f3r\u0119dy napastnik szed\u0142 i czego dotkn\u0105\u0142. Godzina pracy.<\/p>\n

    Bez niej: zbierasz relacje pracownik\u00f3w, przegl\u0105dasz to, co akurat zosta\u0142o w logach, i zgadujesz. Tydzie\u0144 pracy, kt\u00f3rego nie masz, i zg\u0142oszenie, pod kt\u00f3rym nikt nie chce si\u0119 podpisa\u0107.<\/p>\n<\/div><\/div><\/div><\/div><\/div>

    Kary<\/h3><\/div>

    Dla podmiot\u00f3w kluczowych do 10 mln euro albo 2% rocznego obrotu. Dla podmiot\u00f3w wa\u017cnych do 7 mln euro albo 1,4% obrotu. W obu przypadkach liczy si\u0119 kwota wy\u017csza.<\/p>\n

    Osobno przewidziano odpowiedzialno\u015b\u0107 osobist\u0105 kierownika podmiotu, si\u0119gaj\u0105c\u0105 600% jego miesi\u0119cznego wynagrodzenia. To akurat zmienia charakter rozmowy o bud\u017cecie na bezpiecze\u0144stwo w spos\u00f3b, kt\u00f3rego nie zmieni\u0142a \u017cadna wcze\u015bniejsza regulacja: z \u201edzia\u0142 IT by chcia\u0142” na \u201ezarz\u0105d odpowiada za to osobi\u015bcie, ze swojej kieszeni”.<\/p>\n<\/div><\/div><\/div><\/div><\/div>

    B\u0105d\u017amy uczciwi na koniec<\/h3><\/div>

    \u017baden produkt nie daje zgodno\u015bci z ustaw\u0105 i nie wierz nikomu, kto twierdzi inaczej.<\/strong><\/p>\n

    Zgodno\u015b\u0107 to analiza ryzyka, procedury, dokumentacja, szkolenia pracownik\u00f3w, wyznaczone role i regularne przegl\u0105dy. To praca organizacyjna, w du\u017cej cz\u0119\u015bci na papierze i nie da si\u0119 jej kupi\u0107 w pude\u0142ku.<\/p>\n

    Rozwi\u0105zania opisane w tym cyklu pokrywaj\u0105 istotn\u0105 cz\u0119\u015b\u0107 wymaga\u0144 technicznych, co podczas kontroli bywa r\u00f3wnie wa\u017cne, pozwalaj\u0105 udowodni\u0107, \u017ce s\u0105 spe\u0142nione<\/strong>: pokaza\u0107 zapisy, o\u015b czasu, histori\u0119 reakcji. Reszt\u0119 trzeba zrobi\u0107 samodzielnie albo z doradc\u0105. Je\u015bli kto\u015b sprzedaje Ci licencj\u0119 z obietnic\u0105 \u201ezgodno\u015bci z NIS2″, w\u0142a\u015bnie dowiedzia\u0142e\u015b si\u0119 o nim czego\u015b istotnego.<\/p>\n<\/div><\/div><\/div><\/div><\/div>

    <\/div><\/div>

    Co mo\u017cesz zrobi\u0107 w tym tygodniu?<\/h3><\/div>
      \n
    1. Sprawd\u017a, czy podlegasz ustawie<\/strong>. Sektor i wielko\u015b\u0107 firmy, godzina pracy z list\u0105 w r\u0119ku.<\/li>\n
    2. Zapytaj sw\u00f3j dzia\u0142 IT o jedno<\/strong>. Gdyby dzi\u015b rano okaza\u0142o si\u0119, \u017ce kto\u015b jest w naszej sieci od dw\u00f3ch tygodni, ile czasu zajmie nam ustalenie, co robi\u0142? Odpowied\u017a powie Ci wi\u0119cej ni\u017c niejeden audyt.<\/li>\n
    3. Sprawd\u017a, co si\u0119 dzieje z logami<\/strong>. Jak d\u0142ugo s\u0105 przechowywane i czy ktokolwiek do nich zagl\u0105da.<\/li>\n<\/ol>\n

      Je\u015bli kt\u00f3rakolwiek odpowied\u017a Ci\u0119 zaniepokoi, zadzwo\u0144 albo napisz. Zaczniemy od tego, co faktycznie chcesz chroni\u0107 i kto mia\u0142by obs\u0142ugiwa\u0107 zg\u0142oszenia, a dopiero potem od rozwi\u0105za\u0144.<\/p>\n<\/div><\/div><\/div><\/div><\/div>

      _____________________________________<\/p>\n

      Zaobserwuj nas po wi\u0119cej<\/strong><\/h1>\n

      Facebook<\/a><\/p>\n

      Linkedin<\/a><\/p>\n<\/div><\/div><\/div><\/div><\/div><\/p>\n","protected":false},"excerpt":{"rendered":"","protected":false},"author":17,"featured_media":20008,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[88,6],"tags":[],"class_list":["post-20007","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-cyberbezpieczenstwo","category-wszystkie"],"_links":{"self":[{"href":"https:\/\/teneg.pl\/its\/wp-json\/wp\/v2\/posts\/20007","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/teneg.pl\/its\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/teneg.pl\/its\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/teneg.pl\/its\/wp-json\/wp\/v2\/users\/17"}],"replies":[{"embeddable":true,"href":"https:\/\/teneg.pl\/its\/wp-json\/wp\/v2\/comments?post=20007"}],"version-history":[{"count":7,"href":"https:\/\/teneg.pl\/its\/wp-json\/wp\/v2\/posts\/20007\/revisions"}],"predecessor-version":[{"id":20015,"href":"https:\/\/teneg.pl\/its\/wp-json\/wp\/v2\/posts\/20007\/revisions\/20015"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/teneg.pl\/its\/wp-json\/wp\/v2\/media\/20008"}],"wp:attachment":[{"href":"https:\/\/teneg.pl\/its\/wp-json\/wp\/v2\/media?parent=20007"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/teneg.pl\/its\/wp-json\/wp\/v2\/categories?post=20007"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/teneg.pl\/its\/wp-json\/wp\/v2\/tags?post=20007"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}