Stan prawny: 21 października 2026 r.
Pierwsze 30 dni przygotowań do KSC powinno dać kierownictwu rozpoznany zakres obowiązków, listę ważnych usług, właścicieli zadań i plan dalszych prac. Dzięki temu można ustalić kolejność wydatków i sprawdzać postęp. Miesiąc jest tu okresem organizacji projektu; nie przesuwa terminów wynikających z przepisów.
Najczęściej trudno zacząć dlatego, że informacje są rozproszone. Administrator zna urządzenia, księgowość ma umowy, dostawca wykonuje kopie, a poprzedni audyt znajduje się w czyjejś skrzynce. Pierwszym celem jest zebranie tych elementów w jeden obraz sytuacji.
Dzień pierwszy — wyznacz koordynatora i ustal cel
Kierownictwo powinno wskazać osobę koordynującą prace i określić, jakie decyzje może podejmować. Koordynator potrzebuje dostępu do właścicieli usług, administratora, umów i dokumentacji. Nie musi osobiście wykonywać wszystkich zadań technicznych.
Na rozpoczęcie wystarczy krótkie ustalenie: jakie jednostki i lokalizacje obejmujemy, kto uczestniczy, kiedy powstanie pierwsze podsumowanie oraz kto zatwierdza wydatki. Jeżeli firma ma kilka spółek, rozdziel podmioty prawne. Wspólny serwer nie musi oznaczać wspólnego zakresu obowiązków.
Zadbaj o jedno miejsce przechowywania ustaleń z ograniczonym dostępem. Nie gromadź haseł w arkuszu projektu. Dla dokumentów szczegółowych ustal bezpieczny kanał i zasady dostępu.
Dni 1–5 — ustal kwalifikację i ważne usługi
Zbierz dane o formie prawnej, usługach, wielkości i powiązaniach organizacji. Sprawdź istniejące ustalenia dotyczące Wykazu KSC, pisma urzędowe i daty ich doręczenia. Ministerstwo wskazuje analizę działalności, załączników i kryteriów ustawowych jako punkt wyjścia do kwalifikacji. Informacja o obowiązkach podmiotów kluczowych i ważnych.
Jeżeli brakuje jednoznacznego rozstrzygnięcia, zapisz pytanie, brakujące informacje i osobę, która je wyjaśni. Takie zadanie powinno mieć krótki, konkretny termin. Pozostałe prace nad bezpieczeństwem mogą się toczyć równolegle.
Następnie wybierz usługi, których niedostępność najbardziej utrudni działalność. Dla każdej ustal właściciela, systemy i dostawców oraz skutki przerwy. Pracownik obsługujący klientów często najlepiej pokaże zależność, której nie widać na liście serwerów.
Rezultat po pięciu dniach: karta kwalifikacji lub lista spraw do wyjaśnienia, roboczy kalendarz obowiązków i mapa ważnych usług.
Dni 6–10 — zbierz dokumenty i oddziel fakty od założeń
Poproś o ostatni audyt, rejestr zasobów, wykaz kont administracyjnych, dokumentację kopii, procedurę incydentową oraz zakresy umów IT. Przy każdym materiale zapisz datę aktualizacji i właściciela.
Nie trzeba od razu przepisywać wszystkich dokumentów. Najpierw sprawdź, czy odpowiadają dzisiejszemu środowisku. Procedura przywracania serwera wycofanego rok temu może być poprawnie podpisana i całkowicie nieprzydatna w aktualnej awarii.
Wprowadź cztery proste statusy: potwierdzone, wymaga sprawdzenia, brak informacji, do wykonania. Zdanie dostawcy „backup działa” oznacza punkt do sprawdzenia, jeżeli nie wiadomo, co obejmuje i kiedy wykonano próbę odtworzenia.
Rezultat: uporządkowany wykaz materiałów i braków, z osobą odpowiedzialną za uzupełnienie każdego z nich.
Dni 11–15 — wykonaj kilka prób działania
Z administratorem wybierz mały zestaw testów, które dadzą istotną wiedzę i nie zakłócą pracy. Przykładowo sprawdź odbieranie dostępu na koncie testowym, odtworzenie wybranego pliku w osobnym środowisku, zgłoszenie testowego alarmu i aktualność listy urządzeń.
Każdy test powinien mieć ustalony cel, zakres i oczekiwany wynik. Przy alarmie trzeba sprawdzić jego dotarcie do właściwej osoby. Sam zapis w konsoli nie potwierdza, że ktokolwiek go obsłuży.
Przy odtwarzaniu rozdziel próbę odzyskania pojedynczego pliku od testu całej usługi. Pierwsza nie potwierdzi działania aplikacji wymagającej bazy, konfiguracji i kont. Przebieg większej próby uzgodnij z właścicielem systemu.
Rezultat: krótkie protokoły opisujące, co sprawdzono, jaki był wynik i co wymaga poprawy. Niepowodzenie testu jest informacją do działania, a nie powodem do ukrywania go w raporcie.
Dni 16–20 — ustal priorytety i koszty
Po zebraniu danych będzie widać wiele spraw naraz. Oceń je przez wpływ na ważne usługi, pilność obowiązku i realność zagrożenia. Przykładowo brak możliwości odzyskania jedynego konta administracyjnego może wymagać szybszej reakcji niż porządkowanie nazw dokumentów.
| Zadanie | Wykonawca | Co ma powstać | Kryterium odbioru |
|---|---|---|---|
| Ustalenie zakresu KSC | Wyznaczony koordynator ze specjalistą | Uzasadniona karta kwalifikacji | Podstawa i terminy zweryfikowane |
| Przegląd kont uprzywilejowanych | Administrator | Lista kont i uzasadnień | Właściciel potwierdził potrzebny zakres |
| Próba odtworzenia ważnej usługi | Administrator i dostawca | Protokół próby | Właściciel usługi potwierdził działanie |
| Sprawdzenie alarmowania | Osoba prowadząca monitoring | Wynik testu ścieżki zgłoszenia | Odbiorca potwierdził przyjęcie |
| Zamknięcie zalecenia audytu | Wskazany wykonawca | Zmiana i dowód | Wynik sprawdzony według kryterium |
Tabela jest przykładem organizacji pracy. Terminy i wykonawców trzeba uzupełnić dla własnego środowiska. Przy kosztach oddziel zakup, wdrożenie i utrzymanie. Ustal też udział dotychczasowych dostawców, aby dwie firmy nie wykonywały równolegle tej samej czynności.
Dni 21–30 — podejmij decyzje i uruchom nadzór
Kierownictwo powinno otrzymać krótkie podsumowanie: zakres oceny, najważniejsze ryzyka, wykonane testy, braki informacji oraz decyzje potrzebne do dalszych prac. Każda decyzja wymaga wskazania kosztu lub konsekwencji odłożenia.
Zapisz, kto zatwierdził plan i kiedy odbędzie się kolejny przegląd. Dla podmiotów kluczowych i ważnych art. 8d KSC określa m.in. zadania kierownika związane z zasobami, podziałem pracy i nadzorem. Raport powinien ułatwiać wykonywanie tych zadań. KSC, art. 8d.
Wybierz kilka wskaźników, które można sprawdzić: liczbę ważnych usług z właścicielem, zaległe zadania krytyczne, wyniki testów i braki w monitoringu. Podawaj zakres i datę. Procent bez wyjaśnienia, co zostało policzone, niewiele mówi o gotowości organizacji.
Przykład modelowy — kopie wykonuje dostawca, ale nikt nie sprawdza odtworzenia
Organizacja codziennie otrzymuje wiadomość o poprawnym backupie. W pierwszym miesiącu ustala jednak, że kopia obejmuje bazę, a instrukcja odzyskania aplikacji jest nieaktualna. Właściciel usługi nie wie też, ile trwałaby przerwa.
W planie pojawia się wspólne zadanie administratora i dostawcy: uzupełnić zależności, przygotować izolowaną próbę i sprawdzić działanie z użytkownikiem biznesowym. Kierownictwo zatwierdza potrzebny czas. Rezultatem jest rzeczywisty wynik testu oraz lista poprawek.
Taka praca daje więcej podstaw do decyzji niż dopisanie w tabeli „kopie zapasowe — tak”.
Co powinno zostać po pierwszych 30 dniach
Organizacja powinna znać zakres przeprowadzonych ustaleń, osoby odpowiedzialne i kolejność dalszych prac. Otwarte sprawy mają być widoczne. Harmonogram nie oznacza zakończenia wszystkich obowiązków w miesiąc; pokazuje, jak doprowadzić projekt do stanu, w którym można nim zarządzać.
Więcej o kwalifikacji przeczytasz w poradniku NIS2 i ustawa o KSC.
Potrzebujesz pomocy w uporządkowaniu pierwszego etapu
Skontaktuj się z DataOne Cyber i opisz, jakie systemy macie oraz co pozostało po ostatnim audycie. Uzgodnimy zakres rozpoznania technicznego, monitoringu i współpracy z obecnym IT. Osobno określimy potrzebne prace dokumentacyjne lub specjalistyczne. Dzięki temu od początku będzie wiadomo, co ma zostać wykonane i jak ocenimy rezultat.