Stan prawny: 21 października 2026 r.
Przygotowania do NIS2 warto rozpocząć od ustalenia, które obowiązki dotyczą Twojej organizacji. Dopiero wtedy można rozsądnie określić budżet, zlecić prace administratorom i wybrać potrzebne zabezpieczenia. Liczba komputerów, nazwa branży czy deklaracja dostawcy o „zgodności z NIS2” nie rozstrzygają tej kwestii.
Dla zarządu najważniejszy rezultat to jasna odpowiedź na cztery pytania: jakie usługi chronimy, jakie wymagania mają zastosowanie, kto wykonuje zadania i po czym poznamy, że zabezpieczenia działają. Ten artykuł pokazuje, jak dojść do tych odpowiedzi bez rozpoczynania od wielomiesięcznego projektu dokumentacyjnego.
NIS2 i KSC — jak te przepisy się łączą
NIS2 to unijna dyrektywa dotycząca cyberbezpieczeństwa. W Polsce jej wdrożeniu służy nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, czyli KSC. Ustawa nowelizująca z 23 stycznia 2026 r. weszła w życie 3 kwietnia 2026 r. Konkretne obowiązki organizacji należy ustalać na podstawie przepisów krajowych, z uwzględnieniem jej działalności i ewentualnych regulacji sektorowych. Ustawa nowelizująca KSC.
Praktyczny sens zmian jest prosty: ważne usługi mają działać także wtedy, gdy wystąpi awaria, atak lub problem u dostawcy. Dlatego temat obejmuje zarówno systemy IT, jak i sposób podejmowania decyzji, reagowania na incydenty oraz sprawdzania wykonanych prac.
Zakup antywirusa, firewalla czy SIEM może być częścią programu bezpieczeństwa. Potrzebne są również osoby, procedury, zasoby i testy odpowiednie do ryzyka.
Kogo dotyczą obowiązki podmiotów kluczowych i ważnych
Analiza zaczyna się od faktycznie wykonywanych usług oraz rodzajów podmiotów wskazanych w załącznikach do ustawy. Następnie sprawdza się właściwe kryteria, w tym wielkość przedsiębiorstwa, wyjątki i szczególne podstawy kwalifikacji. Osobno trzeba ocenić podmioty publiczne oraz przypadki objęcia obowiązkami na podstawie decyzji. Podstawą są przede wszystkim art. 5 i załączniki do KSC. Aktualny tekst ustawy.
W przypadku przedsiębiorstwa przygotuj dane o zatrudnieniu, obrocie, sumie bilansowej i powiązaniach z innymi przedsiębiorstwami. Nie wystarczy sprawdzić zatrudnienia w jednym biurze. Znaczenie mogą mieć zasady ustalania wielkości przedsiębiorstwa partnerskiego lub powiązanego.
Nie każda mała organizacja jest wyłączona, a każda większa — automatycznie objęta tym samym zakresem. Niektóre kategorie mają szczególne reguły. Podobnie instytucja finansowana ze środków publicznych potrzebuje oceny swojej formy prawnej i właściwej pozycji w ustawie, a nie tylko ogólnej etykiety „sektor publiczny”.
Przykład modelowy
Dwie organizacje zatrudniają po 60 osób. Pierwsza prowadzi działalność, która może odpowiadać jednemu z rodzajów podmiotów w załączniku do KSC. Druga wykonuje inne usługi i jest częścią większej grupy. Taka sama liczba pracowników nie daje wspólnej odpowiedzi. Trzeba rozpoznać działalność, relacje właścicielskie i pozostałe przesłanki.
Wynik analizy powinien zawierać uzasadnienie. Zdanie „nie dotyczy nas, bo jesteśmy za mali” nie daje kierownictwu podstawy do decyzji, jeżeli nikt nie sprawdził wyjątków.
A jeśli wymagania przesyła nam kontrahent
Klient może żądać zasad bezpieczeństwa, kontroli dostępu, informacji o kopiach zapasowych albo procedury zgłaszania incydentów. Takie wymagania mogą wynikać z jego zarządzania dostawcami i umowy.
Rozdziel więc dwie sprawy: bezpośrednie obowiązki Twojej organizacji wynikające z ustawy oraz zobowiązania wobec klienta. Ankieta bezpieczeństwa od kontrahenta nie zastępuje kwalifikacji prawnej. Z kolei brak bezpośredniego objęcia określonym obowiązkiem KSC nie usuwa wymagań przyjętych w umowie ani obowiązków ochrony danych osobowych.
Przy pytaniu z ankiety zapisz, czego klient faktycznie oczekuje. „Czy monitorujecie bezpieczeństwo?” może oznaczać zbieranie logów, codzienną analizę albo całodobowy dyżur. To trzy różne zakresy pracy i kosztów.
Co powinno znaleźć się w programie działań
Zacznij od mapy usług: poczty, systemu finansowego, obsługi klientów, sprzedaży i pozostałych procesów, których przerwanie ma istotny skutek. Każda usługa potrzebuje właściciela po stronie organizacji. Administrator zna konfigurację, ale właściciel potrafi określić dopuszczalny przestój i kolejność odtwarzania.
Następnie uporządkuj pięć obszarów:
| Obszar | Pytanie zarządu | Przydatny rezultat |
|---|---|---|
| Ryzyko | Co może zatrzymać ważną usługę? | Lista scenariuszy i działań |
| Dostęp | Kto może zmieniać system i odczytywać dane? | Aktualny wykaz uprawnień |
| Ciągłość | Czy potrafimy odzyskać usługę? | Wynik testu odtworzenia |
| Wykrywanie i reakcja | Kto zauważy problem i podejmie działanie? | Sprawdzona ścieżka alarmowania |
| Nadzór | Co wykonano, a co wymaga decyzji? | Raport z zadaniami, terminami i dowodami |
To dobry punkt wyjścia do rozmowy z dostawcą. Pozwala wycenić potrzebną pracę i porównać oferty o podobnym zakresie.
Jakie terminy trzeba sprawdzić w październiku 2026 roku
Dla podmiotów spełniających ustawowe kryteria w dniu wejścia w życie nowelizacji Ministerstwo Cyfryzacji wskazuje m.in. 3 października 2026 r. jako termin wpisu do Wykazu KSC oraz 3 kwietnia 2027 r. dla wdrożenia nowych obowiązków i podłączenia do S46. Pierwszy z tych terminów już minął. Trzeba uwzględnić tryb wpisu i przepisy przejściowe, zamiast stosować jeden kalendarz do wszystkich organizacji. Wyjaśnienia Ministerstwa Cyfryzacji.
Jeżeli nie sprawdziliście jeszcze swojej sytuacji, wyznacz osobę, która ustali kwalifikację, stan wpisu i najbliższe czynności. Nie odkładaj tego do zakupu systemu monitoringu. Wpis do wykazu i wdrażanie zabezpieczeń to odrębne zadania.
Co można zlecić dostawcy, a co musi kontrolować zarząd
Dostawca może wykonywać uzgodnione zadania techniczne, analizować zdarzenia i pomagać w organizacji prac. Zarząd potrzebuje jednak informacji pozwalających zatwierdzać priorytety i nadzorować wykonanie. Art. 8c KSC zachowuje odpowiedzialność kierownika również przy powierzeniu obowiązków innej osobie; art. 8d określa jego zadania zarządcze. KSC, art. 8c–8d.
W umowie zapisz zakres systemów, godziny obsługi, sposób eskalacji, upoważnienia do działań, dostęp do danych i zasady zakończenia współpracy. Wartość outsourcingu widać wtedy, gdy wiadomo, kto wykona konkretną czynność i jaki rezultat przekaże klientowi.
Karta pierwszej rozmowy o KSC
Przygotuj nazwę i formę prawną organizacji, opis usług, dane o wielkości i powiązaniach, listę ważnych systemów oraz aktualne ustalenia dotyczące wpisu. Dodaj ostatni audyt, jeżeli istnieje, i wskaż trzy problemy, które najbardziej utrudniają pracę. Szczegółowe raporty udostępniaj dopiero w uzgodnionym, bezpiecznym kanale.
Czy certyfikat ISO 27001 zamyka temat KSC
Certyfikowany system może ułatwiać wykazanie uporządkowanego zarządzania. Nadal trzeba sprawdzić zakres certyfikacji, obowiązki rejestracyjne, raportowanie incydentów i pozostałe wymagania właściwe dla podmiotu.
Czy SIEM jest wystarczającym rozwiązaniem
SIEM wspiera obserwację zdarzeń i analizę. Nie wykonuje wszystkich zadań organizacyjnych, nie odtwarza automatycznie każdej usługi i nie zastępuje decyzji kierownictwa.
Ustalmy, od czego zacząć w Twojej organizacji
W DataOne rozmowę o ochronie środowiska możemy rozpocząć od usług, obecnych zabezpieczeń i zaleceń, które czekają na wykonanie. Na tej podstawie uzgodnimy zakres monitoringu, potrzebne integracje i prace wymagające osobnego zakresu. Przy kwalifikacji wymagającej interpretacji prawnej uwzględniamy udział właściwego specjalisty.
Skontaktuj się z DataOne Cyber i opisz krótko swoją organizację. Ustalimy, jak przejść od ogólnego pytania o KSC do listy decyzji, wykonawców i sprawdzalnych rezultatów.
Pobierz wzór CSV do uzupełnienia
Wzór roboczy — wymaga dopasowania do organizacji; nie stanowi kompletnej dokumentacji zgodności.