Polityki
Wytyczne dotyczące zarządzania ryzykiem oraz bezpieczeństwa informacji, przyjęte i utrzymywane w organizacji.
Dyrektywa (UE) 2022/2555 · Ustawa o KSC od 3 kwietnia 2026
NIS2 rozszerza wymogi cyberbezpieczeństwa na 18 sektorów gospodarki, wprowadza kary liczone w milionach euro i przenosi odpowiedzialność z działu IT na zarząd. Zobacz, kogo obejmuje dyrektywa, jakie nakłada obowiązki i od czego zacząć wdrożenie.
Pierwsza rozmowa jest bezpłatna i bez zobowiązań. Odpowiadamy w ciągu jednego dnia roboczego.
Kontekst
Dyrektywa NIS z 2016 r. wyznaczała minimum, a jej wdrożenie zostawiała państwom członkowskim. NIS2 zaostrza wymogi, ujednolica je i obejmuje znacznie więcej organizacji. Regulacje dotyczą teraz nie tylko specjalistów IT: managerowie wyższego szczebla, szefowie bezpieczeństwa informacji oraz działy operacyjny i finansowy wspólnie odpowiadają za zapewnienie cyberbezpieczeństwa.
Zakres
Klasyfikacja jako podmiot kluczowy lub ważny zależy od sektora działalności oraz wielkości firmy. Kody PKD i NACE są tylko pomocnicze — decyduje rzeczywisty zakres działalności i świadczonych usług, a także posiadane koncesje, zezwolenia i wpisy w rejestrach działalności regulowanej.
Sankcje
Wysokość kary pieniężnej zależy od klasyfikacji podmiotu i wagi naruszenia. Podmioty kluczowe podlegają nadzorowi stałemu (aktywnemu), podmioty ważne — nadzorowi następczemu, na przykład po incydencie lub naruszeniu.
Działania obowiązkowe
Pierwszy to wpis do wykazu podmiotów kluczowych i ważnych, prowadzonego przez organy właściwe do spraw cyberbezpieczeństwa w Systemie S46. Drugi to zgłaszanie incydentów bezpieczeństwa właściwemu CSIRT sektorowemu, w ściśle określonych terminach.
Zarządzanie ryzykiem
Poniżej środki zarządzania ryzykiem z art. 21 dyrektywy NIS2. W polskim porządku prawnym odpowiadają im obszary systemu zarządzania bezpieczeństwem informacji wskazane w art. 8 ustawy o KSC — na kontroli oceniana jest zgodność z ustawą. Podmioty kluczowe i ważne wdrażają SZBI i podłączają się do Systemu S46 w ciągu 12 miesięcy, czyli do 3 kwietnia 2027 r. Podmioty kluczowe przechodzą też pierwszy audyt bezpieczeństwa do 3 kwietnia 2028 r. (24 miesiące), a raport z audytu trafia do organu w ciągu 3 dni roboczych od jego otrzymania.
Wytyczne dotyczące zarządzania ryzykiem oraz bezpieczeństwa informacji, przyjęte i utrzymywane w organizacji.
Zdolność do zapobiegania incydentom, wykrywania ich i rozwiązywania, z jasno przypisanymi rolami.
Kopie zapasowe, odzyskiwanie danych po awarii i zarządzanie kryzysowe, przetestowane w praktyce.
Środki zabezpieczające procesy zaopatrzenia oraz utrzymania i obsługi systemów IT i sieci.
Specyfikacje dla oceny cyberryzyka i sprawdzania, czy wdrożone środki faktycznie działają.
Regularne szkolenia z cyberbezpieczeństwa dla kadry kierowniczej i pracowników, nie tylko dla działu IT.
Koncepcje i procedury stosowania kryptografii oraz szyfrowania we wszystkich kluczowych obszarach.
Ochrona danych osobowych pracowników, koncepcje kontroli dostępu oraz monitorowanie aktywności w sieci.
Zgodność zasad, procedur, metod i narzędzi z systemem zarządzania bezpieczeństwem informacji (ISO 27001).
Uwierzytelnianie wieloskładnikowe (MFA) oraz jednokrotne logowanie (SSO) w dostępie do systemów.
Środki bezpieczeństwa w zakresie komunikacji głosowej, wideo oraz tekstowej.
Bezpieczne systemy komunikacji awaryjnej, gotowe do użycia w czasie poważnego incydentu.
Wsparcie KTBnet
Nie istnieje jedno narzędzie, które spełniłoby wszystkie wymagania NIS2. Większość firm korzysta już jednak z rozwiązań bezpieczeństwa IT, które pomagają osiągnąć zgodność: od kontroli dostępu i monitorowania sieci po zunifikowane zarządzanie punktami końcowymi. Automatyzacja rutynowych zadań ma szczególne znaczenie tam, gdzie infrastruktura jest złożona, a specjalistów brakuje.
Plan działania
W miarę jak państwa UE wprowadzają i aktualizują krajowe wymagania, konieczne jest szybkie i staranne planowanie, wdrożenie oraz regularna ocena środków cyberbezpieczeństwa. Poniższa kolejność sprawdza się w organizacjach, które zaczynają od zera.
Skala zmiany
Firm w Unii Europejskiej objętych NIS2, według szacunku Komisji Europejskiej.
Jedenaście sektorów kluczowych i siedem ważnych w podziale z dyrektywy NIS2; w polskich załącznikach do ustawy o KSC podział jest częściowo inny.
Maksymalna kara dla podmiotu kluczowego albo 2% przychodów — kwota wyższa, nie mniej niż 20 000 zł.
Konsultacja
Odezwij się przez kontakt na ktbnet.pl. Ustalimy, czy i w jakim zakresie dyrektywa obejmuje Twoją organizację, które wymogi są najbardziej pilne i co da się zautomatyzować w istniejącym środowisku IT. Pierwsza rozmowa jest bezpłatna i bez zobowiązań.
Przejdź do kontaktu na ktbnet.pl Wolisz od razu? +48 728 368 924 · kontakt@ktbnet.pl