01
Czy firma jest objęta przepisami
Sprawdzamy sektor, wielkość i rodzaj usług oraz pomagamy przygotować dane potrzebne do wpisu do wykazu podmiotów kluczowych i ważnych.
Cyberbezpieczeństwo · NIS2 i KSC
Cyberbezpieczeństwo i NIS2 dla firm
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC), wdrażająca dyrektywę NIS2, obejmuje znacznie więcej firm niż dotychczas. Pomagamy sprawdzić, czy przepisy dotyczą Twojej firmy, i przygotować organizację do ich wymagań: od analizy luk, przez polityki i środki techniczne, po szkolenia i obsługę incydentów.
NIS2 i KSC w skrócie
NIS2 to unijna dyrektywa (UE) 2022/2555 o wspólnych środkach wysokiego poziomu cyberbezpieczeństwa. W Polsce jest wdrażana przez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa (KSC).
Zamiast dotychczasowych operatorów usług kluczowych ustawa mówi o podmiotach kluczowych i podmiotach ważnych. Obejmuje je znacznie więcej firm, także z sektorów, które do tej pory nie musiały spełniać takich wymagań, a przepisy przewidują wysokie kary finansowe za ich naruszanie.
Kogo dotyczą przepisy
Co do zasady dotyczą średnich i dużych podmiotów z wybranych sektorów, a w niektórych przypadkach także mniejszych. Decyduje sektor, wielkość i rodzaj świadczonych usług.
Sektory o wysokiej krytyczności
EnergiaTransportBankowość i rynki finansoweOchrona zdrowiaWoda pitna i ściekiInfrastruktura cyfrowaZarządzanie usługami ICT (B2B)Administracja publicznaPrzestrzeń kosmiczna
Inne sektory krytyczne
Usługi pocztowe i kurierskieGospodarowanie odpadamiChemikaliaŻywnośćProdukcja (m.in. maszyny, elektronika, pojazdy, wyroby medyczne)Dostawcy usług cyfrowychBadania naukowe
Lista ma charakter poglądowy. O objęciu przepisami decydują kryteria zawarte w ustawie, a wiążącej interpretacji udziela prawnik. Pomożemy ocenić wstępnie, czy temat dotyczy Twojej firmy.
Główne obowiązki
Zarządzanie ryzykiem i środki bezpieczeństwa
Obowiązek wdrożenia odpowiednich środków technicznych i organizacyjnych, opartych na analizie ryzyka.
Zgłaszanie poważnych incydentów
Dyrektywa przewiduje wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin i raport końcowy. Szczegóły wynikają z przepisów krajowych.
Odpowiedzialność kierownictwa
Zarząd zatwierdza środki zarządzania ryzykiem, nadzoruje ich wdrożenie i odpowiada za ich przestrzeganie. Wymagane są też szkolenia.
Wykaz podmiotów i audyty
Podmioty kluczowe i ważne podlegają wpisowi do wykazu, a część z nich także okresowym audytom bezpieczeństwa.
Bezpieczeństwo łańcucha dostaw
Trzeba uwzględnić ryzyko związane z dostawcami i usługodawcami, w tym zapisy bezpieczeństwa w umowach.
Jak możemy pomóc
Wspieramy firmy od strony organizacyjnej i technicznej. Zakres dobieramy do wielkości firmy i obecnego stanu zabezpieczeń.
02
Analiza luk (gap analysis)
Porównujemy obecny stan zabezpieczeń z wymaganiami i przygotowujemy raport z listą braków oraz priorytetami działań.
03
Analiza ryzyka i system zarządzania bezpieczeństwem
Szacujemy ryzyka, ustalamy role i odpowiedzialności oraz przygotowujemy polityki, procedury i dokumentację.
04
Obsługa incydentów
Procedury wykrywania, klasyfikacji i zgłaszania incydentów w terminach wymaganych przepisami oraz plan reagowania.
05
Środki techniczne
Uwierzytelnianie wieloskładnikowe, kontrola dostępu, segmentacja sieci, szyfrowanie, aktualizacje, zarządzanie podatnościami, logowanie i monitoring.
06
Kopie zapasowe i ciągłość działania
Kopie offline, testy odtwarzania i plany awaryjne, tak aby firma wróciła do działania po awarii lub ataku.
07
Bezpieczeństwo dostawców
Ocena ryzyka związanego z dostawcami i usługodawcami IT oraz zapisy bezpieczeństwa w umowach.
08
Szkolenia
Szkolenia dla zarządu (odpowiedzialność kierownictwa za wdrożenie i nadzór) oraz dla pracowników, np. rozpoznawanie phishingu.
09
Audyty i testy
Przygotowanie do audytu bezpieczeństwa wymaganego przepisami oraz testy podatności systemów i sieci.
Jak pracujemy
- Krok 1
Analiza
Ocena, czy przepisy dotyczą firmy, oraz analiza luk i ryzyka.
- Krok 2
Plan działań
Lista priorytetów, harmonogram i szacunek kosztów.
- Krok 3
Wdrożenie
Polityki, procedury i środki techniczne, z minimalnym wpływem na codzienną pracę.
- Krok 4
Utrzymanie
Monitoring, przeglądy, aktualizacja dokumentacji i szkolenia cykliczne.
Szybka lista kontrolna
Jeśli na któreś z pytań odpowiadasz „nie” lub „nie wiem”, warto zacząć od wstępnej analizy.
- Wiemy, czy nasza firma jest podmiotem kluczowym lub ważnym.
- Mamy aktualną inwentaryzację sprzętu, oprogramowania i usług.
- Mamy spisane polityki bezpieczeństwa i wiemy, kto za co odpowiada.
- Uwierzytelnianie wieloskładnikowe działa na kontach administracyjnych i zdalnym dostępie.
- Kopie zapasowe są odizolowane od sieci i regularnie testujemy ich odtwarzanie.
- Mamy plan reagowania na incydenty i wiemy, komu i w jakim terminie je zgłosić.
- Zarząd przeszedł szkolenie z cyberbezpieczeństwa.
- Oceniliśmy ryzyko związane z kluczowymi dostawcami.
Cennik
Zakres zależy od wielkości firmy i obecnego stanu zabezpieczeń, dlatego zaczynamy od wstępnej analizy, po której przedstawiamy zakres prac i wycenę. Bieżącą opiekę nad bezpieczeństwem można połączyć z abonamentem IT.
Informacje na tej stronie mają charakter ogólny i nie stanowią porady prawnej. Zakres obowiązków zależy od sektora, wielkości i rodzaju działalności firmy, dlatego w sprawach interpretacji przepisów zalecamy konsultację z prawnikiem.
Najczęstsze pytania
Czego dotyczą dyrektywa NIS2 i ustawa o KSC?
NIS2 to unijna dyrektywa o cyberbezpieczeństwie, wdrożona w Polsce przez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa (KSC). Nakłada na podmioty kluczowe i ważne obowiązki w zakresie zarządzania ryzykiem, środków bezpieczeństwa, zgłaszania incydentów oraz odpowiedzialności kierownictwa.
Czy moja firma podlega NIS2 i KSC?
To zależy od sektora, wielkości firmy i rodzaju świadczonych usług. Co do zasady dotyczy to średnich i dużych podmiotów z określonych sektorów, a w wybranych przypadkach także mniejszych. Pomagamy to ocenić w ramach wstępnej analizy, a wiążącej interpretacji przepisów udziela prawnik.
Czy pomagacie we wdrożeniu wymagań NIS2 i KSC?
Tak, od strony organizacyjnej i technicznej: analiza luk, analiza ryzyka, polityki i procedury, obsługa incydentów, kopie zapasowe, kontrola dostępu i szkolenia. Nie zastępujemy prawnika i nie wydajemy opinii prawnych.
Ile kosztuje przygotowanie firmy do NIS2?
Zakres zależy od wielkości firmy i obecnego stanu zabezpieczeń. Zaczynamy od wstępnej analizy, po której przedstawiamy zakres prac i wycenę. Bieżącą opiekę nad bezpieczeństwem można połączyć z abonamentem IT.
Sprawdźmy, jak wygląda Twoja firma
Wstępna analiza pokaże, czy przepisy dotyczą firmy i od czego zacząć. Odpowiadamy w ciągu 1–2 dni roboczych.