Przygotowanie organizacji do wymagań NIS2 i ustawy o KSC Audyt, rekomendacje i wdrożenie zmian

NIS2 to unijna dyrektywa. W Polsce obowiązki działają przez znowelizowaną ustawę o krajowym systemie cyberbezpieczeństwa, czyli UKSC. Dlatego firma działająca w Polsce powinna najpierw sprawdzić, co wynika dla niej z polskiej ustawy.

Nie rozstrzyga tego sama nazwa firmy ani jeden kod PKD. Trzeba sprawdzić faktyczną działalność, sektor, wielkość i szczególne przypadki wskazane w ustawie. Wynik może być prosty: podlegasz, nie podlegasz albo potrzebna jest dokładniejsza analiza.

Nie zawsze. Część podmiotów trafia do Wykazu KSC z urzędu, ale wiele firm musi samodzielnie ustalić swój status i złożyć wniosek. Czekanie na pismo może oznaczać przegapienie terminu.

Jednego i drugiego, ale odpowiedzialność za decyzje pozostaje po stronie kierownictwa. IT dostarcza wiedzy technicznej, a zarząd ustala priorytety, zapewnia zasoby i nadzoruje działania. W grę wchodzą też ciągłość działania, dostawcy, incydenty, dokumentacja i szkolenia.

Nie musi konfigurować firewalli. Musi rozumieć największe ryzyka, wiedzieć, kto za nie odpowiada, jakie decyzje są potrzebne i po czym poznać, że zabezpieczenia działają.

Nie ma jednej listy zakupów. Środki mają być proporcjonalne do ryzyka. Najpierw trzeba sprawdzić, co już działa, gdzie jest luka i jak wygląda proces; dopiero potem decydować o narzędziach.

Nie automatycznie. Działający SZBI to mocna baza, ale trzeba porównać go z obowiązkami UKSC i sprawdzić, czy procedury działają w praktyce. Nie ma sensu budować drugiego systemu tylko dlatego, że pojawiła się nowa regulacja.

Procedura sama nie zatrzyma incydentu. Trzeba sprawdzić, czy ludzie znają swoje role, działa eskalacja, można odtworzyć backup, dostawcy wiedzą, co robić i czy ktoś przećwiczył ten proces. Dokumentacja jest dowodem działania systemu, nie jego zamiennikiem.

Nie. Incydent nie musi oznaczać ataku hakera - może zacząć się od błędnej konfiguracji, awarii albo nieudanej zmiany - ale nie każda awaria uruchamia obowiązek raportowania. Potrzebny jest proces: wykrycie, eskalacja, ocena, decyzja i ewentualne zgłoszenie.

Dla podmiotu kluczowego lub ważnego to dwa etapy raportowania poważnego incydentu: wczesne ostrzeżenie do 24 godzin od wykrycia, a zgłoszenie incydentu do 72 godzin. Warto wcześniej ustalić, kto pilnuje czasu, zbiera informacje i kontaktuje się z CSIRT.

Nie zarządzasz dostawcą tak jak własnym zespołem, ale odpowiadasz za ryzyko współpracy. Sprawdź dostęp do systemów i danych, wymagania bezpieczeństwa, podwykonawców, zasady zgłaszania incydentów i odebranie dostępów po zakończeniu umowy.

Można zlecić audyt, monitoring, testy czy pomoc przy dokumentacji. Nie można zlecić na zewnątrz własnych decyzji biznesowych ani odpowiedzialności kierownictwa. Konsultant pokazuje ryzyka i warianty, ale firma wybiera, co akceptuje i co wdraża.

S46 to państwowy system do obsługi Wykazu KSC, raportowania incydentów i wymiany informacji. To nie jest antywirus ani SIEM do zainstalowania na komputerach.

Od ustalenia punktu wyjścia: czy firma podlega UKSC, co jest dla niej najważniejsze, jakie ma ryzyka, co już działa i gdzie są luki. Dopiero potem układa się plan, budżet i listę zakupów.