Kiedy pierwszy raz ktoś przegląda materiały o dyrektywie NIS2 i polskiej nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa (KSC), pewnie łapie się na myśli: „Rety, ile tu jest biurokracji i prawniczego języka”. Szczerze mówiąc, łatwo w tym wszystkim stracić głowę. Mamy tu do czynienia ze zmianami przyjętymi w ustawie z 23 stycznia 2026 roku (która weszła w życie 3 kwietnia 2026 r.) i nagle setki firm w Polsce muszą przestawić swoje myślenie o bezpieczeństwie cyfrowym na zupełnie nowe tory.

 

Zamiast jednak panikować przed unijnymi wymogami, lepiej po prostu rozbić ten proces na logiczne części. Wygląda na to, że wdrożenie wymagań KSC i NIS2 da się sprowadzić do pięciu praktycznych kroków - takich, które pozwolą organizacji przejść przez całą tę transformację bez zbędnego chaosu.

Krok 1: Samoidentyfikacja, czyli kim właściwie jesteśmy w świetle prawa?

Pierwszym i najważniejszym zadaniem jest ustalenie, czy nowa ustawa w ogóle nas dotyczy, a jeśli tak - to w jakiej roli. Warto w tym miejscu wspomnieć o dawnym systemie NIS1: kiedyś czekaliśmy na oficjalną decyzję administracyjną wyznaczającą nas jako „operatora usługi kluczowej”. Teraz ten model odchodzi do lamusa. Dziś zasada jest prosta: samoidentyfikacja. To firma sama musi przeanalizować przepisy i sprawdzić, czy podlega pod regulacje.

Można się zastanawiać, skąd czerpać pewność. Ustawa wprowadza podział na dwa główne typy podmiotów:

  • Podmioty kluczowe - z zasady duże przedsiębiorstwa działające w sektorach z załącznika nr 1 do ustawy (takich jak energetyka, transport, bankowość, ochrona zdrowia, infrastruktura cyfrowa czy łączność).
  • Podmioty ważne - co do zasady średnie firmy z załącznika nr 1 lub podmioty co najmniej średnie z załącznika nr 2 (m.in. usługi pocztowe, gospodarowanie odpadami, produkcja żywności czy chemikaliów).


Z drugiej strony - i tu trzeba uważać na wyjątki - wielkość przedsiębiorstwa nie zawsze jest rozstrzygająca. Tacy dostawcy usług DNS, kwalifikowani dostawcy usług zaufania czy rejestry domen TLD stają się podmiotami kluczowymi niezależnie od tego, jak mały zespół zatrudniają. Podmioty publiczne również rozdzielono między załączniki. Dlatego ten pierwszy krok wymaga po prostu chłodnej analizy profilu działalności i progów finansowo-zatrudnieniowych.

 

Krok 2: Analiza luk (gap assessment) i inwentaryzacja zasobów

Gdy wiemy już, jaki status ma nasza organizacja, przychodzi czas na remanent. I to nie tylko w serwerowni. Wydaje się, że wiele organizacji popełnia tu błąd, zaczynając od kupowania drogich narzędzi IT, podczas gdy w pierwszej kolejności trzeba zrobić dobry rejestr aktywów (asset inventory). Musimy wiedzieć, jakimi systemami, danymi, urządzeniami i procesami w ogóle zarządzamy i które z nich wpływają na świadczenie naszych usług.

A potem? Potem robimy tzw. analizę luk. Porównujemy to, co mamy na pokładzie - istniejące polityki, procedury, systemy backupowe czy mechanizmy kontroli dostępu - z tym, co narzuca ustawa. Często okazuje się, że w firmie funkcjonuje już całkiem sporo dobrych praktyk, tylko brakuje im formalizacji lub ujęcia w ramy spójnego systemu.

 

Krok 3: Budowa Systemu Zarządzania Bezpieczeństwem Informacji (SZBI)

To jest w sumie serce całego wdrożenia. Artykuł 8 ustawy wymaga od podmiotu kluczowego lub ważnego wdrożenia systemu zarządzania bezpieczeństwem informacji w systemach wykorzystywanych do świadczenia usług. Co ciekawe - i chyba warto to podkreślić - przepisy nie każą nam wymyślać koła na nowo. Chodzi o stworzenie dojrzałego procesu opartego na ciągłym szacowaniu ryzyka.

W ramach tego kroku musimy zadbać o konkretne domeny bezpieczeństwa:

  1. Analiza ryzyka - wybieramy uznaną metodykę (np. ISO 27005 albo NIST RMF) i systematycznie badamy zagrożenia oraz podatności.
  2. Środki techniczne i organizacyjne - wdrażamy m.in. wieloskładnikowe uwierzytelnianie (MFA) tam, gdzie to zasadne, szyfrowanie (kryptografię), dbamy o bezpieczeństwo fizyczne, cyberhigienę oraz cykliczne łatanie oprogramowania (patch management).
  3. Bezpieczeństwo łańcucha dostaw - to zupełna nowość o tak dużym ciężarze gatunkowym. Musimy prześwietlić naszych dostawców oprogramowania i usług ICT pod kątem jakości ich zabezpieczeń i podatności.
  4. Ciągły monitoring - ustawa nakazuje objęcie systemów monitoringiem w trybie ciągłym (np. poprzez rozwiązania klasy SIEM/SOAR czy własny/zewnętrzny zespół SOC).
  5. Ludzie i kierownictwo - i to jest moment, w którym zmienia się perspektywa zarządu. Kierownik podmiotu ponosi prawną odpowiedzialność za wykonywanie obowiązków z zakresu cyberbezpieczeństwa (i delegowanie zadań go z tej odpowiedzialności nie zwalnia!). Co więcej, kierownicy oraz osoby wyznaczone mają obowiązek przechodzenia corocznych, udokumentowanych szkoleń, a osoby realizujące kluczowe zadania z cyberbezpieczeństwa muszą przedstawić zaświadczenie o niekaralności z KRK.


(Acha, mała dygresja: warto pamiętać, że dla części podmiotów publicznych ustawa przewiduje nieco uproszczony system zarządzania bezpieczeństwem zgodny z załącznikiem nr 4, a sektora bankowego i rynków finansowych dotyczy odrębny reżim w relacji do rozporządzenia DORA).

 

Krok 4: Zarządzanie incydentami i ciągłość działania (BCP/DRP)

Nawet najlepsze zabezpieczenia nie dają stuprocentowej gwarancji, że atak się nie uda. Dlatego czwarty krok to przygotowanie się na moment, w którym coś pójdzie nie tak.

Z jednej strony musimy posiadać przetestowane plany ciągłości działania (BCP) oraz plany odtworzenia działalności po katastrofie (DRP). Chodzi o to, żeby wiedzieć, jak podtrzymać funkcjonowanie firmy, gdy np. ransomware zaszyfruje główne serwery.

Z drugiej strony ustawa bardzo rygorystycznie podchodzi do samego zgłaszania incydentów poważnych. Harmonogram raportowania wygląda tutaj następująco:

  • do 24 godzin od wykrycia - przekazujemy tzw. wczesne ostrzeżenie;
  • do 72 godzin od wykrycia - składamy właściwe zgłoszenie incydentu poważnego ze szczegółami technicznymi;
  • do 1 miesiąca - przekazujemy raport końcowy (lub sprawozdanie z postępu, jeśli obsługa jeszcze trwa).

Docelowo raporty będą trafiać do właściwych CSIRT sektorowych, a póki te nie osiągną pełnej zdolności operacyjnej - do krajowych CSIRT (NASK, GOV, MON).

 

Krok 5: Rejestracja, formalności i ciągłe doskonalenie (audyty)

Ostatni etap to domknięcie kwestii formalnych oraz wejście w tryb stałego utrzymania zgodności.

Po pierwsze, podmiot kluczowy lub ważny musi złożyć wniosek o wpis do wykazu w ciągu 6 miesięcy od dnia spełnienia przesłanek (a każdą zmianę danych zgłaszać w terminie 14 dni).

Po drugie, na wdrożenie samych obowiązków materialnych (czyli całego SZBI) ustawa daje co do zasady 12 miesięcy od uzyskania statusu. Podmioty kluczowe muszą też pamiętać o obowiązku przeprowadzania regularnego audytu bezpieczeństwa co najmniej raz na 3 lata - przy czym pierwszy audyt należy wykonać w ciągu 24 miesięcy od wejścia w życie ustawy.

Można by się obawiać kar pieniężnych, bo te są gigantyczne - dla podmiotów kluczowych dochodzą do 10 mln euro lub 2% rocznego obrotu, a ukarany finansowo może zostać także sam kierownik podmiotu. Na szczęście ustawodawca przewidział pewien bufor: kara administracyjna za naruszenia przepisów może zostać nałożona po raz pierwszy dopiero po upływie 2 lat od dnia wejścia w życie ustawy. Nie oznacza to oczywiście, że można odkładać pracę na później, ale daje realną przestrzeń na spokojne poukładanie procesów.

 

Słowo na koniec

Podsumowując, wdrożenie NIS2 i KSC to nie jednorazowy zryw, ale proces, który wymaga zaangażowania zarządu, działu IT, prawników i właściwie każdego pracownika w firmie. Biorąc pod uwagę pięć powyższych kroków - od identyfikacji, przez analizę luk i wdrożenie SZBI, aż po incydenty i rejestrację - można przejść przez ten proces metodycznie i bez zbędnej gorączki. W końcu w cyberbezpieczeństwie chodzi nie tylko o uniknięcie kar od regulatora, ale o to, by nasza firma po prostu przetrwała w starciu z realnymi zagrożeniami.