UoKSC i NIS2 w praktyce Praktyczny podręcznik implementacji Krajowego Systemu Cyberbezpieczeństwa Frameworki, procedury, audyt dla zarządów, IT i compliance Piotr Szymczyk

Dostępność produktu

Produkt nie został jeszcze oceniony pod kątem ułatwień dostępu lub nie podano żadnych informacji o ułatwieniach dostępu lub są one niewystarczające. Prawdopodobnie Wydawca/Dostawca jeszcze nie umożliwił dokonania walidacji produktu lub nie przekazał odpowiednich informacji na temat jego dostępności.

Spis treści książki

Spis Treści

O serii LegacyTurn. 12

Wprowadzenie. 14

Dlaczego powstała ta książka. 14

Co zyskujesz czytając tę książkę. 15

Cyberbezpieczeństwo jako ryzyko biznesowe. 15

Jak korzystać z tego podręcznika. 16

O autorze. 18

Rozdział 0  -  Orientacja strategiczna i ekosystem regulacyjny UE. 20

0.1  Panorama regulacji UE 2024–2028. 20

0.2  Mapa regulacji cybernetycznych UE. 23

0.3  Który akt dotyczy Twojej organizacji?. 27

Część I – NIS2 i UoKSC; Rozdział 1  -  Klasyfikacja podmiotów kluczowych i ważnych (PK/PW) 31

1.1  Dlaczego klasyfikacja ma znaczenie operacyjne. 31

1.2  Podmiot kluczowy vs podmiot ważny  -  porównanie. 31

1.3  18 sektorów NIS2  -  Załącznik 1 i Załącznik 2. 33

1.4  Progi wielkości  -  reguła size - cap i jej pułapki 34

1.5  Wyjątki ustawowe i jurysdykcja transgraniczna. 35

1.6  Klasyfikacja dostawców ICT. 36

1.7  Kwalifikacja grup kapitałowych. 37

1.8  Wpis z urzędu (ex officio) 38

1.9  Framework: Decision Tree PK/PW... 39

1.10  Odpowiedzialności w organizacji  -  RACI 42

1.11        Podsumowanie rozdziału 1. 47

Rozdział 2  -  Rejestracja S46 i obowiązki formalne. 50

2.1  Rejestracja uruchamia zegar 50

2.2  System S46  -  jak działa i do czego służy. 50

2.3  Proces rejestracji w 8 krokach. 51

2.4  Dane wymagane we wniosku  -  18 kategorii danych z art. 7 ust. 2 UoKSC.. 53

2.5  Oświadczenie kierownika  -  odpowiedzialność karna za fałszywe dane. 54

2.6  Dwa okna czasowe S46  -  Grupa 1 vs Grupa 2. 55

2.7  Terminy ustawowe  -  kompletna tabela. 56

2.8  Obowiązek aktualizacji danych  -  14 - dniowe okno. 57

2.9  Kto podpisuje, kto odpowiada. 58

2.10  Organy właściwe  -  kto nadzoruje, kto karze. 58

2.11  Współpraca z CSIRT  -  NASK, GOV, MON i sektorowe. 60

2.12  Framework: Lifecycle obowiązków podmiotu. 62

2.13  Checklista: Gotowość do złożenia wniosku S46. 63

2.14  Odpowiedzialności w Organizacji (RACI) 65

2.15  Podsumowanie Rozdziału 2. 73

Rozdział 3 - Analiza ryzyka i zarządzanie ryzykiem.. 76

3.1  Analiza ryzyka to twardy obowiązek, nie zalecenie. 76

3.2  Uznane metodyki  -  ISO 27005, ISO 31000, NIST 800 - 30, ENISA.. 77

3.3  Proces analizy ryzyka w 6 krokach. 78

3.4  Skale prawdopodobieństwa i skutku, czyli jak liczyć ryzyko. 79

3.5  TOP 10 zagrożeń cybernetycznych 2025. 81

3.6  TOP 10 podatności organizacyjnych. 82

3.7  Rejestr ryzyka i format oraz zawartość. 84

3.8  Odpowiedzialności w organizacji (RACI) 86

3.9  Podsumowanie rozdziału 3. 95

Rozdział 4 - Cyber Governance i odpowiedzialność zarządcza. 98

4.1 Cybersecurity jako funkcja biznesowa, a nie „IT - owa”. 99

4.2 Macierz RACI, czyli kto odpowiada za co. 100

4.3 CISO  -  rola, umocowanie i modele raportowania. 101

4.4 Three Lines Model w cyberbezpieczeństwie (trzy linie obrony) 103

4.5 Cyber jako element Enterprise Risk Management (ERM) 104

4.6 Obowiązek szkolenia kierownictwa  -  art. 8 UoKSC.. 105

4.7 KPI i KRI cyberbezpieczeństwa czyli co mierzyć i jak raportować. 106

4.8 Budżet cyberbezpieczeństwa to decyzja zarządcza. 108

4.9 LegacyTurn Cyber Maturity Model  - 5 poziomów dojrzałości 109

4.10 Odpowiedzialności w organizacji (RACI) 111

4.11 Podsumowanie rozdziału 4. 116

Rozdział 5 - SZBI i 10 obszarów art. 8 UoKSC.. 119

5.1 SZBI: co to jest i dlaczego to nie jest zestaw dokumentów.. 119

5.2 10 obszarów art. 8 UoKSC: przegląd i dowody audytowe. 120

5.3 Zero Trust jako filozofia projektowania SZBI 123

5.4 Dokumentacja SZBI wg art. 10 UoKSC jako odrębny obowiązek. 124

5.5 Matryca dokumentów obowiązkowych: 15 polityk SZBI 125

5.6 Fake compliance: pułapka kupionej dokumentacji 126

5.7 Lifecycle SZBI: cykl PDCA.. 127

5.8 Analiza rozbieżności (gap analysis): punkt startowy wdrożenia SZBI 127

5.9 Compliance Mapping Matrix: lista 15 pytań. 128

5.10 Mapowanie ISO 27001:2022 na 10 obszarów UoKSC.. 129

5.11 Odpowiedzialności w Organizacji  -  RACI 131

5.12 Podsumowanie rozdziału 5. 137

Rozdział 6 - Zarządzanie incydentami i cyberkryzys. 140

6.1 Incydent a incydent poważny: klasyfikacja, która ma znaczenie prawne. 140

6.2 Cykl życia (Lifecycle) incydentu  -  7 faz zarządzania incydentem.. 141

6.3 Pierwsze 24 godziny  -  harmonogram działań. 142

6.4 Crisis Escalation Flow: 4 poziomy eskalacji 143

6.5 Incident Decision Tree czyli 5 kluczowych decyzji 144

6.6 NIS2 i RODO  -   podwójny obowiązek raportowania. 146

6.7 Formularz zgłoszenia incydentu do CSIRT przez S46. 147

6.8 SIEM i SOC czyli oko, które nie śpi 148

6.9 Forensics: zabezpieczanie śladów cyfrowych. 149

6.10 Komunikacja kryzysowa. 150

6.11 Okup, pytanie płacić czy nie?. 152

6.12 Ubezpieczenie cyber a incydent 153

6.13 Case Study: ransomware w elektrociepłowni, atak 29.12.2025 (CERT Polska) 153

6.14 Case Study: ransomware w organizacji produkcyjnej 155

6.15 Case Study: phishing CEO i deepfake CFO.. 156

6.16 Przegląd po incydencie (post - incident review): obowiązkowe zamknięcie pętli 157

6.17 Odpowiedzialności w organizacji  -  RACI 158

6.18 Podsumowanie rozdziału 6. 164

Rozdział 7 - Łańcuch dostaw ICT i Third Party Risk. 167

7.1 Dlaczego łańcuch dostaw to TOP 4 zagrożeń 2025. 167

7.2 Inwentaryzacja dostawców ICT, czyli pierwszy obowiązkowy krok. 168

7.3 Supplier Risk Matrix, czyli klasyfikacja ryzyka dostawców.. 169

7.4 Vendor Assessment Flow: 5 kroków oceny. 170

7.5 Vendor Scoring Card: obiektywna ocena liczbowa dostawcy. 171

7.6 Klauzule cybersecurity w umowach z dostawcami ICT. 172

7.7 Dostawca wysokiego ryzyka: art. 67b UoKSC.. 173

7.8 SBOM: Software Bill of Materials. 174

7.9 Chmura (CSP): shared responsibility i exit plan. 175

7.10 Ankieta bezpieczeństwa dostawcy: gotowa do użycia. 176

7.11 Case Study: kompromitacja dostawcy SaaS i audyt 177

7.12 Case Study: SolarWinds i globalny atak na łańcuch dostaw.. 178

7.13 Odpowiedzialności w Organizacji  -  RACI 180

7.14  Podsumowanie rozdziału 7. 187

Rozdział 8/8A - Audyt KSC/NIS2 w praktyce oraz 48h przed audytem KSC.. 190

8.1 Trzy rodzaje audytu i kontroli: kluczowe rozróżnienie. 190

8.2 Terminy, harmonogram i kwalifikacje audytora. 191

8.3 Jak wygląda audyt KSC krok po kroku. 191

8.4 Prawa podmiotu kontrolowanego: art. 56 - 58 UoKSC.. 193

8.5 Mapowanie: 10 obszarów art. 8 UoKSC na 6 obszarów szablonu MC (Minimum Controls) 194

8.6 Skale ocen i opinie audytorskie: co oznaczają w praktyce. 195

8.7 Niezgodności techniczne vs. dokumentacyjne: różna waga. 196

8.8 Audit Readiness Matrix. 197

8.9 Evidence Map czyli mapowanie dowodów na pytania audytora. 198

8.10 Audit Scoring Sheet: samoocena gotowości 200

8.11 Najczęstsze błędy i fake compliance czyli jak audytor to widzi 200

8.12 Playbook: 48 godzin przed audytem.. 201

8.13 Ścieżka naprawcza po audycie. 202

8.14 Case Study: audyt KSC po incydencie ransomware. 203

8.15 Odpowiedzialności w Organizacji  -  RACI 205

8.16 Podsumowanie rozdziału 8. 210

8A.1 Checklisty: 6 obszarów gotowości audytowej 213

8A.2 Evidence Map: teczka audytowa wg 6 obszarów szablonu MC.. 215

8A.3 Audit Emergency Checklist  -  godzina po godzinie. 216

8A.4 Najczęstsze błędy, jak audytor je wykrywa i jak ich uniknąć. 217

8A.5 Audit Scoring Sheet: samoocena gotowości 218

8A.6  Prawa podmiotu kontrolowanego (art. 56 - 58 UoKSC) 219

Rozdział 9/9A - Plan wdrożenia i roadmapa transformacji 221

9.1 Krok 0, czyli Analiza Rozbieżności przed roadmapą. 221

9.2 Matryca quick wins, czyli co robić najpierw.. 222

9.3 Roadmapa 30/60/90 dni i rok 1: dwie ścieżki PK i PW... 223

9.4 RACI wdrożenia, czyli kto za co odpowiada. 224

9.5 Budżet cyberbezpieczeństwa, czyli  jak mówić językiem biznesu. 226

9.6 Operating Model, czyli CISO, vCISO czy outsourcing. 227

9.7 KPI roadmapy, czyli jak mierzyć postęp wdrożenia. 228

9.8 Pułapki wdrożeniowe, czyli 7 błędów, których warto uniknąć. 229

9.9 Odpowiedzialności w Organizacji  -  RACI 231

9A.1 Wprowadzenie do LegacyTurn Cyber Maturity Model™. 235

9A.2 Pięć poziomów dojrzałości 236

9A.3 Self - Assessment: arkusz samooceny. 237

9A.4 Cyber Maturity Heatmap: wizualizacja dojrzałości 239

9A.5 Maturity Roadmap: plan przejścia między poziomami 239

9A.6 Scoring: jak obliczać i interpretować wynik. 241

9A.7 Integracja LT - CMM z roadmapą R9. 242

9A.8 Podsumowanie rozdziałów 9 i 9A.. 243

Część II - Regulacje Pokrewne CRA; Rozdział 10 - Cyber Resilience Act 246

10.1 Czym jest CRA i kogo dotyczy. 246

10.2 Kto podlega CRA  -  producent, importer, dystrybutor, OSS. 246

10.3 Klasy produktów, od Domyślnej do Krytycznej 248

10.4 CRA i harmonogram obowiązków.. 249

10.5 Obowiązki producenta  -  10 kluczowych wymagań i terminów.. 250

10.6 Technical File, czyli  dokumentacja techniczna, która jest obowiązkowa 10 lat 251

10.7 SBOM, Software Bill of Materials jako obowiązek CRA.. 252

10.8 CVD, czyli Coordinated Vulnerability Disclosure  (Skoordynowane Ujawnianie Podatności) 254

10.9 Open Source: Pułapki i wyjątki w CRA.. 254

10.10 Relacja CRA i NIS2  -  dwie regulacje, jeden cel 255

10.11 CRA Product Assessment Matrix, czyli 8 kroków oceny gotowości 256

10.12 Case Study 1  -  Producent urządzeń IoT dla energetyki 258

10.13 Case Study 2: Polska firma softwarowa  -  Czy mój produkt SaaS podlega CRA?. 259

10.14 Odpowiedzialności w Organizacji  -  RACI 260

10.15 Podsumowanie rozdziału 10. 263

Rozdział 11 - DORA: Digital Operational Resilience Act 265

11.1 Czym jest DORA i dlaczego sektor finansowy ma własną regulację. 265

11.2 Kto podlega DORA, czyli 16 typów podmiotów.. 265

11.3 DORA a NIS2 - pierwszeństwo i podwójne raportowanie. 266

11.4 Pięć filarów ICT Risk Management wg DORA.. 268

11.5 Klasyfikacja incydentów ICT i raportowanie do KNF. 269

11.6 TLPT  -  Threat - Led Penetration Testing, czyli testy penetracyjne oparte na wiedzy o zagrożeniach  269

11.7 Rejestr kontraktów ICT  -  10 obowiązkowych pól wg RTS. 271

11.8 Krytyczni Dostawcy ICT (CTPP) to nowa kategoria regulacyjna. 273

11.9 DORA Governance Model - pięć funkcji 274

11.10 RTS i ITS, jako szczegóły techniczne DORA.. 275

11.11 Case Study 1: Bank regionalny w pierwszych 12 miesiącach implementacji DORA   275

11.12 Case Study 2: Fintech, czyli jak DORA zmienia model outsourcingu ICT. 277

11.13 Odpowiedzialności w Organizacji  -  RACI 278

11.14 Podsumowanie rozdziału 11. 283

Rozdział 12, czyli RODO a cyberbezpieczeństwo. 286

12.1 RODO jako regulacja bezpieczeństwa, a art. 32 jako punkt wyjścia. 286

12.2 Naruszenie ochrony danych  -  definicja i trzy poziomy ryzyka. 287

12.3 Wielotorowe raportowanie  -  24h, 72h i bez zbędnej zwłoki 288

12.4 Privacy by Design i Privacy by Default, czyli art. 25 RODO.. 289

12.5 DPIA czyli Ocena Skutków dla Ochrony Danych (art. 35 RODO) 290

12.6 Rejestr Czynności Przetwarzania (RCP) i konflikt retencji 292

12.7 Umowy powierzenia przetwarzania (art. 28 RODO) 294

12.8 IOD i CISO, czyli o współpracy, która decyduje o wyniku. 294

12.9 Prawa osób fizycznych jako wektor ryzyka operacyjnego. 295

12.10 Incident Reporting Flow, diagram decyzyjny. 296

12.11 Case Study: Wyciek danych HR.. 297

12.12 Odpowiedzialności w Organizacji  -  RACI 300

12.13 Podsumowanie rozdziału 12. 306

Rozdział 13 - AI Act a cyberbezpieczeństwo. 309

13.1 AI Act,  co to jest i kiedy wchodzi w życie. 309

13.2 Zakazy AI Act (art. 5), co jest nielegalne od 2 lutego 2025. 310

13.3 Cztery poziomy ryzyka AI  -  klasyfikacja systemów.. 311

13.4 GPAI, czyli modele ogólnego przeznaczenia. 312

13.5 Kto jest kim, czyli dostawca vs wdrożeniowiec (provider vs deployer) 313

13.6 Obowiązki deployera systemów AI wysokiego ryzyka. 314

13.7 Bezpieczeństwo modeli AI jako nowa klasa ryzyka. 315

13.8 AI Supply Chain, ryzyko pochodzenia modelu. 316

13.9 Governance AI wewnątrz organizacji 317

13.10 AI Risk Management, powiązanie z SZBI i DPIA.. 318

13.11 Relacja AI Act, NIS2, CRA i RODO.. 319

13.12 Shadow AI w perspektywie regulacyjnej 320

13.13 AI Risk Assessment Matrix, 6 przykładów.. 321

13.14 Case Study: Deepfake CEO i manipulacja organizacją. 322

13.15 Odpowiedzialności w Organizacji – RACI 324

13.16 Podsumowanie rozdziału 13. 328

Rozdział 14  -  Human Layer Security. 331

14.1 Człowiek jako wektor ataku, czyli psychologia błędu. 331

14.2 Onboarding cyber, bo dostęp zaczyna się od świadomości 332

14.3 Offboarding cyber, często największa luka organizacyjna. 333

14.4 „Awareness Lifecycle”, czyli program, nie jednorazowe szkolenie. 334

14.5 Phishing Simulations, czyli jak prowadzić, jak mierzyć, czego nie robić. 336

14.6 Insider Threat, czyli zagrożenie wewnętrzne świadome i nieświadome. 337

14.7 Shadow IT i Shadow AI, czyli niewidzialne ryzyko. 338

14.8 Cyber Fatigue, czyli zmęczenie bezpieczeństwem.. 339

14.9 Odpowiedzialność kierownika podmiotu, art. 8c do 8e UoKSC.. 341

14.10 Odpowiedzialność pracowników  -  prawo, procedura, sankcja. 343

14.11 Praca zdalna i BYOD jako wektor ryzyka. 344

14.12 Mapa ryzyka ludzkiego. 345

14.13 Case Study: Insider Threat  -  administrator IT przed odejściem.. 346

14.14 Odpowiedzialności w Organizacji – RACI 348

14.15 Podsumowanie rozdziału 14. 351

Rozdział 15  -  Wzory dokumentów i szablony. 355

15.1  Jak używać dokumentów z tego rozdziału. 355

15.2  Polityka bezpieczeństwa informacji (PBI) 357

15.3  Procedura obsługi incydentów.. 359

15.4  Rejestr ryzyka. 364

15.5  Rejestr aktywów.. 366

15.6  Plan ciągłości działania (BCP/DR) 367

15.7  Formularz zgłoszenia incydentu. 368

15.8  Vendor Assessment, czyli ocena dostawcy. 369

15.9  Audit Checklist NIS2 / UoKSC.. 371

15.10  Board Dashboard  -  raport kwartalny dla zarządu. 372

15.11  NDA z klauzulami NIS2. 373

15.12  Klauzule cybersecurity do umów z dostawcami ICT. 374

15.13  Deklaracja Stosowania (SoA) 375

15.14  Pakiet Premium, co można dokupić. 376

15.15 Podsumowanie rozdziału 15 – Cyber Bajka. 379

Rozdział 16  -   Samoocena i przewodnik  wdrożeniowy w kilku krokach. 381

16.1  Compliance Scorecard - gdzie jesteś dziś. 381

16.2  Readiness Assessment, czyli gotowość do audytu KSC.. 384

16.3  Co zrobić DZIŚ  -  10 działań bez budżetu. 386

16.4 ZAŁĄCZNIKI 389

Załącznik A  -  Akty prawne i źródła. 389

Prawo Unii Europejskiej 389

1. Energetyka. 390

2. Prawo polskie. 390

3. Organy nadzorcze i zgłoszenia incydentów.. 390

4. Standardy i frameworki 391

5. Raporty i wytyczne branżowe. 391

6. Narzędzia i bazy danych. 391

Załącznik B - Mapowanie regulacji 392

B. 1. Mapowanie NIS2 art. 21 ↔ UoKSC ↔ ISO 27001 ↔ CRA ↔ RODO.. 392

B. 2. Co NIE jest pokryte samym ISO 27001 - luki względem UoKSC i NIS2. 393

B.3. Tabela odwrotna - „mam X - co z NIS2 jeszcze brakuje”. 394

Załącznik C - Kontakty i instytucje. 395

Załącznik D – Narzędzia i platformy cyberbezpieczeństwa. 396

Załacznik E - Słownik akronimów.. 397

pokaż cały spis treści

ukryj recenzje