Praktyczny przewodnik po obowiązkach wynikających z ustawy o krajowym systemie cyberbezpieczeństwa i dyrektywy NIS2. Kogo dotyczy, jakie kary, 8 kroków do pełnej zgodności.
Klasyfikacja zależy od sektora i wielkości firmy. Próg: 50 zatrudnionych lub obrót / suma bilansowa powyżej 10 mln EUR.
Najwyższy reżim. Kary do 10 mln EUR lub 2% obrotu globalnego. Ścisły obowiązek raportowania i nadzoru ze strony właściwego organu.
Reżim łagodniejszy, ale obowiązki SZBI, BIA i raportowania incydentów pozostają. Kary do 7 mln EUR lub 1,4% obrotu globalnego.
Niezależnie od wielkości firmy, jeśli podlegasz ustawie, te cztery elementy są niezbywalne.
Pełna dokumentacja procesowa zgodna z ISO 27001: polityki, procedury, role, plan ciągłości działania, plan reagowania na incydenty.
Samoidentyfikacja podmiotu w systemie S46 prowadzonym przez krajowy CSIRT. Żaden urząd nie przyśle przypomnienia — to obowiązek po stronie firmy.
Wczesne ostrzeżenie w ciągu 24 godzin od wykrycia, pełne zgłoszenie w ciągu 72 godzin, raport końcowy w 1 miesiąc. Procedura musi być przećwiczona.
Kolejność ma znaczenie — pominięcie BIA czyni SZBI bezużytecznym, a brak rejestracji w S46 oznacza nieświadome naruszenie obowiązku samoidentyfikacji.
Klasyfikacja zależy od sektora (np. energia, transport — Kluczowe; gospodarka odpadami, FMCG — Ważne) oraz wielkości firmy (próg 50 zatrudnionych lub obrót/bilans powyżej 10 mln EUR). Najszybciej sprawdzić to Kwalifikacyjnym Audytem Zerowym NIS2 — w 20 minut otrzymasz pisemną klasyfikację.
Obowiązek samoidentyfikacji w systemie S46 (prowadzonym przez krajowy CSIRT) spoczywa na podmiocie i nie jest poprzedzany żadnym wezwaniem ze strony urzędu. Brak rejestracji w terminie traktowany jest jako naruszenie obowiązku, niezależnie od stanu wiedzy Zarządu.
NIS2 to dyrektywa unijna (UE 2022/2555). KSC to polska ustawa wdrażająca tę dyrektywę — Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (Dz. U. 2018 poz. 1560) wraz z nowelizacją implementującą NIS2. W praktyce mówimy o jednym i tym samym reżimie regulacyjnym z perspektywy polskiej firmy.
Zwykle nie — próg 50 zatrudnionych jest jednym z warunków. Istnieją jednak wyjątki: Wysokie obroty i suma bilansowa a także niektóre sektory (np. zaufanej infrastruktury cyfrowej, administracja publiczna) wpadają w reżim niezależnie od wielkości. Audyt Zerowy ostatecznie to weryfikuje.
Maksymalna kara dla Podmiotu Kluczowego to 10 mln EUR lub 2% obrotu globalnego (Ważnego — 7 mln EUR lub 1,4%). Dodatkowo Art. 8c KSC wprowadza osobistą odpowiedzialność członków Zarządu — kara wynagrodzeniowa do 300% wynagrodzenia, niezależnie od kar dla spółki.
Procedura trzyetapowa: wczesne ostrzeżenie w ciągu 24 godzin od wykrycia, pełne zgłoszenie w ciągu 72 godzin, raport końcowy w ciągu 1 miesiąca. Brak zgłoszenia lub spóźnione zgłoszenie to samodzielne naruszenie, niezależnie od samego incydentu.
Nie, to dwa odrębne reżimy. RODO chroni dane osobowe, NIS2 chroni systemy informacyjne i ciągłość działania. Często musisz zgłosić ten sam incydent dwukrotnie — do CSIRT (NIS2) i do UODO (RODO), z różnymi terminami i zakresem danych.
Zbudowanie planu to kwestia dni, jednak realne wdrożenie to miesiące rzetelnej pracy. Klasyczne firmy doradcze nierzadko poświęcają 30 dni na same wywiady. Nasza zwinna metodyka Top-Down skraca najtrudniejszy etap – BIA i Analizę Ryzyka – do 5 dni roboczych (od decyzji Zarządu po mapowanie konkretnych zabezpieczeń technicznych).
Niemniej, pełne wdrożenie Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) zajmuje zazwyczaj od 6 do 12 miesięcy. Finalne tempo zależy od Państwa budżetu oraz gotowości do zmian. Cyberbezpieczeństwo to proces, a nową kulturę organizacyjną trzeba w firmie zaszczepić i konsekwentnie pielęgnować.
Aby przeprowadzić Państwa przez tę transformację w sposób całkowicie usystematyzowany, pracujemy w oparciu o sprawdzoną ścieżkę wdrożenia:
Ponieważ utrzymanie bezpieczeństwa (etap PDCA) to proces ciągły, przejmujemy na siebie ciężar zarządzania jako Państwa zewnętrzny vCISO. Współpracujemy w modelu abonamentowym ze stałą opłatą miesięczną. Pozwala to przenieść koszty bezpieczeństwa do wydatków operacyjnych (OPEX) zamiast obciążać budżet jednorazowymi inwestycjami (CAPEX), gwarantując ciągłość i ewolucję zabezpieczeń.
Powyższe nie stanowi porady prawnej. W konkretnym przypadku rekomendujemy konsultację z radcą prawnym specjalizującym się w prawie cyfrowym.
Kwalifikacyjny Audyt Zerowy NIS2 odpowiada na trzy najważniejsze pytania: czy podlegasz ustawie, jaka jest Twoja kategoria, co musisz zrobić w pierwszej kolejności.
Twoja Polisa Bezpieczeństwa · zatwierdzenia polskich regulatorów · 5-dniowe BIA
