Cyberbezpieczeństwo
Urzędom i firmom pomagam przygotować się do NIS2 i ustawy o KSC. Zwykle zaczynam od audytu zerowego, a potem wdrażam to, czego brakuje: zabezpieczenia sieci, kopie, procedury i monitorowanie.
Zgodność
Ochrona
Testy
Monitorowanie
Odporność
Zacznij od audytu zerowego. Po nim wiesz, gdzie jesteś względem wymagań i co zrobić najpierw.
Jak wygląda audytDyrektywę NIS2 wdraża w Polsce nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa. Obejmuje podmioty kluczowe i ważne, w tym jednostki administracji publicznej. Każda organizacja sama ustala, czy podlega ustawie.
3 kwietnia 2026 r.
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, wdrażająca dyrektywę NIS2, wchodzi w życie.
3 października 2026 r.
Mija termin wpisu do wykazu podmiotów kluczowych i ważnych (wykaz-ksc.gov.pl). Jeśli organizacja podlega ustawie, a wpisu nie ma, trzeba go zrobić jak najszybciej.
3 kwietnia 2027 r.
Koniec okresu na dostosowanie systemów i procedur, w tym na wdrożenie systemu zarządzania bezpieczeństwem informacji.
Kilka typowych sytuacji i to, co w nich robię.
„Nie wiemy, czy NIS2 nas dotyczy.”
Sprawdzam sektor, wielkość i rodzaj działalności. Jeśli organizacja podlega ustawie, pomagam z wpisem do wykazu i planem dostosowania, a jeśli nie, przygotowuję uzasadnienie na wypadek pytań.
„Za kilka miesięcy mamy audyt KRI albo kontrolę.”
Przeglądam dokumentację i to, jak wygląda praca w praktyce, wskazuję braki i kolejność poprawek. Na audycie nie ma wtedy niespodzianek.
„Mamy zaporę, ale nikt nie patrzy w logi.”
Zbieram logi z zapór, serwerów i Active Directory w jednym miejscu (SIEM) i ustawiam alerty. Jeśli organizacja nie ma dyżurów, proponuję zewnętrzny SOC działający całą dobę.
„Ktoś kliknął w link z maila i nie wiemy, co dalej.”
Pomagam ocenić skalę incydentu, zabezpieczyć dowody i dotrzymać terminów: 24 godziny na wczesne ostrzeżenie do CSIRT i 72 godziny na zgłoszenie naruszenia danych osobowych do UODO.
„Przed uruchomieniem systemu potrzebujemy testu penetracyjnego.”
Testuję aplikację i infrastrukturę z sieci lokalnej i z Internetu. Raport z oceną ryzyka i zaleceniami przygotowuję w około dwa tygodnie od zakończenia testów.
Przegląd dokumentacji i organizacji bezpieczeństwa względem KRI, ISO/IEC 27001 i KSC. Zwykle trwa od 3 do 6 tygodni.
Stan obecny, luki i ryzyka spisane w jednym raporcie.
Harmonogram działań uszeregowany według ryzyka i budżetu.
MFA, segmentacja, kopie, procedury i szkolenia zespołu.
SIEM/SOC, testy penetracyjne i cykliczne przeglądy.
Testy z sieci lokalnej i z Internetu. Zakres podstawowy zajmuje około dnia, rozszerzony dwa dni, a raport powstaje w około dwa tygodnie.
Wszystko z zakresu podstawowego, a do tego:
Ustawa obejmuje podmioty kluczowe i ważne w wymienionych w niej sektorach, w tym podmioty publiczne. Każda organizacja sama ustala, czy jej podlega. Mogę przeprowadzić tę analizę i przygotować uzasadnienie decyzji.
Audyt KRI to obowiązkowy, przeprowadzany co najmniej raz w roku audyt bezpieczeństwa informacji w podmiotach realizujących zadania publiczne. Audyt zerowy to pierwszy przegląd przed zmianami: pokazuje, gdzie jest organizacja względem KRI, ISO/IEC 27001 i KSC, i od czego zacząć.
Zwykle od 3 do 6 tygodni od przekazania dokumentacji. Czas zależy od liczby dokumentów i od dostępności osób odpowiedzialnych za poszczególne obszary.
Nie. Audyt zerowy dotyczy dokumentacji i organizacji pracy. Testy penetracyjne, skanowanie podatności czy przegląd konfiguracji Active Directory i zapór można zamówić osobno albo dołączyć do audytu.
Według NIS2 i KSC: wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin i raport końcowy w ciągu miesiąca. Jeśli incydent dotyczy danych osobowych, naruszenie zgłasza się też do UODO w ciągu 72 godzin.
Nie. Monitorowanie pomaga wykrywać i zgłaszać incydenty, ale polityki, analiza ryzyka, plan ciągłości działania i szkolenia pozostają po stronie organizacji. Audytor sprawdza oba obszary.
Audyt zerowy pokazuje, gdzie jesteś względem wymagań NIS2 i KSC, co trzeba zrobić najpierw i ile to potrwa.