Strona główna / NIS2
NIS2 · ustawa o krajowym systemie cyberbezpieczeństwaPomagamy podmiotom kluczowym, ważnym i firmom z ich łańcucha dostaw przełożyć przepisy na konkretne środki techniczne — i udokumentować je tak, żeby obroniły się podczas kontroli lub audytu klienta.
NIS2 dzieli objęte firmy na podmioty kluczowe i ważne. Obowiązki techniczne są dla obu grup praktycznie takie same — różni się sposób nadzoru i wysokość kar. Jest też trzecia, często pomijana grupa: dostawcy.
Energetyka, transport, bankowość i infrastruktura rynków finansowych, ochrona zdrowia, woda pitna i ścieki, infrastruktura cyfrowa, zarządzanie usługami ICT, administracja publiczna, przestrzeń kosmiczna.
Usługi pocztowe i kurierskie, gospodarka odpadami, chemikalia, produkcja i dystrybucja żywności, produkcja (m.in. wyrobów medycznych, elektroniki, maszyn, pojazdów), dostawcy usług cyfrowych, badania naukowe.
Firmy, które same nie podlegają przepisom, ale dostarczają produkty lub usługi — zwłaszcza IT — podmiotom kluczowym i ważnym. Te muszą zarządzać ryzykiem swoich dostawców.
Co do zasady przepisy obejmują średnie i duże przedsiębiorstwa z wymienionych sektorów, ale są wyjątki niezależne od wielkości (np. niektórzy dostawcy usług DNS czy łączności). Na konsultacji pomożemy wstępnie ocenić Twoją sytuację. Nie świadczymy porad prawnych — ostateczną kwalifikację warto potwierdzić z prawnikiem. My zajmujemy się stroną techniczną.
od wykrycia incydentu
ze wstępną oceną skutków
przyczyny i podjęte działania
Żeby zdążyć, trzeba mieć wcześniej przygotowane monitoring, procedurę i ludzi. To wdrażamy.
NIS2 (art. 21) wymienia minimalne obszary zarządzania ryzykiem. Przy każdym piszemy, co konkretnie robimy po stronie technicznej.
Udokumentowane podejście do ryzyka i zasady bezpieczeństwa systemów.
Inwentaryzacja systemów, analiza ryzyka, polityka bezpieczeństwa informacji.Wykrywanie, reagowanie i zgłaszanie w wymaganych terminach.
Procedura incydentowa, centralne logi, monitoring, alerty, ćwiczenia.Kopie zapasowe, odtwarzanie po awarii i zarządzanie kryzysowe.
Backup 3-2-1 z kopią odizolowaną, testy odtwarzania, plan BCP/DR.Ocena i kontrola ryzyka związanego z dostawcami.
Rejestr dostawców, kryteria bezpieczeństwa, ankiety i wymagania do umów.Bezpieczne pozyskiwanie, utrzymanie i łatanie systemów.
Zarządzanie aktualizacjami, skanowanie podatności, utwardzanie konfiguracji.Regularne sprawdzanie, czy zabezpieczenia działają.
Przeglądy okresowe, testy, raporty dla zarządu z mierzalnymi wskaźnikami.Podstawowe praktyki bezpieczeństwa i świadomość pracowników.
Szkolenia dla pracowników i zarządu, testowe kampanie phishingowe.Ochrona danych w spoczynku i w transmisji.
Szyfrowanie dysków i kopii, bezpieczne połączenia (VPN, TLS), zarządzanie kluczami.Kto ma dostęp do czego — i dlaczego.
Zasada minimalnych uprawnień, przeglądy kont, ewidencja sprzętu i oprogramowania.Uwierzytelnianie wieloskładnikowe i zabezpieczone kanały łączności.
MFA na pocztę, VPN i systemy krytyczne, zabezpieczona komunikacja awaryjna.Podmioty kluczowe i ważne coraz częściej wymagają od dostawców dowodów, że ich IT jest bezpieczne. Nie musisz podlegać ustawie, żeby te wymagania Cię dotyczyły — wystarczy, że chcesz utrzymać kontrakt.
Przygotujemy Twoją firmę tak, żeby ankieta czy audyt klienta były formalnością:
Czy i w jakim zakresie przepisy Cię dotyczą — bezpłatnie.
Porównujemy stan obecny z wymaganiami i oceniamy ryzyka.
Priorytety, harmonogram i koszty — najpierw to, co najważniejsze.
Konfigurujemy zabezpieczenia etapami, poza godzinami szczytu.
Polityki, procedury i zapisy, które pokażesz kontrolerowi lub klientowi.
Monitoring, testy, przeglądy i szkolenia — zgodność to proces, nie jednorazowy projekt.
Bezpłatna wstępna ocena: czy przepisy Cię dotyczą, jakie masz luki i od czego zacząć.
Informacje na tej stronie mają charakter ogólny i opierają się na dyrektywie NIS2 (UE 2022/2555). Szczegółowe obowiązki w Polsce określa ustawa o krajowym systemie cyberbezpieczeństwa.