Ustawa o krajowym systemie cyberbezpieczeństwa (KSC), wdrażająca dyrektywę NIS2, nakłada na podmioty konkretne obowiązki: od systemu zarządzania bezpieczeństwem informacji, przez monitorowanie i obsługę incydentów, po bezpieczeństwo łańcucha dostaw i personelu.

Naszą ofertę dopasowaliśmy do wymogów prawnych. Dzielimy ją na 10 obszarów i każdy opisujemy czynnościami wykonawczymi oraz dowodami realizacji, które zobaczy audytor.

Dokumentacja SZBI: polityki i procedury normatywne oraz operacyjne
Analiza ryzyka i plan postępowania z ryzykiem
Monitoring w trybie ciągłym (SIEM) i zarządzanie podatnościami
Obsługa incydentów i zgłoszenia do CSIRT przez system S46
Ciągłość działania, kopie zapasowe i testy odtworzeniowe
Ocena dostawców, weryfikacja personelu i przygotowanie do audytu

Zakres

10 obszarów zgodności

Każdy obszar to konkretne zadania wykonywane przez naszych inżynierów, z przykładem działania.

System Zarządzania Bezpieczeństwem Informacji (SZBI)

Opracowanie, wdrożenie i cykliczny przegląd dokumentacji oraz procedur zapewniających poufność, integralność i dostępność danych.

Przykład działania: Przygotowanie kompletu polityk (np. polityki haseł) i instrukcji technicznych dla administratorów, a następnie coroczny przegląd ich skuteczności wobec zmian w infrastrukturze.

Szacowanie i zarządzanie ryzykiem

Regularna identyfikacja zagrożeń dla procesów biznesowych, analiza ich skutków i dobór proporcjonalnych środków technicznych.

Przykład działania: Pełna analiza ryzyka dla krytycznego systemu ERP, scenariusze zagrożeń (np. ransomware, awaria macierzy) i wdrożenie brakujących zabezpieczeń.

Monitoring bezpieczeństwa w trybie ciągłym

Nadzór nad systemami informacyjnymi w czasie rzeczywistym, wykrywanie anomalii i incydentów.

Przykład działania: Wdrożenie i obsługa systemu klasy SIEM, który analizuje logi z serwerów i stacji roboczych oraz alarmuje inżyniera przy próbie nieautoryzowanego dostępu do bazy danych.

Zarządzanie podatnościami

Systematyczne zbieranie informacji o lukach w oprogramowaniu i sprzęcie oraz niezwłoczne działania naprawcze.

Przykład działania: Cotygodniowe, automatyczne skany podatności całej infrastruktury, priorytetyzacja krytycznych poprawek (np. dla luk zero-day) i ich instalacja w oknie serwisowym.

Zarządzanie aktualizacjami (Patch Management)

Regularne wdrażanie poprawek bezpieczeństwa po analizie ich wpływu na ciągłość usług.

Przykład działania: Test zgodności krytycznej poprawki systemu operacyjnego z aplikacjami biznesowymi w środowisku testowym przed wdrożeniem produkcyjnym.

Obsługa incydentów i raportowanie do CSIRT

Wykrywanie, rejestrowanie i analiza incydentów oraz ustawowa komunikacja z właściwym CSIRT przez system S46.

Przykład działania: Po wykryciu włamania: izolacja zagrożenia, przygotowanie i wysłanie zgłoszenia incydentu poważnego do CSIRT przez system S46 w wymaganym terminie.

Ciągłość działania (BCP) i odtwarzanie po awarii (DR)

Opracowanie i testowanie planów ciągłego świadczenia usług oraz instrukcji odtworzeniowych.

Przykład działania: Plan Disaster Recovery dla kluczowej bazy danych i coroczny test odtworzenia z kopii zapasowej na nowej infrastrukturze, z weryfikacją czasu przywracania (RTO).

Bezpieczeństwo łańcucha dostaw

Monitorowanie i ocena bezpieczeństwa produktów i usług ICT dostarczanych przez poddostawców.

Przykład działania: Audyt procedur bezpieczeństwa u nowego dostawcy usług chmurowych i weryfikacja, czy producent oprogramowania nie jest na liście dostawców wysokiego ryzyka.

Bezpieczeństwo personelu

Zapewnienie, że osoby realizujące zadania cyberbezpieczeństwa mają odpowiednie uprawnienia i są niekarane za przestępstwa przeciwko ochronie informacji.

Przykład działania: Gromadzenie i weryfikacja aktualnych zaświadczeń z Krajowego Rejestru Karnego dla inżynierów z uprawnieniami administracyjnymi przed dopuszczeniem do pracy.

Wsparcie w audytach ustawowych KSC

Przygotowanie do obowiązkowego audytu zewnętrznego (dla podmiotów kluczowych co 3 lata) i dostarczanie dowodów realizacji SZBI.

Przykład działania: Przygotowanie dokumentacji operacyjnej (logi, raporty ze skanowań, protokoły z testów BCP) i udział w sesjach wyjaśniających z audytorem.

Macierz

Macierz obowiązków i usług IT

Jak nasze usługi odpowiadają obowiązkom z ustawy o KSC i jakie dowody realizacji dostaje audytor.

Obszar	Zadanie / usługa IT	Podstawa prawna	Dowód dla audytora
Zarządzanie ryzykiem	Systematyczne szacowanie i zarządzanie ryzykiem incydentów	Art. 8 ust. 1 pkt 1	Raport z analizy ryzyka, plan postępowania z ryzykiem
Monitorowanie	Monitorowanie infrastruktury w trybie ciągłym	Art. 8 ust. 1 pkt 2 lit. g	Logi systemowe, alerty z systemów klasy SIEM/SOC
Podatności	Zbieranie informacji o lukach (vulnerability management)	Art. 8 ust. 1 pkt 3	Raporty ze skanowania, rejestr wykrytych luk
Aktualizacje	Analiza i wdrażanie poprawek (patch management)	Art. 8 ust. 1 pkt 5 lit. b	Rejestr zmian, dowody testów przedwdrożeniowych
Mitygacja luk	Niezwłoczne działania po wykryciu podatności	Art. 8 ust. 1 pkt 5 lit. d	Raporty z incydentów, potwierdzenia zmian konfiguracji
Dokumentacja	Opracowanie i aktualizacja dokumentacji SZBI	Art. 10 ust. 1-3	Polityki i procedury (normatywne i operacyjne)
Incydenty	Obsługa incydentów i raportowanie do CSIRT (S46)	Art. 11 ust. 1	Rejestr incydentów, potwierdzenia zgłoszeń do CSIRT
Łańcuch dostaw	Zarządzanie bezpieczeństwem bezpośrednich dostawców	Art. 8 ust. 1 pkt 2 lit. e	Oceny dostawców, zapisy o cyberbezpieczeństwie w umowach
Personel	Weryfikacja niekaralności i uprawnień specjalistów	Art. 8f	Zaświadczenia z Krajowego Rejestru Karnego
Backup	Kopie zapasowe i testy odtwarzania	Załącznik nr 4	Harmonogramy backupu, protokoły z testów odzyskiwania

Przepisy według ustawy o krajowym systemie cyberbezpieczeństwa.

Słownik

Podstawy prawne w skrócie

Rozwinięcie przepisów wskazanych w macierzy.

Art. 8 ust. 1 pkt 1

Obowiązek wdrożenia systemu zarządzania bezpieczeństwem informacji, zapewniającego systematyczne szacowanie ryzyka wystąpienia incydentu i zarządzanie tym ryzykiem.

Art. 8 ust. 1 pkt 2 lit. g

Wymóg objęcia systemu informacyjnego wykorzystywanego do świadczenia usługi systemem monitorowania w trybie ciągłym.

Art. 8 ust. 1 pkt 3

Obowiązek zbierania informacji o cyberzagrożeniach i podatnościach systemu informacyjnego na incydenty.

Art. 8 ust. 1 pkt 5 lit. b

Obowiązek stosowania środków ograniczających wpływ incydentów, w tym przez dbałość o aktualizację oprogramowania.

Art. 8f

Wymogi dotyczące personelu: osoba realizująca zadania z zakresu cyberbezpieczeństwa przedstawia informację z Krajowego Rejestru Karnego o niekaralności za przestępstwa przeciwko ochronie informacji.

Art. 10 ust. 1-3

Obowiązek opracowania i stosowania dokumentacji normatywnej (polityki, procesy) oraz operacyjnej (zapisy poświadczające wykonanie czynności) dotyczącej bezpieczeństwa systemów.

Art. 11

Obowiązki w zakresie obsługi incydentu, w tym klasyfikacji incydentów jako poważne i ich raportowania do właściwego CSIRT.

Załącznik nr 4

Szczegółowe wymogi dla systemu zarządzania bezpieczeństwem informacji podmiotu ważnego będącego podmiotem publicznym, m.in. inwentaryzacja produktów ICT i zasady kontroli dostępu.

Blog

Czytaj więcej na blogu

29 maja 2026 · 2 min czytania

Jak zacząć dbać o bezpieczeństwo IT w firmie

Bezpieczeństwo IT to nie tylko domena dużych korporacji. Każda firma - niezależnie od rozmiaru - przechowuje dane, które warto chronić. Od czego zacząć i …

Pozostałe działy