Dyrektywa NIS2 została wdrożona w Polsce przez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa (KSC). Firmy objęte przepisami muszą wdrożyć odpowiednie środki techniczne i organizacyjne oraz przygotować się do obowiązkowego raportowania poważnych incydentów.

Najważniejsze terminy:

3 października 2026 r. – termin samorejestracji dla podmiotów, które dnia 3 kwietnia 2026r. spełniały kryteria.
3 kwietnia 2027 r. – termin wdrożenia obowiązków i rozpoczęcia korzystania z S46.
3 kwietnia 2028 r. – pierwszy audyt dla wskazanych podmiotów kluczowych.

Umów bezpłatną konsultację!

Co to jest NIS2?

NIS to skrót od angielskiego określenia „Network and Information Systems”, czyli sieci i systemy informatyczne. NIS2 to unijna dyrektywa, której celem jest podniesienie poziomu cyberbezpieczeństwa w podmiotach istotnych dla funkcjonowania gospodarki i państwa.

NIS2 zastąpiła wcześniejszą dyrektywę NIS z 2016 roku, określaną również jako NIS1. Nowe przepisy rozszerzyły liczbę objętych sektorów i podmiotów oraz zwiększyły wymagania dotyczące zarządzania ryzykiem, zabezpieczeń i zgłaszania incydentów.

Jakie firmy podlegają pod NIS2 i ustawę o KSC?

Pod dyrektywę NIS2 i ustawę o KSC podlegają podmioty określone jako kluczowe lub ważne. Każda organizacja ma obowiązek samodzielnie ustalić, czy spełnia kryteria uznania za podmiot kluczowy lub podmiot ważny. Proces ten nazywany jest samoidentyfikacją i obejmuje analizę rodzaju prowadzonej działalności, wielkości organizacji oraz szczególnych zasad określonych w art. 5 ustawy o KSC.

Ważne:

Firma sama musi sprawdzić, czy spełnia kryteria ustawy. Jeżeli je spełnia, podlega obowiązkom nawet wtedy, gdy nie otrzymała pisma ani nie została wpisana do Wykazu KSC z urzędu. W większości przypadków musi samodzielnie zgłosić się do Wykazu KSC.

Krok 1. Sprawdź rodzaj prowadzonej działalności

W pierwszej kolejności firma powinna sprawdzić, czy faktycznie prowadzona przez nią działalność została wskazana w załączniku nr 1 lub nr 2 do ustawy o KSC. Kod PKD może pomóc w przeprowadzeniu tej analizy, ale decydujący jest rzeczywisty zakres świadczonych usług i wykonywanych zadań.

Załącznik nr 1 – sektory kluczowe

Załącznik nr 1 obejmuje:

• energię – m.in. energię elektryczną, ciepło, gaz, ropę i paliwa, wodór, wydobywanie kopalin oraz energetykę jądrową;

• transport lotniczy, kolejowy, wodny i drogowy;

• bankowość i infrastrukturę rynków finansowych;

• ochronę zdrowia, w tym udzielanie świadczeń zdrowotnych, zdrowie publiczne oraz określoną produkcję i dystrybucję produktów leczniczych i wyrobów medycznych;

• zaopatrzenie w wodę pitną i jej dystrybucję;

• zbiorowe odprowadzanie ścieków;

• infrastrukturę cyfrową i komunikację elektroniczną;

• zarządzanie usługami ICT;

• przestrzeń kosmiczną;

• określone podmioty publiczne.

Załącznik nr 2 – sektory ważne

Załącznik nr 2 obejmuje:

• usługi pocztowe;

• inwestycje w energetykę jądrową;

• gospodarowanie odpadami, w tym ich zbieranie, transport i przetwarzanie;

• produkcję, wytwarzanie i dystrybucję chemikaliów;

• produkcję, przetwarzanie i dystrybucję żywności;

• produkcję wyrobów medycznych, komputerów, wyrobów elektronicznych i optycznych, urządzeń elektrycznych, maszyn, pojazdów samochodowych oraz pozostałego sprzętu transportowego;

• usługi cyfrowe;

• badania naukowe;

• pozostałe podmioty publiczne wskazane w ustawie.

Krok 2. Określ wielkość organizacji

Jeżeli działalność firmy została wskazana w załączniku nr 1 lub 2 do ustawy o KSC, kolejnym krokiem jest ustalenie jej wielkości. Kryterium wielkości spełniają przedsiębiorstwa średnie i duże.

Wielkość	Zatrudnienie	Dane finansowe
Mikroprzedsiębiorstwo	mniej niż 10 osób	obrót lub suma bilansowa do 2 mln EUR
Małe przedsiębiorstwo	mniej niż 50 osób	obrót lub suma bilansowa do 10 mln EUR
Średnie przedsiębiorstwo	mniej niż 250 osób	obrót do 50 mln EUR lub suma bilansowa do 43 mln EUR
Duże przedsiębiorstwo	przekracza progi średniego przedsiębiorstwa	zgodnie z zasadami kwalifikacji

Tab. 1 Kryteria określania wielkości przedsiębiorstwa; źródło: opracowanie Symbioza.IT na podstawie art. 2 ust. 1–3 załącznika I do rozporządzenia Komisji (UE) nr 651/2014.

Przy ustalaniu wielkości należy sprawdzić również przedsiębiorstwa partnerskie i powiązane. Sama liczba pracowników zatrudnionych w jednej spółce może nie wystarczyć do prawidłowej kwalifikacji.

Ważne:

Mimo, że mikro- i małe przedsiębiorstwa nie spełniają podstawowego kryterium wielkości, to mogą podlegać ustawie na podstawie wyjątków.

Krok 3. Sprawdź wyjątki i szczególne zasady

Jeżeli firma jest mikro- lub małym przedsiębiorstwem, analiza nie zawsze kończy się na kryterium wielkości. Ustawa o KSC wskazuje podmioty objęte przepisami niezależnie od wielkości oraz kategorie, wobec których stosowane są szczególne zasady.

Podmiotami kluczowymi niezależnie od ich wielkości są:

dostawca usług DNS,
kwalifikowany dostawca usług zaufania,
podmiot krytyczny,
podmiot publiczny wskazany w załączniku nr 1 do ustawy o KSC w sektorze podmioty publiczne,
podmiot zidentyfikowany jako podmiot kluczowy w drodze decyzji administracyjnej organu właściwego do spraw cyberbezpieczeństwa,
państwowa osoba prawna zidentyfikowana jako podmiot kluczowy w drodze decyzji administracyjnej Ministra Cyfryzacji,
podmiot, który nie jest przedsiębiorcą, a jest wskazany w załączniku nr 1 do ustawy o KSC z nazwy albo przez określenie jego rodzaju,
podmiot będący operatorem obiektu energetyki jądrowej,
rejestr nazw domen najwyższego poziomu (TLD),
podmiot świadczący usługi rejestracji nazw domen.

Kto ocenia, czy organizacja podlega ustawie?

Organizacja samodzielnie ocenia, czy spełnia warunki uznania za podmiot kluczowy lub ważny, a tym samym czy podlega ustawie o KSC i dyrektywie NIS2. Jej status wynika bezpośrednio ze spełnienia kryteriów określonych w ustawie, dlatego firma nie powinna czekać na decyzję, wezwanie ani indywidualne wskazanie przez urząd.

Jedynie określone kategorie podmiotów są wpisywane do Wykazu KSC z urzędu lub mogą zostać uznane za podmiot kluczowy albo ważny decyzją właściwego organu. W pozostałych przypadkach organizacja sama przeprowadza samoidentyfikację i – jeżeli spełnia kryteria – składa wniosek o wpis do Wykazu KSC.

Jak dokonać wpisu do Wykazu KSC?

Jeżeli organizacja ustali, że spełnia kryteria podmiotu kluczowego lub ważnego, powinna złożyć wniosek o wpis do Wykazu KSC. Wniosek składa elektronicznie kierownik podmiotu lub upoważniona przez niego osoba.

Jak wygląda samorejestracja?

Załóż konto w Wykazie KSC

Wejdź na

wykaz-ksc.gov.pl

i zaloguj się za pośrednictwem login.gov.pl. Przy pierwszym logowaniu system poprosi o utworzenie konta.

Przygotuj wymagane informacje

Formularz obejmuje m.in.:

✓dane identyfikacyjne organizacji, takie jak nazwa, NIP i REGON,

✓sektor, podsektor oraz rodzaj działalności objętej ustawą,

✓dane adresowe i kontaktowe,

✓dane osób odpowiedzialnych za kontakt w sprawach cyberbezpieczeństwa,

✓dane administratora konta w Systemie S46,

✓zakresy publicznych adresów IP i domen internetowych,

✓informacje o dostawcach usług zarządzanych w zakresie cyberbezpieczeństwa,

✓pełnomocnictwo, jeżeli wniosek składa osoba upoważniona.

Wypełnij i podpisz wniosek

Wniosek można podpisać Profilem Zaufanym albo podpisem elektronicznym złożonym w zewnętrznej aplikacji. Przed wysłaniem należy sprawdzić poprawność wszystkich danych i zaakceptować wymagane oświadczenia.

Jak dokonać samorejestracji?

Szczegółowy sposób zgłoszenia podmiotu opisano w oficjalnej instrukcji Ministerstwa Cyfryzacji.

Zobacz instrukcję samorejestracji w Wykazie KSC →

Kiedy wpis następuje z urzędu?

Niektóre podmioty, m.in. przedsiębiorcy telekomunikacyjni, dostawcy usług zaufania, określone podmioty publiczne i podmioty krytyczne, są wpisywane do Wykazu KSC z urzędu. Otrzymują wówczas zawiadomienie oraz wezwanie z kodem umożliwiającym uzupełnienie danych w systemie.

Wpis z urzędu może zostać dokonany również wtedy, gdy podmiot spełnia ustawowe kryteria, ale nie złożył wniosku w wymaganym terminie.

Czym jest S46 Cyber Hub?

Dostęp do S46 Cyber Hub organizacja uzyskuje po wpisie do Wykazu KSC. S46 Cyber Hub to platforma, za pośrednictwem której podmioty kluczowe i ważne zgłaszają poważne incydenty, uzupełniają informacje o ich przebiegu oraz komunikują się z właściwymi zespołami CSIRT. Platforma służy również do odbierania ostrzeżeń, rekomendacji i analiz technicznych oraz wymiany informacji o cyberzagrożeniach.

NIS2 w Polsce – najważniejsze terminy wynikające z ustawy o KSC

3 kwietnia 2026 r.

Wejście w życie nowelizacji ustawy o KSC.

13 kwietnia 2026 r.

Uruchomienie Wykazu KSC.

7 maja 2026 r.

Uruchomienie samorejestracji w Wykazie KSC.

12 czerwca 2026 r.

Możliwość korzystania z S46 przez nowe podmioty.

3 października 2026 r.

Ostateczny termin wpisu dla podmiotów spełniających kryteria w dniu wejścia nowelizacji w życie.

3 kwietnia 2027 r.

Ostateczny termin wdrożenia obowiązków i rozpoczęcia korzystania z S46.

3 kwietnia 2028 r.

Pierwszy audyt dla objętych tym obowiązkiem podmiotów kluczowych.

Na czym polega wdrożenie NIS2 i wymagań ustawy o KSC?

Wdrożenie wymagań polega na utworzeniu, udokumentowaniu i utrzymywaniu systemu zarządzania bezpieczeństwem informacji, dostosowanego do działalności organizacji oraz występującego w niej ryzyka. Proces warto rozpocząć od audytu gotowości, który pozwoli ustalić, jakie zabezpieczenia, procesy i dokumenty już funkcjonują, a czego brakuje do spełnienia wymagań ustawy.

1. Audyt gotowości i analiza luk

Ocena obecnego poziomu bezpieczeństwa, identyfikacja braków oraz przygotowanie planu wdrożenia z określeniem priorytetów i odpowiedzialności.

2. Analiza ryzyka i zarządzanie bezpieczeństwem

Rozpoznanie najważniejszych usług, systemów, danych i zagrożeń oraz wdrożenie zasad systematycznego zarządzania ryzykiem.

3. Środki techniczne i organizacyjne

Dobór oraz wdrożenie zabezpieczeń proporcjonalnych do wielkości organizacji, rodzaju działalności i zidentyfikowanego ryzyka.

4. Monitoring, obsługa i raportowanie incydentów

Przygotowanie organizacji do wykrywania zagrożeń, reagowania na incydenty oraz przekazywania zgłoszeń przez S46 Cyber Hub.

5. Ciągłość działania i odtwarzanie systemów

Zapewnienie możliwości utrzymania najważniejszych usług oraz przywrócenia systemów i danych po awarii, cyberataku lub innym poważnym zdarzeniu.

6. Pracownicy i bezpieczeństwo łańcucha dostaw

Uwzględnienie ryzyka związanego z personelem, dostawcami technologii i usług oraz podmiotami posiadającymi dostęp do systemów lub danych.

7. Dokumentacja i regularna weryfikacja

Opracowanie polityk, procedur, planów i rejestrów oraz dokumentowanie testów, szkoleń, przeglądów i pozostałych działań potwierdzających realizację obowiązków.

Ważne: zakup pojedynczego zabezpieczenia lub przeprowadzenie jednego szkolenia nie oznacza wdrożenia wszystkich wymagań. Organizacja musi wykazać, że zastosowane rozwiązania tworzą spójny system, są stosowane, regularnie sprawdzane i dostosowywane do zmieniającego się ryzyka.

Zgłaszanie incydentów NIS2 – terminy i procedura KSC

Obowiązkowemu raportowaniu podlegają incydenty zakwalifikowane jako poważne, a nie każde zdarzenie informatyczne. Terminy liczy się od momentu wykrycia incydentu poważnego – organizacja nie powinna czekać na zakończenie jego analizy czy usunięcie skutków.

TERMIN OD WYKRYCIA INCYDENTU	WYMAGANE DZIAŁANIE
Niezwłocznie, maksymalnie w ciągu 24 godzin	Przekazanie wczesnego ostrzeżenia.
Niezwłocznie, maksymalnie w ciągu 72 godzin	Zgłoszenie incydentu poważnego.
Na wniosek właściwego CSIRT	Przekazanie sprawozdania okresowego z obsługi incydentu.
W ciągu miesiąca od zgłoszenia incydentu	Przekazanie sprawozdania końcowego albo – jeżeli obsługa nadal trwa – sprawozdania z postępu.
W ciągu miesiąca od zakończenia obsługi	Przekazanie sprawozdania końcowego, jeżeli wcześniej złożono sprawozdanie z postępu.

Tab.2 Terminy zgłaszania incydentów; źródło: opracowanie własne na podstawie ustawy o KSC oraz informacji Ministerstwa Cyfryzacji

Jak technicznie zgłosić incydent?

Zgłoszenia incydnetów oraz kolejne sprawozdania przekazuje się za pośrednictwem S46 Cyber Hub. Po zalogowaniu osoba posiadająca odpowiednie uprawnienia tworzy zgłoszenie, uzupełnia informacje znane w danym momencie i wysyła je do właściwego zespołu CSIRT. Dane mogą być następnie aktualizowane wraz z postępem analizy i obsługi incydentu.

Docelowym odbiorcą jest właściwy CSIRT sektorowy. Do czasu ogłoszenia, że zespół sektorowy osiągnął zdolność operacyjną, incydenty zgłasza się do właściwego CSIRT poziomu krajowego: CSIRT NASK, CSIRT GOV albo CSIRT MON.

Zarządzanie incydentem – co należy przygotować?

✓Osoby odpowiedzialne za wykrywanie, klasyfikowanie i zgłaszanie incydentów,

✓zastępstwa na wypadek nieobecności,

✓aktywny dostęp i odpowiednie uprawnienia w S46 Cyber Hub,

✓kryteria kwalifikowania incydentów jako poważnych,

✓wewnętrzną ścieżkę eskalacji i komunikacji z kierownictwem,

✓zasady gromadzenia informacji i dowodów,

✓sposób przygotowania komunikatów dla użytkowników usług.

Dostawca podmiotu objętego KSC – czego może wymagać klient?

Jakie firmy mogą być dostawcami?

Dostawcą może być każda firma, której produkty lub usługi mają wpływ na bezpieczeństwo albo ciągłość działania podmiotu objętego NIS2.

W łańcuchu dostaw mogą znaleźć się m.in.:

dostawcy sprzętu, oprogramowania, chmury i usług IT,
firmy serwisujące maszyny, urządzenia przemysłowe lub aparaturę medyczną,
dostawcy usług księgowych, kadrowych i płacowych przetwarzający dane klienta,
firmy logistyczne i produkcyjne korzystające z połączeń z systemami klienta,
podmioty utrzymujące instalacje i infrastrukturę techniczną,
firmy posiadające zdalny lub bezpośredni dostęp do systemów, sieci albo danych,
podwykonawcy uczestniczący w realizacji usługi.

Znaczenie ma więc rodzaj współpracy, zakres dostępu oraz to, czy awaria lub incydent u dostawcy może zakłócić działanie podmiotu kluczowego albo ważnego.

Czego może wymagać podmiot objęty KSC od swojego dostawcy?

Firma objęta NIS2 może wymagać od swojego dostawcy spełnienia określonych zasad bezpieczeństwa.

Wymagania te mogą zostać zapisane w umowie i dotyczyć m.in.:

ochrony systemów i danych,

szybkiego informowania o incydentach,

odpowiedniego przygotowania pracowników,

usuwania wykrytych podatności,

zasad korzystania z podwykonawców,

zapewnienia ciągłości działania,

możliwości przeprowadzenia audytu.

Dostawca może również zostać zobowiązany do przedstawienia dokumentów, wyników testów lub raportów potwierdzających, że uzgodnione zabezpieczenia są stosowane.

Co to oznacza dla dostawcy?

Współpraca z podmiotem objętym KSC nie powoduje automatycznego uznania dostawcy za podmiot kluczowy lub ważny. Firma może jednak zostać zobowiązana przez klienta do wdrożenia określonych zabezpieczeń, uporządkowania dokumentacji i przedstawienia dowodów potwierdzających ich stosowanie.

Spełnienie takich wymagań może być warunkiem rozpoczęcia lub kontynuowania współpracy. Ich zakres zależy od rodzaju usługi, dostępu do systemów i danych oraz ryzyka, jakie dostawca może powodować dla klienta.

Kto odpowiada za wdrożenie NIS2 i obowiązki KSC?

Za realizację obowiązków w zakresie cyberbezpieczeństwa odpowiada kierownik podmiotu. Zależnie od formy organizacji może to być m.in. zarząd spółki albo osoba zarządzająca daną jednostką.

Przekazanie zadań pracownikowi, działowi IT albo zewnętrznemu dostawcy nie zwalnia kierownika podmiotu z odpowiedzialności.

Jeżeli funkcję kierownika pełni organ wieloosobowy, np. zarząd, i nie wskazano konkretnej osoby odpowiedzialnej, odpowiedzialność ponoszą wszyscy jego członkowie.

Audyty bezpieczeństwa i nadzór zgodnie z ustawą o KSC

Zakres obowiązków audytowych i sposób sprawowania nadzoru zależą od statusu organizacji.

Status podmiotu	Audyt bezpieczeństwa	Nadzór
Podmiot kluczowy	Obowiązkowy na własny koszt co najmniej raz na 3 lata. Organ może również nakazać dodatkowy audyt zewnętrzny.	Prewencyjny i następczy – kontrola może zostać przeprowadzona również bez wcześniejszego stwierdzenia naruszenia.
Podmiot ważny	Brak obowiązku cyklicznego audytu. Organ może nakazać audyt zewnętrzny po poważnym incydencie lub innym naruszeniu ustawy.	Następczy – podejmowany przede wszystkim w przypadku podejrzenia naruszenia przepisów.

Tab. 3 Audyty bezpieczeństwa i nadzór nad podmiotami kluczowymi i ważnymi; źródło: opracowanie własne na podstawie ustawy o KSC

Pierwszy obowiązkowy audyt należy przeprowadzić do 3 kwietnia 2028 r. Dotyczy to podmiotów, które 3 kwietnia 2026 r. spełniały kryteria uznania za podmiot kluczowy.

Kary za naruszenie NIS2 i ustawy o KSC

Za niewykonanie obowiązków wynikających z ustawy o KSC zarówno na organizację, jak i na jej kierownika mogą zostać nałożone kary pieniężne. Najwyższe przewidziane sankcje wynoszą:

> dla podmiotu kluczowego – do równowartości 10 mln EUR lub 2% przychodów z działalności gospodarczej osiągniętych w poprzednim roku obrotowym;

> dla podmiotu ważnego – do równowartości 7 mln EUR lub 1,4% przychodów z działalności gospodarczej osiągniętych w poprzednim roku obrotowym;

> w przypadku naruszenia powodującego szczególnie poważne zagrożenie lub szkodę – do 100 mln zł;

> dla kierownika podmiotu – do 300% otrzymywanego wynagrodzenia, a w przypadku kierowników podmiotów publicznych zasadniczo do 100% wynagrodzenia.

Organ może również nałożyć okresową karę od 500 zł do 100 tys. zł za każdy dzień opóźnienia w wykonaniu określonej decyzji.

Kary mogą być nakładane od 3 kwietnia 2028 r. Nie zmienia to wcześniejszych terminów wykonania obowiązków wynikających z ustawy o KSC.

Wdrożenie NIS2 z Symbioza.IT – jak możemy pomóc?

Wspieramy firmy w przygotowaniu środowiska IT oraz procesów bezpieczeństwa do wymagań ustawy o KSC. Możemy przeprowadzić cały proces lub zająć się wybranymi obszarami wymagającymi uzupełnienia.

1. Audyt gotowości i analiza luk

Analizujemy środowisko IT, stosowane zabezpieczenia i sposób organizacji bezpieczeństwa. Inwentaryzujemy systemy, dane i dostępy oraz wskazujemy wymagania KSC, które nie zostały jeszcze spełnione.

2. Analiza ryzyka i plan wdrożenia

Oceniamy ryzyka związane z systemami i świadczonymi usługami. Przygotowujemy listę potrzebnych działań, ustalamy ich priorytety i tworzymy harmonogram wdrożenia.

3. Zabezpieczenia techniczne i ciągłość działania

Wdrażamy rozwiązania zwiększające bezpieczeństwo systemów, urządzeń, sieci i dostępów. Porządkujemy zasady wykonywania kopii zapasowych, przeprowadzamy testy odtworzeniowe i przygotowujemy środowisko do zachowania ciągłości działania.

4. Procedury, dokumentacja i szkolenia

Pomagamy przygotować wymaganą dokumentację, procedury bezpieczeństwa oraz proces obsługi i raportowania incydentów. Prowadzimy szkolenia dla pracowników i osób zarządzających organizacją.

5. Monitoring i utrzymanie zgodności

Uruchamiamy monitoring bezpieczeństwa oraz wspieramy organizację w regularnych przeglądach, testach zabezpieczeń, aktualizacji dokumentacji i usuwaniu wykrytych nieprawidłowości.

Sprawdź gotowość swojej firmy!

Nie wiesz, od czego rozpocząć przygotowania? Sprawdźmy, które wymagania są już spełnione, a które obszary należy uzupełnić. Dla podmiotów objętych ustawą od 3 kwietnia 2026 r. termin wdrożenia obowiązków upływa 3 kwietnia 2027 r.

Umów audyt gotowości do NIS2!

FAQ – NIS2 i ustawa o KSC

Czy wpis do Wykazu KSC oznacza spełnienie wszystkich obowiązków?

Nie. Wpis potwierdza obecność podmiotu w Wykazie KSC i umożliwia uzyskanie dostępu do S46, ale nie potwierdza wdrożenia wymaganych zabezpieczeń, procedur i SZBI.

Czy mała firma może podlegać pod dyrektywę NIS2 i ustawę o KSC?

Tak. Niektóre rodzaje podmiotów podlegają ustawie niezależnie od wielkości lub na podstawie szczególnych zasad określonych w art. 5 ustawy o KSC.

Czy kod PKD rozstrzyga o objęciu ustawą o KSC?

Nie. Kod PKD ma charakter pomocniczy. Decydujący jest rzeczywisty zakres prowadzonej działalności.

Czy można zlecić wdrożenie i monitoring firmie zewnętrznej?

Tak. Część zadań może realizować zewnętrzny dostawca usług zarządzanych w zakresie cyberbezpieczeństwa. Kierownik podmiotu nadal odpowiada jednak za wykonanie obowiązków.

Czy każdą awarię trzeba zgłaszać?

Nie. Obowiązkowemu raportowaniu podlegają incydenty zakwalifikowane jako poważne, a nie każda awaria lub pojedynczy problem informatyczny.

Czy dostawca podmiotu objętego KSC sam podlega ustawie?

Nie automatycznie. Dostawca podlega ustawie tylko wtedy, gdy sam spełnia jej kryteria. Klient może jednak wymagać od niego określonych zabezpieczeń w ramach bezpieczeństwa łańcucha dostaw.

Czy brak wezwania oznacza, że firma nie podlega ustawie o KSC?

Nie. Organizacja sama ocenia, czy spełnia ustawowe kryteria. Brak wezwania, decyzji lub kontaktu ze strony organu nie zwalnia z obowiązków.

Czy firewall i MFA wystarczą do spełnienia wymagań NIS2?

Nie. Ustawa wymaga również m.in. zarządzania ryzykiem, monitorowania bezpieczeństwa, obsługi incydentów, zapewnienia ciągłości działania, dokumentacji i szkoleń.

Kto powinien mieć dostęp do S46?

Wyznaczony administrator konta oraz osoby odpowiedzialne za zgłaszanie incydentów i komunikację z CSIRT. Należy zapewnić również zastępstwo na wypadek nieobecności tych osób.

Źródła:

Skorzystaj z bezpłatnej konsultacji

Wspieramy klientów w naturalnym rozwoju biznesu przy wykorzystaniu nowoczesnych narzędzi IT.

Bezpłatna konsultacja

&nbsp;