02/09/2026
Wrzesień 2026 r. to już nie moment na ogólną deklarację: „przygotowujemy się do NIS2”. Za miesiąc, 3 października, upływa termin na samorejestrację podmiotów objętych przepisami w Wykazie . Kolejna ważna data to 3 kwietnia 2027 r. – termin wdrożenia wielu obowiązków wynikających ze znowelizowanej ustawy o krajowym systemie cyberbezpieczeństwa. Równolegle obowiązują już przepisy wdrażające dyrektywę .
Dlatego na posiedzeniu zarządu warto dziś zejść poziom niżej niż pytanie: „czy jesteśmy zgodni z ?”.
1️⃣ Czy potrafimy wskazać, które systemy, procesy i usługi są rzeczywiście niezbędne do utrzymania działalności?
Zarząd powinien wiedzieć, które usługi muszą działać, jakie systemy je wspierają, od jakich dostawców zależą oraz jaki skutek biznesowy wywoła ich niedostępność przez godzinę, dzień albo kilka dni.
2️⃣ Jakie scenariusze mogą dziś zatrzymać naszą działalność i jak długo potrwa powrót do pracy?
Ransomware? Niedostępność dostawcy chmurowego? Awaria łączności? Utrata zasilania? Sabotaż infrastruktury? Samo posiadanie procedury ciągłości działania niewiele mówi o poziomie przygotowania.
Znacznie ważniejsze są odpowiedzi na pytania:
– kiedy ostatnio testowano scenariusz awaryjny,
– ile trwało przywrócenie systemów,
– czy kopie zapasowe zostały rzeczywiście odtworzone,
– które zależności ujawniły się dopiero podczas testu.
3️⃣ Czy wiemy, gdzie kończy się nasze bezpieczeństwo, a zaczyna zależność od dostawcy?
Nowelizacja KSC obejmuje również bezpieczeństwo łańcucha dostaw. Sama lista dostawców nie wystarczy - potrzebna jest wiedza, które usługi i systemy są od nich zależne oraz jakie ryzyko wiąże się z ich niedostępnością.
Warto sprawdzić m.in., czy umowy regulują zgłaszanie incydentów, zasady audytu i wymagania dotyczące ciągłości działania. Istotna jest też ocena koncentracji ryzyka, gdy jeden dostawca wspiera kilka ważnych procesów lub systemów.
4️⃣ Czy w przypadku incydentu jesteśmy w stanie w ciągu kilkudziesięciu minut ustalić fakty potrzebne do podjęcia decyzji?
NIS2 mocno porządkuje proces zgłaszania incydentów, ale raportowanie zaczyna się znacznie wcześniej niż formularz wysłany do właściwego CSIRT.
Najpierw organizacja musi wiedzieć:
– że incydent wystąpił,
– których usług dotyczy,
– jaka jest jego skala,
– kto prowadzi analizę i podejmuje decyzje,
– kto komunikuje się z zarządem, klientami, partnerami i administracją.
4️⃣ Czy mamy potwierdzenie, że wdrożone zabezpieczenia są skuteczne?
Zarząd powinien mieć dostęp do danych, które pokazują stan zabezpieczeń oraz wyniki ich weryfikacji. Mogą to być m.in.:
– wyniki testów odtwarzania danych,
– wyniki skanów podatności,
– status działań po audytach,
– wyniki ćwiczeń z reagowania na incydenty,
– ocena zabezpieczeń po stronie dostawców,
– lista ryzyk zaakceptowanych przez kierownictwo.
Warto wykorzystać najbliższe miesiące na sprawdzenie nie tego, ile dokumentów już przygotowano, lecz czy organizacja potrafi wykazać, że wdrożone mechanizmy działają.
