NIS2 i KSC to tematy, które coraz częściej pojawiają się w rozmowach o cyberbezpieczeństwie. Dla wielu właścicieli firm brzmią jednak skomplikowanie: podmioty kluczowe, podmioty ważne, samoidentyfikacja, Wykaz KSC, SZBI, incydenty, audyty, dostawcy, ryzyka i odpowiedzialność zarządu.
Warto podejść do tego spokojnie. NIS2 dla firm nie powinno być traktowane wyłącznie jako problem prawny. To także praktyczny impuls, żeby uporządkować podstawy IT: konta użytkowników, backup, aktualizacje, monitoring, dokumentację, bezpieczeństwo sieci, dostęp zdalny, serwery i procedury reagowania na incydenty.
Nie każda mała lub średnia firma automatycznie będzie objęta obowiązkami KSC. Część firm powinna jednak wykonać samoocenę, zwłaszcza jeśli działa w sektorach wskazanych w przepisach albo jest dostawcą większych organizacji. Nawet jeżeli obowiązki formalne nie będą dotyczyły firmy bezpośrednio, wymagania klientów, partnerów lub łańcucha dostaw mogą sprawić, że uporządkowanie cyberbezpieczeństwa stanie się biznesową koniecznością.
Czym jest NIS2?
NIS2 to unijna dyrektywa dotycząca bezpieczeństwa sieci i systemów informatycznych. Jej celem jest podniesienie poziomu cyberbezpieczeństwa w państwach Unii Europejskiej oraz objęcie wymaganiami większej liczby sektorów niż wcześniejsze przepisy.
W uproszczeniu: NIS2 zakłada, że organizacje ważne dla gospodarki i społeczeństwa powinny lepiej zarządzać ryzykiem cyberbezpieczeństwa, chronić systemy, zgłaszać poważne incydenty i mieć przygotowane procedury działania.
W Polsce NIS2 jest wdrażane przez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa, czyli KSC. To właśnie krajowe przepisy określają szczegóły: kogo dotyczą obowiązki, jakie są terminy, jak wygląda wpis do wykazu i jakie działania trzeba wdrożyć.
Czym jest KSC?
KSC to krajowy system cyberbezpieczeństwa. Obejmuje podmioty, instytucje i procedury związane z ochroną systemów informacyjnych w Polsce. Nowelizacja KSC wdrażająca NIS2 wprowadza m.in. podział na podmioty kluczowe i podmioty ważne oraz obowiązki związane z zarządzaniem bezpieczeństwem informacji.
Dla firmy najważniejsze pytanie brzmi: czy moja działalność mieści się w sektorach objętych ustawą i czy spełniam kryteria, które powodują konieczność wpisu do Wykazu KSC?
To nie zawsze jest oczywiste. Sama nazwa PKD może być pomocna, ale decydujące znaczenie ma faktyczny zakres działalności. Firma powinna więc przeanalizować nie tylko formalne dane rejestrowe, ale też to, jakie usługi realnie świadczy, dla kogo pracuje i jaką rolę pełni w łańcuchu dostaw.
Kogo może dotyczyć NIS2 i KSC?
Nowe przepisy koncentrują się na podmiotach działających w określonych sektorach. Mogą to być m.in. obszary związane z energetyką, transportem, zdrowiem, wodą, infrastrukturą cyfrową, usługami ICT, administracją publiczną, produkcją, gospodarką odpadami, usługami pocztowymi, żywnością i innymi sektorami ważnymi dla funkcjonowania państwa i gospodarki.
Dla małych i średnich firm ważne są trzy sytuacje.
Pierwsza: firma sama działa w sektorze objętym regulacją i spełnia kryteria podmiotu kluczowego albo ważnego.
Druga: firma jest dostawcą lub podwykonawcą większej organizacji, która jest objęta NIS2/KSC. Wtedy formalne obowiązki mogą nie dotyczyć firmy bezpośrednio, ale klient może wymagać określonych standardów bezpieczeństwa.
Trzecia: firma nie jest objęta przepisami, ale chce uporządkować bezpieczeństwo, bo przechowuje dane klientów, korzysta z systemów ERP/CRM, ma serwery, pracę zdalną, backup i pocztę firmową.
W każdym z tych przypadków dobrym pierwszym krokiem jest analiza obecnego stanu IT.
Co firma powinna sprawdzić jako pierwsze?
1. Czy działalność może podlegać pod KSC?
Najpierw warto sprawdzić, czy firma działa w sektorze lub podsektorze objętym nowelizacją KSC. Trzeba przeanalizować faktyczny zakres działalności, a nie tylko ogólne wyobrażenie o branży.
Warto zebrać podstawowe informacje: PKD, opis usług, typ klientów, rolę firmy w łańcuchu dostaw, liczbę pracowników, powiązania kapitałowe i dane finansowe. Te informacje mogą mieć znaczenie przy ocenie wielkości podmiotu i ewentualnych obowiązków.
Jeżeli firma ma wątpliwości, powinna skonsultować temat z prawnikiem lub doradcą regulacyjnym. Dział IT może pomóc przygotować dane techniczne, ale nie powinien samodzielnie rozstrzygać kwestii prawnych.
2. Jak wygląda obecny stan cyberbezpieczeństwa?
Niezależnie od tego, czy firma formalnie podlega pod NIS2/KSC, warto wiedzieć, w jakim stanie jest jej infrastruktura IT. Pomaga w tym audyt IT, który obejmuje m.in. komputery, serwery, sieć, backup, konta użytkowników, uprawnienia, aktualizacje, dokumentację i podstawowe zabezpieczenia.
Audyt pozwala odpowiedzieć na praktyczne pytania:
czy backup działa i był testowany,
czy konta administratorów są zabezpieczone,
czy pracownicy korzystają z MFA,
czy serwery są aktualizowane,
czy sieć firmowa jest segmentowana,
czy firma ma dokumentację IT,
czy wiadomo, kto reaguje na incydent,
czy logi i monitoring pozwalają wykrywać problemy.
Bez takiego przeglądu trudno mówić o realnym zarządzaniu ryzykiem.
3. Czy firma ma System Zarządzania Bezpieczeństwem Informacji?
W kontekście KSC pojawia się pojęcie SZBI, czyli Systemu Zarządzania Bezpieczeństwem Informacji. Nie należy traktować go wyłącznie jako segregatora z dokumentami. Dobrze rozumiany SZBI to uporządkowany sposób zarządzania bezpieczeństwem: role, ryzyka, procedury, odpowiedzialności, zabezpieczenia techniczne i regularna kontrola.
Dla mniejszej firmy najważniejsze jest praktyczne podejście. Warto zacząć od podstaw: lista systemów, analiza ryzyk, polityka haseł i MFA, procedura backupu, procedura incydentu, przegląd dostawców, kontrola uprawnień i plan ciągłości działania.
Dokumenty są potrzebne, ale powinny opisywać rzeczywiste działania. Najgorszy model to dokumentacja, która dobrze wygląda, ale nie ma związku z codzienną pracą.
4. Czy backup jest gotowy na poważną awarię?
Backup to jeden z fundamentów odporności firmy. Przy NIS2 i KSC temat kopii zapasowych nie jest dodatkiem, ale częścią zarządzania ryzykiem.
Firma powinna wiedzieć, co jest kopiowane, jak często, gdzie są kopie, kto ma do nich dostęp i czy można je odtworzyć. Trzeba też sprawdzić, czy backup obejmuje tylko pliki, czy również bazy danych, pocztę, konfiguracje systemów, serwery, VPS i usługi chmurowe.
Szczególnie ważne są testy odtwarzania. Backup, którego nikt nigdy nie sprawdził, może dawać fałszywe poczucie bezpieczeństwa. W razie awarii liczy się nie samo posiadanie kopii, ale możliwość szybkiego powrotu do pracy.
5. Czy sieć firmowa jest bezpieczna?
Firmowa sieć LAN/WiFi, VPN, routery, firewalle, przełączniki i punkty dostępowe mają duży wpływ na bezpieczeństwo. Jeśli wszystko działa w jednej płaskiej sieci, a goście korzystają z tego samego WiFi co pracownicy, ryzyko rośnie.
Warto sprawdzić, czy firma ma osobną sieć gościnną, segmentację, aktualne urządzenia, mocne hasła, zabezpieczony dostęp administracyjny, poprawną konfigurację VPN i monitoring podstawowych elementów infrastruktury.
To obszar bezpośrednio związany z bezpieczeństwem sieci firmowej. W wielu firmach już podstawowy przegląd routerów, WiFi, VPN i reguł dostępu pozwala wykryć istotne słabości.
6. Czy firma ma procedurę zgłaszania incydentów?
Incydent to nie tylko spektakularny atak ransomware. Może to być przejęcie skrzynki pocztowej, podejrzane logowanie, utrata laptopa, wyciek danych, złośliwy załącznik, awaria systemu krytycznego lub błąd konfiguracji, który ujawnia dane.
Firma powinna mieć jasną procedurę: kto przyjmuje zgłoszenie, kto ocenia sytuację, kto podejmuje decyzje, kto kontaktuje się z dostawcą IT, kiedy uruchamiany jest backup i kto komunikuje problem pracownikom.
Jeżeli podmiot jest objęty KSC, dochodzą także obowiązki raportowania incydentów właściwymi kanałami. Dlatego warto wcześniej wiedzieć, kto odpowiada za kontakt i gdzie są potrzebne dane.
7. Czy dostawcy IT są częścią zarządzania ryzykiem?
NIS2 mocno podkreśla znaczenie łańcucha dostaw. W praktyce oznacza to, że firma powinna patrzeć nie tylko na własne systemy, ale też na dostawców: hosting, pocztę, chmurę, system ERP, CRM, serwis komputerowy, operatora internetu, dostawcę backupu i zewnętrzny helpdesk.
Warto sprawdzić, kto ma dostęp administracyjny do systemów, jakie są warunki wsparcia, czy usługa obejmuje monitoring, backup, aktualizacje, reagowanie na incydenty i dokumentację.
Dobrze dobrany dostawca IT może pomóc firmie uporządkować wiele obszarów wymaganych przez przepisy i oczekiwania klientów. Dlatego outsourcing IT dla biznesu powinien być traktowany nie tylko jako naprawianie komputerów, ale też jako wsparcie w bezpieczeństwie, audytach, procedurach i utrzymaniu infrastruktury.
Praktyczne przykłady dla firm
Firma produkcyjna
Firma produkcyjna korzysta z systemu ERP, sieci magazynowej, komputerów biurowych, serwerów, zdalnego dostępu i dokumentacji technicznej. Nawet jeśli nie ma pewności, czy formalnie podlega pod KSC, powinna sprawdzić bezpieczeństwo sieci, dostęp do systemu ERP, backup, konta administratorów i plan działania przy awarii.
Dostawca usług IT lub cyfrowych
Firma świadcząca usługi IT, hostingowe, chmurowe lub utrzymaniowe może być bliżej regulacji niż typowa firma usługowa. Powinna szczególnie dokładnie przeanalizować zakres działalności, klientów, systemy krytyczne, procedury incydentów, logowanie zdarzeń i dokumentację bezpieczeństwa.
Biuro rachunkowe
Biuro rachunkowe może nie być bezpośrednio objęte obowiązkami, ale przetwarza ważne dane klientów i często jest dostawcą usług dla firm z różnych sektorów. Warto uporządkować MFA, backup, pocztę, dostęp do dokumentów, uprawnienia pracowników i procedurę zgłaszania podejrzanych wiadomości.
Kancelaria
Kancelaria pracuje na poufnych dokumentach i komunikacji z klientami. Nawet bez formalnych obowiązków wynikających z KSC, klienci mogą oczekiwać dobrych praktyk: kontroli dostępu, backupu, bezpiecznej poczty, szyfrowania, dokumentacji i procedury na wypadek incydentu.
Jak zacząć bez chaosu?
Najlepiej zacząć od trzech kroków.
Pierwszy krok to samoidentyfikacja. Firma powinna sprawdzić, czy jej działalność mieści się w sektorach objętych KSC i czy spełnia kryteria podmiotu kluczowego albo ważnego.
Drugi krok to audyt IT. Trzeba sprawdzić realny stan infrastruktury: konta, serwery, sieć, backup, monitoring, aktualizacje, dokumentację, uprawnienia, MFA, dostawców i procedury.
Trzeci krok to plan działań. Nie wszystko trzeba robić jednocześnie. Najpierw warto poprawić obszary krytyczne: backup, konta administratorów, MFA, dostęp zdalny, aktualizacje, sieć, monitoring i procedurę incydentów.
Takie podejście pozwala ograniczyć chaos i przejść od ogólnego hasła „musimy przygotować się do NIS2” do konkretnej listy zadań.
Najczęstsze błędy
Pierwszy błąd to założenie, że NIS2 i KSC na pewno nas nie dotyczą. Warto to sprawdzić, zamiast opierać się na intuicji.
Drugi błąd to traktowanie tematu wyłącznie jako dokumentacji. Same polityki nie poprawią bezpieczeństwa, jeśli backup nie działa, konta byłych pracowników są aktywne, a serwer nie był aktualizowany.
Trzeci błąd to odkładanie audytu IT. Im później firma sprawdzi stan infrastruktury, tym mniej czasu zostanie na spokojne wdrożenie zmian.
Czwarty błąd to brak właściciela procesu. Ktoś powinien odpowiadać za koordynację działań: zarząd, osoba ds. bezpieczeństwa, manager operacyjny, dział IT lub zewnętrzny dostawca.
Piąty błąd to pomijanie dostawców. Nawet dobrze zabezpieczona firma może mieć słaby punkt u partnera, który obsługuje hosting, pocztę, backup, serwery lub system biznesowy.
Wnioski
NIS2 dla firm to nie tylko temat zgodności z przepisami. To przede wszystkim dobry moment, żeby sprawdzić, czy firma ma kontrolę nad własnym IT.
Najważniejsze obszary do przejrzenia to samoidentyfikacja, audyt IT, backup, MFA, konta administratorów, bezpieczeństwo sieci, monitoring, procedury incydentów, dokumentacja i dostawcy.
Nie każda firma będzie objęta obowiązkami KSC, ale wiele firm odczuje pośredni wpływ nowych regulacji przez wymagania klientów, partnerów i większych organizacji w łańcuchu dostaw.
Podsumowanie
NIS2 i KSC mogą wydawać się trudne, ale dla właściciela firmy najważniejsze pytania są praktyczne: czy wiem, jakie systemy są krytyczne, kto ma dostęp do danych, czy backup działa, czy sieć jest bezpieczna, czy potrafimy zgłosić i obsłużyć incydent oraz czy dostawcy IT są pod kontrolą?
Dobre przygotowanie nie zaczyna się od skomplikowanych dokumentów. Zaczyna się od audytu, uporządkowania infrastruktury i prostego planu działań. Dzięki temu firma nie tylko lepiej przygotuje się do wymagań regulacyjnych, ale też ograniczy ryzyko awarii, utraty danych i chaosu przy incydencie.
Najnowsze komentarze