Awaria systemu księgowego, wyciek danych klientów albo zablokowanie serwera przez ransomware może dziś sparaliżować firmę na wiele dni. Dyrektywa nis2 porządkuje wymagania dotyczące zarządzania ryzykiem cybernetycznym, zgłaszania incydentów i ochrony systemów, a jej polskie wdrożenie ma znaczenie także dla firm współpracujących z podmiotami objętymi regulacją.
Najważniejsze informacje o nowych obowiązkach cyberbezpieczeństwa
- NIS2 obejmuje przede wszystkim średnie i duże podmioty działające w kluczowych sektorach gospodarki.
- Firmy muszą wdrożyć zarządzanie ryzykiem, ochronę systemów, kopie zapasowe i procedury reagowania.
- Poważny incydent wymaga szybkiego działania, w tym wczesnego ostrzeżenia w ciągu 24 godzin.
- Przepisy cyberbezpieczeństwa nie zastępują RODO. Obie regulacje mogą mieć zastosowanie do tego samego zdarzenia.
- W Polsce ważne terminy to między innymi 3 października 2026 r. na wpis do wykazu oraz 3 kwietnia 2027 r. na wdrożenie obowiązków.
Czym jest NIS2 i kogo obejmuje
Unijna regulacja ma podnieść wspólny poziom cyberbezpieczeństwa w państwach członkowskich. Nie chodzi wyłącznie o instalowanie antywirusa. Organizacja powinna umieć rozpoznać ryzyko, ograniczyć skutki ataku i szybko przywrócić działanie usług.
Zakres przepisów obejmuje między innymi energetykę, transport, bankowość, ochronę zdrowia, gospodarkę wodną, infrastrukturę cyfrową, usługi pocztowe, produkcję wybranych produktów, administrację publiczną oraz dostawców usług cyfrowych. Znaczenie ma nie tylko branża, ale również wielkość przedsiębiorstwa, rodzaj usługi i miejsce prowadzenia działalności.
Podmioty kluczowe i ważne
Przepisy rozróżniają podmioty kluczowe oraz podmioty ważne. Obie grupy muszą stosować środki bezpieczeństwa i zgłaszać poważne incydenty, ale podmioty kluczowe mogą podlegać bardziej intensywnemu nadzorowi oraz obowiązkowym audytom.
Co do zasady regulacja dotyczy podmiotów średnich i większych, czyli takich, które spełniają unijne kryteria wielkościowe. Nie oznacza to jednak, że każda mała firma może całkowicie zignorować nowe wymagania. Wyjątki dotyczą niektórych usług i podmiotów o szczególnym znaczeniu, a dodatkowo większy kontrahent może wymagać od małego dostawcy konkretnych zabezpieczeń.
Typowy przykład to biuro rachunkowe obsługujące operatora infrastruktury albo firmę z sektora objętego regulacją. Samo biuro nie musi automatycznie stać się podmiotem ważnym, ale może zostać ocenione jako istotne ogniwo łańcucha dostaw. W praktyce oznacza to wymagania dotyczące dostępu do danych, kopii zapasowych, szyfrowania i zgłaszania incydentów.
Co zmienia się w Polsce w 2026 roku
W Polsce przepisy są wdrażane przez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa. Dla przedsiębiorcy najważniejsze jest to, że obowiązki nie kończą się na samodzielnej deklaracji. Podmiot objęty regulacją powinien przeanalizować swoją działalność, ustalić status oraz przygotować dokumentację potwierdzającą sposób zarządzania bezpieczeństwem.
Aktualny harmonogram przewiduje, że podmioty spełniające kryteria powinny dokonać wpisu do wykazu KSC do 3 października 2026 r. Obowiązki dotyczące między innymi systemu zarządzania bezpieczeństwem informacji i obsługi incydentów mają zostać wdrożone do 3 kwietnia 2027 r.
Ważnym elementem jest również podłączenie do systemu S46, który służy do obsługi określonych procesów związanych z krajowym systemem cyberbezpieczeństwa. Podmioty kluczowe mogą mieć także obowiązek przeprowadzenia pierwszego audytu, a kolejne audyty powinny odbywać się co najmniej raz na trzy lata.
Nie radzę czekać z przygotowaniami do końca terminu. Najwięcej czasu zwykle zajmuje nie zakup narzędzia, lecz ustalenie właścicieli procesów, uporządkowanie uprawnień i sprawdzenie zależności od dostawców. Właśnie te elementy najczęściej wychodzą na jaw dopiero podczas audytu albo po incydencie.
Jakie zabezpieczenia trzeba wdrożyć w firmie
NIS2 wymaga podejścia opartego na ryzyku. Nie istnieje jedna lista programów, która automatycznie zapewni zgodność. Firma powinna dobrać zabezpieczenia do rodzaju usług, ilości danych, architektury systemów i możliwych skutków awarii.
Najważniejsze obszary zarządzania ryzykiem
- Analiza ryzyka obejmująca systemy, dane, ludzi, dostawców i lokalizacje.
- Obsługa incydentów, czyli sposób wykrywania, klasyfikowania, zgłaszania i dokumentowania ataków.
- Bezpieczeństwo ciągłości działania, w tym kopie zapasowe, plan odtworzenia i procedury na wypadek niedostępności systemów.
- Kontrola dostępu oparta na zasadzie najmniejszych uprawnień, uwierzytelnianiu wieloskładnikowym i regularnym przeglądzie kont.
- Bezpieczeństwo łańcucha dostaw, czyli ocena dostawców chmury, hostingu, oprogramowania i usług IT.
- Bezpieczne aktualizacje, zarządzanie podatnościami oraz testowanie zmian przed wdrożeniem.
- Szyfrowanie i kryptografia stosowane tam, gdzie przechwycenie danych mogłoby narazić firmę lub klientów.
- Szkolenia pracowników dotyczące phishingu, haseł, pracy zdalnej i zgłaszania podejrzanych zdarzeń.
W firmie finansowej szczególną uwagę poświęciłbym kontom administratorów, eksportom baz danych i dostępowi zdalnemu. To właśnie te miejsca często dają napastnikowi możliwość przejęcia wielu informacji naraz. Silne hasło bez wieloskładnikowego uwierzytelniania nie jest dziś wystarczającą ochroną.
Kopie zapasowe muszą być sprawdzane
Samo wykonywanie kopii zapasowej nie oznacza jeszcze, że firma potrafi odzyskać dane. Kopia podłączona na stałe do tej samej sieci może zostać zaszyfrowana razem z głównym środowiskiem. Potrzebne są kopie odseparowane, ograniczone uprawnienia oraz regularne testy odtworzenia.
W małej firmie rozsądnym minimum jest ustalenie, jak często wykonywana jest kopia, kto odpowiada za jej kontrolę i ile czasu może potrwać przywrócenie pracy. Jeżeli odpowiedź na te pytania brzmi „nie wiemy”, dokumentacja bezpieczeństwa jest tylko pozorem.
Jak zgłaszać incydent i nie pogorszyć sytuacji
Jedną z najbardziej praktycznych zmian jest formalizacja reakcji na incydenty. Organizacja powinna mieć ustalone, kto podejmuje decyzję, kto kontaktuje się z zespołem CSIRT, kto informuje zarząd i kto zabezpiecza dowody.
W przypadku poważnego incydentu przewidziano wczesne ostrzeżenie w ciągu 24 godzin od uzyskania wiedzy o zdarzeniu. Zgłoszenie incydentu powinno nastąpić co do zasady w ciągu 72 godzin, a raport końcowy jest przekazywany później, gdy firma ma już pełniejszy obraz sytuacji.
W praktyce pierwsze godziny są ważniejsze niż elegancki raport. Trzeba odłączyć zagrożone urządzenia, zabezpieczyć logi, nie kasować śladów i ustalić, czy atak nadal trwa. Pochopne przywracanie systemu bez analizy może usunąć dowody albo pozwolić napastnikowi ponownie wejść do sieci.
Przeczytaj również: Dane wrażliwe RODO - Jak chronić je w kadrach i księgowości?
NIS2 a obowiązki wynikające z RODO
Cyberbezpieczeństwo i ochrona danych osobowych są ze sobą mocno powiązane, ale to nie są te same przepisy. NIS2 koncentruje się na odporności usług i systemów, natomiast RODO chroni prawa osób, których dane są przetwarzane.
| Obszar | NIS2 | RODO |
|---|---|---|
| Główny cel | Odporność systemów i ciągłość usług | Ochrona danych osobowych i praw osób |
| Zakres | Podmioty działające w określonych sektorach i spełniające kryteria | Każdy administrator lub procesor przetwarzający dane osobowe |
| Incydent | Zgłoszenie poważnego zdarzenia cybernetycznego do właściwego CSIRT lub organu | Zgłoszenie naruszenia ochrony danych do organu nadzorczego, gdy istnieje ryzyko dla osób |
| Najważniejsza perspektywa | Dostępność, integralność i bezpieczeństwo usług | Ryzyko dla osób fizycznych i ich danych |
Jeżeli ransomware zablokuje bazę klientów, może powstać obowiązek działania na podstawie obu regulacji. Nie każde naruszenie NIS2 jest naruszeniem RODO, ale utrata, ujawnienie lub nieuprawniona modyfikacja danych osobowych może uruchomić obowiązki przewidziane w RODO, w tym analizę konieczności zgłoszenia w ciągu 72 godzin.
Najbezpieczniej prowadzić jeden skoordynowany proces obsługi incydentu, ale osobno oceniać obowiązki wynikające z każdego aktu. Taka organizacja ogranicza ryzyko pominięcia zgłoszenia albo przekazania niepełnych informacji.
Jak przygotować firmę do zgodności z wymaganiami
Przygotowania warto zacząć od krótkiego audytu stanu obecnego. Nie musi to być od razu wielomiesięczny projekt z rozbudowaną dokumentacją. Na początku liczy się rzetelna odpowiedź na kilka pytań.
- Ustal zakres działalności i sprawdź, czy firma działa w sektorze objętym przepisami.
- Zmapuj systemy i dane, w tym aplikacje księgowe, serwery, urządzenia pracowników oraz usługi chmurowe.
- Sprawdź uprawnienia i usuń nieużywane konta, wspólne loginy oraz nadmiarowe dostępy.
- Przetestuj kopie zapasowe i sprawdź rzeczywisty czas odtworzenia danych.
- Przejrzyj umowy z dostawcami, zwłaszcza pod kątem zgłaszania awarii, wsparcia i bezpieczeństwa.
- Stwórz plan reagowania z listą kontaktów, kolejnością działań i zasadami dokumentowania zdarzeń.
- Przeszkol pracowników oraz wykonaj ćwiczenie z phishingu lub symulację niedostępności systemu.
- Zapisuj dowody wykonanych działań, takie jak wyniki testów, protokoły przeglądów i potwierdzenia szkoleń.
W małym biurze rachunkowym najwięcej efektu zwykle daje uporządkowanie dostępu do programów, włączenie MFA, aktualizacje, szyfrowanie laptopów i dobrze przetestowana kopia zapasowa. Koszt tych działań może wynosić od kilkuset złotych miesięcznie przy prostym środowisku do kilku lub kilkunastu tysięcy złotych przy potrzebie audytu, konfiguracji sieci i stałego monitoringu.
Nie traktowałbym jednak ceny jako jedynego kryterium. Tanie rozwiązanie, którego nikt nie monitoruje i nie testuje, może dawać mniejsze bezpieczeństwo niż prostszy zestaw narzędzi z jasno przypisaną odpowiedzialnością.
Najczęstsze błędy przy wdrażaniu cyberbezpieczeństwa
Firmy często zaczynają od zakupu systemu, a dopiero później zastanawiają się, jaki problem ma on rozwiązać. To odwrócona kolejność. Najpierw trzeba wiedzieć, które usługi są krytyczne, jakie dane wymagają ochrony i jak wygląda akceptowalny czas przerwy.
- Dokumentacja bez praktyki - procedury istnieją na papierze, ale pracownicy ich nie znają.
- Brak testów odtworzeniowych - kopie są wykonywane, lecz nikt nie sprawdził, czy można z nich odzyskać system.
- Wspólne konta - nie da się ustalić, kto wykonał konkretną operację.
- Pomijanie dostawców - firma chroni własną sieć, ale nie sprawdza usług chmurowych i zewnętrznego IT.
- Brak planu komunikacji - podczas incydentu każdy działa intuicyjnie, co opóźnia reakcję.
- Szkolenie raz na kilka lat - pracownicy nie utrwalają zasad, a metody oszustw szybko się zmieniają.
Najbardziej praktyczne podejście polega na połączeniu procedur z ćwiczeniami. Jeżeli firma potrafi w kontrolowanych warunkach odtworzyć dane, zablokować przejęte konto i wskazać osobę odpowiedzialną za zgłoszenie incydentu, jest znacznie lepiej przygotowana niż organizacja posiadająca sam segregator polityk.
Co zrobić przed upływem terminów
Jeżeli przedsiębiorstwo może podlegać nowym przepisom, nie powinno czekać na formalne wezwanie. Pierwszym krokiem jest kwalifikacja prawna i branżowa, drugim mapa systemów oraz danych, a trzecim plan działań z terminami i właścicielami.
Firmy spoza bezpośredniego zakresu również powinny potraktować te wymagania jako praktyczny standard. Banki, operatorzy, dostawcy technologii i duże kontrahenci coraz częściej pytają o MFA, backupy, szyfrowanie, procedury incydentów i bezpieczeństwo podwykonawców.
Dobrze przygotowane cyberbezpieczeństwo nie polega na obietnicy, że atak nigdy się nie wydarzy. Chodzi o to, aby ograniczyć jego skutki, szybko odzyskać dane i udowodnić, że firma działała rozsądnie, proporcjonalnie i zgodnie z przyjętymi procedurami.
