Dostosowanie do NIS2 — od czego zacząć?

Po pierwsze: sprawdź, czy Cię dotyczy

Ustawa o Krajowym Systemie Cyberbezpieczeństwa obejmuje podmioty kluczowe i ważne w określonych sektorach. Zanim zaczniesz cokolwiek wdrażać, warto ustalić, w której kategorii znajduje się Twoja firma — i czy obowiązki dotyczą Ciebie bezpośrednio, czy przez łańcuch dostaw. Kwalifikacja zależy od sektora, wielkości i roli organizacji — podczas pierwszej rozmowy pomagam wstępnie to ocenić, a ostateczna decyzja zawsze wymaga analizy aktualnych przepisów w konkretnym przypadku.

Nie zaczynaj od dokumentów

Najczęstszy błąd to pisanie polityk „na zapas", zanim wiadomo, co realnie wymaga poprawy. Punktem wyjścia powinny być diagnoza stanu bezpieczeństwa, analiza ryzyka i testy penetracyjne — dopiero na ich podstawie wiadomo, na czym skupić wysiłek.

System, nie zbiór kartek

Wymagania NIS2 najlepiej spełnia się przez wdrożenie systemu zarządzania bezpieczeństwem informacji (SZBI) — z dokumentacją, która żyje w jednym miejscu i jest zawsze aktualna, a nie w wersjach „final_v3".

Ciągłość działania i monitoring

Zakres obowiązków obejmuje też odporność na zakłócenia i zdolność wykrywania zdarzeń. Elementy SZCD (plany BCP/DR) oraz monitoring i centralne logi to naturalne kolejne kroki.

Niezależny audyt na końcu

Finalny audyt zgodności musi przeprowadzić niezależny podmiot — nie wykonawca wdrożenia. To zasada niezależności audytu, której przestrzegam w każdym projekcie.

Podsumowanie: dostosowanie do NIS2 to proces, nie sprint. Kolejność ma znaczenie: diagnoza → system → ciągłość i monitoring → weryfikacja.

← Wszystkie wpisy