NIS2 i KSC — przygotowanie techniczne firmy

Nowelizacja KSC wdraża NIS2 w Polsce. Pomagamy uporządkować techniczne podstawy: aktywa, dostępy, aktualizacje, backup, reakcję na incydenty i dokumentację. Kwalifikację prawną potwierdza doradca.

Zobacz audyt bezpieczeństwa

KSC w życie: 3.04.2026

Rejestracja: termin 3.10.2026 minął

SZBI i S46: do 3.04.2027

Pierwszy audyt: do 3.04.2028*

*Dotyczy określonych podmiotów kluczowych niebędących wcześniej UOK. Kwalifikacja zależy od sektora, wielkości, kryteriów i wyjątków. Ocena prawna i certyfikacja pozostają po stronie uprawnionego doradcy.

Informacje zweryfikowane: 29.10.2026. Ministerstwo Cyfryzacji — obowiązki podmiotów kluczowych i ważnych.

Kogo dotyczy KSC/NIS2

Obowiązek dotyczy podmiotów spełniających kryteria ustawowe. Najpierw ustalamy kwalifikację, a potem planujemy wymagane działania i dokumentację.

Sektor i wielkość

Zakres zależy od sektora, wielkości i kryteriów ustawowych. Część podmiotów może być objęta niezależnie od wielkości, a inne muszą spełnić progi.

Wyjątki i interpretacja

Przepisy zawierają wyjątki i odesłania, których nie da się rozstrzygnąć wyłącznie na podstawie liczby pracowników. Kwalifikację potwierdza właściwy doradca.

Podwykonawcy i dostawcy

Bezpieczeństwo łańcucha dostaw wymaga wiedzy, kto ma dostęp do systemów i danych. To element techniczny, który można uporządkować niezależnie od kwalifikacji.

Co robimy technicznie

Prowadzimy techniczną część przygotowań: inwentaryzację, zabezpieczenia i dokumentację działania środków. Ocena prawna pozostaje po stronie doradcy.

Inwentaryzacja i analiza luk

Spisujemy aktywa, systemy, dostawców i odpowiedzialności. Wskazujemy luki w dostępach, aktualizacjach, backupie i procedurach.

Dostęp i uwierzytelnianie

Porządkujemy konta uprzywilejowane, MFA, zasadę minimalnych uprawnień i proces odchodzenia pracowników.

Aktualizacje i hardening

Ustalamy priorytety łatania i podstawową konfigurację bezpieczeństwa w zakresie posiadanych systemów. Poprawki planujemy z uwzględnieniem okna serwisowego i wpływu na pracę firmy.

Backup i odtworzenie

Weryfikujemy, czy kopie są wykonywane, wydzielone i testowane. RPO/RTO oraz zakres testów ustalamy indywidualnie.

Reakcja na incydenty

Ustalamy ścieżkę zgłoszenia, role, komunikację i materiał dowodowy. Współpracujemy z CSIRT i organami publicznymi w zakresie wymaganym przepisami.

Dokumentacja techniczna

Zbieramy opis środowiska, zabezpieczeń i dowodów w formie użytecznej do przeglądu. Dokumentacja wspiera ocenę prawną prowadzoną przez doradcę.

Mapa terminów

Poniżej najważniejsze daty i grupy podmiotów, których dotyczą.

3 kwietnia 2026 — wejście w życie

Nowelizacja KSC wdrażająca NIS2 w Polsce weszła w życie. Od tego momentu trzeba ocenić, czy organizacja podlega obowiązkom.

3 października 2026 — termin rejestracji minął

Termin dotyczył podmiotów kwalifikujących się na moment rozpoczęcia obowiązywania. Jeśli organizacja się kwalifikowała, a nie złożyła zgłoszenia, sytuację trzeba wyjaśnić z doradcą.

3 kwietnia 2027 — SZBI i S46

Termin wdrożenia obowiązków, w tym systemu zarządzania bezpieczeństwem informacji i połączenia z S46, dla objętych podmiotów.

3 kwietnia 2028 — pierwszy audyt

Termin dotyczy określonych podmiotów kluczowych, które nie były wcześniej UOK.

Jak dzielimy odpowiedzialność

Techniczne przygotowanie prowadzimy my, a kwalifikację prawną i ocenę zgodności — właściwy doradca.

Dowody techniczne

Przygotowujemy techniczne dowody działania zabezpieczeń i usuwamy wskazane luki w uzgodnionym zakresie.

Współpraca z doradcą

Dokumentacja techniczna wspiera kwalifikację podmiotu, interpretację przepisów i ocenę odpowiedzialności zarządu.

Zakres wsparcia

Standardowe wsparcie prowadzimy w dni robocze pon.–pt. w godzinach 9:00–18:00. Monitoring i reakcja poza godzinami to odrębny zakres, jeśli organizacja go potrzebuje.

Praktyczny start

Najpierw fakty, potem dokumenty. Taka kolejność ogranicza pracę pozorną.

01 — Ustal kwalifikację
Sektor, wielkość, kryteria i wyjątki — z właściwym doradcą. To pozwala dobrać obowiązki i zakres przygotowań.
02 — Zrób inwentaryzację
Systemy, dane, dostawcy, dostępy i właściciele. Ustal, co jest krytyczne dla ciągłości działania.
03 — Sprawdź podstawy
MFA, konta uprzywilejowane, aktualizacje, backup i test odtworzenia. To najczęstsze luki techniczne.
04 — Uporządkuj dowody
Opisz konfigurację, procedury i odpowiedzialności. Dokumentacja ma odzwierciedlać rzeczywiste działanie zabezpieczeń.
05 — Zaplanuj utrzymanie
Przeglądy, testy, aktualizacje i reagowanie na zmiany. Zgodność to proces, nie jednorazowy dokument.

Najczęściej zadawane pytania

Czy NIS2/KSC dotyczy każdej firmy?

Kwalifikacja zależy od sektora, wielkości i kryteriów ustawowych oraz wyjątków. Część podmiotów może być objęta niezależnie od wielkości, a inne muszą spełnić progi. Kwalifikację prawną potwierdza właściwy doradca.

Jakie terminy obowiązują po nowelizacji KSC?

Nowelizacja wdrażająca NIS2 w Polsce weszła w życie 3 kwietnia 2026 r. Podmioty kwalifikujące się na moment rozpoczęcia obowiązywania miały zarejestrować się do 3 października 2026 r.; ten termin już minął. Wdrożenie obowiązków, w tym SZBI i połączenie z S46, przypada do 3 kwietnia 2027 r. Pierwszy obowiązkowy audyt określonych podmiotów kluczowych, niebędących wcześniej UOK, przypada do 3 kwietnia 2028 r.

Co obejmuje przygotowanie techniczne?

Inwentaryzację aktywów i dostawców, analizę luk, uporządkowanie dostępu i MFA, aktualizacje i hardening, backup z testem odtworzenia, procedury incydentów, dokumentację techniczną oraz koordynację dostawców. Zakres i odpowiedzialności określa umowa.

Czy pomagacie w audycie i dokumentacji?

Przygotowujemy dokumentację techniczną i zbieramy dowody działania zabezpieczeń w uzgodnionym zakresie. Dokumentacja wspiera ocenę prawną i certyfikację prowadzoną przez uprawnionego doradcę lub jednostkę.

Czy zapewniacie całodobowe monitorowanie?

Automatyczny monitoring może działać 24/7 w ramach uzgodnionego zakresu. Standardowa reakcja człowieka odbywa się w dni robocze pon.–pt. w godzinach 9:00–18:00; dyżur lub reakcja poza tymi godzinami to odrębny zakres, ustalany indywidualnie z organizacją.

Od czego zacząć przygotowania?

Od ustalenia, czy organizacja podlega KSC, oraz od inwentaryzacji środowiska i prostego testu odtworzenia backupu. To daje podstawę do zaplanowania działań, dokumentacji i terminów.

Porozmawiajmy o zakresie

Opisz obecne środowisko, liczbę urządzeń i najważniejsze ryzyka. Ustalimy, co wchodzi w stałą obsługę, a co wymaga osobnej wyceny.