- Bezpieczeństwo & Regulacja
Wdrożenie NIS2 i ustawy o KSC – od analizy luk do działającego systemu
Znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa wdraża w Polsce dyrektywę NIS2 i obowiązuje od 3 kwietnia 2026 r. Jeśli Twoja firma jest podmiotem kluczowym lub ważnym, masz czas do 3 kwietnia 2027 r. na wdrożenie systemu zarządzania bezpieczeństwem i wymaganych środków. Za ich wykonanie odpowiada odpowiada Zarząd (w ustawie definiowany jako Kierownik Podmiotu). Tenesys przeprowadza firmę przez cały proces: od analizy luk, przez wdrożenie zabezpieczeń technicznych, po stałe utrzymanie zgodności.
KSC w skrócie – co obowiązuje i od kiedy?
- Ustawa: nowelizacja ustawy o KSC z 23 stycznia 2026 r. (Dz.U. 2026 poz. 252), w mocy od 3 kwietnia 2026 r.
- Wpis do wykazu podmiotów kluczowych i ważnych: termin minął 3 października 2026 r. Firmy, które spełnią kryteria później, mają 6 miesięcy od tego dnia.
- Wdrożenie obowiązków: do 3 kwietnia 2027 r., czyli 12 miesięcy od spełnienia kryteriów.
- Pierwszy audyt bezpieczeństwa (podmioty kluczowe): do 3 kwietnia 2028 r., potem co najmniej raz na 3 lata.
- Kary: do 10 mln euro lub 2% światowego obrotu dla podmiotu kluczowego. Członkowie Zarządu osobiście: do 300% wynagrodzenia. Kary można nakładać od 3 kwietnia 2028 r., ale obowiązki i odpowiedzialność zarządu już obowiązują.
Działamy jako Twój kompleksowy partner, który tłumaczy skomplikowane wymogi prawne na zrozumiały język oraz projektuje i wdraża wszystkie niezbędne środki, aby zapewnić Twojej firmie pełną zgodność i odporność.
Czy Twoja firma podlega wdrożeniu NIS2 i ustawie o KSC?
Ustawa działa w modelu samoidentyfikacji: nikt nie przyśle Ci pisma, że jesteś podmiotem kluczowym. Firma podlega KSC, gdy łącznie spełnia dwa warunki.
Działasz w sektorze z załącznika nr 1 lub 2
Energia (także wytwarzanie z OZE), transport i logistyka, produkcja, żywność, chemia, ochrona zdrowia, gospodarka wodna i odpadami, usługi pocztowe i kurierskie, infrastruktura cyfrowa, usługi ICT i inne. Liczy się faktycznie prowadzona działalność, a nie tylko kod PKD.
Jesteś co najmniej średnim przedsiębiorstwem
Od 50 pracowników lub ponad 10 mln euro obrotu i sumy bilansowej, z uwzględnieniem firm powiązanych. Duża firma z sektora z załącznika nr 1 to co do zasady podmiot kluczowy, a średnia lub działająca w sektorze z załącznika nr 2 – podmiot ważny.
Albo należysz do wyjątków
Niezależnie od wielkości ustawa obejmuje m.in. dostawców usług DNS, kwalifikowanych dostawców usług zaufania, podmioty publiczne i podmioty krytyczne. Dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa są podmiotami kluczowymi już od wielkości małej firmy.
Nie złożyłeś wniosku o wpis do wykazu do 3 października?
Złóż go jak najszybciej w systemie S46 (wykaz-ksc.gov.pl). Każdy kolejny tydzień zwłoki to tydzień mniej na wdrożenie, a obowiązek nie znika.
Działasz w sektorze finansowym? Bankowość i rynki finansowe podlegają przede wszystkim rozporządzeniu DORA: Sprawdź, jak pomagamy w zgodności z DORA →
Co najczęściej blokuje wdrożenie KSC w firmie
Wpis do wykazu to formalność. Trudności zaczynają się, kiedy trzeba przełożyć ustawę na konkretne zadania, budżet i ludzi.
Wiesz, że podlegasz ustawie, ale nie wiesz, co dokładnie wdrożyć
Ustawa opisuje obowiązki ogólnie: system zarządzania bezpieczeństwem, analiza ryzyka, obsługa incydentów, bezpieczeństwo łańcucha dostaw. Nie mówi, które zabezpieczenia są dla Twojej firmy priorytetem ani ile to potrwa. Skutek: projekt stoi w miejscu, a czas do 3 kwietnia 2027 r. biegnie.
Odpowiedzialność jest po stronie zarządu, a nie działu IT
Za wykonanie obowiązków z ustawy odpowiada kierownik podmiotu (art. 8c). Musi raz w roku przejść udokumentowane szkolenie (art. 8e) i realnie nadzorować wdrożenie. Od 3 kwietnia 2028 r. grozi mu kara do 300% wynagrodzenia, niezależna od kary dla firmy. Skutek: zarząd podpisuje się pod czymś, czego nie może sam sprawdzić.
Dział IT nie udźwignie tego po godzinach
Wdrożenie wymaga naraz wiedzy prawnej, technicznej i audytowej. Zespół IT ma swoje codzienne zadania i rzadko ma specjalistę od zarządzania ryzykiem. W zakładach produkcyjnych dochodzą jeszcze sieci OT, których nie można zatrzymać na czas zmian. Skutek: zgodność na papierze, która nie przejdzie audytu ani pierwszego poważnego incydentu.
Dokumenty są, zabezpieczeń brakuje
Polityki i procedury można napisać w kilka tygodni. Kopie zapasowe, które da się odtworzyć, uwierzytelnianie wieloskładnikowe, monitoring zdarzeń i proces zgłaszania incydentu w ciągu 24 godzin trzeba wdrożyć i przetestować. Skutek: luki, które pierwszy znajdzie audytor albo atakujący.
Firma transportowa zgodna z UKSC trzy miesiące przed terminem
Klient:
Firma z branży transportowej podlegająca pod dyrektywę NIS2.
Wyzwanie:
Firma musiała w krótkim czasie dostosować swoje procesy i technologię do nowych, rygorystycznych wymogów. Brakowało im zasobów do przeprowadzenia analizy ryzyka i wdrożenia wymaganych środków.
Rozwiązanie:
Przeprowadziliśmy kompleksową analizę luk (Gap Analysis) w odniesieniu do NIS2. Stworzyliśmy mapę drogową, a następnie wdrożyliśmy kluczowe środki, w tym polityki bezpieczeństwa, plan ciągłości działania i proces zarządzania incydentami.
Rezultaty:
Osiągnięcie pełnej gotowości do audytu NIS2 na 3 miesiące przed terminem.
Wdrożenie 18 wymaganych przez dyrektywę środków bezpieczeństwa.
Zbudowanie solidnych fundamentów pod dalszy rozwój programu cyberbezpieczeństwa.
Twoja firma również może przejść przez ten proces sprawnie i bezstresowo. Porozmawiajmy o tym, jak możemy Ci w tym pomóc.
Platforma logistyczna działająca w kilku krajach UE
W ramach naszej usługi „CISO as a service” przeprowadziliśmy ocenę ryzyka, przygotowaliśmy mapę drogową NIS2, wdrożyliśmy SZBI i raportowaliśmy postępy bezpośrednio zarządowi.
Efekt:
Najważniejsze wymogi NIS2 spełnione w 6 miesięcy i nowe kontrakty dzięki udokumentowanej dojrzałości bezpieczeństwa.
Wdrożenie NIS2 od analizy luk po dowody dla audytora
Prowadzimy cały projekt zgodności albo wchodzimy tam, gdzie brakuje Ci kompetencji lub ludzi. Na każdym etapie dostajesz konkretny rezultat, który można pokazać zarządowi i organowi.
Analiza luk i ocena dojrzałości
Porównujemy stan Twojej firmy z wymogami ustawy o KSC: dokumentację, procesy, zabezpieczenia techniczne i umowy z dostawcami. Zaczynamy od tego, co już masz. Po 2–4 tygodniach dostajesz raport z lukami uszeregowanymi według ryzyka, szacunkiem kosztów i harmonogramem.
System zarządzania bezpieczeństwem informacji
Budujemy lub porządkujemy SZBI wymagany przez art. 8: analizę ryzyka, polityki, plan ciągłości działania, procedury obsługi incydentów i zasady zarządzania zmianą. Dokumentacja opisuje to, jak Twoja firma naprawdę działa, a nie ogólny szablon.
Środki techniczne
Wdrażamy zabezpieczenia, których wymaga analiza ryzyka: kopie zapasowe i odtwarzanie po awarii, zarządzanie tożsamością i uwierzytelnianie wieloskładnikowe, testy penetracyjne i zarządzanie podatnościami, monitoring w SOC 24/7. W zakładach produkcyjnych obejmujemy też styk sieci IT i OT.
Obsługa i zgłaszanie incydentów
Ustalamy, kto w Twojej firmie klasyfikuje incydent, kto go zgłasza i w jakim czasie. Przygotowujemy proces wczesnego ostrzeżenia w 24 godziny i zgłoszenia w 72 godziny oraz sprawdzamy go w ćwiczeniu, zanim przyjdzie prawdziwy incydent.
Bezpieczeństwo łańcucha dostaw
Oceniamy ryzyko najważniejszych dostawców ICT i pomagamy wpisać wymagania bezpieczeństwa do umów. Jeśli to Ty jesteś dostawcą firmy objętej KSC, przygotujemy Cię do ankiet i audytów klienta.
Zarząd i przygotowanie do audytu
Prowadzimy coroczne szkolenie kierownictwa wymagane przez art. 8e, z dokumentacją udziału. Zbieramy materiał dowodowy dla audytora i organu właściwego. Audyt ustawowy z art. 15 musi przeprowadzić niezależny audytor. Przygotujemy Cię do niego i będziemy wspierać w jego trakcie.
Firma technologiczna, nie kancelaria
Kancelaria powie Ci, co mówi przepis. My zrobimy to samo, a potem skonfigurujemy systemy, które ten przepis spełniają.
1.
Wdrażamy, a nie tylko piszemy dokumenty.
Wychodzisz z działającym backupem, monitoringiem i procesem obsługi incydentów, a nie wyłącznie z opinią prawną i segregatorem procedur.
2.
Sami przeszliśmy tę drogę
Tenesys ma certyfikat ISO/IEC 27001:2022, więc system zarządzania bezpieczeństwem znamy z codziennej pracy, nie tylko z norm.
3.
Twój dział IT zachowuje kontrolę
Wchodzimy tam, gdzie brakuje rąk albo specjalistycznej wiedzy. Infrastruktura zostaje Twoja, a my dostarczamy metodykę i wykonanie.
2.
Jeden partner na wdrożenie i utrzymanie
Ten sam zespół, który wdrażał zabezpieczenia, może potem prowadzić program jako Twój CISO as a Service i monitorować środowisko w SOC 24/7.
Twoja droga do zgodności z ustawą o KSC
Cztery etapy. Po każdym wiesz, co zostało zrobione i co dalej.
1.
Diagnoza
Poznaj swoje luki. Bezpłatna rozmowa ustala, czy i jak ustawa Cię obejmuje. Analiza luk (2–4 tygodnie) pokazuje, czego brakuje do wymogów i co jest najpilniejsze.
2.
Planowanie i budżet
Dostań mapę drogową, którą zatwierdzi zarząd. Harmonogram do 3 kwietnia 2027 r., priorytety według ryzyka i budżet rozpisany na etapy. Zarząd wie, za co płaci i co dostanie.
3.
Wdrożenie
Zamknij luki w procesach i technologii. Wdrażamy SZBI, środki techniczne i procedury, zwykle w 3–9 miesięcy, zależnie od skali braków. Dokumentację zbieramy na bieżąco, w formie gotowej dla audytora.
4.
Utrzymanie
Utrzymaj zgodność bez etatu CISO. Po wdrożeniu nasz CISO prowadzi program dalej: aktualizuje analizę ryzyka, przygotowuje coroczne szkolenie zarządu i audyt, raportuje stan bezpieczeństwa.
Po 3 kwietnia 2027 obowiązki się nie kończą
Ustawa o KSC nie jest projektem z datą zakończenia. Zgodność trzeba utrzymywać, a ktoś musi za to odpowiadać na co dzień.
- coroczne, udokumentowane szkolenie kierownictwa (art. 8e)
- aktualizacja analizy ryzyka po każdej istotnej zmianie w firmie i jej otoczeniu
- obsługa i zgłaszanie incydentów w ustawowych terminach
- nadzór nad dostawcami i wymaganiami w umowach
- audyt bezpieczeństwa co najmniej raz na 3 lata (podmioty kluczowe)
Etat doświadczonego CISO to 15–40 tys. zł miesięcznie i wielomiesięczna rekrutacja. W modelu CISO as a Service dostajesz te same kompetencje w wymiarze dopasowanym do firmy. Nasz CISO zna Twój program, bo go wdrażał. Raportuje do zarządu językiem ryzyka i pieniędzy, prowadzi zespół IT i ma za sobą inżynierów Tenesys oraz SOC 24/7.
Odpowiedzialności zarządu za KSC nie da się przenieść na firmę zewnętrzną: ustawa przypisuje ją kierownikowi podmiotu. Zewnętrzny CISO daje zarządowi to, czego potrzebuje do realnego nadzoru: regularne raporty, rekomendacje decyzji i dokumentację, którą można pokazać organowi.
Najczęściej zadawane pytania o zgodność z NIS2
Kancelaria interpretuje przepisy, a my je dodatkowo wdrażamy w systemach. Robimy analizę luk i mapę drogową, a potem konfigurujemy backup i odtwarzanie, monitoring SOC 24/7, zarządzanie tożsamością i proces obsługi incydentów. Zostajesz z działającym systemem i dokumentacją, która go opisuje, a nie z samą opinią prawną.
Koszt zależy od skali luk, liczby systemów i lokalizacji, a nie od samej ustawy. Dlatego zaczynamy od bezpłatnej, 60-minutowej rozmowy, po której wyceniamy analizę luk. Raport z analizy zawiera budżet wdrożenia rozpisany na etapy, więc zarząd zatwierdza konkretne kwoty, a nie szacunek „na oko”.
Analiza luk trwa zwykle 2–4 tygodnie, a samo wdrożenie od 3 do 9 miesięcy. Krótszy czas dotyczy firm z częściową dokumentacją i pojedynczymi lukami, dłuższy organizacji budujących zarządzanie ryzykiem od zera. Jeśli zostało mniej czasu, niż potrzeba na pełne wdrożenie, zaczynamy od środków o najwyższym ryzyku i dokumentujemy plan dla pozostałych.
Nie. Ustawa przypisuje odpowiedzialność za wykonanie obowiązków kierownikowi podmiotu (art. 8c), także wtedy, gdy zadania wykonuje ktoś inny. Firma zewnętrzna, np. nasz CISO as a Service, może prowadzić program i dawać zarządowi raporty, rekomendacje i dokumentację, dzięki którym nadzór jest realny, a nie formalny.
Nie, ale to dobry punkt wyjścia. Ustawa nie uznaje certyfikatu za dowód zgodności i dokłada wymogi spoza normy, np. ustawowe terminy zgłaszania incydentów, obowiązki kierownictwa i szczegółowe wymagania wobec łańcucha dostaw. Przy analizie luk wykorzystujemy Twój SZBI i uzupełniamy tylko to, czego brakuje.
