różne przepisy. te same zadania. jeden zestaw dowodów.

NIS2, DORA, RODO, AI Act, Cyber Resilience Act (CRA) i normy, o które pytają klienci, nakładają się bardziej, niż to wygląda. Ta strona pokazuje, co zdecydować, kto za to odpowiada i co zbudować, dla firm z UE, które robią to po raz pierwszy.

znajdź moje przepisyzobacz przepisy

jak przepisy do siebie pasują

Regulowane są cztery rzeczy: Twoja organizacja, Twoje produkty, Twoja AI i Twoje dane. Na górze leży prawo. Normy to to, co klienci proszą pokazać. Pod wszystkimi leżą te same zabezpieczenia.

Twoja organizacja

Średnie i większe firmy z 18 sektorów oraz instytucje finansowe.

  • NIS2jak organizacja zarządza ryzykiem w cyberbezpieczeństwie?
  • DORAczy instytucja finansowa działa, gdy zawodzą jej systemy ICT?
  • dyrektywa CERczy Twoje usługi krytyczne są odporne na zakłócenia fizyczne?

Tam, gdzie obejmuje Cię DORA, prowadzi DORA, a NIS2 się usuwa.

normy, o które pytają klienci

  • ISO 27001czy potrafisz pokazać, że bezpieczeństwem zarządzasz jak systemem?
  • SOC 2czy audytor poręczy za Twoje zabezpieczenia?
  • ISO 22301czy potrafisz pokazać, że firma działa dalej, gdy coś zawiedzie?
  • TISAXczy potrafisz pokazać swoje bezpieczeństwo producentom aut i ich dostawcom?
  • PCI DSSczy chronisz dane kart płatniczych tak, jak wymagają organizacje kartowe?

Twoje produkty

Producenci, importerzy i dystrybutorzy produktów z elementami cyfrowymi.

Twoja AI

Firmy, które budują lub używają AI, także gdy robią to pracownicy.

  • AI Actjak buduje się systemy AI i jak się ich używa?

normy, o które pytają klienci

  • ISO 42001czy potrafisz pokazać, że AI zarządzasz jak systemem?

Twoje dane

Prawie każda firma, która przetwarza dane osobowe, oraz producenci urządzeń podłączonych do sieci.

  • RODOjak chronisz dane osobowe?
  • Data Actkto może korzystać z danych, które wytwarzają Twoje produkty i usługi?

normy, o które pytają klienci

  • ISO 27701czy potrafisz pokazać, że prywatnością zarządzasz jak systemem?

Normy są dobrowolne. Pytają o nie klienci, przetargi i ubezpieczyciele. Żaden przepis ich nie wymaga.

zasiadasz w zarządzie

Pomiń szczegóły firewalla. Zobacz ryzyko, koszt i możliwe wybory, a potem zdecyduj do protokołu.

przeczytaj część dla zarząduprowadzisz IT

Praca w kolejności, która się trzyma, z dowodem, który zostawia każde zadanie.

zobacz, co zrobić

one event, three clocks

4 hours24 hours72 hours1 month
NIS2
early warning, from becoming aware of a significant incident
incident notification with a first assessment
final report, one month after the notification
DORA
initial notification, 4 hours after classifying as major
that same notification, 24 hours after awareness at the latest
intermediate report, 72 hours after the initial one
final report, one month after the last intermediate
GDPR
tell the authority, where feasible, unless a risk to people is unlikely
The clocks start at different moments and go to different authorities. GDPR also asks you to tell the people affected without undue delay when the risk to them is high.

basis NIS2 Art. 23(4); RTS 2025/301 Art. 5(1); GDPR Art. 33(1), 34(1)

w co ludzie wierzą

“zgłosimy, gdy będziemy wiedzieć, co się stało”

holenderski organ ochrony danych, ogłoszone 31 marca 2021

“jeśli nas zhakują, automatycznie przegramy”

Trybunał Sprawiedliwości UE, trzecia izba, 14 grudnia 2023, C-340/21

“naprawiliśmy naruszenie, więc sprawa zamknięta”

irlandzka komisja ochrony danych, ogłoszone 17 grudnia 2024

your next step

Kilka pytań. Twoje odpowiedzi zostają w Twojej przeglądarce.

znajdź moje przepisy