mapa dowodów
mapa dowodów dostępu NIS2
22 wymagania dotyczące kontroli dostępu z NIS2, rozporządzenia wykonawczego i polskiej ustawy, każde przypisane do czegoś, co możesz wyeksportować, do właściciela i do daty.
dla kogo jest ten zestaw
Ten zestaw jest dla osoby, która prowadzi IT w firmie liczącej od 50 do 1000 osób, objętej lub prawdopodobnie objętej krajowym prawem wdrażającym NIS2. Audytor, ankieta klienta albo zarząd zapytają, co robisz w sprawie dostępu i jak możesz to udowodnić. Ta mapa łączy każde wymaganie z plikiem, który możesz wytworzyć.
Nie mówi, czy jesteś objęty przepisami. Do tego użyj wyszukiwarki i prawnika. Obejmuje wyłącznie dostęp logiczny, bo właśnie o te dowody pytają najczęściej.
Nie wymienia żadnych produktów. "Dostawca tożsamości" oznacza to, co przechowuje konta Twoich użytkowników. Odpowiedni raport znajdziesz w dokumentacji własnego produktu, a przy okazji zapisz okres przechowywania jego logów, bo ustawienia domyślne bywają krótkie.
podstawa NIS2 art. 21(2)(i), 21(2)(j)
od zabezpieczenia do odpowiedzi
- 1zabezpieczenie działaprzegląd dostępów, test odtwarzania, decyzja zarządu
- 2zostaje zapisdatowany eksport, podpisana lista, protokół
- 3właściciel sprawdzawskazana osoba, w ustalonym rytmie
- 4zapis trafia do aktjedno miejsce, nazwane datą i zabezpieczeniem
te same akta odpowiadają
- zarządowico zdecydowaliśmy i czy to działa?
- audytorowipokaż mi ostatni
- organowiczy Wasze środki były odpowiednie?
- klientowiankieta bezpieczeństwa
podstawa RODO art. 5(2), 24(1); NIS2 art. 21(2)(f)
kogo wiążą te teksty
Rozporządzenie wykonawcze wiąże wyłącznie wymienione rodzaje podmiotów cyfrowych: DNS, rejestry domen najwyższego poziomu, chmurę, centra danych, sieci dostarczania treści, usługi zarządzane i zarządzane usługi bezpieczeństwa, platformy handlu internetowego, wyszukiwarki, platformy społecznościowe i usługi zaufania. Dla wszystkich pozostałych jego wiersze są oznaczone jako Odniesienie. Nadal są to najdokładniejsze unijne sformułowania dotyczące kontroli dostępu i w swoich dokumentach powinieneś napisać, że używasz ich w ten sposób. W Polsce ustawa krajowa stosuje je do tych samych rodzajów podmiotów, a w innych krajach zasady mogą być inne.
Ani NIS2, ani rozporządzenie wykonawcze nie ustalają częstotliwości przeglądów, okresu przechowywania logów ani długości hasła. Dlatego każdy odstęp w tej mapie jest propozycją oznaczoną jako wybór. Zmień je i zapisz dlaczego, bo audytor będzie szukał uzasadnienia.
podstawa IR 2024/2690 art. 1, załącznik 11.2.3; KSC art. 8b(1)
jak z tego korzystać, w czterech krokach
- Pobierz plik CSV i otwórz go w dowolnym arkuszu. Usuń wiersze, które Cię nie dotyczą, na przykład wiersze krajowe, jeśli nie podlegasz polskiej ustawie.
- Przepisz kolumnę zabezpieczeń tak, by opisywała to, co robisz. Kolumnę z podstawą zostaw bez zmian.
- Wyciągnij każdy eksport i zapisz go z datą i numerem wiersza w nazwie, na przykład
2026-11-02_CM-06_admins.csv. - Oznacz jako lukę wszystko, czego nie możesz udowodnić, z właścicielem i datą. Luka z planem jest lepszym materiałem dla audytora niż pusta komórka.
podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.
mapa, wiersz po wierszu
| wiersz | podstawa | moc wiążąca | czego wymaga tekst | Twoje zabezpieczenie (edytuj) | dowód | jak często | właściciel |
|---|---|---|---|---|---|---|---|
| CM-01 | NIS2 art. 21(2)(i) | Wiążące | polityki kontroli dostępu | Mamy zatwierdzoną politykę kontroli dostępu, przeglądaną co roku | podpisana polityka z datą zatwierdzenia | co roku | szef IT |
| CM-02 | NIS2 art. 20(1) | Wiążące | organ zarządzający zatwierdza środki i nadzoruje ich stosowanie | Zarząd zatwierdza politykę i co roku otrzymuje sprawozdanie | wyciąg z protokołu zarządu z datą | co roku | sekretarz zarządu |
| CM-03 | IR 2024/2690 załącznik 11.1.1 | Odniesienie | ustanowić, udokumentować i wdrożyć polityki kontroli dostępu | Ta sama polityka obejmuje pracowników, dostawców i systemy | spis sekcji polityki przypisany do punktów (a) do (c) załącznika 11.1.2 | co roku | szef IT |
| CM-04 | IR 2024/2690 załącznik 11.2.2(e) | Odniesienie | rejestr przyznanych praw dostępu | Prowadzimy rejestr dostępu dla dziesięciu najważniejszych systemów | wykaz systemów i po jednym eksporcie dla każdego | co kwartał | właściciele systemów |
| CM-05 | IR 2024/2690 załącznik 11.2.2(b) | Odniesienie | zmienić prawa przy zakończeniu zatrudnienia lub zmianie stanowiska | Konta są wyłączane w ostatnim dniu pracy; lista z HR uzgadniana co miesiąc | lista odejść z HR porównana z włączonymi kontami | co miesiąc | HR i szef IT |
| CM-06 | IR 2024/2690 załącznik 11.3.2(a) | Odniesienie | silne uwierzytelnianie, takie jak MFA, dla kont uprzywilejowanych | Wszyscy posiadacze ról administracyjnych muszą przejść MFA | lista administratorów, raport rejestracji MFA, polityka egzekwowania | co kwartał | szef IT |
| CM-07 | IR 2024/2690 załącznik 11.3.2(b) | Odniesienie | konta używane wyłącznie do administrowania systemami | Role administracyjne mają tylko osobne konta administratorów | lista administratorów porównana z kontami codziennymi | co kwartał | szef IT |
| CM-08 | IR 2024/2690 załącznik 11.3.3 | Odniesienie | przeglądać prawa uprzywilejowane w planowych odstępach i dokumentować wynik | Role administracyjne są przeglądane co kwartał (nasz wybór) z podpisem | zapis przeglądu: data, recenzent, odebrane prawa | co kwartał | szef IT |
| CM-09 | IR 2024/2690 załącznik 11.2.3 | Odniesienie | przeglądać prawa dostępu w planowych odstępach i dokumentować wynik | Systemy biznesowe co 6 miesięcy, krytyczne co kwartał (nasz wybór) | zakończone przeglądy z liczbą odebranych praw | co 6 miesięcy | właściciele systemów |
| CM-10 | IR 2024/2690 załącznik 11.2.2(f) | Odniesienie | rejestrować zarządzanie prawami dostępu | Logi administracyjne są archiwizowane przez 12 miesięcy (nasz wybór) | zrzut ekranu ustawienia archiwum i przykładowy eksport | co roku | szef IT |
| CM-11 | IR 2024/2690 załącznik 11.5.3 | Odniesienie | tożsamości współdzielone tylko tam, gdzie to konieczne, zatwierdzone i udokumentowane | Konta współdzielone są rejestrowane i zatwierdzane | rejestr kont współdzielonych z osobą zatwierdzającą | co kwartał | szef IT |
| CM-12 | IR 2024/2690 załącznik 11.5.4 | Odniesienie | przeglądać tożsamości i bez zwłoki dezaktywować te, które nie są już potrzebne | Włączone konta bez logowania od 90 dni są przeglądane co miesiąc (nasz próg) | eksport użytkowników przefiltrowany po ostatnim logowaniu | co miesiąc | szef IT |
| CM-13 | IR 2024/2690 załącznik 11.2.2(d) | Odniesienie | ograniczyć dostęp stron trzecich co do zakresu i czasu | Konta gości i dostawców mają opiekuna i datę końca | eksport gości z datą utworzenia i ostatniego logowania | co kwartał | szef IT |
| CM-14 | IR 2024/2690 załącznik 11.7.1 | Odniesienie | MFA tam, gdzie to właściwe, według klasyfikacji zasobów | Wszyscy użytkownicy używają MFA do wszystkich zasobów; wyjątki są wypisane i zatwierdzone | polityka egzekwowania i lista wyjątków | co kwartał | szef IT |
| CM-15 | NIS2 art. 21(2)(j) | Wiążące | MFA lub uwierzytelnianie ciągłe tam, gdzie to właściwe | To samo zabezpieczenie co CM-14 | to samo co w CM-14 oraz raport rejestracji | co kwartał | szef IT |
| CM-16 | KSC art. 8(1)(2)(l) | Wiążące w Polsce | MFA tam, gdzie to właściwe | To samo zabezpieczenie co CM-14; lista wyjątków zatwierdzona przez kierownictwo | lista wyjątków z datą zatwierdzenia | co 6 miesięcy | kierownictwo |
| CM-17 | IR 2024/2690 załącznik 11.6.2(c) | Odniesienie | zmieniać poświadczenia na początku, w ustalonych odstępach i przy podejrzeniu naruszenia | Zapisz swoje odstępy i powody | tekst polityki haseł i zrzut ekranu ustawień | co roku | szef IT |
| CM-18 | IR 2024/2690 załącznik 11.6.2(f) | Odniesienie | oddzielne poświadczenia dla dostępu uprzywilejowanego | Konta administratorów nie dzielą poświadczeń z kontami codziennymi | przykładowe porównanie kont administratorów i codziennych | co roku | szef IT |
| CM-19 | NIS2 art. 21(2)(i) | Wiążące | zarządzanie zasobami | Prowadzimy listę systemów z ich właścicielami | lista systemów z właścicielem i klasyfikacją | dwa razy w roku | szef IT |
| CM-20 | IR 2024/2690 załącznik 11.5.2(b) | Odniesienie | powiązać tożsamość użytkowników z jedną osobą | Każda tożsamość użytkownika odpowiada jednej imiennej osobie | eksport użytkowników dopasowany do listy z HR | co kwartał | szef IT |
| CM-21 | KSC art. 7c(1) | Wiążące w Polsce | złożyć wniosek o wpis do wykazu w ciągu 6 miesięcy od spełnienia kryteriów | Nasz wpis jest złożony; osoba podpisująca i login są zapisane | kopia wniosku i potwierdzenie | przy zmianie | kierownictwo |
| CM-22 | KSC art. 8e(3) | Wiążące w Polsce | udokumentowane roczne szkolenie dla kierownika podmiotu | Szkolenie kierownictwa jest zarezerwowane i zapisane w każdym roku kalendarzowym | lista obecności | co roku | sekretarz zarządu |
podstawa kolumna z podstawą, wiersz po wierszu
jeden przegląd, podpisany raz
- 1eksportkto ma dostęp dzisiaj
- 2potwierdzeniewłaściciel systemu zaznacza każde nazwisko
- 3usunięcietego, czego nikt nie umiał wyjaśnić
- 4podpis i datai złożenie wyniku w aktach
te akta pomagają odpowiedzieć
- NIS2kontrola dostępu
- DORAprawa dostępu
- RODOpoufność
- ISO 27001prawa dostępu
- SOC 2dostęp logiczny
podstawa NIS2 art. 21(2)(i); DORA art. 9(4)(c); RODO art. 32(1)(b). ISO 27001 i SOC 2 nie były ponownie czytane w źródle.
pytania, które może zadać audytor
To przykłady pytań, które wynikają z tekstów. Nie pochodzą z żadnego opublikowanego standardu audytu.
- Pokaż politykę kontroli dostępu i kto ją zatwierdził.
- Kto ma dziś najwyższą rolę administratora i jak się loguje?
- Które konta są wyłączone z MFA i kto zatwierdził każde z nich?
- Pokaż ostatni przegląd najważniejszego systemu i co z niego usunięto.
- Weź osobę, która odeszła w zeszłym kwartale. Kiedy wyłączono jej konto i gdzie jest log?
- Którzy dostawcy mają u Ciebie konta i kiedy się kończą?
- Jak długo przechowujesz logi logowania i logi administracyjne i dlaczego tak długo?
podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.
czego ten zestaw nie obejmuje
- Tego, czy jesteś podmiotem kluczowym czy ważnym.
- Reszty listy z NIS2: incydenty, ciągłość działania, łańcuch dostaw, podatności, kryptografia i szkolenia mają własne strony.
- Dostępu fizycznego, przepisów sektorowych i krajowych aktów wdrażających.
podstawa NIS2 art. 21(2); IR 2024/2690 załącznik 11.1.1; KSC art. 8a
sprawdź sam
- Dyrektywa (UE) 2022/2555 (NIS2) (EUR-Lex)
- Rozporządzenie wykonawcze Komisji (UE) 2024/2690 (EUR-Lex)
- Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa, Dz.U. 2026 poz. 252 (Dziennik Ustaw)
- Ministerstwo Cyfryzacji: nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa zaczyna obowiązywać
twój następny krok
Pobierz mapę, usuń wiersze, które nie pasują, i wyciągnij dziś listę administratorów.