NIS2: cała praca, po kolei

• zdecyduj i udokumentujwybory, polityki i zapisy, które podpisuje osoba z uprawnieniami
• zbuduj i skonfigurujsystemy, ustawienia i procedury, które urealniają wybór
• udowodnij i utrzymujsprawdzenia, logi i zapisy, które pokazują, że to działa

Sprawdź, czy NIS2 Cię obejmuje, w jakiej kategorii i kto za to odpowiada.

1. 1.1

   sprawdź, czy NIS2 dotyczy firmy

   Porównaj swoją działalność z sektorami z załączników, a swoją wielkość z progami, wliczając personel i środki finansowe przedsiębiorstw powiązanych. Niektóre rodzaje podmiotów są objęte bez względu na wielkość.

   • właściciel prawnik lub IOD
   • zdecyduj i udokumentuj

   co powstaje

   jednostronicowa notatka o zakresie z datą i uzasadnieniem

   dowód, który zostaje

   notatka zatwierdzona przez kierownictwo

   strona pracy

   podstawa NIS2 art. 2(1), 2(2)

2. 1.2

   wskaż, kto za to odpowiada

   Organ zarządzający zatwierdza środki bezpieczeństwa, nadzoruje je i może odpowiadać za uchybienia. Zdecyduj, kto się podpisuje i kto zdaje mu sprawę z postępu prac.

   • właściciel zarząd
   • zdecyduj i udokumentuj

   co powstaje

   uchwała zarządu wskazująca odpowiedzialnego właściciela i lidera operacyjnego

   dowód, który zostaje

   protokół z tej decyzji

   strona pracy

   podstawa NIS2 art. 20(1)

3. 1.3

   znajdź ustawę krajową i jej terminy

   NIS2 dociera do Ciebie przez prawo państwa członkowskiego. Znajdź tę ustawę, ewentualny obowiązek rejestracji dla podmiotów takich jak Twój i terminy, które wyznacza. Wpisz je do tej samej notatki co zakres.

   • właściciel prawnik lub IOD
   • zdecyduj i udokumentuj

   co powstaje

   lista obowiązków krajowych i terminów ze źródłem każdego z nich

   dowód, który zostaje

   lista sprawdzona z ustawą w wyznaczonym dniu

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

4. 1.4

   złóż wniosek o wpis do wykazu podmiotów

   Podmiot objęty ustawą na dzień 3 kwietnia 2026 miał na złożenie wniosku o wpis do wykazu czas do 3 października 2026. Ten termin minął, więc sprawdź, czy wniosek jest złożony, a jeśli go nie ma, ustal z prawnikiem, co zrobić. Podmiot, który spełni kryteria później, ma na wniosek sześć miesięcy od tego dnia.

   • właściciel prawnik lub IOD
   • zbuduj i skonfiguruj

   co powstaje

   kopia wniosku, potwierdzenie złożenia i zapis, kto go podpisał

   dowód, który zostaje

   kopia wniosku i potwierdzenie, z datą

   strona pracy

   podstawa KSC art. 33(3); KSC art. 7c(1)

5. 1.5

   wpisz polskie terminy do kalendarza zarządu

   Zmieniona ustawa obowiązuje od 3 kwietnia 2026. Na obowiązki z rozdziału 3 masz czas do 3 kwietnia 2027. Pierwszy audyt podmiotu kluczowego i większość kar są możliwe dopiero po 3 kwietnia 2028. Zapisz te trzy daty tam, gdzie zarząd planuje rok.

   • właściciel prawnik lub IOD
   • zdecyduj i udokumentuj

   co powstaje

   kalendarz trzech dat z odesłaniem do przepisu

   dowód, który zostaje

   kalendarz sprawdzony z tekstem ustawy w wyznaczonym dniu

   strona pracy

   podstawa KSC art. 49; KSC art. 33(1), 33(2); KSC art. 35

Uzgodnij, kto o czym decyduje, kto jest szkolony i ile ryzyka firma akceptuje.

1. 2.1

   przypisz właściciela do każdego środka

   Przepis wylicza dziesięć rodzajów środków. Każdemu przypisz właściciela z imienia i nazwiska oraz miejsce w rocznym porządku obrad zarządu. Właściciel to jedna osoba, która ma czas i uprawnienia, by działać.

   • właściciel zarząd
   • zdecyduj i udokumentuj

   co powstaje

   tabela dziesięciu środków z właścicielem każdego

   dowód, który zostaje

   tabela zatwierdzona przez zarząd

   podstawa NIS2 art. 21(1)

2. 2.2

   przeszkol kierownictwo

   Członkowie organu zarządzającego muszą odbywać szkolenia. Zorganizuj jedno spotkanie o ich obowiązkach: co zatwierdzają, co nadzorują i o co pytać. Zachowaj listę obecności i materiały.

   • właściciel zarząd
   • zbuduj i skonfiguruj

   co powstaje

   spotkanie szkoleniowe dla kierownictwa i lista obecności

   dowód, który zostaje

   lista obecności i prezentacja w wersji, którą pokazano

   strona pracyzabezpieczenie: awareness-training

   podstawa NIS2 art. 20(2)

3. 2.3

   zapisz, kto odpowiada po delegowaniu zadań

   Kierownik podmiotu pozostaje odpowiedzialny także po delegowaniu zadań. Gdy kierownikiem jest zarząd i nikogo nie wskazano, odpowiadają wszyscy jego członkowie. Zapisz w uchwale, kto czym kieruje, i pamiętaj, że delegowanie nie przenosi odpowiedzialności.

   • właściciel zarząd
   • zdecyduj i udokumentuj

   co powstaje

   uchwała z podziałem zadań i wskazaniem osoby odpowiedzialnej

   dowód, który zostaje

   uchwała w aktach zarządu

   strona pracy

   podstawa KSC art. 8c(2), 8c(3)

4. 2.4

   zarezerwuj roczne szkolenie kierownika podmiotu

   Kierownik podmiotu i osoby, którym powierzono te obowiązki, odbywają szkolenie raz w roku kalendarzowym, a szkolenie jest dokumentowane. Wpisz je do kalendarza zarządu na każdy rok i wyznacz, kto prowadzi zapis.

   • właściciel zarząd
   • zbuduj i skonfiguruj

   co powstaje

   termin szkolenia na bieżący rok i zapis każdego uczestnika

   dowód, który zostaje

   lista obecności z każdego roku kalendarzowego

   strona pracyzabezpieczenie: awareness-training

   podstawa KSC art. 8e(1); KSC art. 8e(3)

5. 2.5

   zdecyduj, ile ryzyka akceptujesz

   Napisz prosto, czego firma nie zaakceptuje, na przykład dnia bez przyjmowania zamówień albo danych klientów w niepowołanych rękach. Ocena ryzyka w następnej fazie użyje tego jako miernika.

   • właściciel zarząd
   • zdecyduj i udokumentuj

   co powstaje

   krótkie oświadczenie o granicach ryzyka

   dowód, który zostaje

   oświadczenie podpisane przez kierownictwo

   strona pracy

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

Wypisz systemy, dane i osoby, które mają do nich dostęp, a potem zapisz ryzyka.

1. 3.1

   wypisz systemy, dane, dostawców i konta administratorów

   Zacznij od tego, co możesz wyeksportować dziś: listy administratorów z systemu tożsamości, listy usług SaaS z finansów, listy dostawców z zakupów. Każdemu systemowi przypisz właściciela i oznacz te, których awaria zatrzymałaby firmę.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   wykaz z właścicielem i oceną krytyczności każdego systemu

   dowód, który zostaje

   eksporty z datą i sam wykaz

   strona pracyzabezpieczenie: asset-inventory

   podstawa NIS2 art. 21(2)(i)

2. 3.2

   napisz ocenę ryzyka i politykę bezpieczeństwa

   Oceń ryzyka w skali granic wyznaczonych przez kierownictwo, wybierz środki, które je zmniejszają, i zapisz to, co akceptujesz. Politykę napisz na końcu, jako opis tego, co firma naprawdę robi.

   • właściciel szef IT
   • zdecyduj i udokumentuj

   co powstaje

   rejestr ryzyka z właścicielami i datami oraz krótka polityka

   dowód, który zostaje

   rejestr i polityka zatwierdzone przez kierownictwo

   strona pracy

   podstawa NIS2 art. 21(2)(a)

Zamień decyzje w rzeczywistość: logowanie, kopie zapasowe, łatanie, dostawcy, szyfrowanie i codzienne nawyki.

1. 4.1

   zamknij luki w logowaniu

   Włącz MFA (uwierzytelnianie wieloskładnikowe) najpierw dla każdego administratora, potem dla wszystkich. Usuń konta, których nikt nie umie wyjaśnić. Kontom dostawców i gości przypisz właściciela i datę wygaśnięcia.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   raport pokrycia MFA i oczyszczona lista administratorów

   dowód, który zostaje

   raport oraz lista wyjątków z właścicielami i datami

   strona pracyzabezpieczenie: mfa

   podstawa NIS2 art. 21(2)(i), 21(2)(j)

2. 4.2

   rób kopie zapasowe, z których odtwarzasz

   Trzymaj kopie, do których atakujący nie dotrze z przejętego konta administratora, i odtwarzaj z nich według harmonogramu. Kopia, której nigdy nie odtworzono, jest nadzieją.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   zakres kopii, test odtworzenia i plan odtwarzania

   dowód, który zostaje

   zapisy testów odtworzenia z datami i wynikami

   strona pracyzabezpieczenie: backup-recovery

   podstawa NIS2 art. 21(2)(c)

3. 4.3

   łataj i kupuj z myślą o bezpieczeństwie

   Wiedz, co jest wystawione do internetu, skanuj to, łataj według priorytetu i zapisuj, czego postanowiłeś nie naprawiać. Dopisz pytania o bezpieczeństwo do zasad kupowania i budowania oprogramowania.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   rutyna skanowania, reguła łatania i krótka lista zaakceptowanych ryzyk

   dowód, który zostaje

   wyniki skanów, zapisy łatania i lista zaakceptowanych ryzyk

   strona pracyzabezpieczenie: vulnerability-management

   podstawa NIS2 art. 21(2)(e)

4. 4.4

   zapisz, gdzie używasz szyfrowania

   Zapisz, gdzie dane są szyfrowane w spoczynku i w przesyłaniu, kto trzyma klucze i co się dzieje, gdy klucz zginie. Pisz krótko i zgodnie z prawdą.

   • właściciel szef IT
   • zdecyduj i udokumentuj

   co powstaje

   jednostronicowa notatka o szyfrowaniu i kluczach

   dowód, który zostaje

   notatka przeglądana co roku przez właściciela

   podstawa NIS2 art. 21(2)(h)

5. 4.5

   podziel dostawców na grupy i zadaj właściwe pytania

   Posortuj dostawców według tego, do czego mają dostęp, zapytaj krytycznych o ich bezpieczeństwo i wpisz wymagania do umowy. Sprawdź słabe punkty każdego bezpośredniego dostawcy, jak chce przepis.

   • właściciel zakupy
   • zbuduj i skonfiguruj

   co powstaje

   rejestr dostawców z podziałem na grupy i standardowy zestaw klauzul umownych

   dowód, który zostaje

   rejestr i otrzymane odpowiedzi

   strona pracyzabezpieczenie: supplier-management

   podstawa NIS2 art. 21(2)(d), 21(3)

6. 4.6

   przeszkol wszystkich w podstawach

   Prowadź krótki roczny program: jak rozpoznać phishing, jak zgłosić coś dziwnego i do kogo dzwonić. Obejmij też nowo przyjętych. Listę obecności trzymaj razem z materiałem.

   • właściciel HR
   • zbuduj i skonfiguruj

   co powstaje

   roczny program i zapis obecności

   dowód, który zostaje

   zapis obecności i materiał z numerem wersji

   strona pracyzabezpieczenie: awareness-training

   podstawa NIS2 art. 21(2)(g)

Ustal, kto obsługuje incydent, jak zawiadomisz organ na czas i jak to ćwiczysz.

1. 5.1

   ustaw obsługę incydentów i role

   Wskaż, kto o każdej porze może uznać zdarzenie za incydent, kto go prowadzi, kto rozmawia z klientami i kto z organem. Ustal, jak ludzie zgłaszają coś dziwnego i gdzie leży rejestr zdarzeń.

   • właściciel szef IT
   • zdecyduj i udokumentuj

   co powstaje

   procedura incydentowa z nazwanymi rolami i arkusz kontaktów

   dowód, który zostaje

   procedura i arkusz kontaktów, przeglądane co roku

   strona pracyzabezpieczenie: incident-management

   podstawa NIS2 art. 21(2)(b)

2. 5.2

   przygotuj się do zgłoszeń po 24 godzinach, 72 godzinach i miesiącu

   Incydenty poważne trafiają do krajowego punktu kontaktowego etapami: wczesne ostrzeżenie, pełniejsze zgłoszenie i sprawozdanie końcowe. Przygotuj wzór każdego z nich i ustal, kto może je wysłać. Termin biegnie od chwili, gdy się dowiesz.

   • właściciel prawnik lub IOD
   • zbuduj i skonfiguruj

   co powstaje

   trzy wzory zgłoszeń i reguła, kto je wysyła

   dowód, który zostaje

   wzory i próba na sucho

   strona pracy

   podstawa NIS2 art. 23(4)

3. 5.3

   wpisz do procedury polskie terminy zgłoszeń

   W Polsce wczesne ostrzeżenie idzie w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin od wykrycia incydentu poważnego, a sprawozdanie końcowe w ciągu miesiąca. Wpisz te terminy do procedury i ustal z prawnikiem, do którego CSIRT i organu składasz zgłoszenie.

   • właściciel prawnik lub IOD
   • zbuduj i skonfiguruj

   co powstaje

   procedura z trzema terminami liczonymi od wykrycia i z nazwanym adresatem zgłoszenia

   dowód, który zostaje

   procedura i próba na sucho z zapisanymi godzinami

   strona pracy

   podstawa KSC art. 11

4. 5.4

   przećwicz raz i napraw to, co zawiodło

   Przeprowadź krótkie ćwiczenie na realistycznym scenariuszu z osobami, które byłyby w pokoju. Zapisz, co poszło źle i kto to naprawia.

   • właściciel wszyscy
   • udowodnij i utrzymuj

   co powstaje

   raport z ćwiczenia z działaniami i właścicielami

   dowód, który zostaje

   raport i lista działań, zamkniętych lub z datą

   strona pracy

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

Sprawdź, czy środki działają, zbierz dowody w jednym miejscu i zdawaj sprawę kierownictwu.

1. 6.1

   sprawdź, czy środki działają

   Wybierz kilka mierzalnych sprawdzeń: odsetek administratorów z MFA, data ostatniego testu odtworzenia, liczba otwartych łatek krytycznych, odpowiedzi dostawców. Patrz na nie w ustalonym rytmie i zapisuj, co zrobiono z tymi słabymi.

   • właściciel szef IT
   • udowodnij i utrzymuj

   co powstaje

   krótka lista mierników z rytmem i wynikiem każdego

   dowód, który zostaje

   wyniki z datami

   strona pracy

   podstawa NIS2 art. 21(2)(f)

2. 6.2

   trzymaj dowody w jednym miejscu

   Zbierz wyniki każdego z powyższych kroków w jednym folderze, uporządkowanym według środków. Pomaga mapa dowodów: każdy wiersz ma właściciela i rytm odświeżania.

   • właściciel szef IT
   • udowodnij i utrzymuj

   co powstaje

   folder dowodów uporządkowany według środków

   dowód, który zostaje

   folder z datą przy każdej pozycji

   strona pracy

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

3. 6.3

   usuwaj braki i zdawaj sprawę kierownictwu

   Gdy znajdziesz środek, który nie wystarcza, popraw go bez zbędnej zwłoki. Raz w roku pokaż kierownictwu stan każdego środka i otwarte braki, a potem zapisz, co postanowiło.

   • właściciel zarząd
   • udowodnij i utrzymuj

   co powstaje

   roczny raport dla zarządu

   dowód, który zostaje

   raport i protokół

   strona pracy

   podstawa NIS2 art. 21(4); NIS2 art. 20(1)

4. 6.4

   zaplanuj pierwszy audyt podmiotu kluczowego

   Podmioty kluczowe mają obowiązek pierwszego audytu do 3 kwietnia 2028. Po tej dacie możliwa jest też większość kar. Zapytaj osobę, która będzie audytować, czy zalicza Twoje własne sprawdzenie skuteczności, i zacznij pracę od pierwszego dowodu, o który poprosi.

   • właściciel prawnik lub IOD
   • udowodnij i utrzymuj

   co powstaje

   plan audytu z datą i lista dowodów dla audytora

   dowód, który zostaje

   plan i lista, odświeżane co roku

   strona pracy

   podstawa KSC art. 33(2); KSC art. 35

5. 6.5

   poinformuj zarząd o odpowiedzialności osobistej

   Dla kierownika podmiotu prywatnego ustawa przewiduje osobistą karę pieniężną do 300% wynagrodzenia, możliwą dopiero po 3 kwietnia 2028. Przedstaw to zarządowi na piśmie i sprawdź z prawnikiem, czy ubezpieczenie od odpowiedzialności członków zarządu ją obejmuje.

   • właściciel prawnik lub IOD
   • zdecyduj i udokumentuj

   co powstaje

   notatka dla zarządu o karach osobistych i ich terminie

   dowód, który zostaje

   notatka i potwierdzenie, że zarząd ją przyjął do wiadomości

   strona pracy

   podstawa KSC art. 73a(4); KSC art. 35

Te same kroki, pogrupowane według osoby, która musi działać.

Każde zabezpieczenie ma własną stronę: czym jest, na co patrzeć przy wyborze, gdzie się psuje i jaki dowód zostawia.

• Dyrektywa (UE) 2022/2555 (NIS2) (EUR-Lex)
• Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa, Dz.U. 2026 poz. 252 (Dziennik Ustaw)