praca

kontrola dostępu

Dla właściciela IT: kto może wejść, kto to zatwierdził i kiedy ostatnio ktoś to sprawdził. NIS2, DORA i RODO pytają o to samo, więc jeden porządny przegląd odpowiada na wszystkie trzy.

NIS2 / DORA / RODOostatnio sprawdzone 2 listopada 2026
01

co to znaczy w praktyce

NIS2, DORA i RODO pytają o to samo: kto może wejść, kto to zatwierdził i kiedy ostatnio ktoś to sprawdził. Jeden przegląd dostępów, zrobiony porządnie i zachowany, pomaga też przy ISO 27001 i SOC 2. Kolejność ma znaczenie: najpierw uporządkuj, kto ma dostęp, potem napisz politykę opisującą to, co robisz.

Mapa dowodów wylicza każdy z tych eksportów w osobnym wierszu, z właścicielem i rytmem.

podstawa NIS2 art. 21(2)(i); DORA art. 9(4)(c); RODO art. 32(1)(b)

02

co zdecydować

  • Kto jest właścicielem każdego ważnego systemu, a więc kto zatwierdza dostęp do niego?wskazany właściciel, razem z biznesem
  • Czy MFA (uwierzytelnianie wieloskładnikowe) obejmuje wszystkich i kto może zatwierdzić wyjątek?zarząd, na wniosek IT
  • Jak często przeglądacie dostępy? Poza sektorem finansowym żaden tekst nie podaje liczby, więc wybierz własną i trzymaj się jej.szef IT
  • Jak długo przechowujecie logi dostępu?szef IT, z prawnikiem
  • Kto odpowiada za politykę kontroli dostępu wymaganą przez KSC i gdzie jest ona zatwierdzona?zarząd

podstawa NIS2 art. 21(2)(i), 21(2)(j); IR 2024/2690 załącznik 11.2.3 jako punkt odniesienia; KSC art. 8(1)(2)(n)

03

co zbudować

  1. Wyeksportuj listę administratorów z dostawcy tożsamości i z pięciu najważniejszych systemów. Usuń każdego, kto w tym tygodniu nie potrzebuje dostępu.
  2. Włącz MFA dla każdego administratora, potem dla wszystkich. Prowadź listę wyjątków z właścicielem, powodem i datą przeglądu.
  3. Porównaj listę osób, które odeszły w ostatnich sześciu miesiącach (z działu HR), z aktywnymi kontami. Wyłącz różnice i popraw proces, który je przepuścił.
  4. Poproś właściciela każdego systemu, by potwierdził, kto powinien mieć dostęp. Zachowaj podpisany wynik razem z tym, co usunięto.
  5. Nadaj kontom dostawców i gości właściciela i datę końca.
  6. Na końcu napisz dwustronicową politykę opisującą to, co teraz robisz, i zatwierdź ją w zarządzie. W Polsce KSC wymienia politykę kontroli dostępu i MFA tam, gdzie jest to właściwe, wśród środków zarządzania ryzykiem.

podstawa IR 2024/2690 załącznik 11.2.2, 11.3.2, 11.7.1 jako punkt odniesienia; DORA art. 9(4)(c), 9(4)(d); KSC art. 8(1)(2)(n), 8(1)(2)(l)

dostęp ma cykl życia, a większość luk leży na jego końcu

  1. 1przychodzidostęp zamówiony i zatwierdzony przez wskazaną osobę
  2. 2pracujenajmniejszy dostęp potrzebny do pracy, z MFA
  3. 3zmienia rolęstare uprawnienia zabrane przy zmianie roli
  4. 4przeglądwłaściciel potwierdza w ustalonym rytmie
  5. 5odchodziwyłączony ostatniego dnia, porównany z listą z HR

konta dostawców i gości przechodzą ten sam cykl, z datą końca

podstawa IR 2024/2690 załącznik 11.2.2, 11.2.3 jako punkt odniesienia; NIS2 art. 21(2)(i), 21(2)(j)

04

dowody, które zostają

co możesz pokazaćkto jest właścicielemodświeżanie
eksport listy administratorów z datąszef ITco kwartał
raport pokrycia MFA i lista wyjątkówszef ITco kwartał
porównanie listy osób odchodzących z aktywnymi kontamiHR i szef ITco miesiąc
podpisany przegląd dostępów z usunięciamiwłaściciele systemówco 6 miesięcy, systemy krytyczne co kwartał (Twój wybór)
zatwierdzona polityka dostępuzarządco roku

podstawa IR 2024/2690 załącznik 11.2.2(e), 11.2.3 jako punkt odniesienia. Częstotliwości to Twój wybór.

jeden przegląd, podpisany raz

  1. 1eksportkto ma dostęp dzisiaj
  2. 2potwierdzeniewłaściciel systemu zaznacza każde nazwisko
  3. 3usunięcietego, czego nikt nie umiał wyjaśnić
  4. 4podpis i datai złożenie wyniku w aktach

te akta pomagają odpowiedzieć

  • NIS2kontrola dostępu
  • DORAprawa dostępu
  • RODOpoufność
  • ISO 27001prawa dostępu
  • SOC 2dostęp logiczny

podstawa NIS2 art. 21(2)(i); DORA art. 9(4)(c); RODO art. 32(1)(b). ISO 27001 i SOC 2 nie były ponownie czytane w źródle.

05

gdzie to się psuje

najpierw polityka

Polityka napisana przed porządkami opisuje firmę, która nie istnieje, a audytor to zauważy.

odejścia, o których nikt nie powiedział IT

HR wie, a IT nie. Bez comiesięcznego porównania luka zostaje otwarta tak długo, jak długo nikt nie patrzy.

wyjątki bez końca

Wyjątek od MFA bez właściciela i daty przeglądu staje się stały.

logi, które wygasły

Domyślne ustawienia platform bywają krótkie. Dowiadujesz się o tym, gdy ktoś pyta o ostatni kwartał. Sprawdź retencję teraz.

podstawa praktyka

06

co przepisy zostawiają otwarte

  • Gdzie MFA jest właściwe. NIS2 nie wymienia tych przypadków, więc udokumentuj, gdzie go używasz i dlaczego nie gdzie indziej.
  • Jak często robić przegląd. Rozporządzenie wykonawcze mówi o zaplanowanych odstępach.
  • Jak długo przechowywać logi dostępu. Żaden z tych tekstów nie wyznacza okresu.

podstawa NIS2 art. 21(2)(j); IR 2024/2690 załącznik 11.2.3

07

sprawdź sam

co mówi każdy tekst, dla osoby sprawdzającej tę stronę
tekstmówi
NIS2 art. 21(2)(i)Bezpieczeństwo zasobów ludzkich, polityki kontroli dostępu i zarządzanie aktywami.
NIS2 art. 21(2)(j)MFA lub uwierzytelnianie ciągłe, w stosownych przypadkach.
IR 2024/2690 załącznik 11.2.2Wymienieni dostawcy usług cyfrowych: najmniejsze uprawnienia i rozdzielenie obowiązków, zmiany przy odejściu, zatwierdzenia, ograniczenia dostępu stron trzecich, rejestr i log.
IR 2024/2690 załącznik 11.7.1Wymienieni dostawcy usług cyfrowych: MFA lub uwierzytelnianie ciągłe w stosownych przypadkach, według klasyfikacji aktywów.
DORA art. 9(4)(c)Ograniczenie dostępu fizycznego i logicznego do tego, czego potrzebują zatwierdzone funkcje.
DORA art. 9(4)(d)Polityki i protokoły silnego uwierzytelniania.
RODO art. 32(1)(b)Stała poufność systemów przetwarzania, dobrana do ryzyka.
KSC art. 8(1)(2)(n)Polska: polityki kontroli dostępu. MFA, gdzie jest to właściwe, wymienia lit. l.

twój następny krok

Wyeksportuj teraz listę administratorów i policz, ilu z nich umiesz wytłumaczyć.

zobacz, które inne przepisy to obejmuje