praca
łatanie i sprawdzanie, czy działa
Łataj według spisanego harmonogramu, obsługuj zgłoszenia, które przychodzą, i raz w roku sprawdzaj, czy reszta Twoich zabezpieczeń działa. Firmy pomijają ostatnią część, bo nic się nie psuje, gdy to robią.
co to znaczy w praktyce
Są tu dwie prace. Łatanie jest znane. Sprawdzanie, czy własne zabezpieczenia działają, to ta, której brakuje, i audytor poprosi o jej pokazanie jako pierwszej.
Na początek nie potrzebujesz osobnego programu audytów. Weź jedno zabezpieczenie, poproś o jego najnowszy dowód i zapisz, czy był. Mapa i mapa dowodów NIS2 dają Ci listę.
podstawa NIS2 art. 21(2)(e), 21(2)(f); RODO art. 32(1)(d)
co zdecydować
- Jakie są docelowe czasy łatania według dotkliwości? Twoje liczby, Twoje powodyszef IT
- Kto czyta zgłoszenia podatności?szef IT
- Kto sprawdza zabezpieczenia, najlepiej spoza zespołu, który je prowadzi?wskazany właściciel
- Czy firma kupuje pentest (test penetracyjny) i dlaczego?wskazany właściciel, z organem zarządzającym, jeśli jest drogi
podstawa NIS2 art. 21(2)(e), 21(2)(f); DORA art. 25(1)
co zbudować
- Spisz cele łatania i opatrz je datą. W Polsce KSC wymaga regularnych aktualizacji oprogramowania zgodnie z zaleceniami producenta.
- Skanuj to, co jest wystawione do internetu, w ustalonym rytmie i zapisuj, co znaleziono i co z tym zrobiono.
- Opublikuj jeden adres, pod który ktoś może zgłosić Ci podatność.
- Wybierz raz w roku pięć zabezpieczeń i sprawdź, że działają: wyciągnij dowody i zobacz, czy są aktualne.
- Napraw to, co pokaże test, z właścicielem i terminem.
podstawa NIS2 art. 21(2)(e), 21(2)(f), 21(4); IR 2024/2690 załącznik 6.6, 6.10 jako punkt odniesienia; KSC art. 8(1)(5)(b)
cykl zarządzania podatnościami
- 1lista zasobówto, co działa, w tym to, co wystawione do internetu
- 2skanlista jest sprawdzana pod kątem znanych luk w ustalonym rytmie
- 3uszeregowaniewedług dotkliwości i prawdopodobieństwa wykorzystania luki
- 4naprawa lub akceptacjawłaściciel naprawia w czasie docelowym albo zapisuje ryzyko z datą końca
- 5raportco zamknięto i co jest po terminie
powtarzaj w ustalonym rytmie i wnioski wpisuj z powrotem na listę zasobów
podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.
dowody, które zostają
| co możesz pokazać | kto jest właścicielem | odświeżanie |
|---|---|---|
| polityka łatania z docelowymi czasami | szef IT | raz w roku |
| wyniki skanów i podjęte działania | szef IT | co miesiąc (do Twojej decyzji) |
| dane o łataniu na tle celów | szef IT | co kwartał |
| zapis rocznego testu zabezpieczeń | osoba spoza zespołu, jeśli to możliwe | raz w roku |
| ustalenia z właścicielami i terminami | wskazany właściciel | do zamknięcia |
podstawa RODO art. 32(1)(d); NIS2 art. 21(2)(f). Rytmy zależą od Ciebie.
sprawdzenie własnej pracy w jedno popołudnie
- 1wybierz pięć zabezpieczeńze swojego rejestru
- 2poproś o najnowszy dowódod osoby, która za nie odpowiada
- 3czy jest aktualny?zapisz tak lub nie
- 4ustaleniez właścicielem i terminem
- 5naprawwykrycie luki zaczyna obowiązek działania
podstawa NIS2 art. 21(2)(f), 21(4); RODO art. 32(1)(d)
gdzie to się psuje
ustalenia bez właściciela
Znalezienie luki rodzi obowiązek działania. Lista, której nikt nie ma, zapisuje tylko, że wiedziano.
cele, których nikt nie mierzy
Polityka z liczbą i bez danych na jej tle pokazuje tylko, że ją napisano.
brak miejsca do zgłoszeń
Ktoś znajduje Twoją lukę i nie może Ci o niej powiedzieć. Jeden adres to rozwiązuje.
podstawa NIS2 art. 21(4); reszta jest praktyką
co przepisy zostawiają otwarte
- Jak szybko to wystarczająco szybko. NIS2 nie podaje liczby.
- Kiedy oczekuje się pentestu. NIS2 go nie wymienia. DORA wymienia go wśród możliwych testów, a zaawansowane testy dotyczą tylko wskazanych podmiotów.
- Czy polski audyt zaliczy się też jako Twoje sprawdzenie skuteczności. Podmioty kluczowe są zobowiązane do pierwszego audytu do 3 kwietnia 2028 r., więc zapytaj osobę, która go przeprowadza.
podstawa DORA art. 25(1), 26; KSC art. 33(2)
sprawdź sam
co mówi każdy tekst, dla osoby sprawdzającej tę stronę
| tekst | mówi |
|---|---|
| NIS2 art. 21(2)(e) | Bezpieczeństwo przy nabywaniu, rozwoju i utrzymaniu, w tym obsługa i ujawnianie podatności. |
| NIS2 art. 21(2)(f) | Polityki i procedury oceny skuteczności Twoich środków. |
| NIS2 art. 21(4) | Środki naprawcze bez zbędnej zwłoki, gdy okaże się, że czegoś brakuje. |
| IR 2024/2690 załącznik 6.6 | Wymienieni dostawcy usług cyfrowych: zarządzanie poprawkami bezpieczeństwa. Załącznik 6.10 dotyczy obsługi i ujawniania podatności. |
| DORA art. 24(1) | Program testowania odporności, chyba że jesteś mikroprzedsiębiorstwem. |
| DORA art. 25(1) | Testy takie jak skany podatności, oceny sieci i testy scenariuszowe. |
| RODO art. 32(1)(d) | Proces regularnego testowania, czy środki działają. |
| KSC art. 8(1)(5)(b) | Polska: regularne aktualizacje oprogramowania zgodnie z zaleceniami producenta. |
- Dyrektywa (UE) 2022/2555 (NIS2) (EUR-Lex)
- Rozporządzenie wykonawcze Komisji (UE) 2024/2690 (EUR-Lex)
- Rozporządzenie (UE) 2022/2554 (DORA) (EUR-Lex)
- Rozporządzenie (UE) 2016/679 (RODO) (EUR-Lex)
- Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa, Dz.U. 2026 poz. 252 (Dziennik Ustaw)
twój następny krok
Spisz swoje cele łatania na jednej stronie i opatrz je datą.