Świadomość. Przygotowanie. Cyberodporność = Państwa bezpieczeństwo

NIS2 to unijna dyrektywa dotycząca cyberbezpieczeństwa, którą Polska wdraża nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa (UKSC). Nowe przepisy znacząco rozszerzają katalog podmiotów objętych obowiązkami oraz zaostrzają wymagania dotyczące zarządzania ryzykiem, dokumentacji i zgłaszania incydentów.

Cyberzagrożenia nie są już incydentalnym zjawiskiem, ale stały się „nową normą operacyjną”. Polska jest systematycznie atakowana w cyberprzestrzeni (również z powodów geopolitycznych). Wg raportu rocznego CERT Polska cyberzagrożenia osiągają w Polsce rekordowe poziomy – w 2025 r. 658 320 zgłoszeń, co oznacza wzrost liczby incydentów nawet o ponad 150% rok do roku. Ataki obejmują dane (kradzież, wycieki), finanse (oszustwa) oraz infrastrukturę krytyczną (np. energetyka). Cyberbezpieczeństwo to dziś warunek ciągłości działania państwa i biznesu.

Od tego zaczyna się współpraca. Kancelaria SD Legal przeprowadza formalną klasyfikację organizacji na podstawie kryteriów UKSC (sektor, wielkość, rola w łańcuchu dostaw, struktura grupy kapitałowej) i ustala, czy firma jest podmiotem kluczowym, ważnym, czy też obowiązki jej nie dotyczą. To pierwsza usługa w ramach współpracy – bezpłatna konsultacja pozwala wcześniej wstępnie ocenić, czy taka klasyfikacja jest w Państwa przypadku potrzebna.

UKSC wdraża kary administracyjne przewidziane w NIS2: dla podmiotów kluczowych nawet do 10 mln € lub 2% rocznego obrotu światowego (liczy się kwota wyższa), a dla podmiotów ważnych do 7 mln € lub 1,4% obrotu. Dochodzi do tego osobista odpowiedzialność kierownictwa – w przypadku podmiotów kluczowych z możliwym czasowym zakazem pełnienia funkcji kierowniczych.

Wdrożone ISO to bardzo dobry punkt wyjścia, ale nie pokrywa wszystkich wymogów UKSC. BBQuality integruje wymagania ustawy z istniejącym systemem ISO, zamiast budować osobny – pozwala to uniknąć duplikowania dokumentacji.

RODO chroni dane osobowe, a NIS2 i UKSC dotyczą odporności na incydenty cyberbezpieczeństwa i ciągłości działania kluczowych usług. Obszary się uzupełniają, ale to odrębne reżimy obowiązków, dokumentacji i raportowania.

UKSC obowiązuje od 3 kwietnia 2026 r., a wniosek o wpis do Wykazu KSC trzeba złożyć do 3 października 2026 r. Samo wdrożenie to miesiące pracy prawnej, dokumentacyjnej i technicznej. Firmy, które zaczynają wcześnie, rozkładają je spokojnie w czasie; spóźnione robią wszystko naraz, pod presją terminów i kontroli.

Zakres i koszt zależą od wielkości i dojrzałości organizacji. Zaczynamy od bezpłatnej konsultacji, a pierwszym płatnym etapem jest analiza podlegania pod ustawę (klasyfikacja prawna) – na jej podstawie przedstawiamy wycenę dalszych prac dopasowaną do realnego zakresu, bez płacenia za usługi, których firma nie potrzebuje.

To zależy od wielkości i dojrzałości organizacji. Zaczynamy od analizy prawnej, a po niej – audytu IT; następnie przedstawiamy harmonogram z konkretnymi etapami i terminami. Kolejne prace układamy w logicznej kolejności, z jednym punktem koordynacji, tak aby nie było luk ani przestojów.

Komplet dokumentacji wymaganej przez UKSC (polityki, procedury, SZBI), wdrożone i przetestowane zabezpieczenia techniczne, gotowość do zgłaszania incydentów do CSIRT oraz – opcjonalnie – stałą ochronę SOC i funkcję Pełnomocnika ds. cyberbezpieczeństwa.

Tak – i to jest sedno NIS2 oraz UKSC, które dotyczą przede wszystkim ciągłości cyberbezpieczeństwa. SecIQ (spółka z udziałem Cloudsintegrator) obejmuje infrastrukturę SOC-iem w trybie 24/7, z reagowaniem na incydenty i wsparciem zgłoszeń do CSIRT. Audyty IT wykonuje Cloudsintegrator, a BBQuality może pełnić funkcję Pełnomocnika ds. cyberbezpieczeństwa. Zgodność utrzymujemy cyklicznymi audytami i monitoringiem zmian prawnych.