Gotowość na kontrolę i mniejsze ryzyko kar
Obowiązki z NIS2 i ustawy o KSC są wdrożone i udokumentowane, więc firma jest gotowa na kontrolę organu nadzoru. Ryzyko kar (dla podmiotu kluczowego do 10 mln EUR lub 2% przychodów) znacząco maleje.
Wdrożenie NIS2 – pełna zgodność z dyrektywą i polską ustawą
Wdrażamy zgodność z NIS2 i znowelizowaną ustawą o krajowym systemie cyberbezpieczeństwa (obowiązuje od 3 kwietnia 2026 r.). Audyt gotowości, polityka cyberbezpieczeństwa, plan zarządzania ryzykiem, procedury reagowania na incydenty, raportowanie. Pełen pakiet dla podmiotów kluczowych i ważnych.
01
Kary od 3 kwietnia 2028 r.: do 10 mln EUR lub 2% przychodów (podmiot kluczowy) albo do 7 mln EUR lub 1,4% przychodów (podmiot ważny)
02
Obowiązek zgłaszania incydentów: 24 h, 72 h i raport końcowy w ciągu miesiąca
03
Osobista odpowiedzialność kierownika podmiotu (kara do 300% wynagrodzenia)
Spółka powiązana
Cyberbezpieczeństwo prowadzi ALGORSEC
ALGORSEC to odrębna, powiązana z nami spółka wyspecjalizowana w cyberbezpieczeństwie. Odpowiada za wdrożenia NIS2, audyty bezpieczeństwa IT i usługę vCISO — projekty realizujemy wspólnie, gdy wdrożenie AI lub automatyzacji wymaga kompetencji z zakresu bezpieczeństwa.
Problem klienta
Nowelizacja KSC obowiązuje od 3 kwietnia 2026 r. – obowiązki trzeba wdrożyć do 3 kwietnia 2027 r.
Znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252) wdraża dyrektywę NIS2 i obowiązuje od 3 kwietnia 2026 r. Od podmiotów kluczowych i ważnych wymaga polityki cyberbezpieczeństwa, planu zarządzania ryzykiem, procedur reagowania na incydenty, zgłaszania incydentów do CSIRT i szkoleń, a od kluczowych także audytów. Termin na wpis do wykazu podmiotów minął 3 października 2026 r. – jeśli Twoja firma nie złożyła wniosku o wpis, trzeba to zrobić teraz. System zarządzania bezpieczeństwem i pozostałe obowiązki trzeba wdrożyć do 3 kwietnia 2027 r. Kary pieniężne organy mogą nakładać od 3 kwietnia 2028 r.: podmiot kluczowy do 10 mln EUR lub 2% przychodów, podmiot ważny do 7 mln EUR lub 1,4% przychodów.
Wdrożenie NIS2 to projekt 6–12 miesięcy w typowej firmie. Prowadzimy go etapowo: audyt gotowości, projekt polityk dopasowanych do organizacji, wdrożenie technicznych i organizacyjnych zabezpieczeń, szkolenia zarządu i pracowników, przygotowanie do raportowania do CSIRT. Tempo zależy od stanu wyjściowego, skali organizacji i dostępności zespołu po stronie klienta.
Dlaczego to ma znaczenie
Kary od 3 kwietnia 2028 r.: do 10 mln EUR lub 2% przychodów (podmiot kluczowy) albo do 7 mln EUR lub 1,4% przychodów (podmiot ważny)
Obowiązek zgłaszania incydentów: 24 h, 72 h i raport końcowy w ciągu miesiąca
Osobista odpowiedzialność kierownika podmiotu (kara do 300% wynagrodzenia)
Nadzór organów właściwych i obowiązkowe audyty bezpieczeństwa (podmioty kluczowe)
Obowiązek przyjęcia polityk i procedur cyberbezpieczeństwa
Zakres wdrożenia
Co dokładnie dostarczamy we wdrożeniu
Pełen pakiet zgodności z NIS2 – od audytu do gotowości operacyjnej.
01
Audyt gotowości NIS2 (gap analysis)
Ocena obecnego stanu cyberbezpieczeństwa względem wymogów NIS2. Lista zaleceń (zwykle 50–100) uszeregowanych według ryzyka i wagi obowiązku.
02
Polityka cyberbezpieczeństwa
Pełen dokument polityki dopasowany do organizacji. Obejmuje: zarządzanie ryzykiem, kontrolę dostępu, ochronę danych, bezpieczeństwo łańcucha dostaw.
03
Plan zarządzania ryzykiem
Inwentaryzacja zasobów, identyfikacja zagrożeń, analiza ryzyka dla każdego zasobu, plan ograniczania ryzyka. Aktualizacja roczna.
04
Procedury reagowania na incydenty
Klasyfikacja incydentów, ścieżki eskalacji, procedury zgłaszania do CSIRT (wczesne ostrzeżenie w 24 h, zgłoszenie w 72 h), komunikacja kryzysowa. Testy procedur.
05
Implementacja zabezpieczeń technicznych
Wdrożenie lub przegląd zabezpieczeń: zarządzanie kontami i dostępem (Microsoft Entra ID), logowanie wieloskładnikowe (MFA), monitoring (SIEM), kopie zapasowe według zasady 3-2-1, podział sieci na strefy, szyfrowanie. Współpraca z Twoim działem IT.
06
Bezpieczeństwo łańcucha dostaw
Inwentaryzacja dostawców IT, ocena ich przygotowania do NIS2, wzory umów z klauzulami cyberbezpieczeństwa, regularne audyty.
07
Szkolenia zarządu i pracowników
Sesja dla zarządu o odpowiedzialności NIS2, szkolenia świadomościowe dla pracowników (phishing, manipulacja socjotechniczna), testy phishingowe.
08
Raportowanie i dokumentacja
Panel NIS2 dla zarządu (dashboard) z najważniejszymi wskaźnikami. Dokumentacja wymagana przez NIS2: procedury oraz rejestry incydentów, audytów i szkoleń.
Technologie
Technologie wykorzystywane we wdrożeniu
Narzędzia dobieramy do skali i obecnej infrastruktury firmy.
Microsoft Entra ID (IAM, MFA)Microsoft Defender (XDR, monitoring)Microsoft Purview (DLP, etykiety, audyt)SIEM (Microsoft Sentinel lub inny)Kopie zapasowe 3-2-1 (Veeam, Acronis, Microsoft 365 Backup)VPN, segmentacja sieci, firewallSymulacje phishingu (Hoxhunt, KnowBe4)
Twoje rozwiązanie
Typowe scenariusze wdrożenia NIS2
Podmiot kluczowy (energetyka, transport, finanse)
Zwykle duże przedsiębiorstwa z sektorów z załącznika 1 ustawy. Obowiązki zarządzania ryzykiem są takie same jak dla podmiotów ważnych, ale nadzór jest uprzedni i następczy, a pierwszy audyt bezpieczeństwa trzeba przeprowadzić do 3 kwietnia 2028 r. Polityki, monitoring 24/7, procedury, zgłaszanie incydentów do CSIRT.
Dopasowanie rozwiązania
Sprawdźmy, od których elementów rozwiązania warto zacząć, żeby najszybciej zobaczyć efekty w Twojej organizacji.
Efekty i liczby
Efekty wdrożenia NIS2
Co obejmuje wdrożenie NIS2 – w liczbach.
10
obszarów środków z art. 21 NIS2 objętych politykami i procedurami
50–100
zaleceń z audytu gotowości, uszeregowanych według ryzyka
24 h
na wczesne ostrzeżenie o poważnym incydencie – procedury zgodne z ustawą
1
spójny pakiet polityk i procedur
Korzyści biznesowe wdrożenia
Profesjonalne reagowanie na incydenty
Gotowe procedury, ścieżki eskalacji, zgłaszanie do CSIRT. W razie incydentu każdy wie, co robić i w jakim terminie.
Świadomość pracowników
Regularne szkolenia, testy phishingowe, kultura bezpieczeństwa. Pracownicy bywają najsłabszym ogniwem – szkolenia i testy wyraźnie zmniejszają to ryzyko.
Dla kogo
Dla jakich organizacji
Podmioty kluczowe i ważne NIS2
Firmy i instytucje z 18 sektorów z obu załączników ustawy, m.in. energetyka, transport, finanse, ochrona zdrowia, infrastruktura cyfrowa, usługi ICT, produkcja, żywność i gospodarka odpadami.
Dostawcy usług dla podmiotów NIS2
Firmy świadczące usługi IT, doradcze, logistyczne dla podmiotów kluczowych i ważnych – klienci przenoszą na nie wymagania bezpieczeństwa w umowach (łańcuch dostaw).
Firmy od 50 osób w sektorach objętych NIS2
Organizacje 50–500 osób w branżach objętych NIS2 – obowiązki trzeba wdrożyć do 3 kwietnia 2027 r.
Grupy kapitałowe z wieloma spółkami NIS2
Grupy, w których kilka spółek to podmioty NIS2 – wspólne podejście obniża koszty i zapewnia spójność.
Proces wdrożenia
Proces wdrożenia NIS2
Pracujemy w jasno określonych etapach – od analizy, przez połączenie z systemami, których już używasz, po dalszy rozwój rozwiązania w organizacji.
Etap01
Audyt gotowości (2–3 tygodnie)
Analiza luk względem wymagań NIS2. Inwentaryzacja zasobów, identyfikacja braków. Raport z zaleceniami uszeregowanymi według ważności (zwykle 50–100).
Etap02
Polityka i plan zarządzania ryzykiem (2–3 tygodnie)
Projekt polityki cyberbezpieczeństwa, plan zarządzania ryzykiem, procedury reagowania. Akceptacja przez zarząd.
Etap03
Wdrożenie zabezpieczeń (3–6 tygodni)
Wdrożenie zabezpieczeń technicznych i organizacyjnych: kontrola dostępu, logowanie wieloskładnikowe, monitoring, kopie zapasowe, podział sieci na strefy, szyfrowanie.
Etap04
Szkolenia i testy (1–2 tygodnie)
Szkolenia zarządu o odpowiedzialności NIS2. Szkolenia świadomościowe pracowników. Testy phishingowe, testy procedur reagowania.
Etap05
Audyt próbny (symulacja) i 30 dni wsparcia
Symulacja audytu NIS2. Korekty po audycie. 30 dni wsparcia z aktualizacją dokumentacji i procedur.
Etap 1 z 5
Sprawdzenie, czy Twoja firma podlega NIS2
Wstępna ocena gotowości (analiza luk)
Plan wdrożenia z konkretnymi etapami
FAQ
Najczęstsze pytania o wdrożenie NIS2
Czy moja firma jest objęta NIS2?
NIS2 obejmuje 18 sektorów z dwóch załączników ustawy. Zwykle dotyczy firm co najmniej średnich: od 50 pracowników albo z rocznym obrotem i sumą bilansową powyżej 10 mln EUR (definicja MŚP, liczona razem z podmiotami powiązanymi). Część podmiotów jest objęta niezależnie od wielkości. Pełna lista sektorów jest w ustawie o krajowym systemie cyberbezpieczeństwa. Bezpłatnie sprawdzimy, czy Twoja firma podlega ustawie.
Ile trwa wdrożenie NIS2?
Typowo 6–12 miesięcy dla średniej firmy. Ustawowy termin na wdrożenie systemu zarządzania bezpieczeństwem i pozostałych obowiązków to 3 kwietnia 2027 r., a termin na wpis do wykazu podmiotów minął 3 października 2026 r. Tempo zależy od stanu wyjściowego cyberbezpieczeństwa, skali organizacji, dostępności zespołu IT po stronie klienta oraz zakresu wymaganych zabezpieczeń technicznych.
Co grozi za niedostosowanie?
Podmiot kluczowy: kara do 10 mln EUR lub 2% rocznych przychodów, podmiot ważny: do 7 mln EUR lub 1,4% (w obu przypadkach wyższa z kwot). Przy poważnym cyberzagrożeniu – do 100 mln zł. Kierownik podmiotu może zostać ukarany osobiście, karą do 300% wynagrodzenia. Kary pieniężne organy mogą nakładać od 3 kwietnia 2028 r. Nadzór i kontrole prowadzą organy właściwe dla sektora, a audyty – uprawnieni audytorzy (nie CSIRT).
Czy muszę raportować incydenty?
Tak. Poważne incydenty zgłasza się do właściwego CSIRT w trzech krokach: wczesne ostrzeżenie w 24 h, zgłoszenie incydentu w 72 h i raport końcowy w ciągu miesiąca. My wdrażamy procedury i szkolimy zespół.
Co z technologią – co muszę wdrożyć?
NIS2 wymaga środków proporcjonalnych do ryzyka w 10 obszarach (art. 21 dyrektywy), m.in. analizy ryzyka, obsługi incydentów, ciągłości działania i kopii zapasowych, bezpieczeństwa łańcucha dostaw, kryptografii oraz uwierzytelniania wieloskładnikowego tam, gdzie to zasadne. Konkretne narzędzia (np. SIEM, backup 3-2-1, segmentację sieci) dobieramy po analizie ryzyka. W środowisku Microsoft część obszarów pokrywają Entra ID, Defender i Purview, ale zgodność wymaga też procedur, analizy ryzyka i dokumentacji.
Czy szkolenia są w pakiecie?
Tak. Sesje dla zarządu (odpowiedzialność NIS2), pracowników (świadomość bezpieczeństwa), IT (procedury techniczne). Do tego testy phishingowe.
Co po 30 dniach wsparcia?
Możemy zaproponować abonament vCISO (stałe wsparcie w utrzymaniu zgodności), coroczne audyty wewnętrzne i aktualizacje dokumentacji. Środki bezpieczeństwa i dokumentację trzeba regularnie przeglądać i aktualizować.
Powiązane materiały
Powiązane rozwiązania
Kontakt
Porozmawiajmy o Twoich potrzebach!
Wypełnienie formularza zajmie chwilę, a my skontaktujemy się, aby wysłuchać Twoich potrzeb.
Pogłębiona analiza
Wdrożenie NIS2 – co warto wiedzieć
NIS2 to dyrektywa unijna o cyberbezpieczeństwie, wdrożona do polskiego prawa nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa (obowiązuje od 3 kwietnia 2026 r.). Obejmuje 18 sektorów, m.in. energetykę, transport, finanse, ochronę zdrowia, infrastrukturę cyfrową, usługi ICT i produkcję. Zwykle dotyczy firm od 50 pracowników albo z obrotem i sumą bilansową powyżej 10 mln EUR. Kary (nakładane od 3 kwietnia 2028 r.): do 10 mln EUR lub 2% przychodów dla podmiotu kluczowego i do 7 mln EUR lub 1,4% przychodów dla podmiotu ważnego.
Dobre wdrożenie NIS2 to projekt obejmujący: audyt gotowości (gap analysis), politykę cyberbezpieczeństwa, plan zarządzania ryzykiem, procedury reagowania na incydenty, implementację zabezpieczeń (IAM, MFA, monitoring, backup, segmentację), szkolenia, dokumentację. Bez tych elementów ryzykujesz kary i odpowiedzialność osobistą zarządu. Tempo wdrożenia zależy od dojrzałości obecnego środowiska i typowo wynosi 6–12 miesięcy. Ustawowy termin na wdrożenie obowiązków to 3 kwietnia 2027 r.
Wdrożenie NIS2 przynosi największe korzyści podmiotom kluczowym i ważnym oraz dostawcom usług dla tych firm (łańcuch dostaw). Typowy zwrot z inwestycji: gotowość na kontrolę, mniejsze ryzyko kar, profesjonalne reagowanie na incydenty, przewaga konkurencyjna w przetargach B2B.