Wdrożenie NIS2 krok po kroku. Od analizy ryzyka do procedur

Wdrożenie NIS2 nie powinno rozpoczynać się od pobrania gotowej polityki bezpieczeństwa ani tworzenia obszernego zestawu dokumentów. Najpierw organizacja musi ustalić, jakie usługi, procesy i systemy wymagają ochrony, jakie ryzyka są z nimi związane oraz kto odpowiada za podejmowanie decyzji dotyczących cyberbezpieczeństwa.

Dopiero na tej podstawie można dobrać proporcjonalne zabezpieczenia, przygotować procedury i zbudować system zarządzania bezpieczeństwem informacji, który będzie działał również po zakończeniu głównego etapu projektu.

Wyjaśniamy jak wdrożyć NIS2 krok po kroku. Zakłada jednak, że organizacja potwierdziła już swój status jako podmiotu kluczowego albo ważnego. W razie wątpliwości proces należy rozpocząć od sprawdzenia, czy firma podlega NIS2.

Podmioty, które spełniały kryteria w dniu wejścia w życie nowych przepisów, powinny dokonać wpisu do Wykazu KSC do 3 października 2026 roku oraz wdrożyć obowiązki i rozpocząć korzystanie z systemu S46 do 3 kwietnia 2027 roku.¹

Najważniejsze informacje

• Wdrożenie należy rozpocząć od ustalenia zakresu i odpowiedzialności.
• Analiza ryzyka wyznacza priorytety techniczne i organizacyjne.
• Procedury muszą działać w praktyce, a nie tylko istnieć w dokumentacji.
• Należy uwzględnić incydenty, dostawców oraz ciągłość działania.
• Zarząd odpowiada za nadzór nad cyberbezpieczeństwem.
• Wspieramy organizacje w przygotowaniu do wymagań NIS2.

Krok 1. Potwierdź zakres wdrożenia

Zanim organizacja zacznie przygotowywać dokumentację, powinna potwierdzić:

• na jakiej podstawie podlega ustawie o KSC i czy jest podmiotem kluczowym, czy ważnym;
• które usługi, procesy i systemy informacyjne są objęte wymaganiami;
• jaki organ oraz zespół CSIRT są właściwe dla organizacji.

Nie każda aplikacja, komputer i procedura działająca w firmie muszą mieć takie samo znaczenie. W pierwszej kolejności należy zidentyfikować systemy wykorzystywane w procesach wpływających na świadczenie usługi objętej ustawą.

W przedsiębiorstwie produkcyjnym szczególnie ważne mogą być systemy sterowania produkcją, obsługi zamówień, zarządzania magazynem oraz komunikacji z dostawcami. W placówce medycznej będą to między innymi systemy dokumentacji, rejestracji pacjentów, diagnostyki i komunikacji.

Prawidłowe określenie zakresu pozwala uniknąć dwóch skrajności: objęcia projektem całej organizacji bez ustalenia priorytetów albo pominięcia procesów, od których rzeczywiście zależy ciągłość usługi.

Zapraszamy do współpracy

Szczegółowe informacje o ofercie i warunkach współpracy można uzyskać telefonicznie lub wysyłając zapytanie za pomocą formularza kontaktowego.

BPPZ – Biuro Porad Prawnych Zacharski

• +48 600 784 526
• kontakt@bppz.pl

Zadzwoń Napisz wiadomość

Krok 2. Ustal odpowiedzialność kierownictwa i zespołu projektowego

Dostosowania do wymagań nie powinien prowadzić wyłącznie dział IT. Cyberbezpieczeństwo obejmuje również zarząd, dział prawny, compliance, zakupy, HR, administrację oraz właścicieli procesów.

Na początku projektu należy wyznaczyć sponsora po stronie kierownictwa, koordynatora wdrożenia, właścicieli procesów i ryzyk oraz osoby odpowiedzialne za reagowanie na incydenty i komunikację z CSIRT.

Kierownik podmiotu odpowiada za wykonywanie obowiązków w zakresie cyberbezpieczeństwa również wtedy, gdy zadania operacyjne powierzono pracownikowi lub zewnętrznemu dostawcy. Do jego obowiązków należy między innymi podejmowanie decyzji dotyczących SZBI, zapewnienie finansowania, przydzielanie zadań i nadzorowanie ich wykonania. Kierownictwo powinno również uczestniczyć w corocznych, udokumentowanych szkoleniach. ²

Zarząd nie powinien więc ograniczać się do zatwierdzenia dokumentacji. Powinien otrzymywać informacje o ryzykach, incydentach, brakach, zależnościach od dostawców i postępach projektu.

Krok 3. Zmapuj usługi, procesy, systemy i dostawców

Kolejnym etapem jest przygotowanie mapy organizacji z perspektywy cyberbezpieczeństwa. Nie chodzi jedynie o stworzenie listy serwerów i programów.

Dla każdej usługi objętej ustawą należy ustalić:

• jakie procesy i systemy umożliwiają jej świadczenie;
• jakie dane są w nich przetwarzane i kto odpowiada za ich ochronę;
• od których dostawców, usług chmurowych i telekomunikacyjnych zależy organizacja;
• jak długo dana usługa może pozostawać niedostępna.

Rezultatem powinien być nie tylko rejestr aktywów, ale także mapa zależności. Może się bowiem okazać, że pozornie drugorzędna aplikacja lub pojedynczy dostawca są niezbędni do utrzymania kluczowej usługi.

Główny system może działać prawidłowo, ale usługa i tak zostanie zatrzymana z powodu niedostępności uwierzytelniania, internetu, zewnętrznego centrum danych albo systemu partnera.

Krok 4. Przeprowadź analizę stanu obecnego

Przed przygotowaniem planu zmian trzeba sprawdzić, jakie zabezpieczenia rzeczywiście funkcjonują w organizacji.

Analiza powinna objąć przede wszystkim:

• zarządzanie ryzykiem, dostępami, aktualizacjami i podatnościami;
• kopie zapasowe, monitorowanie oraz reagowanie na incydenty;
• ciągłość działania, bezpieczeństwo dostawców i szkolenia pracowników;
• szyfrowanie, uwierzytelnianie wieloskładnikowe i bezpieczeństwo fizyczne.

Nie wystarczy sprawdzić, czy organizacja posiada odpowiedni dokument. Trzeba również zweryfikować, czy opisane w nim działania są wykonywane.

Warto ustalić między innymi, czy uprawnienia byłych pracowników są terminowo odbierane, kiedy ostatnio odtworzono dane z kopii zapasowej, kto decyduje o zgłoszeniu incydentu oraz czy plany awaryjne były testowane.

Efektem tego etapu powinna być analiza luk NIS2, wskazująca wymaganie, stan obecny, zidentyfikowany brak, poziom ryzyka, zalecane działanie, osobę odpowiedzialną i termin realizacji.

Krok 5. Przeprowadź analizę ryzyka

Analiza ryzyka jest podstawą procesu dostosowania. Bez niej firma może przeznaczyć znaczne środki na zabezpieczenia, które nie odpowiadają jej faktycznym zagrożeniom, a jednocześnie pozostawić bez ochrony najważniejsze procesy.

Analiza powinna uwzględniać:

• usługę, proces oraz powiązane systemy;
• zagrożenia, podatności i możliwe skutki;
• istniejące zabezpieczenia i poziom ryzyka;
• właściciela ryzyka oraz decyzję o dalszym postępowaniu.

Ryzyka mogą dotyczyć między innymi ataku ransomware, przejęcia konta administratora, awarii chmury, braku aktualizacji, nieskutecznych kopii zapasowych, błędu pracownika lub incydentu u dostawcy.

Organizacja może ryzyko ograniczyć, przenieść, unikać go albo zaakceptować. Akceptacja powinna być jednak świadomą i udokumentowaną decyzją odpowiedniej osoby, opartą na wiedzy o możliwych skutkach.

Krok 6. Przygotuj plan działań i priorytety

Nie wszystkie braki można usunąć jednocześnie. Wyniki analizy ryzyka i analizy luk należy więc przełożyć na harmonogram działań.

Plan powinien określać zadanie, osobę odpowiedzialną, termin, wymagane zasoby, budżet, powiązane ryzyko i sposób potwierdzenia wykonania.

Najwyższy priorytet powinny otrzymać działania ograniczające ryzyka, które mogą zatrzymać świadczenie usługi, spowodować poważny incydent albo uniemożliwić jego terminowe zgłoszenie.

W pierwszej kolejności często konieczne jest zabezpieczenie kont uprzywilejowanych, wdrożenie MFA, uporządkowanie kopii zapasowych, przygotowanie procedury incydentowej, aktualizacja krytycznych systemów oraz ograniczenie dostępu zewnętrznych dostawców.

Krok 7. Zbuduj system zarządzania bezpieczeństwem informacji

Podmioty kluczowe i ważne powinny wdrożyć system zarządzania bezpieczeństwem informacji, czyli spójny model obejmujący zasady, odpowiedzialność, analizę ryzyka, zabezpieczenia, dokumentację, kontrolę i ciągłe doskonalenie.

SZBI nie musi być jednym obszernym dokumentem. Powinien obejmować między innymi:

• zasady zarządzania ryzykiem, systemami i dostępami;
• bezpieczeństwo personelu, dostawców i ciągłości działania;
• monitorowanie, reagowanie na incydenty i ocenę skuteczności zabezpieczeń;
• szkolenia, kryptografię, bezpieczną komunikację i odpowiednie metody uwierzytelniania.³

Przy projektowaniu systemu należy zachować proporcjonalność. Inne rozwiązania będą właściwe dla niewielkiej organizacji o prostej infrastrukturze, a inne dla podmiotu posiadającego wiele lokalizacji, rozbudowany łańcuch dostaw i systemy przemysłowe.

Krok 8. Opracuj procedurę reagowania na incydenty

Procedura powinna być możliwa do wykonania również poza godzinami pracy, podczas awarii poczty lub niedostępności głównego systemu.

Powinna określać:

• gdzie zgłaszać zdarzenia i kto prowadzi ich wstępną ocenę;
• kto podejmuje decyzję o eskalacji i kontaktuje się z CSIRT;
• jak zabezpieczać dowody, ograniczać skutki i dokumentować działania;
• kiedy informować klientów, kontrahentów lub inne podmioty.

W przypadku incydentu poważnego wczesne ostrzeżenie należy przekazać niezwłocznie, nie później niż w ciągu 24 godzin od wykrycia. Zgłoszenie incydentu powinno nastąpić nie później niż w ciągu 72 godzin, a sprawozdanie końcowe co do zasady w ciągu miesiąca od zgłoszenia. ⁴

Procedura nie może zależeć od jednej osoby. Należy zapewnić zastępstwa, aktualne dane kontaktowe, alternatywne kanały komunikacji i przygotowane formularze.

Dobrym testem jest ćwiczenie scenariuszowe: w piątek wieczorem pracownicy tracą dostęp do systemu, a na serwerze pojawia się żądanie okupu. Organizacja powinna wiedzieć, kto przejmuje koordynację, jak ocenia skalę zdarzenia i kto może dokonać zgłoszenia.

Krok 9. Uporządkuj bezpieczeństwo dostawców

Wiele organizacji zależy od zewnętrznych dostawców IT, chmury, hostingu, telekomunikacji, oprogramowania i cyberbezpieczeństwa.

Należy przygotować rejestr dostawców i ustalić:

• do jakich danych i systemów mają dostęp;
• jak ich awaria wpłynie na świadczenie usług;
• jak zgłaszają incydenty i z jakich podwykonawców korzystają;
• jak wygląda kontrola bezpieczeństwa oraz zakończenie współpracy.

Największej uwagi wymagają dostawcy posiadający dostęp administracyjny, przechowujący kopie danych albo utrzymujący systemy niezbędne do świadczenia usług.

Umowy powinny regulować minimalne wymagania bezpieczeństwa, terminy informowania o incydentach, zasady współpracy, ciągłość działania, prawo do kontroli oraz zwrot lub usunięcie danych.

Samo wysłanie ankiety do dostawcy nie zawsze wystarcza. Odpowiedzi powinny być oceniane, a kluczowi partnerzy okresowo weryfikowani.

Krok 10. Przygotuj ciągłość działania i odtwarzanie po awarii

Plan ciągłości działania nie może ograniczać się do stwierdzenia, że organizacja posiada kopie zapasowe.

Należy określić:

• które procesy trzeba odtworzyć w pierwszej kolejności;
• jaki czas niedostępności i utraty danych jest dopuszczalny;
• kto uruchamia plan i jakie alternatywne działania są dostępne;
• jak komunikować się z pracownikami, klientami i dostawcami.

Kopie zapasowe powinny być oddzielone od środowiska produkcyjnego, chronione przed nieautoryzowaną zmianą, monitorowane i regularnie testowane.

Informacja, że kopia została utworzona, nie potwierdza jeszcze, że można z niej skutecznie odtworzyć system. Organizacja powinna posiadać wyniki testów oraz wiedzieć, ile czasu zajmie przywrócenie najważniejszych usług.

Krok 11. Wprowadź odpowiednie zabezpieczenia techniczne

Dobór zabezpieczeń powinien wynikać z analizy ryzyka. W wielu organizacjach konieczne będzie jednak uporządkowanie co najmniej:

• uwierzytelniania wieloskładnikowego i kont administratorów;
• aktualizacji, zarządzania podatnościami oraz ochrony urządzeń;
• segmentacji sieci, logowania i monitorowania zdarzeń;
• szyfrowania, zabezpieczenia poczty, kopii zapasowych i dostępu zdalnego.

Nie wystarczy kupić rozwiązanie techniczne. Trzeba również określić, kto je obsługuje, analizuje alerty, reaguje na ostrzeżenia i dokumentuje wykonane działania.

System monitorujący, którego powiadomień nikt regularnie nie sprawdza, nie zapewnia oczekiwanej ochrony.

Krok 12. Przygotuj dokumentację zgodną z rzeczywistym działaniem firmy

Dokumentacja powinna opisywać procesy, które organizacja faktycznie realizuje. Nie może zakładać działań, których nie jest w stanie wykonać.

W zależności od skali i rodzaju działalności potrzebne mogą być:

• polityka bezpieczeństwa i metodyka analizy ryzyka;
• rejestry ryzyk, aktywów, incydentów i dostawców;
• procedury zarządzania dostępem, podatnościami i zmianami;
• plan ciągłości działania, odtwarzania oraz kopii zapasowych;
• dokumentacja szkoleń, testów i raportowania kierownictwu.

Dokumenty powinny mieć właściciela, datę zatwierdzenia, numer wersji i termin przeglądu. Dostęp do nich należy ograniczyć, a kolejne zmiany odpowiednio dokumentować.

Krok 13. Przeszkol pracowników i kierownictwo

Szkolenia nie powinny ograniczać się do corocznej prezentacji o hasłach i phishingu. Ich zakres musi odpowiadać roli uczestnika.

Pracownicy powinni wiedzieć, jak rozpoznawać zagrożenia, gdzie zgłaszać incydenty, jak chronić konta i urządzenia oraz jak postępować podczas pracy zdalnej.

Administratorzy potrzebują szkoleń dotyczących konfiguracji, monitorowania, podatności, kopii zapasowych i obsługi incydentów.

Kierownictwo powinno rozumieć swoją odpowiedzialność, zasady podejmowania decyzji o ryzyku, znaczenie finansowania bezpieczeństwa oraz konsekwencje niewykonania obowiązków.

Udział w szkoleniach, ich program i zakres powinny być odpowiednio udokumentowane.

Krok 14. Dokonaj wpisu do Wykazu KSC i przygotuj obsługę S46

Wpis do Wykazu KSC jest obowiązkiem formalnym, ale nie zastępuje wdrożenia zabezpieczeń.

Przed złożeniem wniosku należy zgromadzić wymagane dane, ustalić rodzaj prowadzonej działalności, właściwy organ, zespół CSIRT oraz osoby kontaktowe.

System S46 służy między innymi do zgłaszania incydentów i komunikacji z podmiotami krajowego systemu cyberbezpieczeństwa. Organizacja powinna wyznaczyć więcej niż jedną osobę potrafiącą z niego korzystać.

Samo oczekiwanie na wpis nie wstrzymuje terminu dostosowania. Obowiązki liczone są od momentu spełnienia przesłanek uznania organizacji za podmiot kluczowy lub ważny, a nie od dnia rejestracji.

Krok 15. Przetestuj procedury

Dokumentację należy sprawdzić w praktyce. Można przeprowadzić między innymi test odtworzenia kopii zapasowej, ćwiczenie ransomware, symulację zgłoszenia incydentu lub próbę działania przy niedostępności kluczowego systemu.

Po każdym ćwiczeniu należy ustalić:

• co zadziałało i gdzie pojawiły się opóźnienia;
• kto nie znał swojej roli;
• jakich informacji, narzędzi lub kontaktów zabrakło;
• jakie działania naprawcze należy wdrożyć.

Celem ćwiczenia nie jest wyłącznie wykrycie błędów. Ma ono sprawdzić, czy organizacja potrafi działać i podejmować decyzje pod presją czasu.

Krok 16. Utrzymuj zgodność po zakończeniu projektu

Wdrożenie NIS2 nie kończy się podpisaniem polityk. Systemy, ryzyka, dostawcy i struktura organizacji stale się zmieniają.

Organizacja powinna regularnie aktualizować analizę ryzyka, kontrolować dostawców, testować kopie zapasowe i plany ciągłości działania, szkolić pracowników oraz raportować wyniki kierownictwu.

Podmioty kluczowe mają również obowiązek przeprowadzania audytu bezpieczeństwa co najmniej raz na trzy lata. Dla podmiotów spełniających kryteria w dniu wejścia w życie nowych przepisów, które wcześniej nie były operatorami usług kluczowych, termin pierwszego audytu przypada na 3 kwietnia 2028 roku.

Przykładowy harmonogram wdrożenia NIS2

Rzeczywisty czas realizacji zależy od skali organizacji, liczby systemów i poziomu przygotowania.

Pierwsze 30 dni

• potwierdzenie kwalifikacji i zakresu;
• wyznaczenie zespołu oraz właściciela projektu;
• identyfikacja najważniejszych usług, systemów i dostawców;
• zabezpieczenie krytycznych braków.

Od 30 do 90 dni

• szczegółowa inwentaryzacja i analiza luk;
• przeprowadzenie analizy ryzyka;
• przegląd dostępów, kopii zapasowych i procedur incydentowych;
• przygotowanie planu działań i budżetu.

Od 3 do 6 miesięcy

• wdrożenie zabezpieczeń oraz uporządkowanie SZBI;
• aktualizacja umów z dostawcami;
• przygotowanie planów ciągłości działania i procedur;
• szkolenia, rejestracja w Wykazie KSC i przygotowanie S46.

Po zakończeniu głównego etapu

• przeprowadzenie testów i ćwiczeń;
• usuwanie wykrytych niezgodności;
• regularne raportowanie kierownictwu;
• dalsze przeglądy ryzyka i przygotowanie do audytu.

Najczęstsze błędy podczas wdrożenia

Rozpoczęcie od gotowych wzorów

Dokument niewynikający z analizy procesów i ryzyka często opisuje działania, których firma nie realizuje.

Przekazanie projektu wyłącznie działowi IT

IT ma kluczowe znaczenie, ale nie może samodzielnie podejmować decyzji biznesowych, prawnych, kadrowych i finansowych.

Brak realnego udziału kierownictwa

Zarząd odpowiada za decyzje, finansowanie, nadzór i przydzielenie odpowiedzialności.

Traktowanie analizy ryzyka jako formalności

Ogólny arkusz zawierający te same zagrożenia dla wszystkich procesów nie pozwala dobrać właściwych zabezpieczeń.

Pominięcie dostawców i testów

Nawet dobre zabezpieczenia wewnętrzne nie wystarczą, jeżeli organizacja jest zależna od niezweryfikowanego dostawcy, a procedury nigdy nie zostały przećwiczone.

Skupienie się wyłącznie na rejestracji

Wpis do Wykazu KSC jest tylko jednym z obowiązków. Najwięcej pracy wymaga zazwyczaj uporządkowanie ryzyka, procesów, zabezpieczeń, dostawców i odpowiedzialności.

Jak wspieramy proces dostosowania?

Biuro Porad Prawnych Zacharski wspiera podmioty kluczowe i ważne w przełożeniu wymagań ustawy na praktyczny model działania organizacji.

Zakres pomocy może obejmować kwalifikację podmiotu, ocenę luk, analizę obowiązków, przygotowanie dokumentacji, uporządkowanie odpowiedzialności, procedury incydentowe, bezpieczeństwo dostawców oraz przygotowanie do wpisu w Wykazie KSC i korzystania z systemu S46.

Jak wdrożyć NIS2? Podsumowanie

Proces należy rozpocząć od potwierdzenia zakresu, wyznaczenia odpowiedzialności oraz zmapowania usług, procesów, systemów i dostawców. Następnie organizacja powinna przeprowadzić analizę luk i ryzyka, ustalić priorytety oraz wdrożyć proporcjonalne środki techniczne i organizacyjne.

Kolejne etapy obejmują budowę SZBI, przygotowanie procedur incydentowych, uporządkowanie współpracy z dostawcami, zapewnienie ciągłości działania, szkolenia, rejestrację w Wykazie KSC, testowanie procedur oraz cykliczne przeglądy.

Dobrze przeprowadzone wdrożenie nie polega na stworzeniu jak największej liczby dokumentów. Jego celem jest zbudowanie systemu, który pozwala identyfikować zagrożenia, ograniczać skutki incydentów, podejmować udokumentowane decyzje i utrzymywać ciągłość najważniejszych usług.

Wdrożenie NIS2 – FAQ

Źródła:

1.  Ministerstwo Cyfryzacji, Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa – obowiązki podmiotów kluczowych i ważnych
2. Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, Dz.U. z 2026 r. poz. 252
3. ENISA, NIS2 Technical Implementation Guidance, wersja 1.0, czerwiec 2025 r.
4. Ministerstwo Cyfryzacji, Nowelizacja ustawy o KSC – najważniejsze terminy