Audyt NIS2/KSC: od kwalifikacji do planu wdrożenia

Dyrektywę NIS2 wdrożono w Polsce przez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa, obowiązującą od 3 kwietnia 2026 r. Zanim organizacja zamówi audyt lub wdrożenie, musi ustalić swój status na podstawie art. 5 i załączników do ustawy. Zakres obowiązków firmy, podmiotu leczniczego i jednostki publicznej może być różny. Poniższy plan pomaga przygotować decyzję, ale nie przesądza o kwalifikacji konkretnego podmiotu.

Kogo dotyczą obowiązki NIS2/KSC?

Ustawa wyróżnia podmioty kluczowe i podmioty ważne. Kryteria zależą od rodzaju działalności, sektora, wielkości i przepisów szczególnych. Ministerstwo Cyfryzacji wyjaśnia zasady samoidentyfikacji. Sama obecność organizacji w sektorze ochrony zdrowia lub administracji nie wystarcza do automatycznego przypisania jej jednej kategorii.

Firmy. Zacznij od usług i produktów faktycznie świadczonych w sektorach z załączników. Sprawdź właściwe kryteria wielkości oraz wyjątki. Grupa kapitałowa lub działalność w kilku sektorach wymaga osobnej analizy; intuicyjne porównanie liczby pracowników nie wystarczy.

Szpitale i inne podmioty lecznicze. Podmiot leczniczy niebędący przedsiębiorcą jest, według art. 5 nowelizowanej ustawy, podmiotem ważnym przy zatrudnieniu od 50 do 249 osób, a kluczowym przy co najmniej 250 osobach. Dla podmiotu będącego przedsiębiorcą trzeba zastosować właściwe reguły dla przedsiębiorstw. Po ustaleniu statusu audyt powinien uwzględnić ciągłość opieki, systemy medyczne, urządzenia, dostawców i ochronę informacji o pacjentach. Nie każdy szpital ma identyczny zakres prac ani obowiązek zakupu tego samego narzędzia.

JST i jednostki publiczne. Status zależy od konkretnego podmiotu i przepisu. Wiele podmiotów publicznych jest wpisywanych do Wykazu KSC z urzędu; trzeba sprawdzić zawiadomienie i wymagane uzupełnienie danych. Niezależnie od kwalifikacji do KSC podmiot realizujący zadania publiczne powinien uwzględnić coroczny audyt wewnętrzny bezpieczeństwa informacji wynikający z § 19 rozporządzenia KRI. To odrębna podstawa od ustawowego audytu KSC.

Jakie terminy sprawdzić przed audytem?

Dla podmiotów, które spełniały przesłanki 3 kwietnia 2026 r. i nie były wpisywane z urzędu, termin na wniosek do Wykazu KSC minął 3 października 2026 r. Termin rozpoczęcia korzystania z S46 i wdrożenia nowych obowiązków upływa 3 kwietnia 2027 r. Pierwszy ustawowy audyt do 3 kwietnia 2028 r. dotyczy podmiotów kluczowych, które nie były wcześniej operatorami usług kluczowych. Dla podmiotów, które uzyskały status później, terminy należy liczyć od dnia spełnienia przesłanek. Harmonogram publikuje Ministerstwo Cyfryzacji.

Podmiot ważny nie podlega automatycznie temu samemu trzyletniemu cyklowi audytu co podmiot kluczowy. Właściwy organ może jednak nakazać mu audyt zewnętrzny w sytuacjach określonych w ustawie. Warto więc rozdzielić dobrowolną analizę luk przed wdrożeniem od ustawowego audytu z wymaganiami dotyczącymi zakresu, wykonawcy i raportu.

Co powinna sprawdzić analiza luk?

Zakres badania ustal na podstawie statusu podmiotu, świadczonych usług i systemów. Praktyczna lista obejmuje:

• inwentaryzację systemów, usług i zależności od dostawców;
• analizę ryzyka i plan postępowania z ryzykiem;
• zasady dostępu, kopie zapasowe, ciągłość działania i testy odtworzenia;
• wykrywanie, klasyfikację i zgłaszanie incydentów do właściwych zespołów;
• ocenę bezpieczeństwa łańcucha dostaw i wymagań w umowach;
• szkolenia kierownictwa i pracowników oraz dowody stosowania procedur.

Nie trzeba zakładać z góry, że każda organizacja musi wdrożyć SIEM, EDR lub identyczną segmentację sieci. Dobór środków powinien wynikać z ryzyka i wymagań mających zastosowanie do danej usługi. Samo posiadanie polityki, certyfikatu ISO/IEC 27001 lub raportu z testu penetracyjnego nie potwierdza automatycznie zgodności z KSC.

Jaki wynik powinien otrzymać kierownictwo?

Raport z analizy luk powinien wskazać kryteria, badane systemy, dowody, ustalenia i priorytety. Plan wdrożenia powinien przypisywać właścicieli działań, terminy i sposób sprawdzenia skuteczności. Jeśli zamawiany jest ustawowy audyt podmiotu kluczowego, już przy zleceniu trzeba zweryfikować wymagania ustawy dotyczące audytorów i niezależności badania.

Idealdata pomaga przygotować analizę luk i wdrożenie NIS2/KSC, plan wymagań KSC 2026 oraz, dla podmiotów realizujących zadania publiczne, audyt KRI. Skontaktuj się z nami, aby ustalić zakres prac na podstawie statusu i stanu zabezpieczeń organizacji.