NIS2 i KSC bez żargonu.

Mikro i małe

< 50osób i do 10 mln € obrotu lub sumy bilansowej. Co do zasady poza zakresem.

Średnie

50–249osób albo obrót do 50 mln € lub suma bilansowa do 43 mln €.

Duże

250+osób albo obrót powyżej 50 mln € i suma bilansowa powyżej 43 mln €.

Osobne opisy sektorów: transport, ochrona zdrowia, produkcja, usługi ICT. Wszystkie sektory z organami właściwymi są na stronie Sektory.

Sektor finansowy. Banki i infrastruktura rynków finansowych podlegają też rozporządzeniu DORA, które w części zastępuje obowiązki z ustawy o KSC. Wymaga to osobnej analizy: nie wszystkie obowiązki z ustawy przechodzą na te podmioty wprost.

1. 0 h

   Wykrycie

   Od tej chwili liczą się terminy. Warto zapisać dokładną godzinę.

2. 24 h

   Wczesne ostrzeżenie

   Krótka informacja: co się stało i czy mogło to być działanie bezprawne lub mieć skutki transgraniczne.

3. 72 h

   Zgłoszenie incydentu

   To, co już wiadomo: wstępna ocena, waga, skutki. Pełna analiza przyczyn może przyjść później.

4. +1 miesiąc

   Sprawozdanie końcowe

   Miesiąc od dnia zgłoszenia. Jeśli obsługa jeszcze trwa, w tym terminie składa się sprawozdanie z postępu, a końcowe w miesiąc od zakończenia obsługi.

Dostawcy usług zaufania mają na zgłoszenie 24 godziny, a nie 72. Dla części podmiotów publicznych zasady są uproszczone. Policz terminy dla konkretnej daty

Podmiot kluczowy, maksymalnie

10 mln €albo 2% przychodu, wyższa z kwot. Minimum 20 000 zł.

Podmiot ważny, maksymalnie

7 mln €albo 1,4% przychodu, wyższa z kwot. Minimum 15 000 zł.

Najpoważniejsze naruszenia

100 mln złArt. 73 ust. 5: bezpośrednie i poważne zagrożenie cyberbezpieczeństwa.

Kierownik podmiotu, osobiście

300%wynagrodzenia (art. 73a ust. 4). Dla kierownika podmiotu publicznego do 100%.

Od kiedy

3.04.2028Pierwsze kary z art. 73 ust. 1–4 i kilku innych przepisów dopiero po tej dacie. Ust. 5 nie jest odroczony.

Podmiot kluczowy

Organizacja z najwyższej kategorii ustawy. Typowo duża firma z sektora wysokiej krytyczności. Podlega nadzorowi uprzedniemu i obowiązkowemu audytowi.

Podmiot ważny

Druga kategoria. Obowiązki podobne jak dla kluczowych, nadzór następczy i niższe kary.

SZBI

System zarządzania bezpieczeństwem informacji. Uporządkowany zestaw polityk, procedur, ról i kontroli. Polska ustawa wymienia w nim 14 środków (art. 8 ust. 1 pkt 2 lit. a–n), dyrektywa NIS2 dziesięć (art. 21).

Incydent poważny

Incydent, który powoduje lub może spowodować poważne zakłócenie usług albo straty finansowe, lub znaczne szkody u innych osób. Tylko takie trzeba zgłaszać w terminach 24 h i 72 h.

CSIRT

Zespół reagowania na incydenty bezpieczeństwa komputerowego. W Polsce działają CSIRT NASK, CSIRT GOV i CSIRT MON. To do nich trafiają zgłoszenia.

Wykaz podmiotów

Prowadzony przez ministra rejestr podmiotów kluczowych i ważnych. Wniosek o wpis składa sam podmiot.

Organ właściwy

Urząd nadzorujący dany sektor, na przykład dla energetyki czy transportu. Może kontrolować i nakładać kary.

Łańcuch dostaw

Dostawcy i usługodawcy, od których zależą Twoje systemy. Ustawa wymaga oceny ich bezpieczeństwa, więc obowiązki pośrednio trafiają też do mniejszych firm.

Audyt bezpieczeństwa

Obowiązkowy dla podmiotów kluczowych co najmniej raz na 3 lata, na ich koszt. Kopię sprawozdania przekazuje się organowi w ciągu 3 dni roboczych.

Kierownik podmiotu

Osoba lub organ zarządzający. Zatwierdza środki bezpieczeństwa, nadzoruje wdrożenie i może odpowiadać osobiście.

DORA

Unijne rozporządzenie o operacyjnej odporności cyfrowej sektora finansowego. Dla banków i instytucji finansowych jest przepisem szczególnym wobec części obowiązków z KSC.

System S46

Krajowy system teleinformatyczny do obsługi zgłoszeń i wymiany informacji o incydentach. Wczesne ostrzeżenie, zgłoszenie i sprawozdania przekazuje się przez niego (art. 11 ust. 2).

Wczesne ostrzeżenie

Pierwsza, krótka informacja o incydencie poważnym dla CSIRT sektorowego, najpóźniej 24 godziny od wykrycia (art. 11 ust. 1 pkt 4).

Sprawozdanie końcowe

Pełny opis incydentu, przyczyn i działań, najpóźniej miesiąc od dnia zgłoszenia (art. 11 ust. 1 pkt 4c). Jeśli obsługa trwa dłużej, najpierw składa się sprawozdanie z postępu (art. 12b).

Osoby do kontaktu

Co najmniej dwie osoby wyznaczone do kontaktu z podmiotami krajowego systemu cyberbezpieczeństwa (art. 9). Mikro i mali przedsiębiorcy mogą wskazać jedną.

Dokumentacja normatywna i operacyjna

Normatywna to polityki i procedury, operacyjna to zapisy, że się je stosuje. Obie trzeba przechowywać co najmniej 2 lata (art. 10).

Szkolenie kierownika

Kierownik i osoba, której powierzył obowiązki, przechodzą szkolenie z cyberbezpieczeństwa raz w każdym roku kalendarzowym, z dokumentem potwierdzającym udział (art. 8e).

Podmiot publiczny

Urzędy, jednostki budżetowe, samorządowe instytucje i spółki komunalne wskazane w załącznikach. Część z nich wdraża SZBI według uproszczonego załącznika nr 4 (art. 8 ust. 3).

Dostawca usług zarządzanych w zakresie cyberbezpieczeństwa

Firma, która prowadzi bezpieczeństwo IT dla klientów, na przykład SOC. Jest podmiotem kluczowym już jako mała firma (art. 5 ust. 1 pkt 3).

Rozporządzenie 2024/2690

Unijny akt wykonawczy ze szczegółowymi środkami dla dostawców cyfrowych: DNS, chmury, centrów danych, usług zarządzanych, platform. Stosuje się go w ramach SZBI (art. 8b).

Dostawca wysokiego ryzyka

Dostawca sprzętu lub oprogramowania uznany decyzją ministra za zagrożenie. Jego produktów objętych decyzją nie wolno wprowadzać, a używane trzeba wycofać (art. 67c).

Polecenie zabezpieczające

Wydawane przez ministra przy incydencie krytycznym, na przykład nakaz aktualizacji albo zakaz użycia produktu. Trzeba je wykonać w terminie (art. 67g i 67h).