NIS2 i ISO 27001 bez prawniczego żargonu.
Sprawdzamy, czy NIS2 dotyczy Twojej firmy, układamy bezpieczeństwo informacji i przygotowujemy do audytu, także pod certyfikat ISO 27001. Od pierwszej analizy po codzienne utrzymanie.
NIS2 to unijna dyrektywa o cyberbezpieczeństwie. W Polsce wdraża ją nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, która weszła w życie 3 kwietnia 2026 r. Obejmuje znacznie więcej firm niż dotychczasowe przepisy: nie tylko duże koncerny, ale też średnie przedsiębiorstwa z wielu branż. Przepisy dzielą objęte nimi firmy na dwie grupy: podmioty kluczowe (najważniejsze dla gospodarki) i podmioty ważne.
ISO/IEC 27001 to międzynarodowa norma opisująca system zarządzania bezpieczeństwem informacji. Nie jest obowiązkiem prawnym, ale wiele firm wdraża ją, żeby uporządkować bezpieczeństwo, spełnić wymagania kontrahentów albo wystartować w przetargu. Przy NIS2 pomaga ułożyć procesy, których przepisy oczekują.
Co i kiedy.
- Nowelizacja ustawy o KSC wchodzi w życie
- Termin na złożenie wniosku o wpis do wykazu podmiotów (dla tych, których nie wpisano z urzędu)
- Termin na wdrożenie systemu zarządzania bezpieczeństwem informacji
- Pierwszy audyt podmiotów kluczowych, potem co 3 lata
Terminy według opracowań prawnych dotyczących nowelizacji. Przed decyzją sprawdź aktualne brzmienie w Dzienniku Ustaw oraz komunikaty CSIRT i Ministerstwa Cyfryzacji.
Czy NIS2 dotyczy Twojej firmy?
Dwa pytania, pół minuty. To wskazówka, a nie opinia prawna.
Dziesięć obszarów NIS2 w praktyce.
Dyrektywa wymienia minimalne środki zarządzania ryzykiem. Poniżej każdy z nich po ludzku i z tym, w czym możemy pomóc.
Analiza ryzyka i polityki bezpieczeństwa
Wiesz, co chronisz, przed czym i kto za co odpowiada, a to jest spisane.
Jak pomagamy: Przeprowadzamy analizę ryzyka i przygotowujemy polityki. Usługa: cyberbezpieczeństwo
Reagowanie na ataki i awarie (incydenty)
Wiesz, co zrobić, gdy dzieje się coś złego, i komu to zgłosić. Według dyrektywy poważne zdarzenia, np. ataki, zgłasza się szybko: wstępne ostrzeżenie w ciągu 24 godzin.
Jak pomagamy: Opisujemy procedurę i pomagamy reagować, gdy dojdzie do ataku lub awarii. Usługa: cyberbezpieczeństwo
Ciągłość działania i kopie zapasowe
Firma przetrwa awarię albo atak i szybko wraca do pracy.
Jak pomagamy: Ustawiamy kopie zapasowe i sprawdzamy, czy da się z nich odtworzyć dane. Usługa: backup danych
Bezpieczeństwo dostawców (łańcuch dostaw)
Wiesz, od jakich dostawców zależy Twoje IT, i oceniasz ryzyko z nimi związane.
Jak pomagamy: Pomagamy ocenić dostawców od strony technicznej i uporządkować wymagania. Usługa: serwery i sieć
Bezpieczne systemy i łatanie luk w zabezpieczeniach
Systemy są aktualizowane, a znane luki łatane na bieżąco.
Jak pomagamy: Prowadzimy aktualizacje, kontrolę zmian i przegląd serwerów oraz sieci. Usługa: serwery i sieć
Ocena skuteczności zabezpieczeń
Regularnie sprawdzasz, czy zabezpieczenia naprawdę działają.
Jak pomagamy: Robimy przeglądy zabezpieczeń i przygotowujemy je do audytu wewnętrznego. Usługa: cyberbezpieczeństwo
Dobre nawyki w sieci i szkolenia
Zespół wie, na co uważać, i potrafi to robić w praktyce.
Jak pomagamy: Prowadzimy krótkie szkolenia i zostawiamy zespołowi instrukcje. Usługa: szkolenia pracowników
Szyfrowanie danych
Dane i połączenia są szyfrowane tam, gdzie to potrzebne.
Jak pomagamy: Konfigurujemy szyfrowanie dysków, poczty i dostępu zdalnego. Usługa: chmura i Microsoft 365
Kadry, kontrola dostępu i zarządzanie zasobami
Każdy ma dostęp tylko do tego, czego potrzebuje, a sprzęt i dane mają swojego właściciela.
Jak pomagamy: Porządkujemy konta, uprawnienia i ewidencję sprzętu. Usługa: wsparcie IT
Logowanie z drugim potwierdzeniem i bezpieczna łączność
Logowanie wymaga drugiego potwierdzenia, np. kodu z telefonu, a komunikacja jest zabezpieczona.
Jak pomagamy: Włączamy logowanie z drugim potwierdzeniem (np. kodem z telefonu) i porządkujemy bezpieczną komunikację. Usługa: chmura i Microsoft 365
Za zatwierdzanie i nadzór nad tymi środkami odpowiada zarząd firmy (art. 20 dyrektywy).
Porządek, który można udokumentować.
Norma opisuje system zarządzania bezpieczeństwem informacji: jak oceniać ryzyko, jakie zabezpieczenia wybrać i jak sprawdzać, czy działają. Załącznik A zawiera 93 zabezpieczenia w czterech obszarach.
Nie wdrażasz wszystkich. Wybierasz te, które wynikają z analizy ryzyka, i opisujesz tę decyzję w deklaracji stosowania (liście wybranych zabezpieczeń). Certyfikat wydaje niezależna jednostka certyfikująca. My przygotowujemy firmę do audytu.
Liczba zabezpieczeń w poszczególnych obszarach Załącznika A (ISO/IEC 27001:2022).
NIS2
Prawo. Dotyczy firm z wybranych sektorów i określonej wielkości. Wymaga zarządzania ryzykiem, zgłaszania poważnych zdarzeń i nadzoru zarządu.
ISO 27001
Norma dobrowolna. Dotyczy każdej firmy, która chce uporządkować bezpieczeństwo. Daje system, który można zaudytować i potwierdzić certyfikatem.
Jak to robimy.
Rozmowa i zakres
Ustalamy, czy dotyczy Cię NIS2, czy potrzebujesz ISO 27001 i co chcesz osiągnąć.
Analiza luk
Porównujemy obecny stan z wymaganiami i pokazujemy, czego brakuje.
Plan i analiza ryzyka
Powstaje lista zadań w kolejności ważności oraz rejestr ryzyk.
Wdrożenie
Wprowadzamy polityki i procedury oraz zabezpieczenia techniczne.
Szkolenie zespołu
Ludzie wiedzą, co robić i dlaczego.
Audyt wewnętrzny i przygotowanie do audytu
Sprawdzamy gotowość przed audytem zewnętrznym, a potem utrzymujemy wdrożone zasady.
Komu to się przydaje.
- Firmom z sektorów objętych NIS2
- Dostawcom większych firm, którzy muszą wykazać zabezpieczenia
- Firmom, które chcą wystartować w przetargu wymagającym ISO 27001
- Każdemu, kto chce uporządkować bezpieczeństwo informacji
Czego nie robimy
Nie jesteśmy kancelarią prawną i nie wydajemy opinii prawnych. Kwalifikację firmy do NIS2 i interpretację przepisów zostawiamy prawnikowi. Certyfikatu ISO 27001 nie wystawiamy, bo robi to niezależna jednostka certyfikująca. Robimy to, co leży po stronie organizacji i techniki: analizę, procesy, zabezpieczenia, szkolenia i przygotowanie do audytu.
Najczęstsze pytania.
Bezpośrednio zwykle dotyczy firm średnich i dużych z wybranych sektorów, choć istnieją wyjątki niezależne od wielkości. Mała firma może być jednak objęta pośrednio, gdy jej klient podlega NIS2 i wymaga od dostawców zabezpieczeń.
NIS2 to prawo, więc jego przestrzeganie nie jest dobrowolne. ISO 27001 to dobrowolna norma opisująca system zarządzania bezpieczeństwem informacji. Pomaga uporządkować wiele obszarów, których oczekuje NIS2, ale nie zastępuje przepisów.
Tak. Pomagamy od analizy luk i ryzyka, przez polityki i zabezpieczenia, po szkolenia i przygotowanie do audytu. Certyfikat wydaje niezależna jednostka certyfikująca, a nie my.
Pomagamy ocenić gotowość i uzupełnić braki, tak żeby firma była przygotowana do formalnego audytu. Audyty wymagane przepisami wykonują uprawnione podmioty.
To zależy od wielkości firmy i od tego, w jakim miejscu zaczynamy. Po analizie luk podajemy realny plan z kolejnością zadań.
Rozliczamy czas pracy według stawek pakietów. Zakres i orientacyjną liczbę godzin ustalamy po analizie luk, na bezpłatnej rozmowie.
Tak. W ramach zwykłej obsługi IT dbamy o aktualizacje, kopie zapasowe, kontrolę zabezpieczeń i reakcję na ataki i awarie, żeby wdrożone zasady działały na co dzień.
Zacznijmy od analizy luk.
Opowiedz, w jakim miejscu jesteś. Wrócimy z planem, a pierwsza rozmowa nic nie kosztuje.