Dyrektywa NIS2

Jak możemy pomóc?

• 

  Ustalenie statusu podmiotu i opinia kwalifikacyjna

  Ustalamy, czy firma jest podmiotem kluczowym, podmiotem ważnym, czy pozostaje poza zakresem ustawy o KSC. Zestawiamy przedmiot faktycznej działalności z załącznikami nr 1 i nr 2 do ustawy, weryfikujemy progi zatrudnienia i obrotu według rozporządzenia Komisji (UE) nr 651/2014 z uwzględnieniem podmiotów powiązanych i partnerskich oraz rozstrzygamy relację z reżimem DORA. Efektem jest pisemna opinia z uzasadnieniem prawnym - dokument, którym firma broni swojej kwalifikacji, jeżeli organ zakwestionuje brak wpisu do wykazu. Jednorazowa ocena nie zamyka tematu. Firma rośnie, wchodzi w nowy sektor albo zmienia model świadczenia usług — a wraz z tym może zmienić się jej status. Ustawiamy proces okresowego przeglądu kwalifikacji: kto, kiedy i na jakiej podstawie sprawdza, czy obowiązki się nie zaktualizowały.

• 

  Wpis do wykazu podmiotów kluczowych i ważnych

  Przygotowujemy i składamy wniosek o wpis do wykazu podmiotów kluczowych i podmiotów ważnych (Wykaz KSC) przez system teleinformatyczny S46 wraz z kompletem danych:: uzasadnieniem kwalifikacji, wykazem świadczonych usług, danymi osób kontaktowych i danymi kierownika podmiotu. Prowadzimy też aktualizacje wpisu przy zmianie danych, zakresu usług lub statusu podmiotu.

• 

  Analiza luki (gap analysis)

  Weryfikujemy, jak stan faktyczny w organizacji ma się do obowiązków z rozdziału 3 ustawy o KSC: analizy ryzyka, polityk, procedur, kontroli dostępu, ciągłości działania, zarządzania podatnościami i incydentami. Raport wskazuje konkretne braki, przypisuje im priorytet, właściciela po stronie klienta i termin ustawowy, do którego brak trzeba usunąć.

• 

  Dokumentacja SZBI

  Pełnimy rolę architekta i budowniczego SZBI. Projektujemy system zarządzania bezpieczeństwem informacji — zasady postępowania, podział ról, procesy analizy ryzyka, ciągłości działania, zarządzania podatnościami i kontroli dostępu — a następnie odzwierciedlamy go w dokumentacji: polityce bezpieczeństwa informacji, metodyce analizy ryzyka, planie ciągłości działania i zarządzania kryzysowego, procedurach, rejestrze aktywów oraz zasadach przeglądu i aktualizacji. Dokumenty piszemy tak, aby dały się realnie stosować — dokumentacja, której nikt nie wykonuje, przy kontroli działa przeciwko podmiotowi.

• 

  Procedura obsługi i zgłaszania incydentów

  Określamy kryteria kwalifikacji incydentów - na zwykłe, poważne i krytyczne - przekładając progi ustawowe na mierzalne wskaźniki danego podmiotu. Zgłoszeniu podlega wyłącznie incydent poważny, w trzech terminach: wczesne ostrzeżenie w ciągu 24 godzin, raport szczegółowy w ciągu 72 godzin i sprawozdanie końcowe w ciągu 30 dni. Przygotowujemy wzory każdego z tych dokumentów, dzielimy role w organizacji i ustalamy zasady dokumentowania decyzji klasyfikacyjnych - także tych negatywnych, gdy uznajemy, że incydent nie jest poważny. Proces zarządzania incydentami wchodzi w skład SZBI, a więc obowiązuje w terminie 12 miesięcy od objęcia podmiotu ustawą - do 3 kwietnia 2027 r. Podmioty, które przed nowelizacją były operatorami usług kluczowych, stosują nowy tryb zgłaszania już od 3 października 2026 r.

• 

  Zapewnienie bezpieczeństwa w łańcuchu dostaw

  Podmiotom kluczowym i ważnym pomagamy ustalić wymogi bezpieczeństwa wobec dostawców usług ICT i przenieść je do umów: klauzule o zgłaszaniu incydentów w terminach pozwalających dochować 24 godzin, prawo do audytu i kontroli podwykonawców, wymogi bezpieczeństwa oraz skutki uznania dostawcy za dostawcę wysokiego ryzyka decyzją ministra właściwego do spraw informatyzacji. Dostawcom i producentom obsługującym podmioty kluczowe i ważne pomagamy prowadzić te rozmowy z drugiej strony stołu — ocenić, czego kontrahent może realnie wymagać, i ułożyć relację umowną tak, aby wymogi były wykonalne operacyjnie.

• 

  Odpowiedzialność kierownictwa i szkolenia

  Porządkujemy podział odpowiedzialności w organie zarządzającym (uchwały, zakresy zadań, pełnomocnictwa) i prowadzimy wymagane ustawą szkolenia kierownictwa z zakresu cyberbezpieczeństwa, zakończone dokumentem potwierdzającym udział - dowodem na potrzeby kontroli. W organach wieloosobowych bez wskazanej osoby odpowiedzialnej odpowiedzialność obciąża wszystkich członków.

• 

  Przygotowanie do audytu bezpieczeństwa

  Podmioty kluczowe mają obowiązek przeprowadzić pierwszy audyt bezpieczeństwa systemu informacyjnego w ciągu 24 miesięcy, a następnie nie rzadziej niż raz na 3 lata. Przygotowujemy organizację do audytu: porządkujemy dowody stosowania środków, weryfikujemy kompletność dokumentacji i wskazujemy obszary, które audytor zakwestionuje.