Bezpieczeństwo fizyczne w NIS2 – czy ustawa o KSC wymaga kontroli dostępu?

Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252), wdrażająca dyrektywę NIS2, obowiązuje od 3 kwietnia 2026 r. Artykuł jest aktualizowany wraz ze zmianami przepisów.

Jeśli Twoja firma przygotowuje się do nowej ustawy o krajowym systemie cyberbezpieczeństwa, ten rytuał pewnie brzmi znajomo. Polityki są spisane, hasła wymuszone, kopie zapasowe robią się same, segregator z dokumentacją puchnie z tygodnia na tydzień i wszystko wskazuje na to, że jesteście coraz bliżej celu. Aż wreszcie ktoś, zwykle przy zupełnie innej okazji, zadaje pytanie, które psuje nastrój. A kto właściwie może wejść do serwerowni?

I wtedy wychodzi na jaw, że klucz wisi w sekretariacie, zapasowy ma pan z utrzymania ruchu, a listy osób, które wchodziły tam w zeszły wtorek, nie ma i nigdy nie było, bo zwykłe drzwi nie prowadzą ewidencji.

Czy ustawa o KSC wymaga kontroli dostępu? Odpowiedź jest przewrotna. Takiego nakazu w przepisach nie znajdziesz, a mimo to bez uporządkowanego dostępu fizycznego zgodności raczej nie obronisz. W tym tekście wyjaśniamy, jak to możliwe i co z tym zrobić, zanim zapyta o to audytor.

Skąd bezpieczeństwo fizyczne w przepisach o cyberbezpieczeństwie?

Dyrektywa NIS2 i wdrażająca ją nowelizacja ustawy o KSC nie chronią komputerów, choć potocznie właśnie tak się o nich myśli. Chronią ciągłość usług i bezpieczeństwo systemów informacyjnych, a system informacyjny można unieruchomić bez dotykania klawiatury. Wystarczy awaria klimatyzacji w upalny długi weekend, zalane pomieszczenie z rozdzielnicą, dysk wyniesiony w plecaku albo serwisant, który przez godzinę robił „coś” przy szafie z serwerami i nikt nie potrafi powiedzieć co.

Ustawodawca tę oczywistość dostrzegł i dlatego przepisy traktują bezpieczeństwo fizyczne i środowiskowe, czyli wszystko to, co może spotkać systemy w realnym budynku, jako pełnoprawną część zarządzania ryzykiem, a nie osobny temat „od ochrony obiektu”. Incydentem w rozumieniu ustawy jest każde zdarzenie, które narusza dostępność, integralność lub poufność danych. Również takie, które wchodzi do firmy drzwiami, a nie łączem.

Czy NIS2 wymaga kontroli dostępu? Co dokładnie mówią przepisy

Uczciwie przyznajemy, że zdania „zamontuj czytniki przy drzwiach” nie znajdziesz ani w dyrektywie, ani w ustawie, bo prawo rzadko bywa aż tak konkretnie przekazane. Przepisy robią coś sprytniejszego. Każą wdrożyć środki techniczne i organizacyjne proporcjonalne do ryzyka, a potem umieć udowodnić, że te środki naprawdę działają. O dostępie fizycznym mówią przy tym zaskakująco wprost.

• Dyrektywa NIS2 wśród minimalnych środków zarządzania ryzykiem wymienia politykę kontroli dostępu, czyli spisane zasady określające, kto i na jakich warunkach ma dostęp do systemów oraz do pomieszczeń, w których te systemy stoją. Wymienia ją obok kwestii czysto cyfrowych, takich jak szyfrowanie czy obsługa incydentów. (art. 21 ust. 2 dyrektywy)
• Część wstępna dyrektywy każe chronić systemy także przed zagrożeniami fizycznymi i środowiskowymi, a więc przed awariami, błędami ludzkimi i nieuprawnionym dostępem fizycznym.
• Ustawa o KSC wymaga wdrożenia SZBI, czyli systemu zarządzania bezpieczeństwem informacji. Pod tym urzędowym skrótem kryje się po prostu uporządkowany i udokumentowany sposób dbania o bezpieczeństwo, który obejmuje między innymi bezpieczeństwo fizyczne i środowiskowe, z uwzględnieniem kontroli dostępu.

I tu dochodzimy do sedna. Przepisy nie narzucają technologii, bo nie muszą. Wymagają, żeby było możliwe udowodnić, że dostęp fizyczny do systemów jest zarządzany polityką, techniką i dowodami. Teoretycznie da się to osiągnąć kluczem i zeszytem. Pytanie tylko, czy chcesz bronić zeszytu przed audytorem.

Jakie zabezpieczenia fizyczne wymaga ustawa o KSC w praktyce?

Konkretny katalog środków zawsze wynika z analizy ryzyka, więc w dwóch różnych firmach może wyglądać zupełnie inaczej. Jest jednak zestaw, który powtarza się w praktyce audytowej i w normie ISO 27001, czyli międzynarodowym standardzie zarządzania bezpieczeństwem informacji, na którym wzorowane są wymagania ustawy. Warto przejrzeć go z myślą o własnym budynku.

Strefy dostępu

Chodzi o prostą zasadę, zgodnie z którą nie każdy powinien móc wejść wszędzie. Goście zatrzymują się w recepcji, pracownicy poruszają się po biurach, a do pomieszczeń technicznych wchodzą wyłącznie osoby z imiennej listy. Większość firm ma taką zasadę w regulaminie. Znacznie mniej potrafi wskazać, co ją fizycznie egzekwuje.

Kontrola wejść do pomieszczeń krytycznych

Serwerownia, pomieszczenie z rozdzielnicą, archiwum czy pokój kadr to miejsca, w których jedno niefortunne wejście może kosztować firmę więcej niż niejedna awaria. Wejście do nich powinno być ograniczone do osób uprawnionych i odnotowane.

Ewidencja dostępu

Wiedza o tym, kto, gdzie i kiedy wchodził, powinna powstawać automatycznie, bez udziału człowieka z długopisem. Szczególnie dotyczy to gości i serwisantów zewnętrznych, bo to właśnie oni najczęściej giną w ręcznych ewidencjach.

Zabezpieczenia środowiskowe

Zasilanie awaryjne, sprawne chłodzenie, detekcja zalania i ochrona przeciwpożarowa brzmią mniej sensacyjnie niż włamanie, ale to statystycznie właśnie awarie środowiskowe, a nie włamywacze, zatrzymują firmowe systemy.

Nadzór wizyjny stref krytycznych

Kamery uzupełniają ewidencję wejść o odpowiedź na pytanie, co dokładnie działo się w pomieszczeniu, kiedy już ktoś do niego wszedł.

Cykl życia uprawnień

Uprawnienia trzeba umieć nadawać, zmieniać i, co w praktyce najtrudniejsze, odbierać w dniu, w którym pracownik odchodzi albo kończy się umowa z podwykonawcą. Ten punkt najczęściej wygląda dobrze na papierze i najgorzej w rzeczywistości.

Rozliczalność, czyli „kto tam wchodził i kiedy”

Wyobraź sobie scenariusz, w którym te przepisy przestają być teorią. W firmie dochodzi do incydentu, dane wyciekły albo systemy stanęły, a zegar zaczyna tykać, bo wczesne ostrzeżenie do CSIRT, czyli zespołu przyjmującego zgłoszenia incydentów, trzeba wysłać w ciągu 24 godzin, a pełniejszy raport w ciągu 72. W trakcie analizy prędzej czy później pada pytanie, czy ktoś miał fizyczny dostęp do serwera. Po incydencie to samo pytanie zada organ nadzoru albo audytor, tyle że z prośbą o dowody.

Zeszyt wejść broni się w takiej sytuacji słabo, bo nie odnotowuje tych, którzy nie chcieli zostać odnotowani, a wpisy powstają wtedy, kiedy ktoś o nich pamięta. Tłumaczenie „u nas wszyscy się znają” audytora nie zainteresuje. Zainteresuje go, czy firma potrafi pokazać, kto wszedł do serwerowni w zeszły wtorek o 14:30. Dziennik zdarzeń elektronicznej kontroli dostępu odpowiada na takie pytanie w kilka sekund i jest zupełnie inną kategorią dowodu. Każde otwarcie drzwi jest przypisane do konkretnej osoby i godziny, raport można wyeksportować na żądanie, a serwisant zewnętrzny dostaje uprawnienia czasowe, ważne od wtorku do czwartku i tylko do jednego pomieszczenia.

Na tym polega rozliczalność, o którą chodzi przepisom.

Od czego zacząć? Przejdź się po własnej firmie

Pytanie „jak zabezpieczyć serwerownię zgodnie z NIS2″ pada w rozmowach z klientami najczęściej i jest dobrym punktem wyjścia, bo koncentracja ryzyka jest w serwerowni największa. Ale zatrzymanie się na niej to najczęstszy błąd tych przygotowań. Warto przejść się po firmie i spojrzeć na nią tak, jak spojrzy audytor.

Dobrym przykładem jest pokój kadr. Stoją w nim segregatory z aktami osobowymi, umowami i danymi o wynagrodzeniach, a bywa, że i orzeczenia lekarskie, czyli komplet informacji, których ujawnienie oznacza problem nie tylko z ustawą o KSC, ale też z RODO. A drzwi bywają otwarte na oścież, bo „zawsze tak było”.

Niezależnie od tego, czy chodzi o serwerownię, pokój kadr czy archiwum, kolejność porządkowania jest ta sama.

1. Ustal, kto naprawdę potrzebuje dostępu. Lista powinna być imienna, a nie brzmieć „dział IT” albo „księgowość”. Po tej rozmowie z listy zwykle znika połowa nazwisk.
2. Zamknij pomieszczenie technologią, która prowadzi ewidencję. Czytnik z rejestrem zdarzeń zamiast klucza, a tam, gdzie ryzyko tego wymaga, kontrola dostępu z identyfikacją biometryczną.
3. Uporządkuj wejścia gości i serwisantów. Uprawnienia czasowe, wejście w asyście i wpis w dzienniku powstający z automatu.
4. Zadbaj o środowisko. W serwerowni oznacza to zasilanie gwarantowane, chłodzenie z nadmiarowością oraz detekcję dymu i zalania, o czym więcej piszemy przy okazji budowy i modernizacji serwerowni. W archiwum albo pokoju kadr wystarczy mniej, ale czujka dymu i zamykana szafa na dokumenty to rozsądne minimum.
5. Przeglądaj uprawnienia okresowo. Raz na kwartał ktoś powinien odpowiedzieć na pytanie, czy wszyscy z listy nadal tu pracują i nadal tego potrzebują.

Bezpieczeństwo fizyczne w firmie a cyberbezpieczeństwo. Jeden system, nie dwa światy

Audytor sprawdzający zgodność z ustawą o KSC nie dzieli bezpieczeństwa na informatyczne i budynkowe, choć firmowe budżety zwykle dzielą je właśnie tak. Patrzy na jeden system zarządzania, na analizę ryzyka, środki i dowody ich działania, a firewall i drzwi do serwerowni są w tym ujęciu pozycjami na tej samej liście kontrolnej. Tak samo traktuje je norma ISO 27001, w której zabezpieczenia fizyczne mają własną grupę wymagań.

Rynek jest jednak podzielony inaczej. Wykonawca od IT zwykle nie zajmuje się drzwiami, a firma od zabezpieczeń technicznych nie zna wymagań KSC, więc powstają dwa projekty, dwa budżety i luka dokładnie na styku, czyli tam, gdzie audytor patrzy najuważniej.

W GAMP ten drugi wykonawca to też my. Projektujemy i wdrażamy systemy kontroli dostępu z pełną rozliczalnością zdarzeń, a równolegle pomagamy firmom osiągnąć zgodność z ustawą o KSC, zaczynając od audytu zerowego, który obejmuje także stan zabezpieczeń fizycznych.

Więc jak brzmi odpowiedź?

Czy ustawa o KSC wymaga kontroli dostępu? Wprost nie, bo żaden przepis nie wymienia czytników ani bramek. W praktyce wymaga jednak czegoś trudniejszego. Masz zarządzać dostępem fizycznym do systemów adekwatnie do ryzyka i umieć to udowodnić, a elektroniczna kontrola dostępu jest po prostu najprostszym sposobem, żeby ten obowiązek spełnić i mieć z tego dowody. Można próbować inaczej, kluczem i dyscypliną ręcznych zapisów, tylko że koszt utrzymania takiej dyscypliny szybko przerasta koszt czytnika, a jej wiarygodność w oczach audytora nigdy go nie dogoni.

Nie wiesz, czy zabezpieczenia fizyczne w Twojej firmie obronią się przed wymaganiami ustawy o KSC? Porozmawiajmy.

(+48) 509 630 200 Arkadiusz Gortych Engineering Manager