Obowiązki KSC po rejestracji. Co firma musi zrobić do kwietnia 2027?

Jeśli rejestrację w wykazie KSC masz już za sobą, to pierwszy obowiązek z ustawy jest odhaczony i to naprawdę dobra wiadomość. Warto jednak wiedzieć, że był to raczej ten prostszy krok, bo przy odrobinie organizacji dało się go załatwić dość szybko.

Z resztą obowiązków jest trochę inaczej. Ustawa daje na ich wdrożenie czas do 3 kwietnia 2027 r., a tego dnia firma powinna mieć już poukładane zasady bezpieczeństwa, wyznaczone osoby odpowiedzialne za realizację obowiązków związanych z cyberbezpieczeństwem, wdrożoną procedurę zgłaszania incydentów i przeszkolony zarząd. Niestety, nie są to rzeczy, które da się zrobić w tydzień, bo każda z nich wymaga decyzji, budżetu i czasu ludzi, którzy na co dzień mają też swoją bieżączkę.

Niezależnie od tego, czy do terminu zostało Ci jeszcze kilka miesięcy, czy już tylko kilka tygodni, najlepszy moment, żeby zacząć, jest dzisiaj. Poniżej rozpisujemy, jakie terminy z ustawy są przed Tobą, co oznaczają, od czego zacząć i co zrobić w pierwszej kolejności, jeśli czasu zostało już niewiele.

Wszystko, co opisujemy poniżej, dotyczy zarówno podmiotów kluczowych, jak i ważnych, bo większość obowiązków jest dla nich wspólna. Tam, gdzie ustawa je rozróżnia, czyli przy audycie i wysokości kar, piszemy o tym wprost.

Harmonogram, czyli obowiązki KSC po rejestracji data po dacie.

Zanim przejdziemy do dat. Terminy z ustawy nie liczą się od dnia, w którym firma trafiła do wykazu, tylko od dnia, w którym zaczęła podlegać ustawie. Jeśli Twoja firma podlegała jej już 3 kwietnia 2026 r., kiedy nowelizacja weszła w życie, to nie ma znaczenia czy wniosek złożyliście w maju, czy w ostatnim tygodniu września. Kalendarz jest dla wszystkich taki sam i ministerstwo potwierdza to wprost w swoich wyjaśnieniach do ustawy.

Na bieżąco. Aktualne dane w wykazie KSC.

Po wpisie do wykazu KSC upewnij się, że dane, które podaliście we wniosku, są nadal aktualne, a najlepiej od razu wyznacz w zespole osobę, która będzie to ogarniać na bieżąco. 

Wykaz nie jest formularzem, który wypełnia się raz i odhacza. Każdą zmianę danych trzeba zgłosić w ciągu 14 dni, a te dane zmieniają się w firmie częściej niż się wydaje. Osoba wpisana do kontaktu odchodzi z pracy, marketing uruchamia nową domenę, zmieniacie dostawcę internetu, a razem z nim adresy IP albo podpisujecie umowę z firmą, która zajmuje się Waszym cyberbezpieczeństwem. 

Jeśli urząd nadzorujący Twoją branżę sam zauważy, że coś się nie zgadza, wezwie firmę do poprawienia danych w ciągu 7 dni pod groźbą kary. Dlatego jeśli macie w firmie listę spraw do załatwienia przy zmianach kadrowych albo przy zmianie dostawców, warto dopisać do niej punkt, w którym wyznaczona osoba sprawdza, czy dane w wykazie są nadal aktualne.

Najpóźniej w 2027 r. Szkolenie zarządu z KSC.

Kiedy mówimy o wdrożeniu KSC, łatwo skupić się na kwestiach technicznych i zadaniach działu IT.  A ustawa obejmuje nie tylko pracowników, ale również zarząd i osobę, której powierzono zadania związane z cyberbezpieczeństwem.

Zgodnie z art. 8 KSC podmiot kluczowy lub ważny ma wdrożyć system zarządzania bezpieczeństwem informacji, który obejmuje m.in. edukację personelu w zakresie cyberbezpieczeństwa. Art. 8d wskazuje z kolei na odpowiedzialność zarządu za to, by personel znał swoje obowiązki i wewnętrzne zasady bezpieczeństwa. Dodatkowe wymagania dotyczące szkoleń znalazły się również w załączniku nr 4 do ustawy.

Dla podmiotów objętych nowymi przepisami od 3 kwietnia 2026 r. ważną datą jest 3 kwietnia 2027 r. Do tego czasu należy wdrożyć wymagane obowiązki wynikające z KSC, w tym rozwiązania związane z edukacją i budowaniem świadomości cyberbezpieczeństwa.

Dlatego warto zaplanować szkolenia z odpowiednim wyprzedzeniem, zamiast zostawiać je na ostatnią chwilę. Zarząd powinien rozumieć swoją odpowiedzialność i świadomie podejmować decyzje dotyczące cyberbezpieczeństwa, a pracownicy wiedzieć, jak rozpoznawać zagrożenia, dbać o cyberhigienę i właściwie reagować na incydenty. Dobrze zaplanowane szkolenia i dokumentowanie ich realizacji pomogą nie tylko uporządkować wdrożenie KSC, ale też zbudować w firmie nawyki, które realnie zwiększają bezpieczeństwo. A im wcześniej zarząd zrozumie, z czym wiążą się nowe obowiązki, tym łatwiej będzie mu podejmować świadome decyzje i zaplanować budżet na ich realizację.

Do 3 kwietnia 2027 r. Wdrożenie SZBI i pozostałych obowiązków.

To najważniejsza data w całym harmonogramie i główny termin wdrożenia SZBI, czyli systemu zarządzania bezpieczeństwem informacji. Ustawa daje firmie 12 miesięcy od dnia, w którym zaczęła jej podlegać, na to, żeby zaczęła realizować wszystkie obowiązki z zakresu bezpieczeństwa. Od 3 kwietnia 2027 r. firma nie przygotowuje się więc już do ustawy, tylko działa według niej, a to oznacza, że tego dnia powinna mieć:

• wdrożony SZBI, który obejmuje regularne szacowanie ryzyka, zabezpieczenia dopasowane do tego ryzyka, stałe monitorowanie systemów, zarządzanie incydentami i plany ciągłości działania, bezpieczeństwo dostawców produktów i usług ICT,
• prowadzoną i aktualizowaną dokumentację bezpieczeństwa,
• co najmniej dwie osoby wyznaczone do kontaktu z instytucjami krajowego systemu cyberbezpieczeństwa, a w mikro- i małej firmie co najmniej jedną,
• sposób, w jaki klienci mogą zgłaszać zagrożenia i incydenty, oraz informacje o tym, jak mogą się chronić,
• zaświadczenia o niekaralności osób, które zajmują się bezpieczeństwem i obsługą incydentów,
• własny zespół odpowiedzialny za cyberbezpieczeństwo, umowę z wyspecjalizowaną firmą zewnętrzną albo jedno i drugie,
• gotowość do zgłaszania incydentów poważnych przez rządowy system S46, czyli wczesne ostrzeżenie w ciągu 24 godzin od wykrycia, pełne zgłoszenie w ciągu 72 godzin i sprawozdanie końcowe w ciągu miesiąca.

Czyli jeśli tego dnia w sieci firmy wydarzy się poważny incydent, ktoś musi wiedzieć, że trzeba go zgłosić, mieć dostęp do S46 i zdążyć z wczesnym ostrzeżeniem w ciągu doby. A jeśli urząd zapyta o zasady bezpieczeństwa, firma musi pokazać nie segregator, tylko dowody, że te zasady są naprawdę stosowane, na przykład rejestr nadanych i odebranych uprawnień, raport z testu odtworzenia kopii zapasowej, listy obecności ze szkoleń czy notatkę z próbnego zgłoszenia incydentu. To przykłady z naszego własnego doświadczenia, bo podobnych dowodów wymagano od nas przy certyfikacji na zgodność z normą ISO/IEC 27001. Ustawa nie podaje zamkniętej listy, więc w każdej firmie mogą one wyglądać trochę inaczej.

Do 3 kwietnia 2028 r. Pierwszy audyt podmiotów kluczowych.

Samo wdrożenie wymagań KSC to nie wszystko. Trzeba jeszcze sprawdzić, czy wprowadzone rozwiązania rzeczywiście działają. Właśnie od tego jest audyt bezpieczeństwa.

Jeśli Twoja firma jest podmiotem kluczowym, na przeprowadzenie pierwszego audytu ma 24 miesiące od dnia, w którym zaczęła podlegać odpowiednim obowiązkom. Dla firm objętych nowymi przepisami od 3 kwietnia 2026 r., które wcześniej nie miały statusu operatora usługi kluczowej, oznacza to termin do 3 kwietnia 2028 r.

Audyt odbywa się na koszt firmy, a kolejne trzeba przeprowadzać co najmniej raz na trzy lata. Po otrzymaniu raportu należy również przekazać jego kopię właściwemu organowi w ciągu 3 dni roboczych.

Kto może przeprowadzić audyt? Nie wystarczy poprosić o to dowolnego informatyka czy firmy obsługującej Wasze IT. Ustawa określa, kto ma odpowiednie kwalifikacje, by sprawdzić, czy firma spełnia wymagania KSC. Audyt może przeprowadzić:

• Akredytowana firma, czyli podmiot uprawniony do oceny bezpieczeństwa systemów informatycznych w odpowiednim zakresie.
• Co najmniej dwóch audytorów, którzy mają wymagane certyfikaty albo odpowiednie doświadczenie w audytowaniu bezpieczeństwa systemów informatycznych. W niektórych przypadkach wymagane są również studia podyplomowe w tym zakresie.
• Sektorowy zespół cyberbezpieczeństwa (CSIRT sektorowy), pod warunkiem że przeprowadzający audyt audytorzy spełniają wymagania określone w ustawie.

Ważne jest to, że audytor nie może sprawdzać własnej pracy. Jeśli dana osoba wykonuje w firmie zadania związane z obowiązkami wskazanymi w art. 8 oraz art. 9-13 KSC albo wykonywała je w ciągu roku przed rozpoczęciem audytu, nie może go przeprowadzić. Chodzi o to, by ocena była niezależna i pozwalała rzetelnie sprawdzić, co działa, a co wymaga poprawy.

Warto pamiętać, że audyt w 2028 r. nie oznacza, że z wdrożeniem KSC można czekać do tego czasu. Wymagane obowiązki powinny zostać wdrożone do 3 kwietnia 2027 r. Kolejny rok to czas na przygotowanie się do audytu i sprawdzenie, czy wprowadzone rozwiązania działają w praktyce.

A co z podmiotami ważnymi? Nie muszą przeprowadzać regularnych audytów na takich samych zasadach jak podmioty kluczowe. Organ nadzorczy może jednak nakazać im audyt zewnętrzny, np. w związku z poważnym incydentem lub naruszeniem przepisów.

Także nie warto traktować audytu jak kolejnego dokumentu do przygotowania na potrzeby urzędu. To przede wszystkim okazja, by sprawdzić, czy firma jest przygotowana na cyberzagrożenia i czy w razie problemów wiadomo, jak zareagować. Ma to znaczenie również dlatego, że za naruszenie obowiązków wynikających z KSC grożą wysokie kary finansowe, a w określonych przypadkach konsekwencje mogą dotyczyć także osób zarządzających firmą.

Co roku i co trzy lata. Obowiązki na stałe.

KSC nie jest projektem, który kończy się w kwietniu 2027 r. To początek stałego rytmu:

• co roku szkolenie zarządu,
• co najmniej raz na trzy lata audyt w podmiotach kluczowych,
• regularnie nowe szacowanie ryzyka, testy planów ciągłości działania, oceny dostawców i aktualizacja dokumentacji,
• na bieżąco szkolenie pracowników, monitorowanie systemów, obsługę i zgłaszanie incydentów,zbieranie informacji o cyberzagrożeniach i podatnościach dot. systemu informatycznego, regularne przeprowadzanie aktualizacji oprogramowania i zarządzanie uprawnieniami (np. przy odejściu pracownika, zmianie stanowiska),
• przy każdej zmianie aktualizacja wykazu w ciągu 14 dni i sprawdzenie nowych osób oraz dostawców.

Najlepiej więc od początku myśleć o tym tak jak o np. księgowości. Nikt nie traktuje jej jak jednorazowego projektu, który kończy się po pierwszym bilansie, tylko jak stały element firmy, z własnymi ludźmi, kalendarzem i budżetem. Z cyberbezpieczeństwem jest podobnie, bo od kwietnia 2027 r. staje się ono kolejnym obszarem, który po prostu musi w firmie działać, a jego znaczenie będzie raczej rosło, niż malało, skoro coraz więcej codziennej pracy opiera się na systemach informatycznych. Dlatego zespół zbudowany na początku nie powinien zakończyć swojej pracy po

wdrożeniu wymagań KSC. Powinien on nadal pilnować tego aby wszystkie obowiązki były realizowane na bieżąco, a wymagane przeglądy, aktualizacje i szkolenia odbywały się w odpowiednich terminach.

Jak zacząć?

Kusi, żeby zacząć od tego, co widać, czyli od zakupu narzędzia albo gotowego pakietu dokumentów „zgodnych z NIS2”. To jednak ryzykowna kolejność, bo bez wiedzy o tym, czego firmie naprawdę brakuje, łatwo wydać pieniądze na coś, co nie zamyka żadnej z najważniejszych luk. Ministerstwo ujmuje to dosadnie, pisząc, że „kupiona dokumentacja, podpisana przez zarząd i schowana w tzw. szafie NIS2 nie zapewni realnego cyberbezpieczeństwa w organizacji”.

Dużo lepiej zacząć od ludzi i od uczciwego spojrzenia na to, co już w firmie działa. 

Krok 1. Zbuduj zespół, który się tym zajmie.

Wdrożenie obowiązków z ustawy o KSC dotyka tak wielu obszarów firmy, że jedna osoba, zwłaszcza zajęta na co dzień czymś innym, po prostu go nie udźwignie. Nie oznacza to jednak, że trzeba od razu zatrudniać nowych specjalistów. Zwykle wystarczy znaleźć w firmie ludzi, którzy już mają potrzebne kompetencje, i dać im wspólny cel. 

W takim zespole przydają się:

• ktoś z IT, czyli administrator, informatyk albo osoba z zewnętrznej firmy, która opiekuje się Waszymi systemami i wie, jak naprawdę działają,
• ktoś z kadr, bo ustawa dotyczy też zatrudniania i odejść pracowników, zaświadczeń o niekaralności i szkoleń,
• ktoś od zakupów lub administracji, kto zna umowy z dostawcami sprzętu, oprogramowania i usług,
• ktoś od spraw prawnych lub ochrony danych, na przykład prawnik albo inspektor ochrony danych, który pomoże z dokumentacją,
• osoba odpowiedzialna za kluczową usługę firmy, która wie, co musi działać zawsze i co oznaczałaby jego awaria,
• opiekun budynku, jeśli w firmie są pomieszczenia z serwerami lub innym ważnym sprzętem.

Nie w każdej firmie da się skompletować taki skład i to nic złego, bo ta lista pokazuje bardziej kierunek niż obowiązkowy zestaw. Ważniejsze jest to, żeby zespół spotykał się regularnie, na przykład co dwa tygodnie, i pilnował, by sprawy szły do przodu. Na czele może stanąć członek zarządu albo osoba, która dostanie od zarządu wyraźny mandat do podejmowania decyzji, bo odpowiedzialność za wykonanie obowiązków i tak pozostaje przy zarządzie. Ustawa pozwala też powierzyć część pracy wyspecjalizowanej firmie zewnętrznej.

Krok 2. Zobacz, co macie.

Kiedy jest zespół, pierwszym zadaniem jest sprawdzenie, jak dziś wygląda zarządzanie bezpieczeństwem w Waszej firmie. Nie chodzi o ocenianie, tylko o uczciwy obraz sytuacji. Warto przyjrzeć się kilku codziennym procesom i zadać sobie proste pytania:

• dostępy, czyli kto nadaje uprawnienia do systemów, kto je odbiera i co dzieje się z kontami osób, które odchodzą z firmy,
• kopie zapasowe, czyli czy są robione, gdzie trafiają i kiedy ostatnio ktoś sprawdził, że da się z nich odtworzyć dane,
• aktualizacje, czyli kto pilnuje, żeby systemy i oprogramowanie były na bieżąco aktualizowane,
• aktywa, czyli czy wiadomo jakie nieruchomości, urządzenia, oprogramowanie, systemy, usługi, konta i dane posiadacie, kto za nie odpowiada oraz które z nich są kluczowe,
• dostawcy, czyli kto ma dostęp do Waszych systemów z zewnątrz i co na temat bezpieczeństwa mówią umowy z nimi,
• awarie i incydenty, czyli co się dzieje, kiedy coś przestaje działać albo ktoś kliknie w podejrzany link, i kto o tym decyduje,
• szkolenia, czyli czy pracownicy wiedzą, jak rozpoznać zagrożenie i komu je zgłosić.

Przy okazji najlepiej spisać to wszystko jak najprościej, na przykład w zwykłym arkuszu, jakie procesy i usługi realizuje firma, z jakich systemów przy tym korzysta, jaki ma sprzęt i gdzie on stoi oraz z jakimi dostawcami współpracuje. Taka lista wyznacza zakres całego wdrożenia. Przyda się też później, nawet jeśli zdecydujecie się zlecić budowę systemu zarządzania bezpieczeństwem informacji (SZBI) innej firmie, bo dzięki niej łatwiej będzie ustalić zakres prac i porównać oferty.

Krok 3. Porównaj to z wymaganiami ustawy i spisz, co trzeba zrobić.

Kiedy już wiecie, co macie, przychodzi czas na porównanie tego z wymaganiami ustawy. Najprościej przejść punkt po punkcie przez listę obowiązków z harmonogramu i przy każdym z nich odpowiedzieć sobie, czy to już u Was:

• działa i jest spisane, 
• działa, ale nikt nigdy nie ujął tego w procedurę, 
• działa tylko częściowo,
• w ogóle tego nie ma. 

Często okazuje się, że sporo rzeczy już jest, na przykład kopie zapasowe, polityka haseł albo system zgodny z normą ISO 27001, którego dokumenty według ministerstwa można wykorzystać i dostosować. 

Równie często okazuje się, że coś działa tylko dlatego, że jedna osoba wie, jak to robić, na przykład kopie zapasowe wykonują się co noc, ale nigdzie nie jest zapisane, kto i jak często sprawdza, czy da się z nich odtworzyć dane. Wszystko, czego brakuje, co działa tylko połowicznie albo nie jest spisane w procedurze, trafia na listę rzeczy do zrobienia.

Część pozycji na tej liście będzie duża i mało konkretna, na przykład „wdrożyć zarządzanie incydentami” albo „uporządkować umowy z dostawcami”. Warto od razu rozbić je na mniejsze zadania, które da się komuś przypisać i odhaczyć, takie jak „ustalić, kto w firmie ocenia, czy incydent jest poważny” albo „sprawdzić, które umowy z dostawcami IT nie mają zapisów o zgłaszaniu incydentów”. Można przy tym śmiało skorzystać z narzędzi AI, które dobrze radzą sobie z rozbijaniem dużych tematów na listę kroków, pamiętając tylko, żeby nie wklejać do nich poufnych informacji o firmie. Dużo łatwiej uporządkować chaotyczną listę niż zaczynać od pustej kartki, uwierzcie nam na słowo. 😊

Krok 4. Ułóż plan i zdecyduj, co zlecić.

Kiedy lista zadań jest gotowa, czas usiąść z zespołem i zamienić ją w plan. Najpierw przejrzyjcie zadania i zastanówcie się uczciwie, które z nich jesteście w stanie zrobić własnymi siłami, a które trzeba będzie zlecić firmie zewnętrznej, bo brakuje Wam czasu, ludzi albo specjalistycznej wiedzy. Potem pogrupujcie zadania w etapy albo obszary, na przykład ludzie, systemy, dostawcy i dokumentacja, a przy każdym zadaniu wpiszcie osobę odpowiedzialną i termin.

Przy ustalaniu terminów bardzo pomaga planowanie od końca. Z harmonogramu wiecie już, co musi działać 3 kwietnia 2027 r., więc wystarczy cofać się krok po kroku. Jeśli tego dnia procedura zgłaszania incydentów ma działać, to kilka tygodni wcześniej trzeba ją przećwiczyć na próbnym zgłoszeniu. Żeby było co ćwiczyć, procedura musi być wcześniej spisana, a osoby, które mają ją stosować, muszą mieć dostęp do S46 i wiedzieć, co do nich należy. A żeby ją spisać, trzeba najpierw ustalić, kto w firmie ocenia incydenty i jak szybko dostawcy IT mają Was o nich informować. W ten sposób z jednej daty końcowej robi się kilka konkretnych terminów pośrednich, których łatwiej pilnować.

Gotowy plan z budżetem warto przedstawić zarządowi do zatwierdzenia, bo zaplanowanie pieniędzy na cyberbezpieczeństwo jest jednym z jego ustawowych obowiązków. Dobrze też zostawić w nim zapas na nieprzewidziane opóźnienia. 

Co można zrobić równolegle?

Nie wszystko trzeba odkładać do czasu przygotowania pełnego planu wdrożenia KSC. Część spraw można uporządkować już na samym początku, gdy zespół dopiero analizuje wymagania i ustala, co trzeba zmienić. 

Warto wtedy:

• sprawdzić, kto powinien mieć dostęp do S46 – osoby do kontaktu wskazuje się już we wniosku o wpis do wykazu, ale warto zweryfikować, czy nie trzeba kogoś dopisać.
• zebrać zaświadczenia o niekaralności od osób, które będą zajmować się bezpieczeństwem,
• uruchomić kanał do zgłaszania zagrożeń przez klientów np. adres e-mail lub formularz, przez który klienci mogą zgłaszać zagrożenia, oraz podstronę z informacjami o tym, jak mogą się chronić,
• zaplanować pierwsze szkolenie zarządu, które i tak trzeba przeprowadzić najpóźniej w 2027 r.

Te sprawy nie wymagają dużych nakładów, a dają szybki efekt i porządkują start całego wdrożenia.

Do terminu zostało już niewiele czasu? Od tego zacznij.

Jeśli czytasz ten tekst wczesną wiosną i do 3 kwietnia 2027 r. zostały tygodnie, a nie miesiące, nie ma sensu panikować, ale trzeba ustawić priorytety. Wszystkie obowiązki z ustawy są równie obowiązkowe, więc nie chodzi o to, co pominąć, tylko o to, od czego zacząć, żeby pierwszego dnia po terminie firma była w stanie zareagować na incydent i pokazać, że wdrożenie realnie trwa. W pierwszej kolejności warto więc:

• zebrać choćby mały zespół albo wyznaczyć osobę, która koordynuje całość, i dać jej mandat zarządu,
• załatwić sprawy z listy „Co można robić równolegle”, czyli aktualizacja dostępów do systemu S46, zaświadczenia z KRK i kanał zgłoszeń dla klientów,
• spisać i przećwiczyć procedurę zgłaszania incydentu poważnego, bo ona musi działać od pierwszego dnia,
• przeszkolić zarząd, jeśli szkolenie jeszcze się nie odbyło,
• przeprowadzić szacowanie ryzyka i ułożyć plan wdrożenia pozostałych zabezpieczeń z konkretnymi datami, tak żeby w razie kontroli było widać, co jest zrobione, co trwa i kiedy się zakończy.

Plan z datami nie zastępuje wdrożenia, ale jest dużo lepszym punktem wyjścia do rozmowy z urzędem niż brak jakiegokolwiek planu.

Co dalej? Właściwe wdrożenie SZBI.

Kiedy zespół ma już plan, zaczyna się właściwa praca, czyli ta część, która zajmuje najwięcej czasu. W każdej firmie wygląda ona trochę inaczej, bo zależy od tego, co wyszło przy przeglądzie, ale zawsze dotyczy tych samych tematów.

Szacowanie ryzyka

Ustawa wymaga, żeby firma systematycznie szacowała ryzyko i nim zarządzała. Oznacza to regularną ocenę tego, co może zagrozić systemom, od których zależy działanie firmy i świadczenie usług, jak bardzo jest to prawdopodobne i jakie miałoby skutki dla firmy i jej klientów. To na tej podstawie dobiera się później zabezpieczenia, więc szacowanie ryzyka pokazuje, w co warto inwestować, a co byłoby przesadą.

Najprościej wziąć listę procesów, systemów i dostawców z kroku 2 i przy każdej pozycji zapisać, co realnie może się wydarzyć, na przykład zaszyfrowanie danych po kliknięciu w link z fałszywej faktury, awaria serwera z systemem sprzedaży albo utrata kontaktu z zewnętrznym dostawcą IT. Każde takie zdarzenie ocenia się według prawdopodobieństwa i skutków, choćby w prostej skali od niskiego do wysokiego, a potem decyduje, co z nim zrobić, czyli ograniczyć je zabezpieczeniem, przenieść część odpowiedzialności na dostawcę albo świadomie zaakceptować. Wyniki trzeba zapisać i wracać do nich regularnie, na przykład raz w roku i przy każdej istotnej zmianie w firmie.

Zabezpieczenia dopasowane pod ryzyka

Ustawa wymaga, żeby firma wdrożyła środki techniczne i organizacyjne, które są odpowiednie i proporcjonalne do oszacowanego ryzyka. Środki techniczne to wszystko, co działa w systemach i sprzęcie, na przykład kopie zapasowe, logowanie dwuetapowe czy aktualizacje. Środki organizacyjne to zasady i procedury, na przykład to, kto nadaje uprawnienia, co dzieje się z kontem osoby, która odchodzi z firmy, albo komu pracownik zgłasza podejrzanego maila.

Ustawa nie mówi przy tym, jaki program kupić ani jaki sprzęt postawić. Proporcjonalne oznacza dopasowane do ryzyka, wielkości firmy i kosztów, więc mała firma nie musi wdrażać tego samego rozwiązania co duża korporacja, ale musi umieć wyjaśnić, dlaczego wybrała takie, a nie inne rozwiązanie.

Najprościej wrócić do listy ryzyk i przy każdym z nich zastanowić się, co je ograniczy. Jeśli jednym z zagrożeń jest zaszyfrowanie danych po kliknięciu w link z fałszywej faktury, odpowiedzią może być szkolenie pracowników z rozpoznawania takich wiadomości, kopie zapasowe przechowywane osobno i regularnie sprawdzane oraz takie ustawienie uprawnień, żeby jedno kliknięcie nie dawało dostępu do wszystkich danych w firmie. Jedno ryzyko często wymaga kilku zabezpieczeń naraz, częściowo technicznych, a częściowo organizacyjnych.

Ustawa wymienia też czternaście obszarów, o które w szczególności trzeba zadbać. W praktyce sprowadzają się one do kilku pytań:

• czy wiemy co chronić i kto za co odpowiada,
• co może pójść nie tak, czyli jakie są największe zagrożenia,
• kto ma dostęp do systemów i pomieszczeń i czy ten dostęp jest odbierany, gdy ktoś odchodzi z firmy,
• czy pracownicy wiedzą, jak bezpiecznie pracować i komu zgłosić coś podejrzanego, czy są szkoleni z cyberbezpieczeństwa,
• czy wiemy, którzy dostawcy mają dostęp do Waszych systemów i co na temat bezpieczeństwa mówią umowy z nimi,
• czy systemy są aktualizowane i czy ktoś na bieżąco widzi, co się w nich dzieje,
• czy firma ma kopie zapasowe i plan, jak działać dalej w przypadku poważnej awarii,
• czy serwerownia jest chroniona przed osobami postronnymi, pożarem i zalaniem,
• czy wiemy jak reagować na incydenty,
• czy chronimy dane i komunikację,
• czy sprawdzamy, czy to wszystko działa, przeprowadzamy przeglądy, wykonujemy testy, oceniamy,

Przy każdym zabezpieczeniu warto zapisać, na które ryzyko odpowiada. Dzięki temu w razie kontroli łatwo pokazać, dlaczego wybraliście takie, a nie inne rozwiązania.

Dokumentacja bezpieczeństwa

Ustawa wymaga, żeby firma opracowała, stosowała i aktualizowała dokumentację bezpieczeństwa, i dzieli ją na dwie części. 

Pierwsza to dokumentacja normatywna, czyli opis usługi, systemów, infrastruktury i przyjętych zasad bezpieczeństwa, w tym planów ciągłości działania. 

Druga to dokumentacja operacyjna, czyli zapisy pokazujące, że te zasady są naprawdę stosowane, łącznie z dziennikami zdarzeń zapisywanymi automatycznie przez systemy. Dokumenty trzeba oznaczać kolejnymi wersjami, chronić przed osobami postronnymi i przechowywać co najmniej dwa lata od wycofania.

Nie chodzi jednak o pisanie opasłych tomów. Według ministerstwa dokumentacja może być papierowa albo elektroniczna i może składać się z jednego dokumentu albo z kilku. Jeśli firma ma już dokumenty z wdrożenia normy ISO 27001, można je wykorzystać i uzupełnić o wymagania ustawy.

Procedura zgłaszania incydentów

Ustawa wymaga, żeby firma obsługiwała incydenty i sama oceniała, czy dany incydent jest poważny, czyli czy może poważnie zakłócić działanie usług, narazić firmę na straty finansowe albo wyrządzić poważną szkodę klientom. Incydenty poważne trzeba zgłaszać przez system S46 do właściwego zespołu CSIRT. Jeżeli taki incydent wpływa na korzystanie z usługi przez klientów, firma ma obowiązek poinformować ich o jego wystąpieniu. Dodatkowo, gdy pojawi się poważne cyberzagrożenie, które może ich dotyczyć, powinna przekazać użytkownikom informacje o możliwych działaniach ochronnych, które mogą podjąć, aby ograniczyć ryzyko.

Ustawa wyznacza przy tym trzy terminy:

• W ciągu 24 godzin od wykrycia firma wysyła wczesne ostrzeżenie, czyli krótką informację, że coś się dzieje.
• W ciągu 72 godzin pełne zgłoszenie z tym, co już wiadomo.
• A w ciągu miesiąca od zgłoszenia sprawozdanie końcowe. 

Według ministerstwa czas liczy się od chwili, w której firma dowiedziała się o zdarzeniu, także wtedy, gdy informacja przyszła od dostawcy.

24 godziny to niewiele, zwłaszcza gdy incydent wydarzy się w nocy albo w weekend, dlatego tak ważna jest procedura, czyli spisany plan, który z góry mówi, kto co robi. Dobrze przygotowana procedura odpowiada na kilka pytań:

• komu pracownik zgłasza, że coś jest nie tak,
• kto ocenia, czy incydent jest poważny,
• kto loguje się do S46 i wysyła wczesne ostrzeżenie, a kto go zastępuje podczas urlopu,
• kto zbiera informacje do zgłoszenia i sprawozdania końcowego,
• kto informuje klientów.

Warto też zapisać w umowach z dostawcami IT, jak szybko i jaką drogą mają Was informować o incydentach. Od siebie polecamy przećwiczyć procedurę na próbnym scenariuszu.

Szkolenia pracowników

Oprócz corocznego szkolenia zarządu ustawa wymaga, żeby firma prowadziła edukację z zakresu cyberbezpieczeństwa dla wszystkich pracowników i dbała o podstawowe zasady cyberhigieny, czyli bezpiecznej codziennej pracy z systemami i urządzeniami. Według ministerstwa ma to być edukacja prowadzona na bieżąco, dopasowana do obowiązków pracowników i procedur firmy, z przykładami prawdziwych zagrożeń, a nie jednorazowy wykład raz na kilka lat.

Dobrym rozwiązaniem jest krótkie szkolenie dla wszystkich na start, a potem regularne przypomnienia, na przykład przy wprowadzaniu nowej procedury albo po głośnym incydencie w branży. Każdy pracownik powinien też wiedzieć, komu zgłosić podejrzanego maila, bo najlepiej zabezpieczona sieć niewiele pomoże, jeśli ktoś w księgowości kliknie w link z fałszywej faktury i nikomu o tym nie powie. Listy obecności i materiały ze szkoleń warto przechowywać, bo są jednym z dowodów dla urzędu.

Dowody i przegląd przed terminem

Ustawa wymaga dokumentacji operacyjnej, czyli zapisów potwierdzających, że zasady bezpieczeństwa są w firmie stosowane. Według ministerstwa podczas kontroli liczy się „udowodnienie stosowania przepisów ustawy a nie przedstawienie formalnie poprawnych dokumentów”, a dowodem mogą być procedury, upoważnienia i zakresy obowiązków, ale także relacje samych pracowników.

Przykłady takich dowodów podaliśmy w harmonogramie wyżej. Od siebie radzimy, żeby kilka tygodni przed 3 kwietnia 2027 r. spojrzeć na całość oczami urzędnika, który przychodzi na kontrolę, przejść listę wymagań jeszcze raz i przy każdym punkcie sprawdzić, czy macie coś więcej niż deklarację.

Rejestracja w wykazie była najprostszym krokiem i masz ją już za sobą. Teraz najważniejsze jest, żeby nie zostawiać reszty na ostatnią chwilę. Zbudujcie zespół, sprawdźcie, co już macie, spiszcie, czego brakuje, i ułóżcie plan rozpisany od końca. Z takim planem 3 kwietnia 2027 r. przestaje być datą, której trzeba się obawiać, a staje się po prostu kolejnym terminem w firmowym kalendarzu.

Szukasz partnera, który przeprowadzi firmę przez KSC?

Wdrożenie obowiązków z ustawy o KSC dotyczy jednocześnie serwerów, umów z dostawcami, kadr, szkoleń i pomieszczeń technicznych. Część tych rzeczy da się zrobić własnymi siłami, a przy części dobrze mieć obok kogoś, kto zna tę drogę z praktyki.

Możemy pomóc na każdym etapie opisanym w tym artykule. Zwykle zaczynamy od audytu, który pokazuje, na czym stoicie i czego brakuje, potem wspólnie układamy plan na kwiecień 2027 r., a jeśli trzeba, wdrażamy też konkretne rozwiązania, takie jak szkolenia dla zarządów i pracowników, kopie zapasowe czy kontrola dostępu do pomieszczeń. Wymagania, przy których pomagamy, znamy również z własnej praktyki, bo sami utrzymujemy system zarządzania bezpieczeństwem informacji certyfikowany na zgodność z ISO/IEC 27001.

Jeśli chcesz porozmawiać o tym, od czego zacząć w Twojej firmie, albo potrzebujesz wsparcia tylko przy jednym z kroków, pogadajmy.

Plan na kwiecień 2027 r. ułożymy razem z Wami. Porozmawiajmy.

(+48) 790 213 841 Izabela Gorwa Data Protection Supervisor