Wdrożenie NIS2 | Audyt zerowy i zgodność z KSC

Przeprowadzamy firmy
przez NIS2

3 kwietnia 2026 r. weszła w życie nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (uKSC), która wdraża w Polsce dyrektywę NIS2 i przenosi odpowiedzialność za cyberbezpieczeństwo wprost na zarządy firm.

Pomagamy ustalić, czy podlegasz nowym przepisom, czego Ci brakuje do zgodności i jak dostosować się w ustawowym terminie.

Nowa ustawa o KSC już obowiązuje

Nowelizacja ustawy o KSC zmienia logikę systemu. Koniec z decyzjami administracyjnymi wskazującymi „operatorów usług kluczowych”.

Teraz to firma sama musi ocenić, czy podlega ustawie (samoidentyfikacja), zarejestrować się i wdrożyć wymagane środki.

Harmonogram jest konkretny i już biegnie:

do 3 października 2026 r. – samoidentyfikacja i wniosek o wpis do wykazu podmiotów kluczowych i ważnych (przez system S46),
do 3 kwietnia 2027 r. – wdrożenie systemu zarządzania bezpieczeństwem informacji (SZBI) i pozostałych obowiązków ustawy,
do 3 kwietnia 2028 r. – pierwszy audyt bezpieczeństwa dla podmiotów kluczowych (kolejne co najmniej co 3 lata).

Dwanaście miesięcy na wdrożenie brzmi bezpiecznie. W praktyce, między audytem, decyzjami budżetowymi, wdrożeniami technicznymi, dokumentacją i szkoleniami, to harmonogram, który wybacza niewiele.

wdrożenie nis2 uksc audyt zerowy dla firm zielona góra

Podmiot kluczowy

Ustawa dzieli objęte firmy i instytucje na podmioty kluczowe i podmioty ważne. O kwalifikacji decydują dwa kryteria łącznie – sektor działalności i wielkość przedsiębiorstwa.

Sektory (przykłady)

Energetyka, transport, bankowość, ochrona zdrowia, woda pitna i ścieki, infrastruktura cyfrowa, zarządzanie usługami ICT, administracja publiczna, przestrzeń kosmiczna.

Próg wielkości

Co najmniej średnie przedsiębiorstwo (od 50 pracowników lub 10 mln EUR obrotu).

W sektorach kluczowych z reguły duże.

Część podmiotów niezależnie od wielkości (np. dostawcy usług DNS, kwalifikowani dostawcy usług zaufania).

Nadzór

Pełny, organ może kontrolować także bez incydentu.

Zarządzanie ryzykiem i SZBI

Analiza ryzyka, polityki bezpieczeństwa, środki techniczne i organizacyjne adekwatne do zagrożeń, w tym bezpieczeństwo łańcucha dostaw.

Wykrywanie i zgłaszanie incydentów

Wczesne ostrzeżenie do właściwego CSIRT w ciągu 24 godzin, raport w ciągu 72 godzin, raport końcowy po obsłudze incydentu.

Żeby zgłosić incydent w 24 godziny, trzeba go najpierw wykryć, a to wymaga stałego monitorowania.

Ciągłość działania

Kopie zapasowe, plany odtworzenia po awarii, zarządzanie kryzysowe.

Szkolenia

Obowiązkowa, regularna edukacja pracowników oraz udokumentowane szkolenia kadry kierowniczej.

Odpowiedzialność kierownictwa

Zarząd zatwierdza środki zarządzania ryzykiem, nadzoruje ich wdrożenie i odpowiada osobiście za zaniechania. To już nie jest „temat działu IT”.

obsługa informatyczna firm opieka IT zielona góra

Kary, dlaczego tym razem nikt nie macha ręką

Poprzednia ustawa o KSC straszyła karami raczej symbolicznie.

Nowelizacja zmienia skalę:

podmioty kluczowe: do 10 mln EUR lub 2% całkowitego rocznego obrotu światowego (wyższa z kwot),
podmioty ważne: do 7 mln EUR lub 1,4% obrotu,
kierownictwo: osobiste kary pieniężne za niedopełnienie obowiązków oraz, przy rażących naruszeniach, czasowy zakaz pełnienia funkcji kierowniczych.

Kary są powiązane z obrotem, więc rosną razem z firmą. Dla zarządu oznacza to, że koszt dostosowania trzeba porównywać nie z ceną audytu, lecz z ryzykiem sankcji i przestoju po incydencie, i to porównanie zawsze wychodzi na korzyść dostosowania.

Czym jest audyt zerowy?

Audyt zerowy (nazywany też analizą luk lub gap analysis) to odpowiedź na pierwsze pytanie każdego zarządu po lekturze ustawy: „dobrze, ale co to znaczy dla nas?”.

To uporządkowana diagnoza, która w kilka tygodni zamienia niepewność w plan działania. Ustala, czy podlegasz ustawie, czego Ci brakuje do zgodności i ile będzie kosztować dostosowanie.

Większość pracy wykonujemy zdalnie, bez zakłócania codziennej działalności firmy, a raport omawiamy z Tobą na spotkaniu.

Status prawny

Czy i w jakiej kategorii Twoja organizacja podlega ustawie, z uzasadnieniem, które obroni się przed organem nadzoru. Rozstrzygamy też przypadki nieoczywiste np. grupy kapitałowe, działalność mieszaną, spółki IT obsługujące grupę.

Stan faktyczny bezpieczeństwa

Polityki i dokumentacja, zarządzanie ryzykiem, zdolność wykrywania incydentów, kopie zapasowe i ciągłość działania, kontrola dostępu, łańcuch dostaw, świadomość pracowników.

Rozjazd względem wymagań

Mapujemy stan obecny punkt po punkcie na obowiązki ustawy o KSC. Każda luka dostaje priorytet i poziom ryzyka. Co pali się dziś, a co może poczekać do przyszłego kwartału.

Co dostajesz w ramach audytu zerowego?

Efektem audytu zerowego są trzy dokumenty, z którymi można od razu pracować.

Raport luk – konkretna lista braków z priorytetami, napisana językiem zrozumiałym i dla zarządu, i dla informatyka.
Plan dostosowania – co, w jakiej kolejności i do kiedy, spięty z ustawowym harmonogramem, gotowy do wpisania w budżet i kalendarz.

I najważniejsze, audyt zerowy do niczego nie zobowiązuje. Raport i plan możesz zrealizować własnymi siłami lub z innym partnerem. Choć oczywiście chętnie pomożemy dalej.

usługi data center centrum danych polska zielona góra

Start

Krótkie spotkanie o zakresie, dostępach, harmonogramie.

Analiza

Przegląd dokumentacji i infrastruktury, wywiady z osobami odpowiedzialnymi za IT i bezpieczeństwo.

Analiza luk

Mapowanie stanu faktycznego na wymagania ustawy, priorytetyzacja.

Omówienie

Prezentacja raportu i planu na spotkaniu z zarządem, odpowiedzi na pytania.

Zacznij od audytu zerowego

Jedna rozmowa wystarczy, żeby ustalić zakres i wycenić audyt dla Twojej organizacji.

Skontaktuj się

Dlaczego GAMP?

Zgodność z NIS2 to maraton, nie sprint. Wybierasz partnera na lata.

Nasze argumenty:

27 lat doświadczenia w IT dla firm i sektora publicznego,
własny SOC w Polsce,
własne data center Tier III w Zielonej Górze,
certyfikat ISO 27001, czyli sami przeszliśmy rygor systemu zarządzania bezpieczeństwem, który pomagamy wdrażać innym,
bezpieczeństwo cyfrowe i fizyczne (kontrola dostępu, CCTV) z jednej ręki, a ustawa wymaga obu.

data center centrum danych polska lubuskie

Gdzie pomagamy we wdrożeniu NIS2?

Naszą bazą jest Zielona Góra, a głównym terenem działania województwo lubuskie i województwa ościenne.

Audyty zgodności i wsparcie wdrożeniowe realizujemy jednak w całej Polsce.

Znaczną część prac prowadzimy zdalnie, a na miejscu jesteśmy wtedy, kiedy to naprawdę potrzebne.

Więcej o nas

Jak sprawdzić, czy moja firma podlega NIS2 / ustawie o KSC?

Zestaw swój sektor działalności z załącznikami nr 1 i 2 do ustawy, a wielkość firmy z progami dla średniego przedsiębiorstwa (od ok. 50 pracowników lub 10 mln EUR obrotu).

Jeśli oba warunki są spełnione – podlegasz i musisz się zarejestrować.

Uwaga na wyjątki. Część podmiotów (np. dostawcy usług DNS czy MSSP) podlega niezależnie od zasady ogólnej lub od niższych progów, a organ może objąć ustawą także mniejszą firmę o znaczeniu systemowym.

W niejednoznacznych przypadkach, grupy kapitałowe, działalność mieszana, warto zlecić analizę. Błędna samoocena w obie strony kosztuje.

Do kiedy trzeba się dostosować?

Terminy liczą się od wejścia ustawy w życie (3 kwietnia 2026 r.): rejestracja w wykazie do 3 października 2026 r., wdrożenie systemu zarządzania bezpieczeństwem informacji i pozostałych obowiązków do 3 kwietnia 2027 r., a pierwszy audyt bezpieczeństwa (podmioty kluczowe) do 3 kwietnia 2028 r.

Jeśli firma zacznie spełniać kryteria później np. przez wzrost zatrudnienia, terminy biegną od tego momentu.

Co grozi zarządowi za brak zgodności?

Ustawa wprowadza osobistą odpowiedzialność kierownika podmiotu.

Za niedopełnienie obowiązków z zakresu cyberbezpieczeństwa organ może nałożyć na niego karę pieniężną, a przy rażących naruszeniach – czasowy zakaz pełnienia funkcji kierowniczych.

Do tego dochodzi obowiązek odbywania udokumentowanych szkoleń. W praktyce oznacza to, że zarząd nie może już delegować tematu „w dół” i o nim zapomnieć. Musi zatwierdzać środki zarządzania ryzykiem i nadzorować ich wdrożenie.

Mamy dział IT, po co nam zewnętrzne wsparcie przy NIS2?

Dział IT zna infrastrukturę, ale zgodność z KSC to w połowie praca prawno-organizacyjna.

Kwalifikacja podmiotu, dokumentacja SZBI, procedury zgłaszania incydentów, dowody dla organu nadzoru.

Zewnętrzny audyt daje też świeże spojrzenie, luki najtrudniej widzi ten, kto z nimi pracuje na co dzień.

Najlepsze wdrożenia robimy właśnie ramię w ramię z wewnętrznym IT. My wnosimy metodykę i doświadczenie regulacyjne, dział IT znajomość środowiska.