Hasło „NIS2” może wywoływać wśród przedsiębiorców skojarzenia z kolejnymi obowiązkami, rozbudowaną dokumentacją i kosztownymi inwestycjami w technologie. W praktyce przygotowanie firmy do nowych wymagań nie powinno jednak zaczynać się od nerwowego kupowania systemów bezpieczeństwa. Pierwszym krokiem jest sprawdzenie, czy organizacja podlega przepisom, zrozumienie najważniejszych ryzyk i uporządkowanie sposobu zarządzania cyberbezpieczeństwem.

Dyrektywa NIS2 ma zwiększyć odporność organizacji, które świadczą usługi istotne dla gospodarki, administracji i codziennego funkcjonowania społeczeństwa. W Polsce jej wymagania zostały wdrożone poprzez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa, która weszła w życie 3 kwietnia 2026 roku. Przepisy obejmują podmioty kluczowe i podmioty ważne, działające m.in. w energetyce, transporcie, ochronie zdrowia, produkcji, gospodarce odpadami, sektorze żywnościowym, chemicznym, usługach cyfrowych i telekomunikacji.

Dla przedsiębiorcy najważniejsza informacja brzmi: NIS2 nie jest wyłącznie projektem informatycznym. Dotyczy organizacji całej firmy, odpowiedzialności kierownictwa, ciągłości działania, współpracy z dostawcami, szkoleń pracowników oraz gotowości na incydenty. Dobrze przeprowadzone wdrożenie może nie tylko zapewnić zgodność z przepisami, ale także zmniejszyć ryzyko przestojów, utraty danych i kosztownych kryzysów.

Najpierw ustal, czy i w jakim zakresie firma podlega przepisom

Nie każda firma automatycznie staje się podmiotem objętym nowymi obowiązkami. Kwalifikacja zależy przede wszystkim od rodzaju prowadzonej działalności, rzeczywistego zakresu świadczonych usług, wielkości przedsiębiorstwa oraz szczególnych kryteriów wskazanych w ustawie.

Dlatego przygotowania warto rozpocząć od samoidentyfikacji. Należy sprawdzić, czy firma działa w jednym z sektorów wymienionych w załącznikach do ustawy o krajowym systemie cyberbezpieczeństwa. Pomocne mogą być kody PKD, ale nie powinny stanowić jedynej podstawy oceny. Decydujące znaczenie ma rzeczywisty charakter działalności, w tym rodzaj produktów, usług oraz odbiorców.

Kolejnym elementem jest określenie wielkości przedsiębiorstwa. Przy analizie bierze się pod uwagę liczbę zatrudnionych, obrót lub sumę bilansową, a w niektórych przypadkach także przedsiębiorstwa powiązane i partnerskie. Ustawa przewiduje również sytuacje, w których organizacja może podlegać przepisom niezależnie od wielkości. Dotyczy to na przykład przedsiębiorców telekomunikacyjnych.

Warto także pamiętać o wpływie NIS2 na łańcuch dostaw. Firma może nie spełniać kryteriów podmiotu kluczowego lub ważnego, ale nadal odczuć skutki nowych regulacji jako dostawca większej organizacji. Klienci objęci ustawą będą musieli oceniać bezpieczeństwo swoich partnerów, usługodawców technologicznych, dostawców oprogramowania, centrów danych czy firm odpowiadających za utrzymanie infrastruktury.

W praktyce może to oznaczać dodatkowe pytania w przetargach, ankiety bezpieczeństwa, wymagania dotyczące kopii zapasowych, zarządzania dostępami, aktualizacji systemów, zgłaszania incydentów czy ciągłości świadczenia usług. Cyberbezpieczeństwo coraz częściej będzie więc nie tylko wymogiem prawnym, lecz także warunkiem utrzymania kontraktu.

Błędem byłoby zarówno zignorowanie przepisów, jak i założenie z góry, że firma na pewno im podlega. Rzetelna analiza pozwala określić rzeczywisty zakres obowiązków, uniknąć zbędnych kosztów i zaplanować działania proporcjonalne do skali organizacji oraz występującego ryzyka.

NIS2 to nie zakup programu, lecz uporządkowanie sposobu działania

Jednym z najczęstszych nieporozumień jest przekonanie, że zgodność z NIS2 można osiągnąć poprzez zakup jednego systemu zabezpieczającego. Tymczasem regulacje wymagają zastosowania odpowiednich i proporcjonalnych środków technicznych, operacyjnych oraz organizacyjnych. Nie istnieje jeden produkt, który automatycznie rozwiąże wszystkie problemy.

Technologia jest ważna, ale powinna wynikać z analizy ryzyka. Firma musi najpierw wiedzieć, jakie systemy i informacje są dla niej krytyczne, jakie zagrożenia mogą zakłócić działalność oraz jakie byłyby konsekwencje awarii, utraty danych lub niedostępności usług.

Podstawą jest więc aktualna wiedza o własnym środowisku. Organizacja powinna posiadać uporządkowany wykaz urządzeń, systemów, aplikacji, kont, danych oraz usług zewnętrznych. Trudno zabezpieczyć zasoby, o których istnieniu nikt formalnie nie wie albo za które nikt nie czuje się odpowiedzialny.

Następnym obszarem jest zarządzanie dostępem. Pracownicy powinni otrzymywać wyłącznie takie uprawnienia, które są potrzebne do wykonywania obowiązków. Konta nieużywane należy usuwać, dostęp administratorów kontrolować, a w uzasadnionych przypadkach stosować uwierzytelnianie wieloskładnikowe. NIS2 wskazuje również na znaczenie kryptografii, bezpieczeństwa personelu i zarządzania aktywami.

Równie ważna jest ciągłość działania. Samo wykonywanie kopii zapasowych nie wystarczy, jeśli firma nigdy nie sprawdziła, czy dane można skutecznie odzyskać. Potrzebne są zasady tworzenia i ochrony backupów, testy odtwarzania, plan działania w razie awarii oraz określenie, które procesy muszą zostać uruchomione w pierwszej kolejności.

Przykładowo przedsiębiorstwo produkcyjne powinno wiedzieć, jak długo może funkcjonować bez systemu magazynowego, dostępu do dokumentacji technicznej lub oprogramowania sterującego. Firma usługowa musi natomiast określić, co zrobi w przypadku utraty poczty elektronicznej, systemu CRM, plików klientów albo możliwości wystawiania faktur.

Regulacje zwracają również uwagę na obsługę incydentów i bezpieczeństwo łańcucha dostaw. Organizacja powinna wiedzieć, kto podejmuje decyzje w sytuacji kryzysowej, kto kontaktuje się z dostawcami, kto odpowiada za komunikację z klientami oraz w jaki sposób dokumentowane i zgłaszane są poważne incydenty. Należy też ocenić zależność od zewnętrznych dostawców, w szczególności tych, którzy mają dostęp do systemów, przechowują dane lub świadczą usługi niezbędne do działania firmy.

Nie można pominąć czynnika ludzkiego. Wiele incydentów zaczyna się od kliknięcia fałszywego linku, użycia słabego hasła, przesłania dokumentu niewłaściwej osobie albo wykonania polecenia przestępcy podszywającego się pod przełożonego. Dlatego szkolenie nie powinno ograniczać się do jednorazowej prezentacji. Skuteczniejsze są krótsze, regularne działania, ćwiczenia phishingowe oraz jasne instrukcje pokazujące pracownikom, gdzie i jak zgłosić podejrzaną sytuację.

Odpowiedzialność za cyberbezpieczeństwo nie może spoczywać wyłącznie na informatyku lub zewnętrznej firmie IT. Kierownictwo powinno zatwierdzać najważniejsze działania, rozumieć ryzyko i nadzorować wdrożenie zabezpieczeń. Dyrektywa NIS2 wprost podkreśla rolę organów zarządzających oraz potrzebę podnoszenia ich kompetencji.

Jak przejść od obowiązku do gotowego planu wdrożenia?

Najbezpieczniejszym podejściem jest podzielenie całego procesu na etapy. Próba rozwiązania wszystkich problemów jednocześnie zwykle prowadzi do chaosu, przypadkowych zakupów i dokumentacji, która dobrze wygląda jedynie na papierze.

Pierwszym etapem powinna być analiza zakresu. Firma ustala, czy jest podmiotem kluczowym lub ważnym, które usługi są objęte ustawą oraz jakie obowiązki formalne musi spełnić. Podmioty spełniające kryteria w dniu wejścia w życie nowelizacji powinny dokonać wpisu do Wykazu KSC do 3 października 2026 roku. Zasadniczy termin wdrożenia nowych obowiązków oraz podłączenia do systemu S46 upływa 3 kwietnia 2027 roku.

Drugi etap to audyt obecnego stanu. Nie powinien sprowadzać się wyłącznie do skanowania sieci. Należy przeanalizować organizację odpowiedzialności, procedury, zabezpieczenia techniczne, kopie zapasowe, dostawców, umowy, sposób zarządzania dostępem oraz gotowość do działania w sytuacji kryzysowej.

Trzecim krokiem jest ocena ryzyka i ustalenie priorytetów. Nie każda luka wymaga natychmiastowej, kosztownej inwestycji. Najpierw należy zająć się problemami, które mogą doprowadzić do zatrzymania działalności, utraty najważniejszych danych albo przejęcia uprzywilejowanych kont.

Czwarty etap obejmuje stworzenie i wdrożenie Systemu Zarządzania Bezpieczeństwem Informacji. Dokumentacja powinna opisywać rzeczywisty sposób działania firmy. Procedura reagowania na incydent nie będzie przydatna, jeżeli wymaga kontaktu z osobą, która nie pracuje już w organizacji, albo odwołuje się do systemu, który został dawno wycofany.

Piątym krokiem są wdrożenia techniczne i organizacyjne: uporządkowanie dostępów, aktualizacje, segmentacja sieci, zabezpieczenie kopii zapasowych, monitoring, uwierzytelnianie wieloskładnikowe, szkolenia i weryfikacja dostawców. Zakres powinien wynikać z ryzyka, a nie z katalogu dostępnych produktów.

Ostatni etap to regularne sprawdzanie skuteczności. Cyberbezpieczeństwo nie jest projektem, który kończy się podpisaniem dokumentów. Zmieniają się systemy, pracownicy, dostawcy i zagrożenia. Dlatego potrzebne są cykliczne przeglądy, testy odzyskiwania danych, ćwiczenia reagowania na incydenty oraz aktualizowanie oceny ryzyka.

Senicom może przeprowadzić firmę przez cały proces – od określenia, czy organizacja podlega przepisom, przez audyt i ocenę ryzyka, po przygotowanie procedur, modernizację zabezpieczeń, szkolenia oraz stałe monitorowanie środowiska IT. Dzięki temu wdrożenie NIS2 nie musi być chaotyczną reakcją na nowe prawo. Może stać się okazją do uporządkowania bezpieczeństwa, ograniczenia ryzyka biznesowego i zbudowania organizacji, która sprawniej radzi sobie z awariami oraz cyberatakami.

Najważniejsze jest rozpoczęcie działań od właściwej diagnozy. NIS2 nie wymaga paniki, lecz planu, jasno przypisanej odpowiedzialności i konsekwentnego podnoszenia odporności firmy. Im wcześniej organizacja pozna swoje słabe punkty, tym więcej czasu będzie miała na wdrożenie zmian w rozsądny i kontrolowany sposób.