Wdrożenie ustawy o KSC bez korporacyjnego budżetu: co najpierw, co może poczekać i kto odpowiada

Dlaczego „wszystko naraz” nie działa

Art. 8 wymienia kilkanaście obszarów środków. Próba wdrożenia ich równolegle w kilkuosobowym zespole kończy się zwykle stosem niewdrożonych dokumentów i sparaliżowaną codzienną pracą IT. Ustawa daje czas do 3 kwietnia 2027 r. (lub 12 miesięcy od spełnienia przesłanek – art. 16). Ten czas warto rozłożyć etapami, zaczynając od obowiązków terminowych i od środków, które najbardziej zmniejszają ryzyko.

Etap 0: obowiązki z twardym terminem (teraz)

• Status i wniosek o wpis do 3.10.2026 (lub 6 miesięcy od spełnienia przesłanek) (art. 7c).
• Osoby do kontaktu: co najmniej dwie, w mikro- i małych firmach co najmniej jedna (art. 9 ust. 1–2).
• Decyzja zarządu: kto odpowiada za cyberbezpieczeństwo, jaki jest budżet i harmonogram. W organie wieloosobowym bez wskazanej osoby odpowiadają wszyscy (art. 8c ust. 2).

Etap 1: zakres i analiza luk – bez wydawania fortuny

Zakres: usługi, nie cała firma

SZBI dotyczy systemu informacyjnego wykorzystywanego w procesach wpływających na świadczenie usługi (art. 8 ust. 1). Zacznij od pytania: które usługi sprawiają, że podlegamy ustawie? Dla każdej wypisz procesy, systemy, dane, lokalizacje i kluczowych dostawców. Wystarczy arkusz – szczegóły dopiszesz później.

Inwentaryzacja w wersji „wystarczająco dobrej”

• serwery, sieć, stacje robocze i urządzenia mobilne – liczby i właściciele, bez spisywania każdego kabla;
• aplikacje i usługi chmurowe, od których zależy usługa;
• konta uprzywilejowane i dostęp zdalny;
• dostawcy ICT z informacją, do czego mają dostęp.

Szybka analiza luk

Weź listę obszarów z art. 8 ust. 1 pkt 2 lit. a–n i dla każdego oceń w prostej skali: „jest i działa”, „jest częściowo”, „brak”. Dopisz dowód, np. konfigurację, raport czy protokół. Często okazuje się, że wiele elementów już działa (kopie zapasowe, antywirus, aktualizacje), tylko nikt ich nie opisał ani nie sprawdza.

Etap 2: pakiet minimum od pierwszego dnia

Te elementy najbardziej zmniejszają ryzyko typowych ataków (ransomware, przejęcie kont, phishing) i są potrzebne do spełnienia obowiązków zgłoszeniowych:

Etap 3: dokumentacja, która działa

Ustawa rozróżnia dokumentację normatywną (SZBI, ochrona infrastruktury, ciągłość działania, dokumentacja techniczna) i operacyjną, czyli zapisy potwierdzające wykonywanie czynności, w tym automatyczne logi systemów (art. 10 ust. 2–4). Wynikają z tego trzy praktyczne wnioski:

1. Krótko i zgodnie z praktyką. Polityka ma opisywać, jak firma rzeczywiście działa. Szablon z internetu, którego nikt nie stosuje, jest dowodem przeciwko firmie, a nie za nią.
2. Dowody ważniejsze niż objętość. Organ może żądać dowodów realizacji wymogów (art. 53 ust. 2 pkt 6). Protokół z testu odtworzenia kopii jest cenniejszy niż dziesięć stron polityki.
3. Nadzór nad dokumentacją: dostęp tylko dla upoważnionych, ochrona przed utratą, wersjonowanie; przechowywanie co najmniej 2 lata od wycofania z użytkowania (art. 10 ust. 6–7).

Etap 4: co może poczekać (ale nie za długo)

• pełny plan ciągłości działania z testami wszystkich scenariuszy (na start: scenariusz ransomware i awarii kluczowego dostawcy);
• całodobowe monitorowanie – w małej firmie realne często tylko przez usługę MSSP;
• rozbudowane polityki kryptografii i klasyfikacji informacji;
• audyty dostawców na miejscu (na start wystarczą ankiety i zapisy umowne);
• audyt zewnętrzny – obowiązkowy dla podmiotów kluczowych, pierwszy do 3.04.2028 (art. 15, art. 33 ust. 2 ustawy nowelizującej).

Kto za co odpowiada

Rozmowa z dostawcami bez budżetu korporacji

• Zacznij od kilku dostawców krytycznych (hosting, IT, oprogramowanie usługowe), a nie od wszystkich.
• Krótka ankieta (10–15 pytań) zamiast 200-punktowego kwestionariusza: MFA, kopie, aktualizacje, informowanie o incydentach, podwykonawcy, lokalizacja danych.
• Przy odnowieniu umów dodawaj klauzule: termin powiadomienia o incydencie (krótszy niż twoje 24 h), dostęp do logów, obowiązek współpracy przy obsłudze incydentu, prawo do audytu lub raportu.
• Dostawcy obsługujący wielu klientów objętych NIS2 często mają już gotowe pakiety dokumentów – poproś o nie.

Pięć najczęstszych błędów

1. Zakup narzędzia przed analizą ryzyka – drogi system, który nie odpowiada na realne ryzyka firmy.
2. „Półkowniki” – polityki z internetu, niezgodne z praktyką i przez nikogo niestosowane.
3. Delegowanie wszystkiego na IT – bez decyzji i budżetu zarządu wdrożenie stoi, a odpowiedzialność i tak zostaje przy kierowniku.
4. Brak testów – kopie, których nikt nie odtworzył, i procedura incydentu, której nikt nie przećwiczył.
5. Pominięcie terminów formalnych – wniosek o wpis, osoby do kontaktu, szkolenie kierownictwa.

Realistyczny harmonogram do 3 kwietnia 2027 r.

• do 3.10.2026Status, wniosek o wpis, osoby do kontaktu, decyzja zarządu o odpowiedzialności i budżecie.
• październik–listopad 2026Zakres, inwentaryzacja, analiza luk i ryzyka, plan postępowania z ryzykiem.
• grudzień 2026 – styczeń 2027Pakiet minimum: kopie z testem odtworzenia, MFA, aktualizacje, logi, procedura incydentów, kanał zgłoszeń dla klientów.
• luty–marzec 2027Dokumentacja (polityki zgodne z praktyką), ciągłość działania, ocena dostawców, szkolenia zarządu i personelu.
• do 3.04.2027Przegląd zarządu, uzupełnienie luk, komplet dowodów w teczce dowodowej.
• 2027–2028Doskonalenie, testy, w podmiotach kluczowych przygotowanie do audytu.