Eksploruj model — ścieżki zgodności
Jak spełnić obowiązki KSC? Od przepisu do konkretnego rozwiązania — w pięciu krokach
Ustawa mówi, co musicie osiągnąć — nie mówi, jak. Ścieżka zgodności to nasza odpowiedź na to „jak": każdy obowiązek ustawowy rozkładamy na atomowe wymagania, każde wymaganie wskazuje kontrole uznanych standardów (ISO/IEC 27001, NIST CSF 2.0), a kontrole prowadzą do konkretnych rozwiązań — narzędzi i szablonów dokumentów. Każde połączenie ma zapisane uzasadnienie, więc ścieżkę można pokazać audytorowi, nie tylko sobie.
W skrócie:
Ta strona pokazuje, jak czytać ścieżki. Każda ścieżka zaczyna się od bloku „Kogo wiąże ten obowiązek?" — zanim zobaczycie wymagania, wiecie, czy to Wasz obowiązek, czy tylko wzorzec (np. rozporządzenie CIR wiąże wprost wyłącznie dostawców cyfrowych). Każdy obowiązek z SZBI, łańcucha dostaw czy obsługi incydentów dostaje własną ścieżkę — generowaną z żywego modelu prawnego IRNIS, nie rysowaną ręcznie. Katalog niżej liczy 87 obowiązków ustawy o KSC i rozporządzenia CIR; 87 ma już gotowe ścieżki.
Jak to czytać
Pięć warstw każdej ścieżki
Zawsze ten sam układ, od lewej do prawej: od tekstu prawnego do rzeczy, którą da się kupić, wdrożyć albo podpisać.
1 · Przepis
Co mówi prawo
Artykuł ustawy, dyrektywy lub rozporządzenia — z dokładnym adresem, do zacytowania.
2 · Obowiązek
Co musicie osiągnąć
Nazwany obowiązek podmiotu, z klasą (kluczowy/ważny), do której się stosuje.
3 · Wymaganie
Co dokładnie znaczy
Obowiązek rozłożony na atomowe, weryfikowalne zdania — to o nie zapyta audytor.
4 · Kontrola
Jak mierzy to standard
Odpowiedniki w ISO/IEC 27001 i NIST CSF 2.0 — język wspólny z certyfikacją i audytem.
5 · Rozwiązanie
Czym to zrealizować
Kategoria rozwiązań i konkretne propozycje: narzędzie, usługa albo szablon dokumentu.
Przykład na żywych danych
Ścieżka: Bezpieczeństwo łańcucha dostaw — wymaganie 9 z 30
Jedno z 30 wiążących wymagań obowiązku „Bezpieczeństwo łańcucha dostaw" (WYM_CIR_ZAL_5_09) — prześledzone od przepisu do konkretnych kontroli i rozwiązań. Pełna ścieżka: Bezpieczeństwo łańcucha dostaw →
przepis
obowiązek
wymaganie
kontrola standardu
rozwiązanie
Diagram wygenerowany z żywego modelu IRNIS przy publikacji tej strony.
Każda strzałka na tym diagramie ma w modelu pisemne uzasadnienie i ocenę jakości dopasowania — „realizuje wprost" to co innego niż „jeden ze sposobów realizacji". Audytor nie musi wierzyć nam na słowo.
Po co ta drabina
Co zyskujecie na każdej warstwie
Każda warstwa odpowiada innej osobie w Waszej organizacji — i innemu pytaniu audytora.
| Warstwa | Na czyje pytanie odpowiada | Co dzięki niej macie |
|---|---|---|
| Przepis | prawnik: „skąd ten obowiązek?" | dokładny adres prawny do zacytowania w polityce i wobec organu |
| Obowiązek | zarząd: „co musimy, a czego nie?" | zamkniętą listę obowiązków Waszej klasy podmiotu — bez nadmiaru |
| Wymaganie | audytor: „jak rozumiecie ten obowiązek?" | atomowe zdania weryfikowalne pojedynczo — gotowa struktura audytu |
| Kontrola | pełnomocnik SZBI: „czy nasze ISO to pokrywa?" | przełożenie na język ISO 27001 / NIST CSF — reużycie tego, co już macie |
| Rozwiązanie | IT i zakupy: „czym to zrobić i za ile?" | konkretne narzędzia i szablony — punkt startu wyceny wdrożenia |
Skąd się to bierze
To nie infografika — to widok żywego modelu
Ścieżki nie są rysowane ręcznie. Są zapisane w modelu prawnym IRNIS i generowane na stronę przy każdej publikacji.
Model, nie prezentacja
Wymagania, kontrole i połączenia żyją w jednym, wersjonowanym modelu. Gdy zmienia się ustawa albo standard, zmienia się model — a wszystkie ścieżki na portalu przeliczają się same.
Każda krawędź z uzasadnieniem
Połączenie wymaganie → kontrola to w modelu osobny zapis z pisemnym uzasadnieniem i oceną dopasowania. Wiadomo też, czego kontrola nie pokrywa — to równie ważne, jak to, co pokrywa.
Rozwiązania z rekomendacją
Warstwa rozwiązań wskazuje sprawdzone narzędzia open source i autorskie szablony dokumentów Inteca — z jawną informacją, które rozwiązanie rekomendujemy i dlaczego.
Co dalej
Katalog ścieżek — po jednej dla każdego obowiązku
Ścieżkę dostaje każdy obowiązek, który wiąże podmiot w Polsce. Katalog generuje się automatycznie i dzieli na dwa akty, które faktycznie Was obowiązują: ustawę o KSC (każdy podmiot kluczowy i ważny) oraz rozporządzenie CIR (tylko dostawcy cyfrowi). Filtr klasy podmiotu pokazuje tylko to, co Was wiąże. Lista, podstawy prawne i liczby wymagań są liczone z żywego modelu przy każdej publikacji, nie wypisywane ręcznie.
Pokaż ścieżki dla:
Ustawa o KSC (UKSC)
wiąże każdy podmiot kluczowy i ważny w Polsce — to jest Wasza lista zadań; przy każdej ścieżce znajdziecie ramkę „Skąd ten obowiązek" z przepisem dyrektywy NIS2, który ustawa przenosi wszystkie podmiotyWyznaczenie przedstawiciela w Polsce →
Podmiot cyfrowy z ust. 3 bez jednostki organizacyjnej w UE, oferujący usługi w Polsce, wyznacza przedstawiciela posiadającego jednostkę organizacyjną na terytorium RP, o ile nie wyznaczył przedstawiciela w innym państwie członkowskim UE.
Uzupełnienie danych w wykazie →
Podmioty kluczowe lub ważne wpisane do wykazu z urzędu (art. 7a ust. 2) uzupełniają dane w wykazie wnioskiem o zmianę wpisu, w tym dane o działalności nieobjętej wpisem z urzędu.
Forma i podpis wniosku o wpis →
Wniosek o wpis, zmianę wpisu albo o wykreślenie z wykazu sporządza się w postaci elektronicznej, opatruje kwalifikowanym podpisem elektronicznym, podpisem zaufanym, podpisem osobistym albo kwalifikowaną pieczęcią elektroniczną i składa w systemie teleinformatycznym, a działając przez pełnomocnika dołącza się do niego elektroniczne pełnomocnictwo.
Oświadczenie kierownika we wniosku →
Wniosek o wpis, zmianę wpisu albo o wykreślenie z wykazu zawiera oświadczenie kierownika podmiotu o zgodności danych z prawdą, składane pod rygorem odpowiedzialności karnej.
Wpis do wykazu →
Podmiot kluczowy lub ważny składa wniosek o wpis do wykazu w terminie 6 miesięcy od spełnienia przesłanek i wniosek o zmianę wpisu w terminie 14 dni od zmiany danych, z wymaganą zawartością.
Wykreślenie z wykazu →
Podmiot, który przestał spełniać przesłanki uznania za podmiot kluczowy lub ważny w danym sektorze, podsektorze lub dla rodzaju działalności, składa przez system teleinformatyczny wniosek o wykreślenie z wykazu w tym zakresie, z uzasadnieniem.
Zbieranie informacji o zagrożeniach i podatnościach →
Zbieranie informacji o cyberzagrożeniach i podatnościach na incydenty systemu informacyjnego wykorzystywanego do świadczenia usługi.
Katalog środków bezpieczeństwa SZBI →
Rdzeń całej regulacji: elementy katalogu środków technicznych i organizacyjnych z art. 8 ust. 1 UKSC — polska wersja liter katalogu NIS2.
Bezpieczna komunikacja w KSC →
Stosowanie bezpiecznych środków komunikacji elektronicznej w ramach krajowego systemu cyberbezpieczeństwa oraz wewnątrz podmiotu, uwzględniających uwierzytelnianie wieloskładnikowe w stosownych przypadkach.
Monitorowanie w trybie ciągłym →
Jedno zdanie ustawy, którego NIS2 nie zna — wzorzec ścieżki dla obowiązku czysto krajowego: sekcja „Skąd ten obowiązek" mówi wprost „nie wynika z dyrektywy".
System zarządzania bezpieczeństwem informacji (SZBI) →
Obowiązek wdrożenia SZBI z systematycznym szacowaniem ryzyka — rozłożony na wymagania i kontrole standardów.
Podatności dostawców w łańcuchu dostaw →
Wdrażając środki bezpieczeństwa łańcucha dostaw, podmiot kluczowy lub podmiot ważny uwzględnia podatności dostawcy, ogólną jakość produktów ICT, usług ICT i procesów ICT oraz wyniki skoordynowanej oceny bezpieczeństwa Grupy Współpracy.
Wyniki postępowania o dostawcy wysokiego ryzyka →
Wdrażając środki bezpieczeństwa łańcucha dostaw, podmiot kluczowy lub podmiot ważny uwzględnia wyniki postępowania, o którym mowa w art. 67b.
Dokumentowanie SZBI podmiotu publicznego →
Podmiot ważny publiczny dokumentuje realizację działań wskazanych do realizacji w systemie zarządzania bezpieczeństwem informacji.
Poczta elektroniczna podmiotu publicznego →
System zarządzania bezpieczeństwem informacji podmiotu ważnego publicznego obejmuje kontrolę usług poczty elektronicznej wykorzystującej mechanizmy z art. 24 ust. 1 ustawy o zwalczaniu nadużyć w komunikacji elektronicznej.
Przegląd SZBI po rekomendacji Pełnomocnika →
Podmiot ważny publiczny dokonuje przeglądu systemu zarządzania bezpieczeństwem informacji bezzwłocznie po wydaniu przez Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa rekomendacji dotyczącej jego systemów informacyjnych, produktów ICT lub usług ICT.
Środki bezpieczeństwa podmiotu publicznego (art. 8 ust. 3) →
Podmiot ważny będący podmiotem publicznym albo wskazaną uczelnią nie stosuje katalogu z art. 8 ust. 1, a zamiast tego opracowuje, wdraża, realizuje, monitoruje i utrzymuje w kontrolowanych przez siebie systemach informacyjnych system zarządzania bezpieczeństwem informacji spełniający wymogi załącznika nr 4 do ustawy.
Systemy dostarczane podmiotowi publicznemu →
Podmiot publiczny uwzględnia w systemie zarządzania bezpieczeństwem informacji systemy informacyjne dostarczane przez inne podmioty publiczne, w szczególności zapewniające działanie rejestrów publicznych, w zakresie odpowiadającym zakresowi jego kompetencji.
Dostawcy cyfrowi — środki CIR →
Dziesięć klas dostawców cyfrowych stosuje, w ramach systemu zarządzania bezpieczeństwem informacji z art. 8 ust. 1, środki zarządzania ryzykiem określone w rozporządzeniu wykonawczym Komisji (UE) 2024/2690.
Środki CIR dla pozostałych podmiotów →
Podmioty kluczowe lub ważne inne niż dostawcy cyfrowi z ust. 1 stosują, w ramach systemu zarządzania bezpieczeństwem informacji z art. 8 ust. 1, środki zarządzania ryzykiem dla danego rodzaju podmiotu określone w przyszłych aktach wykonawczych Komisji Europejskiej wydanych na podstawie art. 21 ust. 5 dyrektywy 2022/2555.
Środki dodatkowe — energia elektryczna →
Podmioty kluczowe lub ważne z podsektora energii elektrycznej o dużym lub krytycznym wpływie dodatkowo stosują środki określone w rozporządzeniu delegowanym Komisji (UE) 2024/1366.
Odpowiedzialność kierownika podmiotu →
Kierownik podmiotu kluczowego lub ważnego ponosi odpowiedzialność za wykonywanie przez podmiot obowiązków w zakresie cyberbezpieczeństwa (art. 7b ust. 4, art. 7c, art. 7f ust. 3, art. 8, art. 8d–8f, art. 9–12b, art. 14 i art. 15); w organie wieloosobowym bez wskazanej osoby odpowiadają wszyscy członkowie, a powierzenie obowiązków innej osobie nie uchyla odpowiedzialności.
Decyzje kierownika podmiotu →
Kierownik podmiotu kluczowego lub ważnego podejmuje decyzje w zakresie przygotowania, wdrażania, stosowania, przeglądu i nadzoru SZBI, planuje adekwatne środki finansowe na cyberbezpieczeństwo, przydziela zadania z zakresu cyberbezpieczeństwa i nadzoruje ich wykonanie, zapewnia świadomość obowiązków i znajomość regulacji wewnętrznych u personelu oraz zgodność działania podmiotu z przepisami prawa i regulacjami wewnętrznymi.
Szkolenie kierownika podmiotu →
Kierownik podmiotu kluczowego lub podmiotu ważnego oraz osoba, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa, przechodzą raz w roku kalendarzowym udokumentowane szkolenie obejmujące wykonywanie obowiązków ustawowych.
Ponowna weryfikacja niekaralności →
Wezwanie osoby realizującej zadania z art. 8 lub art. 11 do ponownego przedstawienia informacji z Krajowego Rejestru Karnego przy uzasadnionym podejrzeniu skazania za przestępstwo przeciwko ochronie informacji.
Weryfikacja niekaralności →
Weryfikacja niekaralności za przestępstwa przeciwko ochronie informacji osób realizujących zadania z art. 8 lub art. 11: przedstawienie informacji z Krajowego Rejestru Karnego przed rozpoczęciem zadań, dopuszczenie przez kierownika po otrzymaniu informacji, równoważnik w postaci ważnego poświadczenia bezpieczeństwa oraz zakaz realizacji zadań przez osobę skazaną.
Obsługa incydentów przez MSSP →
Podmiot kluczowy będący dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa świadczącym usługę obsługi incydentów udostępnia na swojej stronie internetowej co najmniej katalog informacji o działalności: nazwę (firmę), zakres działania (rodzaj wsparcia, zasady współpracy i wymiany informacji, politykę komunikacji), oferowane usługi z polityką obsługi i koordynacji incydentów oraz dane kontaktowe (adres ze strefą czasową, środki komunikacji elektronicznej, klucze publiczne i szyfrowanie, sposoby kontaktu i zgłaszania incydentów).
Dalsze udostępnianie informacji o zagrożeniach →
Odbiorca wymienianej informacji dotyczącej cyberbezpieczeństwa udostępnia ją dalej wyłącznie w zakresie określonym przez wytwórcę informacji.
Zakaz danych osobowych w wymianie informacji →
Wymieniając informacje dotyczące cyberbezpieczeństwa za pomocą systemu teleinformatycznego, o którym mowa w art. 46 ust. 1 ustawy, podmiot nie przekazuje danych osobowych.
Porozumienie o wymianie informacji →
Jeżeli podmiot zawiera porozumienie w sprawie wymiany informacji dotyczących cyberbezpieczeństwa, koszty wykonania porozumienia są ponoszone w równych częściach przez wszystkie strony, chyba że w porozumieniu postanowiono inaczej.
Wymiana informacji o cyberbezpieczeństwie →
Jeżeli podmiot korzysta z uprawnienia do wymiany informacji dotyczących cyberbezpieczeństwa, wymiana służy dopuszczalnym celom (zapobieganie i obsługa incydentów lub zwiększanie poziomu cyberbezpieczeństwa), odbywa się przewidzianymi kanałami, a podmiot oznacza zakres odbiorców tych informacji.
Sektor finansowy i DORA →
Do podmiotów kluczowych lub podmiotów ważnych z sektora bankowości i infrastruktury rynków finansowych nie stosuje się przepisów ustawy o systemie zarządzania bezpieczeństwem informacji ani o zgłaszaniu poważnych incydentów, z wyjątkiem zamkniętego katalogu przepisów wskazanych wprost; katalog ten stosuje się także odpowiednio (art. 8c–8f, art. 12 ust. 7, art. 31 ust. 1) oraz w zakresie nadzoru i kar (rozdziały 11 i 14).
Osoby kontaktowe →
Baza współdziałania z krajowym systemem cyberbezpieczeństwa: wyznaczenie co najmniej dwóch osób kontaktowych, zapewnienie użytkownikom usług dostępu do wiedzy o cyberzagrożeniach, możliwość zgłaszania cyberzagrożeń, incydentów i podatności oraz rozpoczęcie korzystania z systemu teleinformatycznego po wpisie do wykazu.
Osoba kontaktowa — mikro i mali przedsiębiorcy →
Podmiot kluczowy lub ważny będący mikro- lub małym przedsiębiorcą wyznacza co najmniej jedną osobę odpowiedzialną za utrzymywanie kontaktów z innymi podmiotami kluczowymi lub ważnymi.
Osoba kontaktowa podmiotu publicznego →
Podmiot ważny będący podmiotem publicznym wyznacza co najmniej jedną osobę odpowiedzialną za utrzymywanie kontaktów z innymi podmiotami kluczowymi lub ważnymi.
Dokumentacja bezpieczeństwa systemu informacyjnego →
Opracowanie, stosowanie i aktualizowanie dokumentacji dotyczącej bezpieczeństwa systemu informacyjnego wykorzystywanego w procesie świadczenia usługi, obejmującej dokumentację normatywną (SZBI, ochrona infrastruktury, ciągłość działania, dokumentacja techniczna i sektorowa) oraz dokumentację operacyjną, wraz z ustanowieniem nadzoru nad dokumentacją (dostępność wyłącznie dla upoważnionych, ochrona dokumentów, oznaczanie wersji).
Przechowywanie dokumentacji bezpieczeństwa →
Przechowywanie dokumentacji bezpieczeństwa systemu informacyjnego przez co najmniej 2 lata od jej wycofania z użytkowania lub zakończenia świadczenia usługi; nie dotyczy podmiotów podlegających ustawie o narodowym zasobie archiwalnym i archiwach.
Brakowanie dokumentacji bezpieczeństwa →
Potwierdzanie zniszczenia wycofanej z użytkowania dokumentacji bezpieczeństwa protokołem brakowania o określonej zawartości oraz trwałe przechowywanie protokołów brakowania.
Zgłoszenia dostawcy usług zaufania →
Dostawca usług zaufania zgłasza incydent poważny do właściwego CSIRT sektorowego w ciągu 24 godzin od wykrycia.
Kaskada zgłaszania incydentu poważnego →
Kaskada zgłoszeniowa incydentu poważnego do właściwego CSIRT sektorowego: wczesne ostrzeżenie (24h), zgłoszenie (72h), sprawozdanie okresowe na wniosek, sprawozdanie końcowe (miesiąc).
Obsługa incydentów i współdziałanie z CSIRT →
Od wczesnego ostrzeżenia po sprawozdanie końcowe — z kaskadą terminów i adresatów zgłoszeń.
Informowanie użytkowników o cyberzagrożeniu →
Informowanie użytkowników usług, na których poważne cyberzagrożenie może mieć wpływ, o możliwych środkach zapobiegawczych, a jeżeli nie zwiększa to ryzyka — o samym cyberzagrożeniu.
Informowanie użytkowników o incydencie →
Informowanie użytkowników usług o incydencie poważnym mającym niekorzystny wpływ na świadczenie tych usług.
Dane zgłaszającego we wczesnym ostrzeżeniu →
Wczesne ostrzeżenie o incydencie poważnym zawiera dane identyfikacyjne podmiotu zgłaszającego, osoby dokonującej zgłoszenia oraz osoby uprawnionej do składania wyjaśnień.
Treść wczesnego ostrzeżenia →
Wczesne ostrzeżenie o incydencie poważnym zawiera moment wystąpienia i wykrycia oraz czas trwania incydentu, ocenę bezprawności działania i wskazanie wpływu na inne państwa członkowskie UE.
Treść zgłoszenia incydentu →
Zgłoszenie incydentu poważnego zawiera opis wpływu incydentu na świadczenie usługi, opis przyczyn, przebiegu i prawdopodobnych skutków, informacje o działaniach zapobiegawczych i naprawczych oraz aktualizację informacji z wczesnego ostrzeżenia.
Uzupełnianie zgłoszenia incydentu →
Podmiot przekazuje w zgłoszeniu incydentu poważnego informacje znane mu w chwili dokonywania zgłoszenia i uzupełnia je w trakcie obsługi incydentu.
Tajemnice prawnie chronione w zgłoszeniu →
Podmiot przekazuje we wczesnym ostrzeżeniu lub zgłoszeniu, w niezbędnym zakresie, informacje stanowiące tajemnice prawnie chronione, gdy jest to konieczne do realizacji zadań właściwego CSIRT.
Oznaczanie tajemnic w zgłoszeniu →
Podmiot oznacza we wczesnym ostrzeżeniu lub zgłoszeniu informacje stanowiące tajemnice prawnie chronione, w tym tajemnicę przedsiębiorstwa.
Sprawozdanie końcowe z incydentu →
Sprawozdanie końcowe z obsługi incydentu poważnego zawiera szczegółowy opis incydentu, rodzaj zagrożenia lub przyczynę, środki ograniczające ryzyko oraz transgraniczne skutki, jeżeli wystąpiły.
Sprawozdanie z postępu obsługi incydentu →
Gdy obsługa incydentu poważnego nie zakończyła się w terminie sprawozdania końcowego: sprawozdanie z postępu obsługi do właściwego CSIRT sektorowego oraz sprawozdanie końcowe w ciągu miesiąca od zakończenia obsługi.
Incydenty podmiotu publicznego →
Podmiot ważny będący podmiotem publicznym stosuje przepisy art. 11 i art. 12 o obsłudze i zgłaszaniu incydentów, z wyjątkiem przepisów o przekazywaniu wczesnego ostrzeżenia, sprawozdania okresowego, sprawozdania z postępu obsługi incydentu i sprawozdania końcowego.
Dobrowolne przekazywanie informacji CSIRT →
Jeżeli podmiot korzysta z uprawnienia do dobrowolnego przekazywania informacji do właściwego CSIRT, przekazuje je systemem teleinformatycznym (zapasowo innymi środkami komunikacji) i oznacza informacje stanowiące tajemnice prawnie chronione.
Struktury wewnętrzne lub MSSP →
Podmiot kluczowy lub podmiot ważny zapewnia zdolność realizacji zadań z art. 8 oraz art. 9–13 (zarządzanie bezpieczeństwem systemu informacyjnego, obsługa i zgłaszanie incydentów) świadczeniem alternatywnym: powołaniem wewnętrznych struktur odpowiedzialnych za cyberbezpieczeństwo albo umową z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa.
Kopia raportu z audytu na wniosek →
Przekazanie kopii raportu z przeprowadzonego audytu na wniosek dyrektora Rządowego Centrum Bezpieczeństwa (gdy podmiot jest jednocześnie operatorem infrastruktury krytycznej) lub Szefa Agencji Bezpieczeństwa Wewnętrznego.
Audyt bezpieczeństwa →
Czym audytor będzie mierzył każde wymaganie — naturalne przedłużenie strony o audycie KSC.
Termin wdrożenia obowiązków →
Realizacja obowiązków rozdziału 3 w terminie 12 miesięcy od dnia spełnienia przesłanek uznania za podmiot kluczowy lub podmiot ważny.
Termin pierwszego audytu →
Zapewnienie przeprowadzenia audytu po raz pierwszy w terminie 24 miesięcy od dnia spełnienia przesłanek uznania za podmiot kluczowy.
Podmiot publiczny i system zadania publicznego →
Podmiot publiczny wykorzystujący system informacyjny w celu realizacji zadania publicznego realizuje obowiązki, o których mowa w art. 7b ust. 4, art. 7c, art. 7f ust. 3, art. 8, art. 8c–8f, art. 9–12b i art. 15 ustawy.
Porozumienie jednostek samorządu terytorialnego →
Jeżeli jednostki samorządu terytorialnego zawierają porozumienie w sprawie powierzenia jednej z nich realizacji obowiązków cyberbezpieczeństwa, porozumienie wskazuje objęte nim jednostki organizacyjne, samorządowe osoby prawne lub spółki JST powierzającej, a do porozumień stosuje się odpowiednio przepisy art. 74 ustawy o samorządzie gminnym.
Wyznaczenie jednostki realizującej obowiązki →
Jednostka samorządu terytorialnego, której powierzono realizację obowiązków cyberbezpieczeństwa, wyznacza jednostkę organizacyjną, samorządową osobę prawną lub spółkę, o której mowa w art. 9 ust. 1 ustawy o gospodarce komunalnej, do realizacji tych obowiązków.
Wspólna obsługa jednostek samorządu terytorialnego →
Jeżeli jednostka samorządu terytorialnego korzysta z uprawnienia do zapewnienia wspólnej obsługi realizacji obowiązków cyberbezpieczeństwa, do wyznaczenia jednostki obsługującej i obsługiwanej stosuje odpowiednio przepisy ustaw samorządowych o wspólnej obsłudze.
Współpraca z jednostką wyznaczoną →
Podmiot publiczny, dla którego jednostka wyznaczona realizuje obowiązki z zakresu cyberbezpieczeństwa, współpracuje z tą jednostką, w szczególności przekazując informacje o incydentach, wykonując decyzje jej kierownika w zakresie SZBI, publikując adres jej strony internetowej z informacjami o cyberbezpieczeństwie oraz przez uczestnictwo kierownika w prowadzonych przez nią szkoleniach.
Zgłoszenia przez jednostkę wyznaczoną →
Jednostka wyznaczona zgłasza w imieniu podmiotu publicznego wczesne ostrzeżenie, zgłoszenie incydentu poważnego oraz sprawozdania okresowe i końcowe do CSIRT sektorowego, wskazuje osobę kontaktową do obsługiwanych podmiotów publicznych i korzysta z systemu teleinformatycznego z art. 46 ust. 1 w celu realizacji obowiązków z rozdziału 3.
Wycofanie dostawcy wysokiego ryzyka w telekomunikacji →
Przedsiębiorca telekomunikacyjny objęty decyzją o dostawcy wysokiego ryzyka wycofuje w ciągu 4 lat produkty, usługi i procesy ICT tego dostawcy wskazane w decyzji i objęte wykazem kategorii funkcji krytycznych z załącznika nr 3.
Dostawca wysokiego ryzyka →
Po wydaniu decyzji o uznaniu dostawcy za dostawcę wysokiego ryzyka podmiot objęty decyzją nie wprowadza do użytkowania i wycofuje w ciągu 7 lat produkty, usługi i procesy ICT tego dostawcy w zakresie objętym decyzją, z dopuszczeniem przejściowego użytkowania w zakresie naprawy, modernizacji, wymiany elementu lub aktualizacji.
Zakaz zamówień dostawcy wysokiego ryzyka →
Podmiot stosujący ustawę Prawo zamówień publicznych, objęty decyzją o dostawcy wysokiego ryzyka, nie może nabywać produktów, usług ani procesów ICT określonych w tej decyzji, z zastrzeżeniem przejściowego korzystania z zamówień zawartych wcześniej (nie dłużej niż 7 lat, a dla funkcji krytycznych 4 lata).
Informacja o dostawcy na wniosek organu →
Podmiot kluczowy lub podmiot ważny przekazuje, na wniosek organu właściwego do spraw cyberbezpieczeństwa, informacje o wycofywanych produktach, usługach i procesach ICT objętych decyzją o dostawcy wysokiego ryzyka.
Informacja o poleceniu zabezpieczającym →
Podmiot objęty wydanym poleceniem zabezpieczającym przekazuje, na wniosek organu właściwego do spraw cyberbezpieczeństwa, informacje o wykonywaniu tego polecenia; stosuje się odpowiednio przepisy art. 67c ust. 2–5 (przejściowe zasady wykorzystania sprzętu/oprogramowania oraz zamówień).
Wyłączenie Narodowego Banku Polskiego →
Do Narodowego Banku Polskiego nie stosuje się przepisów o postępowaniu w sprawie dostawcy wysokiego ryzyka (art. 67b), publikacji listy produktów objętych decyzjami (art. 67f) ani polecenia zabezpieczającego (art. 67g).
Podmiot finansowy poza KSC →
Do podmiotu finansowego niebędącego podmiotem kluczowym ani podmiotem ważnym stosuje się przepisy o zarządzaniu ryzykiem dostawców ICT, obowiązku informacyjnym o wycofywanych produktach ICT, poleceniu zabezpieczającym oraz publikacji listy produktów objętych decyzją o dostawcy wysokiego ryzyka (art. 67c, 67d, 67g i 67h ustawy), z wyłączeniem podmiotów objętych zwolnieniem mikroprzedsiębiorcy na podstawie art. 16 ust. 1 rozporządzenia DORA.
Rozporządzenie wykonawcze CIR 2024/2690
wiąże wprost tylko dostawców cyfrowych z art. 8b ust. 1 UKSC; dla pozostałych podmiotów — wzorzec branżowy, nie obowiązek. Komisja Europejska rozpisała w nim katalog środków z art. 21 ust. 2 dyrektywy NIS2 na szczegółowe wymagania. Klasy dostawców z art. 8b ust. 1 UKSC (cytat z ustawy): Dostawcy usług DNS, rejestry nazw domen najwyższego poziomu (TLD), dostawcy usług chmurowych, dostawcy usługi centrum przetwarzania danych, dostawcy sieci dostarczania treści, dostawcy usług zarządzanych, dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa, dostawcy internetowych platform handlowych, dostawcy wyszukiwarek internetowych oraz dostawcy platform usług sieci społecznościowych. tylko dostawcy cyfrowiProporcjonalność środków CIR →
Odpowiednie podmioty zapewniają poziom bezpieczeństwa sieci i systemów informatycznych stosowny do ryzyka, a przy spełnianiu wymogów załącznika należycie uwzględniają stopień narażenia na ryzyko, swoją wielkość oraz prawdopodobieństwo wystąpienia incydentów i ich dotkliwość (zasada proporcjonalności).
Klauzula elastyczności CIR →
Odpowiedni podmiot, który uzna, że wymóg załącznika opatrzony klauzulą elastyczności nie jest właściwy, nie ma zastosowania lub nie jest wykonalny, w zrozumiały sposób dokumentuje swoje uzasadnienie.
Liczenie użytkowników dotkniętych incydentem →
Przy obliczaniu liczby użytkowników dotkniętych incydentem do celów art. 7 i art. 9–14 odpowiednie podmioty uwzględniają liczbę klientów objętych umową dostępu oraz liczbę osób fizycznych i prawnych związanych z klientami biznesowymi korzystających z sieci i systemów informatycznych lub usług.
Polityka bezpieczeństwa sieci i systemów →
Odpowiednie podmioty ustanawiają politykę bezpieczeństwa sieci i systemów informatycznych o zawartości określonej w pkt 1.1.1, poddają ją przeglądowi i aktualizacji oraz określają, przydzielają i przeglądają funkcje, obowiązki i uprawnienia w zakresie tego bezpieczeństwa (doprecyzowanie art. 21 ust. 2 lit. a NIS2).
Zarządzanie ryzykiem →
Ramy zarządzania ryzykiem: oceny, plan postępowania z ryzykiem, przeglądy — od wymagań do metodyki i narzędzi.
Obsługa incydentów →
Odpowiednie podmioty obsługują incydenty zgodnie z wymogami załącznika pkt 3: ustanawiają i utrzymują politykę obsługi incydentów, monitorują i rejestrują działania w sieciach i systemach informatycznych, umożliwiają zgłaszanie zdarzeń, oceniają i klasyfikują zdarzenia, reagują na incydenty oraz przeprowadzają przeglądy po ich wystąpieniu.
Ciągłość działania i zarządzanie kryzysowe →
Kopie zapasowe, plany BCP/DR i zarządzanie kryzysowe — od wymagań do planu ciągłości.
Bezpieczeństwo łańcucha dostaw →
Polityka bezpieczeństwa łańcucha dostaw, kryteria wyboru dostawców, klauzule umowne i rejestr dostawców — w wersji szczegółowej rozporządzenia CIR.
Bezpieczny rozwój i utrzymanie systemów →
Odpowiednie podmioty zapewniają bezpieczeństwo w procesie nabywania, rozwoju i utrzymania sieci i systemów informatycznych: zarządzają ryzykiem nabycia usług i produktów ICT, prowadzą bezpieczny cykl rozwojowy, zarządzają konfiguracją, zmianą i poprawkami zabezpieczeń, testują bezpieczeństwo, chronią i segmentują sieci, bronią się przed szkodliwym oprogramowaniem oraz postępują z podatnościami i je ujawniają.
Ocena skuteczności zabezpieczeń →
Odpowiednie podmioty ustanawiają, wdrażają i stosują politykę i procedury oceny, czy środki zarządzania ryzykiem w cyberbezpieczeństwie są skutecznie wdrażane i utrzymywane (parametry monitorowania i pomiaru lit. a–f), oraz dokonują ich przeglądu i aktualizacji.
Cyberhigiena i szkolenia →
Odpowiednie podmioty zapewniają świadomość ryzyka i praktyki cyberhigieny wśród pracowników, członków organów zarządzających oraz bezpośrednich dostawców i usługodawców (program podnoszenia świadomości z właściwościami a–c, testowany i aktualizowany), a pracownikom o funkcjach istotnych dla bezpieczeństwa zapewniają regularne szkolenia w ramach programu szkoleniowego dostosowanego do stanowisk, ocenianego pod kątem skuteczności i okresowo aktualizowanego.
Kryptografia →
Odpowiednie podmioty ustanawiają, wdrażają i stosują politykę i procedury związane z kryptografią (rodzaj, siła i jakość środków kryptograficznych, protokoły i algorytmy, podejście do zarządzania kluczami z warunkowym katalogiem metod (i)–(xii)) oraz dokonują przeglądu i aktualizacji tej polityki i procedur w zaplanowanych odstępach czasu z uwzględnieniem najnowocześniejszej kryptografii.
Bezpieczeństwo zasobów ludzkich →
Odpowiednie podmioty zapewniają, aby pracownicy oraz bezpośredni dostawcy i usługodawcy rozumieli i wypełniali swoje obowiązki w zakresie bezpieczeństwa (mechanizmy cyberhigieny, świadomości ról uprzywilejowanych i organów zarządzających, zatrudniania wykwalifikowanego personelu), sprawdzają przeszłość osób pełniących funkcje tego wymagające, zabezpieczają umownie obowiązki bezpieczeństwa trwające po zakończeniu lub zmianie zatrudnienia oraz utrzymują procedurę dyscyplinarną na wypadek naruszenia polityki bezpieczeństwa sieci i systemów informatycznych.
Kontrola dostępu →
Odpowiednie podmioty ustanawiają i utrzymują politykę kontroli dostępu (logiczną i fizyczną), zarządzają prawami dostępu i ich przeglądami, prowadzą politykę kont uprzywilejowanych i kont administracji systemu, ograniczają korzystanie z systemów administracji, zarządzają cyklem życia tożsamości oraz wdrażają bezpieczne uwierzytelnianie, w tym — w stosownych przypadkach, zgodnie z klasyfikacją aktywów — uwierzytelnianie wieloskładnikowe lub ciągłe.
Zarządzanie aktywami →
Odpowiednie podmioty klasyfikują aktywa według poziomów klauzuli tajności, ustanawiają i stosują polityki postępowania z aktywami oraz zarządzania nośnikami wymiennymi, prowadzą kompletny wykaz aktywów oraz zapewniają zdeponowanie, zwrot lub usunięcie aktywów po zakończeniu zatrudnienia.
Bezpieczeństwo fizyczne i środowiskowe →
Odpowiednie podmioty zapobiegają awariom i zakłóceniom usług pomocniczych (zasilanie, telekomunikacja, chłodzenie), chronią sieci i systemy informatyczne przed zagrożeniami fizycznymi i środowiskowymi w oparciu o ocenę ryzyka, zapobiegają nieuprawnionemu fizycznemu dostępowi i monitorują go (granice bezpieczeństwa, kontrole wejścia, zabezpieczenia obiektów) oraz cyklicznie testują, przeglądają i aktualizują te środki.
Najczęstsze pytania
Najczęstsze pytania o ścieżki zgodności
Mamy ISO 27001 — czy te ścieżki są dla nas?
Tak, właśnie dla Was: warstwa kontroli pokazuje, które wymagania KSC Wasz certyfikat już pokrywa, a gdzie zostaje luka. Zbiorczy bilans znajdziecie na stronie ISO 27001 a KSC/NIS2.
Czym różni się wymaganie od kontroli?
Wymaganie mówi, co musicie osiągnąć (język prawa), kontrola — jak to mierzy standard (język audytu). Ścieżka łączy oba języki, więc prawnik i inżynier patrzą na to samo.
Czy proponowane narzędzia są obowiązkowe?
Nie. Ustawa nie narzuca narzędzi. Warstwa rozwiązań to nasze rekomendacje referencyjne — jeśli macie własne narzędzie w tej samej kategorii, ścieżka pokazuje, co dokładnie musi ono realizować.
Skąd pewność, że mapowania są aktualne?
Ścieżki generują się z wersjonowanego modelu przy każdej publikacji portalu. Zmiana przepisu lub standardu trafia najpierw do modelu — strony nie da się „zapomnieć" zaktualizować.
Czy zobaczę ścieżki dla mojego podmiotu?
Tak — filtr klasy podmiotu nad katalogiem pokazuje tylko ścieżki, które Was wiążą. Klasę sprawdzicie w kwalifikatorze KSC, a każda ścieżka zaczyna się od bloku „Kogo wiąże ten obowiązek?".
Czy ścieżka wystarczy jako dowód dla audytora?
Ścieżka daje strukturę i uzasadnienia — mapę tego, co wykazać. Same dowody operacyjne (logi, zapisy, decyzje) musicie zebrać u siebie; o tym więcej na stronie o audycie KSC.
Chcecie zobaczyć ścieżki dla Waszych obowiązków?
Zacznijcie od kwalifikatora — ustali klasę Waszego podmiotu i listę obowiązków, a my pokażemy, którędy prowadzi każda ścieżka.