Pełne wymagania KSC obowiązują od 3 kwietnia 2027 r. Sprawdź gotowość →
cyberpatch.pl Kontakt

Ustawa o KSC i dyrektywa NIS2

KSC i NIS2 w jednostce – co trzeba wiedzieć

Kogo obejmuje ustawa, jakie są terminy, czego wymaga załącznik nr 4 i jak wygląda wdrożenie krok po kroku.

Najpierw konsultacja. Zanim jednostka coś kupi albo zleci, proszę opisać ją w kilku zdaniach. Odpowiem, od czego zacząć, bez zobowiązań.

Napisz wiadomość

KSC i NIS2

Czy ustawa o KSC nas dotyczy?

Proszę wybrać firmę albo typ jednostki. Odpowiedź pokaże, jaki zakres wymagań ją obejmuje i od czego zacząć.

Wybór

Proszę wybrać typ jednostki

Szkoły i przedszkola publiczne, żłobki samorządowe, ośrodki pomocy społecznej, biblioteki publiczne, samorządowe instytucje kultury i centra usług wspólnych mają uproszczone wymagania z załącznika nr 4. Ustawa obejmuje też urzędy gmin i starostwa oraz spółki komunalne wykonujące zadania użyteczności publicznej.

Przejdź do samooceny

To wstępna wskazówka, a nie opinia prawna. Wiążące jest brzmienie ustawy.

Terminy

Ile zostało czasu

Nowelizacja obowiązuje od kwietnia 2026 r. Pasek pod kartkami pokazuje, w którym miejscu jesteśmy dziś.

  1. kwiecień 2026
    3

    Nowelizacja w mocy

    Ustawa wdrażająca dyrektywę NIS2 (Dz.U. 2026 poz. 252) obowiązuje.

  2. październik 2026
    3

    Wpis do wykazu

    Termin samorejestracji dla podmiotów, których nie wpisuje się z urzędu.

  3. kwiecień 2027
    3

    Pełne wymagania

    System zarządzania bezpieczeństwem informacji, procedury i dokumentacja muszą działać.

  4. styczeń 2028
    1

    Kary w jednostkach publicznych

    Kara może dotyczyć osobiście kierownika jednostki, np. dyrektora szkoły – do wysokości miesięcznego wynagrodzenia.

Wymagania

18 łatek do sprawdzenia

Tyle wymagań ma część I załącznika nr 4 do ustawy o KSC. Wiele z nich to porządek i procedury, a nie zakupy. Co najmniej raz w roku trzeba je przejrzeć i zaktualizować.

Nie wszystko jest jasne? Każde wymaganie da się spełnić na kilka sposobów. Proszę napisać, które punkty budzą wątpliwości – podpowiem, co wystarczy w Państwa jednostce.

Napisz wiadomość

Zasoby

wymagania 1–3

  1. 1Inwentaryzacja sprzętu, oprogramowania, usług i procesów ICT
  2. 2Ewidencja wersji i instalacji, także urządzeń mobilnych
  3. 3Ochrona informacji przed kradzieżą, nieuprawnionym dostępem i uszkodzeniem

Dostęp i uprawnienia

wymagania 4–9

  1. 4Dostęp do informacji tylko dla osób upoważnionych
  2. 5Uprawnienia minimalne, potrzebne do pracy
  3. 6Niezwłoczne odbieranie zbędnych uprawnień, zawieszanie kont nieużywanych od miesiąca
  4. 7Zmiana uprawnień przy zmianie obowiązków
  5. 8Zasady pracy mobilnej i zdalnej
  6. 9Zabezpieczenie usług poczty elektronicznej

Kopie zapasowe i ciągłość działania

wymagania 10–12

  1. 10Kopie odseparowane logicznie i fizycznie od danych źródłowych
  2. 11Testy kopii: kompletność i możliwość odtworzenia
  3. 12Procedury na wypadek awarii lub incydentu – przygotowane i przećwiczone

Oprogramowanie

wymagania 13, 15, 16

  1. 13Ochrona przed złośliwym oprogramowaniem
  2. 15Śledzenie wydań, źródeł i cyklu życia używanych produktów
  3. 16Stabilne wersje bez znanych krytycznych podatności

Ludzie i incydenty

wymagania 14, 17, 18

  1. 14Cyberhigiena pracowników, w tym kierownika jednostki
  2. 17Szkolenie osób przetwarzających informacje
  3. 18Procedury postępowania przy zagrożeniu lub incydencie, w tym zgłoszenie do CSIRT
Przy kontroli liczy się to, co da się pokazać: spis sprzętu, procedura, lista obecności ze szkolenia. Dlatego każdy krok kończy się dokumentem, który zostaje w jednostce.

Wdrożenie KSC

Pięć kroków, każdy z konkretnym rezultatem

Jednostka zaczyna od kroku, na którym jest. Wycena wynika z listy braków, a nie z cennika „na wszelki wypadek”.

  1. Przegląd gotowości

    Sprawdzam 18 wymagań w praktyce i w dokumentach, na miejscu albo zdalnie.

    Rezultat:lista braków z priorytetami – Państwa własność, do wykorzystania z dowolnym wykonawcą.

  2. Porządek w sieci i dostępach

    Spis sprzętu, podział sieci na strefy, reguły na zaporze, aktualizacje urządzeń sieciowych i monitoring. Najpierw to, co da się zrobić konfiguracją.

    Rezultat:aktualny spis sprzętu i schemat sieci oraz notatka z wprowadzonych zmian.

  3. Dokumentacja SZBI do 3.04.2027

    Polityka bezpieczeństwa, analiza ryzyka, procedura obsługi i zgłaszania incydentów, plan ciągłości działania – na miarę jednostki, bez stu stron szablonów.

    Rezultat:komplet dokumentów gotowych do podpisu kierownika.

  4. Szkolenie z cyberhigieny

    Około 45 minut dla pracowników i kierownika: hasła, phishing, nośniki, co robić przy incydencie.

    Rezultat:lista obecności i materiały do dokumentacji.

  5. Stała opieka

    Aktualizacje, pomoc przy incydencie i coroczny przegląd wymagań, którego wymaga załącznik nr 4.

    Rezultat:raport z corocznego przeglądu i zaktualizowane dokumenty.

Mają Państwo informatyka? Przegląd i dokumenty przygotuję tak, żeby mógł z nimi dalej pracować.

Pytania

O co pytają dyrektorzy i kierownicy

Czy pomoc dotyczy tylko KSC?

Nie. Zajmuję się też sieciami LAN, WAN i Data Center, zaporami nowej generacji, uwierzytelnianiem w sieci (NAC), SIEM i monitoringiem oraz ochroną komputerów i serwerów – w jednostkach publicznych i w firmach. Przy KSC te prace i tak się przydają. Zakres prac technicznych →

Mamy już informatyka. Czy to coś zmienia?

To ułatwia sprawę. Mogę przygotować przegląd i dokumenty, a wdrożenie zostawić Państwa informatykowi – albo pracować razem z nim.

Czy trzeba kupować nowy sprzęt?

Zwykle nie na start. Wiele z 18 wymagań to inwentaryzacja, uprawnienia, procedury i konfiguracja. Jeśli zakup jest potrzebny, dostaną Państwo uzasadnienie, które można dołączyć do zapytania ofertowego.

Czy potrzebny jest certyfikat ISO 27001?

Ustawa go nie wymaga. Norma ISO/IEC 27001 pomaga zbudować system zarządzania bezpieczeństwem informacji, ale sam certyfikat nie zastępuje wymagań ustawy i załącznika nr 4.

Jak ustalana jest cena?

Zależy od liczby stanowisk i od tego, co już działa. Po krótkim opisie jednostki proponuję zakres i wycenę na piśmie.

Co, jeśli nie zdążymy do 3 kwietnia 2027 r.?

Od 1 stycznia 2028 r. jednostkom publicznym grożą kary, które mogą dotyczyć także osobiście kierownika jednostki – np. dyrektora szkoły do wysokości miesięcznego wynagrodzenia. Warto zacząć od przeglądu teraz, żeby ewentualne zakupy zmieściły się w budżecie na 2027 r.

Czy rozmowa wstępna to już ocena zgodności?

Nie. Rozmowa i samoocena pomagają ustalić zakres. Ocenę daje dopiero przegląd 18 wymagań na podstawie tego, co działa w jednostce i co jest spisane.

Ile łatek jest już na miejscu?

18 pytań, wynik od razu na stronie.

SamoocenaKontakt