Dyrektywa NIS2 (Network and Information Security 2) to unijne prawo, które wymaga od tysięcy polskich firm wdrożenia konkretnych środków cyberbezpieczeństwa. Niespełnienie wymogów grozi karami do 10 mln euro lub 2% rocznego obrotu.
NIS2 obowiązuje w Polsce od października 2024 r. (jako nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa). Jeśli prowadzisz firmę średnią lub większą w jednym z objętych sektorów – masz obowiązek się dostosować.
Kogo dotyczy NIS2?
Dyrektywa obejmuje firmy średnie (≥50 pracowników lub ≥10 mln € obrotu) i duże w sektorach:
- Energetyka – elektrownie, dystrybucja prądu, gazu, ropy
- Transport – lotniczy, kolejowy, drogowy, morski
- Bankowość i infrastruktura rynku finansowego
- Ochrona zdrowia – szpitale, laboratoria, producenci leków
- Woda pitna i ścieki
- Infrastruktura cyfrowa – dostawcy chmury, DNS, IXP, certyfikatów
- Administracja publiczna
- Usługi pocztowe i kurierskie
- Gospodarka odpadami
- Produkcja – chemikalia, żywność, urządzenia medyczne, motoryzacja, elektronika
- Sektor cyfrowy – wyszukiwarki, marketplace, social media
- Badania naukowe
Jakie obowiązki nakłada NIS2?
1. Środki techniczne
- Analiza ryzyka i polityka bezpieczeństwa
- Procedury reagowania na incydenty
- Ciągłość działania (DR/BCP)
- Bezpieczeństwo łańcucha dostaw
- Szyfrowanie, MFA, kontrola dostępu
- Bezpieczeństwo zasobów ludzkich i szkolenia
2. Obowiązki sprawozdawcze
Incydenty istotne trzeba zgłosić do CSIRT w ciągu 24 godzin (wstępne) i 72 godzin (pełne). Spóźnienie = kara.
3. Odpowiedzialność zarządu
NIS2 zmienia zasady: członkowie zarządu odpowiadają osobiście za zaniedbania w cyberbezpieczeństwie. Muszą przejść szkolenia i zatwierdzać polityki.
Jak wygląda nasz audyt?
- Wstępna kwalifikacja – czy Twoja firma podlega NIS2? Czy jako podmiot kluczowy czy ważny?
- Inwentaryzacja – sprawdzamy całą infrastrukturę IT/OT, procesy, dostawców, dane
- Analiza luk – co masz, czego brakuje wobec wymagań NIS2
- Raport – konkretny dokument: lista zaleceń z priorytetami i szacowanym kosztem
- Plan wdrożenia – harmonogram działań na 3–12 miesięcy
- Realizacja – wdrażamy polityki, EDR, MFA, segmentację, szkolimy zespół
Co wdrażamy w ramach NIS2?
EDR / XDR
Ochrona endpointów – wykrywanie i reagowanie na zagrożenia w czasie rzeczywistym.
MFA wszędzie
Uwierzytelnianie wieloskładnikowe do wszystkich kont – Microsoft 365, VPN, RDP.
Szkolenia
Phishingowe testy w terenie, kursy dla zespołu, materiały dla zarządu.
Segmentacja sieci
VLAN, micro-segmentacja, izolacja systemów krytycznych od użytkownika.
Procedury IR
Plan reagowania na incydenty + ćwiczenia tabletop dla zarządu i IT.
Dokumentacja
Polityki, rejestr incydentów, dowody zgodności na audyty zewnętrzne.
Ile to kosztuje?
Audyt wstępny dla MŚP: od 3 500 zł netto. Pełny audyt z planem wdrożenia: od 8 000 zł. Stałe utrzymanie zgodności w ramach umowy obsługi IT – bez dodatkowych opłat.
Zamów bezpłatną wstępną kwalifikację – sprawdzimy w 30 minut, czy NIS2 w ogóle Ciebie dotyczy.
Porozmawiajmy o Twoim przypadku
Bezpłatna konsultacja – 15 minut.