Analiza wpływu i luki wobec KSC i NIS2

Analiza wpływu ustala, które przepisy dotyczą Twojej firmy i co zmieniają w jej pracy; analiza luk porównuje te wymagania z tym, co firma ma.

Od 3 kwietnia 2026 obowiązuje nowelizacja ustawy o KSC, która przenosi do polskiego prawa NIS2, unijną dyrektywę 2022/2555 o cyberbezpieczeństwie (stan prawny na 20 września 2026). Podmiot kluczowy to firma z sektora wymienionego w załączniku nr 1 do ustawy, większa niż średnie przedsiębiorstwo. Podmiot ważny to firma z załącznika nr 1 wielkości średniego przedsiębiorstwa albo firma z załącznika nr 2 od średniej wzwyż. Załącznik nr 1 wymienia między innymi transport, bankowość, ochronę zdrowia, wodę i ścieki oraz infrastrukturę cyfrową. Załącznik nr 2 wymienia między innymi produkcję w wybranych podsektorach, żywność, chemikalia, odpady i usługi cyfrowe. Próg średniego przedsiębiorstwa: mniej niż 250 zatrudnionych oraz obrót do 50 mln euro lub suma bilansowa do 43 mln euro, liczone z firmami powiązanymi i partnerskimi. Małe przedsiębiorstwo (mniej niż 50 zatrudnionych, obrót lub suma bilansowa do 10 mln euro) jest poza zakresem ustawy, z wyjątkami w niej zapisanymi. Osoby z zespołu mają zaplecze prawne; gdy kwalifikacja jest sporna, opinię prawną wydaje kancelaria.

Kto spełniał warunki ustawy 3 kwietnia 2026, ma czas na wniosek o wpis do wykazu do 3 października 2026. Obowiązki z ustawy, w tym system zarządzania bezpieczeństwem informacji, wdraża do 3 kwietnia 2027; kto spełni warunki później, ma sześć miesięcy na wniosek i dwanaście na obowiązki. Pierwszy audyt podmiot kluczowy ma za sobą do 3 kwietnia 2028, kolejne co najmniej raz na 3 lata. Pierwsze kary organ może nałożyć po 3 kwietnia 2028. Wniosek o wpis, polityki, zabezpieczenia w systemie i umowy z dostawcami to osobne zakresy; analiza mówi, które są potrzebne i kiedy.

Potem przegląd tego, co firma ma: polityki, zabezpieczenia, umowy z dostawcami i osoby odpowiedzialne za dostęp, kopie i zgłaszanie awarii. Wymagania bierzemy z listy środków zarządzania ryzykiem w dyrektywie i w ustawie. Między innymi: analiza ryzyka, obsługa incydentów, ciągłość działania, łańcuch dostaw, czyli dostawcy IT, bezpieczeństwo przy zakupie i rozwoju systemów, szkolenia, szyfrowanie, kontrola dostępu.

Każda luka dostaje trzy opisy: czego brakuje wobec wskazanego przepisu, jaką ma wagę (termin i to, co grozi: kara, przestój, odpowiedzialność kierownika) i ile pracy wymaga zamknięcie. Pracę opisujemy w trzech stopniach, bez godzin: poprawka w dokumencie, ustawienie w działającym systemie albo osobny projekt. Kolejność: zasady przed zabezpieczeniami, które mają je wykonywać.