KSC i NIS2

Polityki, procedury i rejestracja podmiotu

Dokumenty, których wymaga ustawa o KSC, napisane z ludźmi, którzy będą ich używać, oraz wniosek o wpis do wykazu podmiotów gotowy do podpisu.

Porozmawiajmy o projekcie Zobacz zakres

Sytuacje

Z czym przychodzą do nas klienci

Analiza wykazała, że Twoja firma jest podmiotem kluczowym albo ważnym, czyli należy do jednej z dwóch grup firm objętych ustawą o krajowym systemie cyberbezpieczeństwa (KSC). KSC to polskie przepisy, które wdrażają unijną dyrektywę NIS2 i nakładają obowiązki bezpieczeństwa informacji na wybrane firmy (stan prawny na 20 września 2026). Czy ustawa Cię obejmuje i czego brakuje, ustala analiza wpływu i luk: to osobny zakres, od niego zaczynamy. Tu opisujemy kolejny krok: polityki, procedury, szkolenie i wniosek o wpis do wykazu, napisane tak, żeby firma ich używała zamiast trzymać w segregatorze.

Polityka bezpieczeństwa jest, ale nikt jej nie stosuje

Firma ma politykę bezpieczeństwa napisaną lata temu. Opisuje stanowiska, których nie ma, i nikt nie wie, co z niej wynika dla działu IT. Przy kontroli dokument mówi jedno, a dostępy nadaje się inaczej.

Incydent obsługiwany telefonem do informatyka

Gdy coś się dzieje, pracownik dzwoni do informatyka, a informatyk do dostawcy. Nikt nie zapisuje godziny wykrycia ani nie decyduje, czy i komu zdarzenie zgłosić. Zarząd dowiaduje się ostatni, czasem od klienta.

Wniosek o wpis czeka na podpis

We wniosku o wpis do wykazu kierownik firmy składa oświadczenie pod rygorem odpowiedzialności karnej. Nikt nie chce go podpisać bez spisanej podstawy.

Zakres

Co robimy

  1. Ustawa wymaga od podmiotu kluczowego i ważnego systemu zarządzania bezpieczeństwem informacji (SZBI). Dla Ciebie to spisane zasady i role, które mówią, kto za co odpowiada, żeby dane i systemy działały bezpiecznie, oraz dowody, że zasady są stosowane. Piszemy go po polsku, na istniejące stanowiska, w objętości do przeczytania w całości. Firma, która była podmiotem kluczowym albo ważnym już 3 kwietnia 2026, wdraża te obowiązki do 3 kwietnia 2027; objęta później ma na to dwanaście miesięcy.

  2. Polityki to decyzje firmy w obszarach wskazanych przez ustawę i dyrektywę. Dostępy: kto nadaje i odbiera uprawnienia i kto to sprawdza. Kopie zapasowe: co jest kopiowane, gdzie leży kopia i jak często próbujecie ją odtworzyć. Ciągłość działania: co robicie, gdy główny system stanie. Zabezpieczenia wymuszające te zasady w systemie i zapisy dla dostawców to osobne zakresy: środki techniczne w projekcie IT oraz umowy z dostawcami.

  3. Incydent to zdarzenie, które zagraża bezpieczeństwu informacji albo działaniu systemu, na przykład włamanie albo wyciek danych. Procedura mówi, kto rozpoznaje zdarzenie, kto ocenia, czy jest poważne, kto zgłasza je na zewnątrz i kto informuje zarząd; każdy krok ma osobę, zastępcę i limit godzin. Ustawa wyznacza trzy terminy wobec CSIRT sektorowego, czyli zespołu reagowania na incydenty właściwego dla Twojego sektora. Wczesne ostrzeżenie: najpóźniej 24 godziny od wykrycia incydentu poważnego. Zgłoszenie: najpóźniej w ciągu 72 godzin. Sprawozdanie końcowe: najpóźniej miesiąc od zgłoszenia. Incydent poważny to według dyrektywy taki, który powoduje lub może spowodować dotkliwe zakłócenie usług, straty finansowe albo znaczną szkodę innym osobom.

  4. Wykaz podmiotów kluczowych i ważnych to spis firm i instytucji objętych ustawą, prowadzony przez organ właściwy dla każdego sektora. Przygotowujemy wniosek o wpis z pisemnym uzasadnieniem, na którym kierownik opiera swoje oświadczenie. Terminy z ustawy:

    • firma objęta ustawą już 3 kwietnia 2026 składa wniosek najpóźniej 3 października 2026;
    • firma, która spełni warunki później, ma sześć miesięcy od tego dnia; zmianę danych zgłasza się w 14 dni;
    • wpis następuje z chwilą złożenia wniosku, a gdy wniosku nie ma w terminie, organ może wpisać firmę sam.

  5. Osoby z ról w procedurze szkolimy na przykładach z ich pracy. Ustawa wymaga od kierownika podmiotu szkolenia raz w roku kalendarzowym, a dyrektywa zachęca do szkolenia pracowników. Przegląd polityk i procedur ustalamy jako zasadę: w stałym terminie i po każdym incydencie poważnym, z osobą odpowiedzialną. Zespół ma zaplecze prawne; jeśli uzasadnienie wniosku wymaga opinii prawnej, wydaje ją kancelaria.

Wynik

Co dostajesz

  • Opis systemu zarządzania bezpieczeństwem informacji: role i lista dokumentów, do zatwierdzenia przez zarząd.
  • Polityki dostępów, kopii zapasowych i ciągłości działania, każda z osobą odpowiedzialną i datą przeglądu.
  • Procedura zgłaszania incydentów z rolami, zastępstwami, terminami i formularzem.
  • Wniosek o wpis do wykazu z pisemnym uzasadnieniem, gotowy do podpisu kierownika.
  • Plan szkoleń i kalendarz przeglądów z rejestrem odbytych szkoleń.

Przebieg

Jak przebiega praca

  1. Sprawdzamy, co firma już ma: regulaminy i instrukcje.

    Wynik: lista dokumentów do napisania, poprawienia i wycofania, w kolejności według terminów ustawy.

  2. Piszemy z ludźmi, którzy będą to wykonywać.

    Każdą politykę i procedurę omawiamy z działem, którego dotyczy, i sprawdzamy na sytuacjach z ostatniego roku. Wynik: komplet dokumentów do zatwierdzenia przez zarząd.

  3. Uruchamiamy procedury i wniosek.

    Kierownik dostaje wniosek do podpisu, osoby z ról przechodzą szkolenie, procedurę incydentu sprawdzamy na próbnym zdarzeniu, a przeglądy trafiają do kalendarza. Wynik: wniosek złożony, procedury w użyciu, dokumenty pod opieką wskazanej osoby.

Usługa nadrzędna

KSC i NIS2

Sprawdzenie, które obowiązki z KSC i NIS2 dotyczą Twojej firmy, i uzupełnienie braków: polityki, procedury, zabezpieczenia w systemie, umowy z dostawcami.

Zobacz usługę

Umów spotkanie

Umów rozmowę o problemie

Opisujesz proces albo system, który przestał wystarczać, i mówisz, co ma się zmienić. Rozmowa nic nie kosztuje.

Wybierz termin

Telefon: +48 455 406 404

Przed umową

Pytania, które zarząd powinien zadać wykonawcy

  1. Ile stron będzie miał komplet dokumentów i kto u nas przeczyta go w całości?
  2. Kto będzie wskazany z nazwiska w procedurze incydentu i kto go zastąpi podczas urlopu?
  3. Na jakiej spisanej podstawie kierownik firmy podpisze oświadczenie we wniosku o wpis?
  4. Jak sprawdzicie, że procedura działa, zanim zdarzy się prawdziwy incydent?
  5. Kto po projekcie aktualizuje dokumenty, gdy zmieni się przepis albo system, i ile to kosztuje?

Ta strona opisuje stan prawny na 20 września 2026; przed decyzją sprawdzamy go ponownie, bo terminy i przepisy wykonawcze mogą się zmienić. Zakres dokumentów zależy od tego, jako kto firma podlega ustawie, dlatego zaczynamy od analizy wpływu i luk.

KSC i NIS2

Inne zakresy tej usługi

Zobacz usługę: KSC i NIS2

Umowy z dostawcami

Lista dostawców, od których zależy działanie firmy, ocena każdego z nich i wymagania do umów i zapytań ofertowych odpowiadające obowiązkom z ustawy o KSC.

Zobacz zakres

Jak zaczynamy

  1. Rozmowa o problemie

    Opisujesz proces albo system, który przestał wystarczać, i mówisz, co ma się zmienić. Rozmowa nic nie kosztuje.

  2. Analiza pod NDA

    Badamy proces i systemy i oddajemy rekomendację z zakresem prac. Zakres, termin i cenę analizy znasz przed jej startem.

  3. Oferta

    Dostajesz zakres, zespół, harmonogram i cenę wdrożenia. Decydujesz, czy ruszamy.

Koszt analizy zaliczamy na poczet wdrożenia, jeśli je zamówisz.

Porozmawiajmy o projekcie

Telefon: +48 455 406 404 E-mail: contact@aliaxit.com

© 2026 ALIAX IT sp. z o.o. · ul. Boczna 28, 64-115 Wilkowice · KRS 0001102190 · NIP 6972399808 Polityka prywatności ·