KSC 與 NIS2 影響及差距分析

影響分析確定哪些法規適用於您的公司，以及它們如何改變公司的運作；差距分析則把這些要求與公司現有的安排作比較。

KSC 修訂案自2026年4月3日起生效，把歐盟 NIS2 指令，即歐盟關於網絡安全的第2022/2555號指令，轉化為波蘭法律（法律狀況截至2026年9月20日）。關鍵實體是指屬於該法附件一所列行業、規模大於中型企業的公司。重要實體是指屬於附件一、規模為中型企業的公司，或屬於附件二、規模為中型或以上的公司。附件一所列行業包括運輸、銀行、醫療保健、供水及污水處理，以及數碼基礎設施等。附件二所列行業包括部分子行業的製造業、食品、化學品、廢物處理及數碼服務等。中型企業的門檻：僱員少於250人，且營業額不超過5,000萬歐元或資產負債表總額不超過4,300萬歐元，並須連同關聯企業和夥伴企業一併計算。小型企業（僱員少於50人，營業額或資產負債表總額不超過1,000萬歐元）不在該法適用範圍內，但法例另有列明的例外情況除外。團隊成員具備法律支援；如定性存在爭議，法律意見由律師事務所出具。

於2026年4月3日已符合該法條件的公司，須在2026年10月3日前提交列入名冊的申請。該法規定的義務，包括資訊安全管理系統，須在2027年4月3日前落實；其後才符合條件的公司，有六個月時間提交申請，十二個月時間落實義務。關鍵實體須在2028年4月3日前完成首次審計，其後最少每3年一次。主管機關最早可在2028年4月3日後作出首批處罰。列入名冊的申請、政策、系統中的保安措施及供應商合約屬另外的範圍；分析會說明需要哪些範圍，以及何時需要。

接著檢視公司現有的安排：政策、保安措施、供應商合約，以及負責存取權、備份和故障通報的人員。我們按指令和該法所列的風險管理措施清單訂出要求，包括風險分析、事故處理、業務持續、供應鏈（即資訊科技供應商）、採購和開發系統時的安全、培訓、加密及存取控制等。

每項差距都有三項說明：相對於所指條文欠缺甚麼、其嚴重程度（期限及可能後果：處罰、停頓、管理人員的責任），以及填補差距所需的工作量。工作量分三級描述，不以工時計算：修改文件、調整運作中系統的設定，或另立項目。次序上，先訂規則，再落實執行這些規則的保安措施。

1. 我們確定身份。我們把公司的業務、僱員人數、營業額和關聯關係，與該法及其附件的條件作核對。成果：註明法律狀況日期的書面定性。
2. 我們與同事面談並閱讀文件。負責資訊科技、合約、人事和財務的同事向我們展示存取權、備份、故障通報和合約的安排。成果：標明哪些有證據的檢視結果。
3. 我們把要求與檢視結果對照。每項措施都標上狀態：有證據、無證據、欠缺。成果：附嚴重程度和次序的差距清單。
4. 我們向管理層提交報告。我們確定哪些差距由我們的其他範圍填補、哪些由其他承辦商處理、哪些由您的團隊負責。成果：劃分責任的計劃。