NIS2 • KSC • ISO 27001 • Cyber GovernanceCyberbezpieczeństwo w organizacjach i administracji publicznej

Ostatnie lata przyniosły radykalne zwiększenie skali i złożoności cyberzagrożeń. Według ENISA Threat Landscape, ponad 70% dużych organizacji doświadczyło poważnych incydentów w ciągu ostatnich dwóch lat, a średni koszt przestoju biznesowego wzrósł o 38%.

Jednocześnie organizacje muszą dostosować się do nowych regulacji: NIS2, KSC, DORA (dla sektora finansowego), RODO w kontekście ryzyk cyfrowych oraz zaleceń CSIRT i zasad raportowania incydentów w trybie 24/72h.

Najważniejsze trendy, które muszą uwzględnić organizacje:

• Ransomware 3.0 – ataki wielowarstwowe, obejmujące szyfrowanie, wyciek danych, ataki reputacyjne oraz uderzenia w kopie zapasowe.
• Ataki APT – kampanie prowadzone przez grupy państwowe, skierowane przeciw administracji, energetyce, logistyce, operatorom sieci oraz branży zdrowotnej.
• Łańcuch dostaw – w 60% incydentów źródłem naruszeń bezpieczeństwa jest dostawca, integrator IT lub usługodawca chmurowy.
• Compromise of Identity – przejmowanie kont administratorów, w tym AD/AAD, nadużywanie tokenów dostępowych, lateral movement.
• Ataki na środowiska OT / ICS – zakłócanie produkcji, sabotowanie urządzeń, ingerencja w procesy przemysłowe.
• Cloud misconfiguration – błędne konfiguracje usług chmurowych są obecnie najczęstszą przyczyną incydentów w organizacjach korzystających z cloud computing.

W tym kontekście systemowe podejście do bezpieczeństwa – zgodne z NIS2, KSC i ISO/IEC 27001 – staje się nie tyle wyborem, co wymogiem organizacyjnym i prawnym.

NIS2 nie ogranicza się do ogólnych postulatów „zwiększenia bezpieczeństwa”. W artykułach 21–32 znajdują się bardzo konkretne wymagania, które muszą zostać przełożone na procesy, procedury, narzędzia oraz architekturę techniczną.

Art. 21 – środki techniczne i organizacyjne

Organizacja musi wdrożyć odpowiednie i proporcjonalne środki bezpieczeństwa, uwzględniające m.in.:

• system zarządzania bezpieczeństwem informacji (ISMS),
• analizę i zarządzanie ryzykiem,
• polityki bezpieczeństwa oraz powiązane procedury i instrukcje,
• plan ciągłości działania i odtwarzania po awarii (BCP/DRP),
• zarządzanie podatnościami i aktualizacjami,
• bezpieczeństwo systemów w całym cyklu życia (od projektowania, przez eksploatację, po wycofanie),
• monitorowanie, logowanie i analizę zdarzeń bezpieczeństwa.

Art. 23–24 – zgłaszanie incydentów

Dyrektywa wprowadza wieloetapowy model raportowania incydentów:

• early warning – w ciągu 24 godzin od wykrycia incydentu,
• raport wstępny – w ciągu 72 godzin,
• raport końcowy – w terminie do 1 miesiąca od usunięcia incydentu.

Oznacza to konieczność posiadania gotowych procedur, szablonów raportów, podziału odpowiedzialności oraz narzędzi umożliwiających szybką korelację logów i dowodów technicznych.

Art. 26–27 – bezpieczeństwo łańcucha dostaw

Organizacje muszą uwzględniać ryzyka po stronie dostawców usług ICT, integratorów, operatorów chmurowych i innych podmiotów kluczowych dla świadczenia usług. Wymaga to formalnego podejścia do zarządzania relacjami z dostawcami, w tym:

• wprowadzania wymagań bezpieczeństwa do umów i SLA,
• oceny ryzyka związanego z dostawcami,
• monitorowania incydentów po stronie dostawców,
• planów ciągłości działania uwzględniających awarie i incydenty u partnerów.

Art. 28 – odpowiedzialność organów zarządzających

Zarządy i kierownictwo najwyższego szczebla muszą aktywnie nadzorować obszar cyberbezpieczeństwa – zatwierdzać politykę, zapewniać zasoby, oceniać ryzyko i raporty o incydentach. Dyrektywa przewiduje możliwość pociągnięcia do odpowiedzialności za rażące zaniedbania.

Art. 30–32 – nadzór i sankcje

NIS2 wprowadza istotnie wyższy poziom sankcji administracyjnych niż dotychczas:

• dla podmiotów ważnych – do 7 mln EUR lub 1,4% całkowitego rocznego obrotu,
• dla podmiotów kluczowych – do 10 mln EUR lub 2% całkowitego rocznego obrotu.

Dodatkowo organy nadzoru mogą nakładać środki naprawcze, zobowiązywać do realizacji określonych działań, zlecać audyty oraz, w szczególnych przypadkach, ograniczać działalność.

Wdrożenie NIS2 w organizacji wymaga więc nie tylko spełnienia formalnych wymogów, ale zbudowania spójnego, działającego w praktyce systemu zarządzania bezpieczeństwem.

Najbardziej efektywne wdrożenia opierają się na jednym, spójnym systemie zarządzania bezpieczeństwem informacji (ISMS), który pozwala równolegle spełniać wymagania norm ISO oraz regulacji prawnych. ISO/IEC 27001:2022 jest naturalnym punktem odniesienia przy projektowaniu i wdrażaniu systemu cyberbezpieczeństwa zgodnego z NIS2 i KSC.

Porównanie podejścia – NIS2, KSC, ISO 27001:2022

W naszych projektach doradczych często rekomendujemy budowę lub dostosowanie systemu ISO/IEC 27001:2022 jako fundamentu, na którym następnie „dokładane” są szczegółowe wymagania NIS2, KSC, DORA oraz innych aktów sektorowych. Dzięki temu organizacja utrzymuje jeden, spójny model zarządzania bezpieczeństwem, zamiast kilku równoległych, nieskoordynowanych inicjatyw.

Poniższa tabela przedstawia przykładowy katalog działań, który może stanowić bazę do opracowania planu wdrożenia NIS2 i KSC w organizacji. W rzeczywistych projektach katalog jest rozbudowywany o szczegółowe zadania, odpowiedzialności i harmonogram.

W projektach Doradcy365 katalog środków jest dopasowywany do profilu ryzyka, sektora oraz modelu organizacyjnego klienta – inne priorytety będą mieć np. szpitale, a inne operatorzy sieci energetycznych czy instytucje finansowe.

Analiza projektów realizowanych przez Doradcy365 oraz obserwacje rynku pokazują, że w wielu organizacjach powtarzają się podobne problemy. Identyfikacja i usunięcie tych luk jest zazwyczaj pierwszym etapem przygotowania do wdrożenia NIS2 i KSC.

Przykładowe niezgodności:

• brak aktualnej, kompleksowej analizy ryzyka obejmującej IT, OT i chmurę,
• niekompletne lub niespójne polityki i procedury bezpieczeństwa,
• brak formalnego procesu zarządzania incydentami (w tym zasad raportowania),
• brak matryc ról i uprawnień oraz recertyfikacji dostępów,
• niewystarczające logowanie i monitoring (brak SIEM, brak korelacji),
• brak regularnych testów odtwarzania danych i nieaktualne plany BCP/DRP,
• niewystarczające wymagania bezpieczeństwa w umowach z dostawcami ICT,
• brak regularnych testów penetracyjnych i audytów konfiguracji,
• niezabezpieczone lub słabo chronione środowiska chmurowe,
• brak spójnego systemu raportowania dla zarządów i rad nadzorczych.

W ramach projektów doradczych przygotowujemy raport z lukami (gap analysis) wraz z priorytetyzacją działań oraz szacunkowym nakładem prac – tak, aby zarząd mógł podjąć świadome decyzje dotyczące harmonogramu i budżetu.

Poniższa tabela przedstawia przykładowy katalog działań, który może stanowić bazę do opracowania planu wdrożenia NIS2 i KSC w organizacji. W rzeczywistych projektach katalog jest rozbudowywany o szczegółowe zadania, odpowiedzialności i harmonogram.

W projektach Doradcy365 katalog środków jest dopasowywany do profilu ryzyka, sektora oraz modelu organizacyjnego klienta – inne priorytety będą mieć np. szpitale, a inne operatorzy sieci energetycznych czy instytucje finansowe.

Analiza projektów realizowanych przez Doradcy365 oraz obserwacje rynku pokazują, że w wielu organizacjach powtarzają się podobne problemy. Identyfikacja i usunięcie tych luk jest zazwyczaj pierwszym etapem przygotowania do wdrożenia NIS2 i KSC.

Przykładowe niezgodności:

• brak aktualnej, kompleksowej analizy ryzyka obejmującej IT, OT i chmurę,
• niekompletne lub niespójne polityki i procedury bezpieczeństwa,
• brak formalnego procesu zarządzania incydentami (w tym zasad raportowania),
• brak matryc ról i uprawnień oraz recertyfikacji dostępów,
• niewystarczające logowanie i monitoring (brak SIEM, brak korelacji),
• brak regularnych testów odtwarzania danych i nieaktualne plany BCP/DRP,
• niewystarczające wymagania bezpieczeństwa w umowach z dostawcami ICT,
• brak regularnych testów penetracyjnych i audytów konfiguracji,
• niezabezpieczone lub słabo chronione środowiska chmurowe,
• brak spójnego systemu raportowania dla zarządów i rad nadzorczych.

W ramach projektów doradczych przygotowujemy raport z lukami (gap analysis) wraz z priorytetyzacją działań oraz szacunkowym nakładem prac – tak, aby zarząd mógł podjąć świadome decyzje dotyczące harmonogramu i budżetu.

Doradcy365 – Biuro Obsługi Klienta

📞 Telefon: +48 577 999 666
📧 E-mail: kontakt@doradcy365.pl
🌐 Strona: www.doradcy365.pl

Godziny pracy:
poniedziałek–piątek: 08:00–17:00

Odpowiadamy zazwyczaj w ciągu kilku godzin.
Istnieje możliwość podpisania NDA przed rozpoczęciem rozmów.

Cyberbezpieczeństwo stało się fundamentem działania współczesnych organizacji – zarówno w sektorze prywatnym, jak i publicznym. Dynamiczny wzrost zagrożeń, rosnące wymagania regulacyjne oraz konieczność zapewnienia ciągłości działania sprawiają, że systemowe podejście jest niezbędne.

Doradcy365 oferują pełne wsparcie: od analiz i audytów, przez projektowanie i wdrażanie procesów, po utrzymanie i doradztwo strategiczne.
Nasze doświadczenie obejmuje współpracę z dużymi przedsiębiorstwami, instytucjami publicznymi oraz operatorami infrastruktury krytycznej.

Jeżeli Twoja organizacja przygotowuje się do wdrożenia NIS2, KSC, ISO 27001 lub poszukuje wsparcia w jednym z obszarów bezpieczeństwa – chętnie pomożemy.