NIS2 dla zarządu - za co odpowiada kierownictwo organizacji?

Cyberbezpieczeństwo przez wiele lat było traktowane przede wszystkim jako zadanie działu IT. NIS2 i wdrażająca jej wymagania nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa zmieniają tę perspektywę. Ochrona systemów, danych i ciągłości działania staje się obszarem nadzoru zarządczego, podobnie jak ryzyko finansowe, prawne czy operacyjne.

Zgodnie z dyrektywą NIS2 organy zarządzające podmiotów kluczowych i ważnych mają zatwierdzać środki zarządzania ryzykiem cyberbezpieczeństwa, nadzorować ich wdrożenie oraz rozwijać kompetencje potrzebne do rozumienia zagrożeń. Polska nowelizacja KSC wprowadza również odpowiedzialność kierownika podmiotu za realizację zadań dotyczących cyberbezpieczeństwa oraz obowiązek odbycia odpowiedniego szkolenia.

Nie oznacza to, że zarząd ma samodzielnie konfigurować systemy, analizować logi lub obsługiwać incydenty. Powinien jednak wiedzieć, jakie ryzyka dotyczą organizacji, jakie zabezpieczenia zostały wdrożone, czy są one skuteczne i kto odpowiada za poszczególne działania.

Organizacje, które potrzebują uporządkowanego przejścia od oceny obecnego stanu do wdrożenia procedur, zabezpieczeń i dokumentacji, mogą skorzystać ze wsparcia w ramach wdrożenia wymagań NIS2.

Dlaczego NIS2 jest tematem dla zarządu, a nie tylko dla działu IT?

Incydent cyberbezpieczeństwa może zatrzymać produkcję, uniemożliwić świadczenie usług, naruszyć dane klientów, wygenerować koszty prawne i doprowadzić do utraty zaufania partnerów biznesowych. Są to konsekwencje, które bezpośrednio wpływają na kondycję całej organizacji.

Dział IT może rekomendować rozwiązania i prowadzić działania operacyjne, ale decyzje dotyczące akceptowalnego poziomu ryzyka, budżetu, ciągłości działania, dostawców czy priorytetów inwestycyjnych wymagają zaangażowania kierownictwa.

Zarząd powinien więc patrzeć na cyberbezpieczeństwo nie tylko przez pryzmat narzędzi, lecz także przez pytania biznesowe:

• które procesy są najważniejsze dla ciągłości działania,
• jakie systemy i dane są krytyczne,
• jak długo organizacja może funkcjonować bez danego systemu,
• jakie skutki finansowe i prawne może wywołać incydent,
• czy dostępne zasoby są wystarczające do ograniczenia ryzyka,
• czy firma potrafi szybko wykryć i zgłosić poważny incydent.

Kto w praktyce odpowiada jako kierownictwo organizacji?

Dyrektywa NIS2 posługuje się pojęciem organu zarządzającego, natomiast polskie przepisy wskazują odpowiedzialność kierownika podmiotu kluczowego lub ważnego. To, kto dokładnie pełni tę funkcję, zależy od formy prawnej i struktury danej organizacji.

W spółce odpowiedzialność może dotyczyć członków zarządu. W instytucji publicznej lub innej jednostce będzie związana z osobą albo organem kierującym jej działalnością. Dokładne przypisanie odpowiedzialności powinno zostać potwierdzone z uwzględnieniem przepisów, statutu, regulaminów i zasad reprezentacji danego podmiotu.

W praktyce ważne jest, aby organizacja nie pozostawiła tego obszaru bez właściciela. Powinno być jasne:

• kto zatwierdza działania związane z cyberbezpieczeństwem,
• kto otrzymuje raporty o ryzyku,
• kto podejmuje decyzje podczas poważnego incydentu,
• kto odpowiada za relacje z organami i zespołami CSIRT,
• kto monitoruje realizację działań naprawczych.

Uwaga: artykuł ma charakter informacyjny i nie zastępuje indywidualnej analizy prawnej dotyczącej odpowiedzialności konkretnych osób w danej organizacji.

Za co odpowiada zarząd w kontekście NIS2 i UoKSC?

1. Ustalenie, czy organizacja podlega przepisom

Pierwszym zadaniem jest sprawdzenie, czy organizacja spełnia kryteria podmiotu kluczowego albo ważnego. Znaczenie mają sektor działalności, wielkość przedsiębiorstwa, rodzaj świadczonych usług oraz dodatkowe kryteria wynikające z ustawy.

Nie powinno to pozostać nieformalnym przekonaniem działu IT. Kierownictwo powinno otrzymać udokumentowaną analizę statusu organizacji oraz zatwierdzić dalszy plan postępowania.

W przypadku wątpliwości pomocna może być uporządkowana ścieżka przygotowania przedstawiona w Kompasie DAGMA.

2. Zatwierdzenie sposobu zarządzania ryzykiem

Zarząd powinien znać najważniejsze ryzyka cyberbezpieczeństwa i zatwierdzić zasady ich obsługi. Nie musi analizować każdej podatności technicznej, ale powinien wiedzieć, które zagrożenia mogą zatrzymać kluczowe procesy lub narazić organizację na poważne straty.

Dyrektywa NIS2 obejmuje między innymi polityki analizy ryzyka, obsługę incydentów, ciągłość działania, bezpieczeństwo łańcucha dostaw, zarządzanie podatnościami, ocenę skuteczności zabezpieczeń, kontrolę dostępu, kryptografię i uwierzytelnianie wieloskładnikowe.

Kierownictwo powinno zatwierdzić przede wszystkim:

• metodę oceny ryzyka,
• poziom ryzyka, który organizacja jest gotowa zaakceptować,
• kryteria kwalifikowania ryzyk jako krytyczne,
• sposób raportowania ryzyka do zarządu,
• częstotliwość przeglądów,
• zasady postępowania z ryzykiem, którego nie można szybko usunąć.

Dobrym punktem wyjścia może być analiza luk w cyberbezpieczeństwie, która pokazuje różnicę pomiędzy stanem obecnym a wymaganym.

3. Zapewnienie zasobów potrzebnych do wdrożenia

Odpowiedzialność zarządu nie kończy się na zatwierdzeniu polityki bezpieczeństwa. Jeżeli organizacja identyfikuje istotne ryzyko, musi dysponować środkami pozwalającymi je ograniczyć.

Zasoby nie oznaczają wyłącznie budżetu na nowe narzędzia. Mogą obejmować:

• zatrudnienie lub rozwój kompetencji specjalistów,
• czas pracowników zaangażowanych we wdrożenie,
• wsparcie zewnętrznych ekspertów,
• przebudowę procesów,
• aktualizację umów z dostawcami,
• testy bezpieczeństwa,
• szkolenia,
• monitoring i reagowanie na incydenty.

Zarząd powinien również rozstrzygać sytuacje, w których wymagania bezpieczeństwa kolidują z terminami projektów, kosztami albo celami operacyjnymi. Brak decyzji także jest decyzją i może oznaczać świadome pozostawienie ryzyka bez odpowiedniej reakcji.

4. Nadzór nad wdrożeniem SZBI

Ministerstwo Cyfryzacji wskazuje, że podmioty kluczowe i ważne objęte nowelizacją powinny przygotować i wdrożyć System Zarządzania Bezpieczeństwem Informacji. Organizacje spełniające kryteria w dniu wejścia ustawy w życie mają czas na dostosowanie do 3 kwietnia 2027 roku.
Źródło: Gov.pl

Zarząd nie musi opracowywać każdego dokumentu, ale powinien nadzorować, czy system:

• obejmuje właściwe procesy i systemy,
• ma określone cele,
• posiada przypisanych właścicieli,
• jest zgodny z rzeczywistym sposobem działania,
• uwzględnia ryzyka techniczne, organizacyjne i dostawców,
• jest regularnie przeglądany,
• zapewnia dowody realizacji obowiązków.

Samo przygotowanie segregatora z procedurami nie oznacza skutecznego wdrożenia. Dokumenty powinny być stosowane w codziennej pracy, a organizacja musi potrafić wykazać, że opisane mechanizmy rzeczywiście działają.

5. Nadzór nad obsługą i zgłaszaniem incydentów

Kierownictwo powinno mieć pewność, że organizacja potrafi wykryć poważny incydent, ocenić jego znaczenie, uruchomić odpowiednią reakcję i przekazać wymagane zgłoszenia.

Nie wystarczy samo posiadanie procedury. Zarząd powinien otrzymać odpowiedzi na pytania:

• kto podejmuje decyzję o eskalacji,
• kto kontaktuje się z właściwym CSIRT,
• jakie informacje trzeba zebrać,
• kto odpowiada za komunikację z klientami i partnerami,
• kto podejmuje decyzje dotyczące ciągłości działania,
• czy procedura została przetestowana,
• kto może uruchomić zewnętrzne wsparcie.

Nowelizacja KSC przewiduje korzystanie z Systemu S46 między innymi do realizacji obowiązków ustawowych i raportowania incydentów. Dla podmiotów objętych okresem dostosowawczym termin rozpoczęcia korzystania z systemu upływa 3 kwietnia 2027 roku.
Źródło: Gov.pl

6. Nadzór nad ciągłością działania

Cyberbezpieczeństwo nie polega wyłącznie na zapobieganiu atakom. Organizacja powinna być przygotowana także na sytuację, w której zabezpieczenia nie powstrzymają incydentu.

Zarząd powinien zatwierdzić:

• kluczowe procesy wymagające szybkiego odtworzenia,
• akceptowalny czas niedostępności,
• priorytety przywracania systemów,
• zasady tworzenia i ochrony kopii zapasowych,
• sposób działania podczas niedostępności infrastruktury,
• zakres testów planów ciągłości i odtwarzania.

Jednym z najczęstszych błędów jest zakładanie, że samo wykonywanie kopii zapasowych zapewnia ciągłość działania. Zarząd powinien wiedzieć, czy kopie były rzeczywiście odtwarzane w warunkach testowych i ile czasu zajmuje powrót do działania.

7. Kontrola ryzyka związanego z dostawcami

NIS2 zwraca uwagę na bezpieczeństwo łańcucha dostaw. Organizacja może mieć dobrze zabezpieczoną infrastrukturę wewnętrzną, a mimo to pozostawać narażona przez dostawcę posiadającego dostęp do systemów, danych lub krytycznej usługi.

Kierownictwo powinno wiedzieć:

• którzy dostawcy są krytyczni,
• jakie dane i systemy są im udostępniane,
• jakie wymagania bezpieczeństwa zawierają umowy,
• czy dostawcy mają obowiązek informowania o incydentach,
• jak wygląda odbieranie dostępów po zakończeniu współpracy,
• czy istnieje możliwość zastąpienia dostawcy,
• czy ryzyko dostawcy jest okresowo oceniane.

Nie każdy dostawca wymaga takiego samego poziomu kontroli. Priorytet powinien zależeć od jego wpływu na ciągłość działania, zakresu dostępu oraz rodzaju przetwarzanych informacji.

8. Weryfikacja skuteczności zabezpieczeń

Zarząd powinien wymagać dowodów, że zabezpieczenia działają. Sam zakup rozwiązania bezpieczeństwa nie potwierdza jego skuteczności.

W zależności od ryzyka organizacja może wykorzystywać:

• audyty,
• skanowanie podatności,
• testy penetracyjne,
• testy socjotechniczne,
• przeglądy uprawnień,
• ćwiczenia reagowania na incydenty,
• testy odtwarzania kopii zapasowych,
• monitoring wskaźników bezpieczeństwa.

Testy penetracyjne pozwalają praktycznie sprawdzić odporność infrastruktury lub aplikacji, natomiast audyt zgodności z NIS2 ocenia przygotowanie organizacji względem wymagań regulacyjnych.

Szkolenia kierownictwa i pracowników

Dyrektywa NIS2 wskazuje potrzebę szkoleń członków organów zarządzających. Polska nowelizacja KSC również przewiduje obowiązek odbycia odpowiedniego szkolenia przez kierownika podmiotu.

Szkolenie dla zarządu powinno różnić się od standardowego szkolenia pracowników. Kierownictwo powinno rozumieć przede wszystkim:

• wpływ incydentów na działalność,
• własną rolę w podejmowaniu decyzji,
• sposób oceny ryzyka,
• podstawowe obowiązki regulacyjne,
• zasady reagowania na sytuacje kryzysowe,
• znaczenie raportów i wskaźników bezpieczeństwa,
• ryzyka wynikające z korzystania z dostawców.

Pracownicy potrzebują natomiast praktycznej wiedzy pozwalającej rozpoznawać zagrożenia, chronić dane i prawidłowo zgłaszać podejrzane sytuacje. Skuteczność takich działań można zweryfikować poprzez testy socjotechniczne.

Czego zarząd nie powinien całkowicie delegować?

Zadania operacyjne mogą zostać przekazane CISO, dyrektorowi IT, pełnomocnikowi SZBI, zespołowi bezpieczeństwa lub dostawcy zewnętrznemu. Nie zmienia to jednak faktu, że NIS2 wymaga zatwierdzania środków bezpieczeństwa i nadzorowania ich wdrażania przez organ zarządzający.

W praktyce oznacza to, że zarząd nie powinien całkowicie delegować:

• akceptacji najważniejszych ryzyk,
• zatwierdzenia strategii cyberbezpieczeństwa,
• decyzji o zasobach,
• nadzoru nad postępem wdrożenia,
• oceny gotowości do reagowania na incydenty,
• kontroli realizacji działań naprawczych.

Delegowanie wykonania zadania nie powinno prowadzić do sytuacji, w której kierownictwo nie wie, jakie ryzyka występują i czy organizacja je właściwie ogranicza. Jest to praktyczny wniosek wynikający z obowiązku zatwierdzania środków i nadzorowania wdrożenia wskazanego w art. 20 NIS2.

Jakich informacji powinien regularnie wymagać zarząd?

Raport dla zarządu nie powinien być listą setek podatności ani technicznym eksportem z narzędzia. Powinien pokazywać wpływ ryzyka na działalność i wskazywać decyzje, które wymagają zaangażowania kierownictwa.

Przykładowy raport zarządczy może obejmować:

Zakres wskaźników powinien odpowiadać charakterowi organizacji. Firma produkcyjna będzie inaczej oceniała ryzyko niż dostawca usług cyfrowych czy podmiot leczniczy.

Dziesięć pytań, które zarząd powinien zadać przed wdrożeniem NIS2

1. Czy mamy potwierdzoną i udokumentowaną ocenę, czy podlegamy UoKSC?
2. Które procesy i systemy są najważniejsze dla ciągłości działania?
3. Jakie są obecnie trzy największe ryzyka cyberbezpieczeństwa?
4. Kto jest właścicielem każdego z tych ryzyk?
5. Czy mamy działającą procedurę obsługi i zgłaszania incydentów?
6. Kiedy ostatnio odtworzyliśmy dane z kopii zapasowej w ramach testu?
7. Czy znamy krytycznych dostawców i ryzyka związane z ich dostępem?
8. Jak weryfikujemy skuteczność zabezpieczeń?
9. Które działania naprawcze są opóźnione i dlaczego?
10. Jakich decyzji, zasobów lub budżetu potrzebuje dziś zespół odpowiedzialny za bezpieczeństwo?

Brak odpowiedzi na część tych pytań nie musi oznaczać, że organizacja nie może rozpocząć przygotowań. Pokazuje natomiast, które obszary należy uporządkować w pierwszej kolejności.

Aktualne terminy, które powinno znać kierownictwo

3 października 2026 roku

Do tego dnia podmioty spełniające kryteria i nieobjęte wpisem z urzędu powinny złożyć wniosek o wpis do Wykazu KSC. Samorejestracja została uruchomiona 7 maja 2026 roku.

3 kwietnia 2027 roku

Dla organizacji, które spełniały kryteria w dniu wejścia nowelizacji w życie, jest to koniec okresu dostosowawczego. Do tego dnia powinny zostać wdrożone obowiązki wynikające z ustawy, w tym SZBI, a podmioty powinny rozpocząć korzystanie z Systemu S46.

3 kwietnia 2028 roku

Do tego dnia pierwszy obowiązkowy audyt powinny przeprowadzić podmioty kluczowe, które wcześniej nie były operatorami usług kluczowych. Następne audyty są wymagane nie rzadziej niż raz na trzy lata.
Źródło: Gov.pl

Audyt czy wdrożenie NIS2 – od czego powinien zacząć zarząd?

Wybór zależy od tego, jak dobrze organizacja zna swój aktualny poziom przygotowania.

Audyt zgodności z NIS2

Będzie właściwym krokiem, gdy organizacja chce:

• niezależnie zweryfikować poziom zgodności,
• rozpoznać braki i niezgodności,
• otrzymać raport i rekomendacje,
• przygotować się do dalszych działań,
• potwierdzić skuteczność dotychczasowych prac.

Więcej informacji znajduje się na stronie usługi audytu zgodności z NIS2.

Praktyczną checklistę przygotowań opisaliśmy również w artykule Jak przygotować się do audytu zgodności z NIS2?

Wdrożenie wymagań NIS2

Będzie kolejnym krokiem, gdy organizacja:

• zna już swoje luki,
• potrzebuje opracować lub zaktualizować dokumentację,
• musi wdrożyć SZBI,
• chce uporządkować role i procesy,
• potrzebuje dostosować zabezpieczenia,
• chce przygotować zespół i kierownictwo,
• potrzebuje wsparcia w realizacji rekomendacji.

Prowadzimy wdrożenie wymagań NIS2 w modelu warsztatowym, dostosowując dokumentację i procesy do rzeczywistego sposobu działania organizacji. Zakres oferty obejmuje między innymi analizę obecnego stanu, wdrożenie środków organizacyjnych i technicznych oraz przygotowanie do audytu.

Jak przygotować zarząd do nadzoru nad wdrożeniem?

Dobrym rozwiązaniem jest stworzenie jasnego modelu zarządczego jeszcze przed rozpoczęciem prac.

Powinien on określać:

Sponsora projektu

Osobę z kierownictwa, która odpowiada za usuwanie barier, zapewnienie zasobów i raportowanie postępu na poziomie zarządu.

Lidera operacyjnego

Osobę koordynującą codzienne działania, współpracę działów, dokumentację i kontakt z ekspertami.

Właścicieli ryzyk i procesów

Osoby odpowiedzialne za konkretne obszary, na przykład ciągłość działania, dostęp, dostawców, incydenty, infrastrukturę lub szkolenia.

Harmonogram raportowania

Ustalony cykl, w którym zarząd otrzymuje aktualne informacje o postępie, opóźnieniach i decyzjach wymagających zatwierdzenia.

Sposób dokumentowania decyzji

Protokoły, uchwały, zaakceptowane polityki, raporty oraz decyzje dotyczące ryzyka powinny być archiwizowane. Pozwala to wykazać, że kierownictwo rzeczywiście uczestniczyło w nadzorze.

Jak DAGMA wspiera kierownictwo w przygotowaniu do NIS2?

Jako Dagma Cybersecurity IT pomagamy organizacjom przejść od rozpoznania obowiązków do praktycznego wdrożenia procesów i zabezpieczeń.

Zakres działań może obejmować:

• ocenę, czy organizacja podlega regulacji,
• analizę luk i gotowości,
• audyt zgodności z NIS2,
• wdrożenie Systemu Zarządzania Bezpieczeństwem Informacji,
• opracowanie polityk i procedur,
• zarządzanie ryzykiem,
• przygotowanie procesu obsługi incydentów,
• testy penetracyjne i skany podatności,
• testy socjotechniczne,
• wsparcie w realizacji rekomendacji,
• przygotowanie kierownictwa i pracowników.

Pełną ścieżkę działań, łączącą audyt, wdrożenie, testy i monitoring bezpieczeństwa, przedstawiamy w zakładce Kompas DAGMA.

Podsumowanie

NIS2 nie wymaga od zarządu zastępowania specjalistów IT. Wymaga jednak świadomego podejmowania decyzji, zatwierdzania środków bezpieczeństwa i nadzorowania ich skutecznego wdrożenia.

Kierownictwo powinno wiedzieć:

• czy organizacja podlega regulacji,
• jakie są najważniejsze ryzyka,
• czy dostępne zasoby odpowiadają potrzebom,
• czy procesy reagowania na incydenty działają,
• czy zabezpieczenia są regularnie weryfikowane,
• czy realizowane są obowiązki wynikające z UoKSC,
• czy działania naprawcze są wykonywane w terminie.

Organizacja nie osiągnie zgodności wyłącznie przez przygotowanie dokumentów. Potrzebuje działającego systemu zarządzania, zaangażowania właścicieli procesów i nadzoru osób podejmujących najważniejsze decyzje.

Przygotuj organizację i kierownictwo do wymagań NIS2

Potrzebujesz wsparcia w ocenie gotowości, uporządkowaniu obowiązków i wdrożeniu skutecznego Systemu Zarządzania Bezpieczeństwem Informacji?

Sprawdź wdrożenie wymagań NIS2

Poznaj Kompas DAGMA

Najczęściej zadawane pytania