Lista kontrolna NIS2: wymagania ustawy o KSC

Zarząd wyznaczył osobę odpowiedzialną za cyberbezpieczeństwo i nadzoruje jej pracę.

Kierownik odpowiada za obowiązki także wtedy, gdy je komuś powierzy (art. 8c). Przy zarządzie wieloosobowym bez wskazanej osoby odpowiadają wszyscy członkowie.

Kierownik firmy przeszedł w tym roku udokumentowane szkolenie z cyberbezpieczeństwa.

Szkolenie raz w roku kalendarzowym dla kierownika i osoby, której powierzył obowiązki (art. 8e).

Budżet na bezpieczeństwo IT jest zaplanowany na ten i przyszły rok.

Kierownik planuje środki na obowiązki z zakresu cyberbezpieczeństwa (art. 8d pkt 2).

Firma złożyła wniosek o wpis do wykazu KSC albo została wpisana z urzędu.

Wniosek składa się w aplikacji wykaz-ksc.gov.pl. Brak wniosku w terminie może być ukarany (art. 73 ust. 1a).

Co najmniej raz w roku oceniacie ryzyko (co może się stać z systemami i danymi) i macie plan postępowania.

Systematyczne szacowanie ryzyka i zarządzanie nim to podstawa systemu zarządzania bezpieczeństwem (art. 8 ust. 1 pkt 1).

Polityka bezpieczeństwa (hasła, dostępy, kopie, praca zdalna) jest spisana i zatwierdzona przez zarząd.

Polityki szacowania ryzyka i bezpieczeństwa systemu informacyjnego, w tym polityki tematyczne (art. 8 ust. 1 pkt 2 lit. a).

Kopie zapasowe serwerów, baz programu księgowego (ERP) i poczty wykonują się automatycznie, co najmniej raz dziennie.

Ręczne kopie „gdy ktoś pamięta” zwykle zawodzą wtedy, gdy są najbardziej potrzebne.

Co najmniej jedna kopia jest poza siedzibą firmy i jest odporna na zaszyfrowanie przez ransomware.

Reguła 3-2-1: trzy kopie, dwa nośniki, jedna poza firmą – offline albo w chmurze bez możliwości nadpisania.

Odtwarzanie danych z kopii jest sprawdzane co najmniej raz na kwartał.

Kopia, której nikt nie odtworzył, to tylko nadzieja. Testowanie planów odtworzenia wymienia wprost art. 8 ust. 1 pkt 2 lit. f.

Jest plan ciągłości działania: kto co robi i w jakiej kolejności, gdy padnie serwer, sieć albo program.

Plany ciągłości działania, plany awaryjne i plany odtworzenia – wdrożone, udokumentowane i testowane (art. 8 ust. 1 pkt 2 lit. f).

Logowanie wieloskładnikowe (MFA) jest włączone dla poczty, dostępu zdalnego (VPN, pulpit zdalny) i kont administratorów.

Większość włamań zaczyna się od wykradzionego hasła. Ustawa wymienia uwierzytelnianie wieloskładnikowe (art. 8 ust. 1 pkt 2 lit. l).

Każdy ma własne konto i uprawnienia według stanowiska, a konta byłych pracowników są wyłączane w dniu odejścia.

Polityki kontroli dostępu (art. 8 ust. 1 pkt 2 lit. n).

Konta administratorów są oddzielone od kont do codziennej pracy, a hasła są w menedżerze haseł.

Praca na koncie z pełnymi uprawnieniami sprawia, że jeden zainfekowany załącznik przejmuje cały komputer albo domenę.

Dyski laptopów i nośniki przenośne są zaszyfrowane (np. BitLocker).

Polityki stosowania kryptografii, w tym szyfrowania (art. 8 ust. 1 pkt 2 lit. k). Zgubiony laptop bez szyfrowania to wyciek danych.

Systemy, programy i oprogramowanie urządzeń sieciowych są aktualizowane regularnie, a krytyczne poprawki w ciągu kilku dni.

Regularne aktualizacje zgodnie z zaleceniami producenta (art. 8 ust. 1 pkt 5 lit. b).

W firmie nie działają systemy bez wsparcia producenta (np. Windows 10 po 14.10.2025 bez płatnego wsparcia, stare wersje Windows Server).

Do systemu bez wsparcia nie ma już poprawek bezpieczeństwa – każda nowa luka zostaje otwarta.

Ktoś śledzi komunikaty o podatnościach (CERT Polska, producenci) i reaguje na nie.

Zbieranie informacji o cyberzagrożeniach i podatnościach (art. 8 ust. 1 pkt 3) i niezwłoczne działania (pkt 5 lit. d).

Jest aktualny spis sprzętu, oprogramowania i licencji – z osobą odpowiedzialną i datą końca wsparcia.

Zarządzanie aktywami (art. 8 ust. 1 pkt 2 lit. m). Bez spisu nie wiadomo, co chronić i co wymienić.

Przy zakupie sprzętu i programów sprawdzacie wymagania bezpieczeństwa (wsparcie producenta, aktualizacje, gwarancja).

Bezpieczeństwo w procesie nabywania, rozwoju i utrzymania systemu (art. 8 ust. 1 pkt 2 lit. b).

Na wszystkich komputerach i serwerach działa ochrona antywirusowa (EDR) zarządzana z jednej konsoli.

Centralna konsola pokazuje, gdzie ochrona jest wyłączona albo nieaktualna – zanim zagrożenie się rozleje.

Sieć jest podzielona (goście, biuro, serwery, urządzenia), a dostęp z zewnątrz idzie tylko przez zaporę i VPN.

Ochrona przed nieuprawnioną modyfikacją i ograniczanie skutków incydentu (art. 8 ust. 1 pkt 5).

Alerty z serwerów, zapory i antywirusa ktoś przegląda na bieżąco.

Ustawa wymaga monitorowania systemu w trybie ciągłym (art. 8 ust. 1 pkt 2 lit. g).

Jest procedura na wypadek incydentu: kto decyduje, kogo zawiadomić i jak odciąć zainfekowany sprzęt.

Zarządzanie incydentami (art. 8 ust. 1 pkt 4). Pierwsze godziny po ataku decydują o skali strat.

Wiecie, jak w 24 godziny zgłosić wczesne ostrzeżenie, a w 72 godziny incydent poważny do CSIRT, i macie wyznaczone osoby do kontaktu.

Art. 11 ust. 1 pkt 4–4c: 24 h, 72 h i sprawozdanie końcowe w ciągu miesiąca. Osoby do kontaktu: co najmniej dwie, w mikro- i małej firmie jedna.

Znacie dostawców IT, od których zależy praca firmy, a umowy z nimi określają wymagania bezpieczeństwa i zgłaszanie incydentów.

Bezpieczeństwo łańcucha dostaw produktów i usług ICT (art. 8 ust. 1 pkt 2 lit. e i ust. 2).

Pracownicy co najmniej raz w roku przechodzą szkolenie z rozpoznawania phishingu i podstaw cyberhigieny.

Edukacja personelu i podstawowe zasady cyberhigieny (art. 8 ust. 1 pkt 2 lit. i, j).

Przy przyjęciu i odejściu pracownika jest lista kroków (dostępy, sprzęt, zasady bezpieczeństwa).

Bezpieczeństwo zasobów ludzkich (art. 8 ust. 1 pkt 2 lit. d).