Cyberbezpieczeństwo i zgodność z NIS2 dla firm i instytucji

Większość udanych ataków zaczyna się od zwykłego maila i hasła użytego w kilku miejscach. Zamykamy te drzwi technicznie, uczymy pracowników je rozpoznawać i przygotowujemy dokumentację, której wymaga nowa ustawa o krajowym systemie cyberbezpieczeństwa.

  • Ochrona stanowisk, poczty i serwerów przed ransomware
  • Wdrożenie wymagań NIS2 i znowelizowanej ustawy o KSC
  • Szkolenia pracowników i testowe kampanie phishingowe
Umów bezpłatny audyt IT Umów konsultację

NIS2 i nowa ustawa o KSC w skrócie

Atak zatrzymany przed siecią

Znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa, która wdraża unijną dyrektywę NIS2, obowiązuje od 3 kwietnia 2026 roku. Obejmuje podmioty kluczowe i ważne z kilkunastu sektorów, w tym produkcję wybranych wyrobów, transport, dostawców usług cyfrowych, gospodarkę odpadami i podmioty publiczne, w tym jednostki samorządu terytorialnego.

Objęte podmioty miały czas do 3 października 2026 roku na wpis do wykazu. Do 3 kwietnia 2027 roku muszą wdrożyć system zarządzania ryzykiem, procedury obsługi incydentów i zgłaszać poważne incydenty w ciągu 24 godzin (wczesne ostrzeżenie) i 72 godzin (zgłoszenie). Ustawa wprowadza też osobistą odpowiedzialność kierownictwa. Pomagamy sprawdzić, czy Twoja organizacja jest objęta przepisami, i przeprowadzamy przez wdrożenie.

Co robimy w ramach cyberbezpieczeństwa

Ocena, czy podlegasz NIS2

Analizujemy sektor, wielkość i powiązania z innymi podmiotami. Dostajesz pisemną odpowiedź z uzasadnieniem.

Analiza ryzyka i luk

Porównujemy stan obecny z wymaganiami ustawy i normą ISO/IEC 27001. Wynikiem jest plan działań z priorytetami i kosztami.

Dokumentacja SZBI

Polityka bezpieczeństwa, procedury obsługi incydentów, ciągłości działania, zarządzania dostępem i dostawcami, dopasowane do Twojej organizacji.

Ochrona techniczna

EDR na stanowiskach, filtrowanie poczty, firewall nowej generacji, uwierzytelnianie wieloskładnikowe (MFA), segmentacja sieci i szyfrowanie dysków.

Monitoring i reagowanie

Zbieramy i analizujemy alerty, reagujemy na incydenty i pomagamy przygotować zgłoszenie do właściwego zespołu CSIRT.

Szkolenia i phishing testowy

Krótkie, praktyczne szkolenia dla pracowników i osobne dla zarządu. Kontrolowane kampanie phishingowe pokazują, gdzie są słabe punkty.

Kopie zapasowe odporne na ransomware

Kopie w regule 3-2-1 z kopią niezmienialną i regularnym testem odtworzenia. Szczegóły w usłudze backup i odzyskiwanie danych.

Audyt cykliczny

Przegląd zabezpieczeń co rok lub częściej, z raportem dla zarządu. Podmioty kluczowe muszą przejść pierwszy audyt do kwietnia 2028 roku.

Jak wygląda wdrożenie

  1. Rozmowa i kwalifikacja

    Ustalamy, czy podlegasz ustawie, i jaki jest punkt wyjścia.

  2. Audyt luk

    Przegląd techniczny i organizacyjny, wywiady z osobami odpowiedzialnymi.

  3. Plan i wdrożenie

    Najpierw zabezpieczenia o największym wpływie, potem dokumentacja i procedury.

  4. Utrzymanie

    Monitoring, szkolenia, testy odtworzenia i coroczny przegląd.

Komu pomagamy

  • Jednostkom samorządu terytorialnego i ich jednostkom organizacyjnym, które muszą spełnić wymagania KSC i KRI
  • Firmom produkcyjnym i usługowym objętym NIS2 jako podmioty ważne lub kluczowe
  • Dostawcom podmiotów objętych ustawą, od których klienci wymagają dowodów bezpieczeństwa
  • Każdej firmie, która przechowuje dane klientów i nie może sobie pozwolić na tydzień przestoju

Najczęściej zadawane pytania: Cyberbezpieczeństwo i NIS2

Czy moja firma podlega NIS2?

Decydują sektor działalności i wielkość. Zwykle obowiązki dotyczą średnich i dużych firm (od 50 pracowników lub ponad 10 mln euro obrotu) z sektorów wymienionych w załącznikach do ustawy. Niektóre podmioty, na przykład dostawcy usług DNS czy podmioty publiczne, podlegają niezależnie od wielkości. Ocenę przygotowujemy na piśmie w ramach bezpłatnej konsultacji.

Jakie kary grożą za nieprzestrzeganie ustawy o KSC?

Dla podmiotów kluczowych do 10 mln euro lub 2% rocznego obrotu, dla ważnych do 7 mln euro lub 1,4% obrotu. Kierownikowi podmiotu można wymierzyć karę do 300% wynagrodzenia, a w podmiotach publicznych do 100%. Większość kar może być nakładana po dwuletnim okresie przejściowym. Część przepisów o karach skierowano do Trybunału Konstytucyjnego, dlatego warto śledzić ich losy.

Ile czasu mamy na zgłoszenie incydentu?

Wczesne ostrzeżenie trzeba wysłać do właściwego CSIRT bez zbędnej zwłoki, nie później niż w 24 godziny od wykrycia poważnego incydentu. Zgłoszenie incydentu w ciągu 72 godzin, a raport końcowy w ciągu miesiąca. Dlatego procedura i osoby odpowiedzialne muszą być wyznaczone wcześniej.

Od czego zacząć ochronę przed ransomware?

Od trzech rzeczy: uwierzytelniania wieloskładnikowego na poczcie i dostępie zdalnym, kopii zapasowej, której nie da się zaszyfrować ani usunąć z sieci firmowej, oraz aktualizacji systemów. Te trzy kroki zatrzymują większość ataków, z którymi spotykamy się u klientów z sektora MŚP.

Czy szkolenie pracowników naprawdę coś zmienia?

Tak, pod warunkiem że jest krótkie, praktyczne i powtarzane. Po szkoleniu przeprowadzamy testową kampanię phishingową i porównujemy wyniki. Zarząd widzi, ile osób kliknęło w link przed szkoleniem i po nim.

Czy pomagacie przy audycie KRI w urzędzie?

Tak. Rozporządzenie w sprawie Krajowych Ram Interoperacyjności wymaga od podmiotów publicznych okresowego audytu bezpieczeństwa informacji co najmniej raz w roku. Przygotowujemy audyt i dokumentację tak, żeby jednocześnie spełniała wymagania KRI i ustawy o KSC. Więcej na stronie dla samorządów.

Wszystkie pytania i odpowiedzi

Powiązane usługi

Sprawdź, czy podlegasz NIS2 i co musisz zrobić

W czasie bezpłatnej konsultacji ocenimy, czy ustawa Cię obejmuje, i wskażemy trzy najpilniejsze działania.

Uzupełnij to pole.
Uzupełnij to pole.
Wpisz poprawny adres e-mail, np. jan@firma.pl.
Uzupełnij to pole.

Odpowiemy w ciągu jednego dnia roboczego. Nie wysyłamy newsletterów bez Twojej zgody.