NIS2 i KSC w JST — infrastruktura jako część zarządzania ryzykiem
Nowe urządzenia nie potwierdzają zgodności organizacji. Przygotowanie JST obejmuje ustalenie obowiązków, odpowiedzialności, ryzyk, procedur i dowodów działania zabezpieczeń.
- Status podmiotu
- Ryzyka i odpowiedzialność
- Plan zabezpieczeń
- Dowody działania
- Przeglądy
Najpierw ustalenie zakresu
Ministerstwo Cyfryzacji informuje, że nowelizacja KSC wdrażająca NIS2 weszła w życie 3 kwietnia 2026 r. Zakres obowiązków i terminy należy sprawdzić dla konkretnego podmiotu w aktualnych przepisach i materiałach urzędowych. Nie należy przypisywać każdej jednostce identycznego statusu wyłącznie dlatego, że korzysta z IT.
Od ryzyka do wymagań technicznych
Właściciele usług wskazują skutki utraty dostępności, danych lub kontroli dostępu. Zespół techniczny opisuje zależności oraz istniejące zabezpieczenia. Kierownictwo może wtedy porównać warianty i zatwierdzić priorytety. Rejestr ryzyk powinien prowadzić do działań z odpowiedzialnością i terminem, a nie kończyć się na ogólnym wyniku ankiety.
Rola infrastruktury LCPD
Segmentacja ogranicza zasięg incydentu, zarządzanie dostępem wspiera kontrolę uprawnień, monitoring dostarcza dowodów, a niezależne kopie umożliwiają odzyskiwanie. Zasilanie i chłodzenie wspierają dostępność systemów ochrony. Te mechanizmy działają łącznie; żaden produkt nie zastępuje odpowiedzialności organizacyjnej i okresowej weryfikacji.
Dokumenty, które muszą odpowiadać praktyce
Użyteczne materiały to inwentaryzacja, matryca odpowiedzialności, procedura zmiany, obsługa incydentu, plan ciągłości i wyniki testów. Dokumentacja powinna odzwierciedlać aktualne środowisko. Warto sprawdzić, czy osoba dyżurna ma dostęp do kontaktów i procedury także przy awarii domeny, poczty lub głównej lokalizacji.
Dostawcy i utrzymanie
Zewnętrzny serwis potrzebuje kontrolowanego dostępu i uzgodnionej ścieżki eskalacji. Umowa powinna określać obowiązki oraz sposób zakończenia dostępu. Ocena obejmuje również koniec wsparcia i zależności od licencji. LCPD może dostarczyć zakres techniczny oraz dowody odbioru; formalną ocenę obowiązków trzeba skoordynować z odpowiedzialnymi osobami w jednostce.
Najczęstsze błędy
- Uznanie zakupu firewalla za zakończenie wdrożenia wymagań.
- Dokumentacja bez właściciela i bez testu procedur.
- Przyjęcie jednakowych obowiązków dla wszystkich podmiotów bez weryfikacji.
Pytania i odpowiedzi
Czy zakup LCPD oznacza zgodność z NIS2?
Nie. Infrastruktura wspiera realizację wymagań, ale zgodność obejmuje organizację, procesy i obowiązki właściwe dla podmiotu.
Gdzie sprawdzić aktualne obowiązki?
W obowiązujących przepisach oraz materiałach Ministerstwa Cyfryzacji. Linki źródłowe zamieszczono poniżej.