Wdrożenie NIS2 i ustawy o KSC w firmie
Prowadzimy firmę od ustalenia, czy podlega ustawie, przez analizę luk i dokumentację, do przeszkolonego zarządu i zespołu. Pracujemy etapami, z harmonogramem liczonym wstecz od 3.04.2027.
- Odpowiedź, czy podlegacie, na początku
- Etapy z osobną ceną
- Budżet i czas po Waszej stronie policzone z góry
30–45 min rozmowy • NDA • rekomendacje działań
Daty z ustawy i sytuacje, z którymi przychodzą firmy
Ustawa zmieniająca ustawę o krajowym systemie cyberbezpieczeństwa weszła w życie 3.04.2026 (Dz.U. 2026 poz. 252).
Termin wniosku o wpis do wykazu podmiotów dla firm istniejących w dniu wejścia w życie nowelizacji. Upłynął. Firmy, które go nie złożyły, a spełniają przesłanki, powinny to zrobić jak najszybciej.
Dz.U. 2026 poz. 252 · Komunikat Ministra CyfryzacjiKoniec okresu dostosowawczego. Do tej daty podmioty kluczowe i ważne wdrażają obowiązki z ustawy, w tym system zarządzania bezpieczeństwem informacji.
Dz.U. 2026 poz. 252Podlegamy, ale nie wiemy, od czego zacząć
Analiza luk pokazuje, czego brakuje, i rozkłada pracę na miesiące do 3.04.2027.
Nie wiemy, czy w ogóle podlegamy
Zależy od sektora i wielkości firmy, także w grupie kapitałowej. Sprawdzamy to na początku, przed jakimkolwiek wdrożeniem.
Kontrahent przysłał aneks albo ankietę NIS2
Firmy spoza ustawy mogą być zobowiązane do spełnienia wymagań umownie, jako dostawcy podmiotów objętych ustawą. Pomagamy odpowiedzieć i ustalić, co wdrożyć.
Mamy ISO 27001 i pytanie, czy to wystarczy
Zestawiamy wymagania ustawy z tym, co już macie, żeby nie robić dwa razy tej samej pracy.
IT prowadzi zewnętrzny dostawca
Przeglądamy umowy i odpowiedzialności dostawcy. Obowiązki ustawy zostają po stronie firmy.
Nie złożyliśmy wniosku o wpis
Ustalamy status firmy, przygotowujemy wniosek i planujemy resztę wdrożenia od zera.
Co obejmuje wdrożenie
Kwalifikacja
Sektor, wielkość, status podmiotu kluczowego lub ważnego, wniosek o wpis do wykazu.
Analiza luk
Zestawienie wymagań ustawy z tym, co firma ma dziś.
Analiza ryzyka
Rejestr ryzyk i priorytety, które rozumie zarząd.
Polityki i procedury
Dokumentacja systemu zarządzania bezpieczeństwem informacji dopasowana do skali firmy, nie szablon na 150 stron.
Zgłaszanie incydentów
Procedura, role, kontakt z zespołem CSIRT, ćwiczenie na przykładzie.
Ciągłość działania
Kopie zapasowe, plan odtwarzania i test odtworzenia jako dowód.
Dostawcy i łańcuch dostaw
Przegląd umów i odpowiedzialności dostawców IT, ankiety dla dostawców.
Szkolenia
Zarząd i pracownicy, z dokumentacją szkoleń.
Budżet całkowity
Nie tylko nasza faktura: czas zespołu, MFA, ochrona stacji roboczych, kopie zapasowe, szkolenia.
Utrzymanie
Przegląd roczny albo stała opieka vCISO po wdrożeniu.
Co dostajecie
- 01Odpowiedź, czy firma jest podmiotem kluczowym, ważnym albo nie podlega ustawie.
- 02Raport z analizy luk i rejestr ryzyk.
- 03Harmonogram wstecz od 3.04.2027 z odpowiedzialnymi osobami i budżetem.
- 04Polityki, procedury i dokumentacja systemu zarządzania bezpieczeństwem.
- 05Szkolenie zarządu i pracowników.
- 06Plan utrzymania zgodności po wdrożeniu.
| Etap | Do kiedy | Po Waszej stronie | Budżet |
|---|---|---|---|
| Kwalifikacja i wniosek o wpis | 11.2026 | Prezes zarządu | 4 000 zł |
| Analiza luk | 01.2027 | Kierownik IT | 18 000 zł |
| Polityki i procedury | 02.2027 | Pełnomocnik ds. bezpieczeństwa | 24 000 zł |
| Szkolenia i test odtworzenia kopii | 03.2027 | Kierownik IT i HR | 9 000 zł |
Analiza luk, audyt ustawowy, ISO 27001 czy test penetracyjny?
| Usługa | Odpowiada na pytanie | Wynik | Czego nie zastępuje |
|---|---|---|---|
| Analiza luk (pierwszy etap tej usługi) | Czego brakuje do wymagań ustawy? | Raport luk i plan do 3.04.2027 | Audytu ustawowego podmiotu kluczowego |
| Audyt ustawowy | Czy podmiot kluczowy spełnia wymagania? | Wynik audytu; pierwszy do 3.04.2028 | |
| Certyfikacja ISO 27001 | Czy system zarządzania spełnia normę? | Certyfikat | |
| Test penetracyjny | Czy da się włamać do wybranego systemu? | Lista podatności z dowodami i retest | Polityk, procedur i szkoleń |
| Audyt cyberbezpieczeństwa | Gdzie są największe ryzyka firmy? | Raport dla zarządu i plan na 90 dni | Dokumentacji wymaganej przez ustawę |
Jak pracujemy i czego potrzebujemy od Was
- 01KwalifikacjaPo Waszej stronie: sektor, struktura grupy, liczba osób.
- 02Analiza lukPo Waszej stronie: dostęp do dokumentów i do osoby od IT.
- 03Plan i dokumentacjaPo Waszej stronie: decyzje zarządu o ryzyku i budżecie.
- 04Wdrożenie i szkoleniaPo Waszej stronie: właściciele zadań w IT i HR.
- 05UtrzymaniePrzegląd roczny albo stała opieka vCISO.
Ekspert i dowód
Pracujecie bezpośrednio z ekspertem, który prowadzi projekt od diagnozy do wdrożenia.
Ekspert w obszarze cyberbezpieczeństwa, zarządzania ryzykiem IT i ochrony danych. Specjalizuje się w audytach bezpieczeństwa, wdrażaniu standardów compliance (NIS2, ISO 27001) oraz zarządzaniu incydentami cybernetycznymi.
Profil eksperta →Wdrożenie NIS2: najczęstsze pytania
Co trzeba zrobić do 3.04.2027?
Wdrożyć obowiązki z ustawy, w tym system zarządzania bezpieczeństwem informacji. W analizie luk wskazujemy, które i w jakiej kolejności.
Klient przysłał ankietę NIS2, a nie podlegamy ustawie. Co zrobić?
Firmy spoza ustawy mogą być zobowiązane do spełnienia wymagań umownie, jako dostawcy podmiotów objętych ustawą. Pomagamy odpowiedzieć na ankietę i ustalić, co wdrożyć.
Czy robicie też audyt po wdrożeniu?
Tak, zob. Audyt cyberbezpieczeństwa.
Więcej o NIS2
Sprawdźmy, czy podlegacie NIS2
30–45 min rozmowy • NDA • rekomendacje działań