Mapa obowiązków KSC / NIS 2
Wybierz typ podmiotu i datę spełnienia przesłanek — otrzymasz spersonalizowaną listę obowiązków z konkretnymi terminami i podstawą prawną. Całość możesz wydrukować lub zapisać jako PDF.
Faza 1 — start (pierwsze 6 miesięcy)
Złóż wniosek o wpis do wykazu w terminie 6 miesięcy od spełnienia przesłanek. Wniosek elektroniczny w S46, podpisany przez kierownika, z oświadczeniem o prawdziwości danych. Zmiany danych zgłaszasz w 14 dni.
Wyznacz co najmniej 2 osoby odpowiedzialne za kontakt z krajowym systemem cyberbezpieczeństwa. Zapewnij użytkownikom dostęp do wiedzy o cyberzagrożeniach i kanał zgłaszania incydentów.
Faza 2 — wdrożenie (do 12 miesięcy)
Wdróż system zarządzania bezpieczeństwem informacji: systematyczne szacowanie ryzyka i proporcjonalne środki — polityki, łańcuch dostaw ICT, plany ciągłości działania, monitoring ciągły, kryptografia i MFA, cyberhigiena, kontrola dostępu, zarządzanie aktywami.
Opracuj i utrzymuj dokumentację SZBI, ochrony infrastruktury, ciągłości działania i techniczną oraz zapisy operacyjne. Zapewnij nadzór nad dokumentacją i przechowywanie min. 2 lata od wycofania.
Przygotuj proces: klasyfikacja incydentu poważnego wg progów, wczesne ostrzeżenie ≤ 24 h i zgłoszenie ≤ 72 h do CSIRT sektorowego przez S46, sprawozdanie końcowe ≤ 1 miesiąc, informowanie użytkowników.
Oceń dostawców sprzętu i oprogramowania, wprowadź wymogi bezpieczeństwa do umów, monitoruj podatności dostawców oraz decyzje o dostawcach wysokiego ryzyka.
Przed dopuszczeniem do zadań z art. 8 lub art. 11 odbierz od osoby informację z Krajowego Rejestru Karnego o niekaralności za przestępstwa przeciwko ochronie informacji.
Rozpocznij korzystanie z systemu teleinformatycznego S46 — to kanał zgłoszeń incydentów i komunikacji nadzorczej. Dostosuj systemy do wymagań technicznych opublikowanych w BIP.
Faza 3 — audyt
Przeprowadź na własny koszt audyt bezpieczeństwa systemu informacyjnego — przez akredytowaną jednostkę, co najmniej dwóch kwalifikowanych audytorów lub CSIRT sektorowy. Kopię raportu przekaż organowi właściwemu w 3 dni robocze. Kolejne audyty co najmniej raz na 3 lata.
Obowiązki stałe (cykliczne)
Kierownik podmiotu (oraz osoba, której powierzono obowiązki w zakresie cyberbezpieczeństwa) przechodzi udokumentowane szkolenie raz w roku kalendarzowym.
Zapewnij stałą edukację personelu z cyberbezpieczeństwa i podstawowych zasad cyberhigieny — to element SZBI podlegający ocenie skuteczności.
Używamy niezbędnych plików cookie, a po Twojej zgodzie — także analitycznych (Google Analytics, anonimowe statystyki odwiedzin). „Odrzuć opcjonalne” wyłącza analitykę. Polityka prywatności.