Jak dobrać zabezpieczenia NIS2 do ryzyka i budżetu firmy?

W ramach przygotowań należy ustalić, co w firmie naprawdę wymaga poprawy lub dodatkowego wzmocnienia. Wiąże się to z określeniem, które obszary, systemy, dane i zasoby IT są kluczowe dla świadczenia usług objętych ustawą, a następnie oceną, jakie zagrożenia mogą zakłócić ich działanie, jakie zabezpieczenia już funkcjonują i gdzie występują luki.

Dopiero wtedy warto podjąć decyzję o zakresie wdrożenia. Celem nie jest wzmocnienie ochrony wszystkiego na wszelki wypadek, ale zbudowanie systemu bezpieczeństwa odpowiadającego rzeczywistym potrzebom biznesu.

Nie oznacza to po prostu konieczności natychmiastowego zakupu wszystkich możliwych narzędzi ani inwestowania w systemy, których firma w praktyce nie potrzebuje.

Jak wygląda rozsądna baza bezpieczeństwa NIS2?

Chodzi o podstawowy poziom bezpieczeństwa, który pozwala organizacji świadomie chronić najważniejsze dla niej obszary i ograniczać wpływ nieprzewidzianych zdarzeń na codzienny biznes.

Taka baza powinna obejmować między innymi:

• Określony i zatwierdzony zakres systemu zarządzania bezpieczeństwem informacji (SZBI) oraz zależności między usługami, procesami, danymi, technologią, lokalizacjami i dostawcami.
• Regularną ocenę ryzyka, jasno określoną odpowiedzialność za poszczególne ryzyka oraz udokumentowane decyzje kierownictwa.
• Działające zasady i procedury dotyczące reagowania na incydenty, zapewnienia ciągłości działania, tworzenia kopii zapasowych, usuwania luk w zabezpieczeniach, aktualizacji systemów, zarządzania dostępem oraz bezpieczeństwa dostawców.
• Najważniejsze zabezpieczenia techniczne wdrożone tam, gdzie ich brak mógłby mieć największy wpływ na bieżącą pracę.
• Dokumentację potwierdzającą, że przyjęte rozwiązania rzeczywiście działają, w tym rejestry, raporty i wyniki testów, oraz plan dalszych działań.

Opracowanie takiego minimum nie oznacza, że na tym kończą się działania związane z bezpieczeństwem. To punkt wyjścia do dalszego rozwoju, który powinien uwzględniać zmieniające się potrzeby organizacji i poziom ryzyka.

M1 NIS2: najpierw poziom bazowy, potem rozwój bezpieczeństwa

“W HLB M2 opracowaliśmy własną metodykę NIS2, którą nazwaliśmy M1. Jej założeniem jest rozpoczęcie od minimalnego, ale faktycznie działającego poziomu bezpieczeństwa. Obejmuje on między innymi zarządzanie ryzykiem i incydentami, kontrolę dostępów, podatności i aktualizacje, kopie zapasowe, monitoring oraz bezpieczeństwo dostawców.

M1 nie oznacza docelowego poziomu dojrzałości ani automatycznie pełnej zgodności z KSC/NIS2. To możliwy do wykazania poziom bazowy, od którego można dalej rozwijać bezpieczeństwo firmy zgodnie z jej potrzebami i poziomem ryzyka. Jeżeli w konkretnym przypadku potrzebne są silniejsze zabezpieczenia, uwzględniamy je niezależnie od M1.

Chodzi o to, żeby najpierw uruchomić najważniejsze procesy, a następnie rozwijać je etapami, zamiast próbować zrobić wszystko jednocześnie. Każdy proces objęty M1 ma jasno określony zakres i odpowiedzialność, opiera się na prostych i wykonalnych zasadach, działa w praktyce i pozostawia ślad swojego funkcjonowania, na przykład w postaci rejestru lub innej dokumentacji.”

Bartłomiej Ptach, Audytor bezpieczeństwa w HLB M2 AltPi Secure IT

Co powinno być efektem wdrożenia NIS2?

Efektem wdrożenia nie powinna być wyłącznie dokumentacja ani lista zakupionych narzędzi. Firma jest zobowiązana posiadać uporządkowany zakres SZBI, ocenę działających procesów, wyniki weryfikacji technicznej, rejestr luk i ryzyk, listę działań wymagających szybkiej realizacji oraz priorytetyzowany plan dalszych prac zrozumiały dla zarządu, IT i właścicieli biznesowych.

Jej zadaniem jest również móc wykazać, że przyjęte rozwiązania rzeczywiście funkcjonują. Po zakończeniu projektu musi po prostu doskonale się orientować co chroni, przed czym, kto za to odpowiada, jak reagować na incydenty i jakie działania należy podjąć w kolejnych etapach.

Jak znaleźć właściwego doradcę do wdrożenia NIS2?

Wdrożenie NIS2 łączy kwestie prawne, organizacyjne i techniczne. Dlatego przy wyborze partnera warto sprawdzić nie tylko listę oferowanych usług, ale przede wszystkim sposób prowadzenia całego projektu.

Dobry dostawca powinien:

• Rozpocząć od określenia zakresu obowiązków i najważniejszych ryzyk, a nie od sprzedaży konkretnego narzędzia.
• Potrafić ocenić zarówno procesy i dokumentację, jak i rzeczywiste działanie zabezpieczeń.
• Mieć doświadczenie we współpracy z organizacjami o podobnej skali, profilu działalności lub środowisku IT.
• Jasno określić, które elementy są niezbędne do spełnienia wymagań, a które stanowią dalszy rozwój poziomu bezpieczeństwa.
• Przedstawić konkretne rezultaty każdego etapu, a nie tylko listę godzin konsultantów.
• Pomóc zebrać dowody działania wdrożonych procesów i zabezpieczeń.
• Określić, co pozostaje po zakończeniu projektu i kto będzie odpowiedzialny za utrzymanie systemu bezpieczeństwa.

Warto też zapytać potencjalnego doradcę do wdrożenia NIS2, co zrobi, jeśli po analizie okaże się, że firma nie potrzebuje wcześniej rekomendowanego rozwiązania. Odpowiedź dobrze pokaże, czy ekspert rzeczywiście koncentruje się na ograniczeniu ryzyka, czy przede wszystkim na sprzedaży technologii.

Jak podejść do NIS2, żeby nie przepłacać i nie robić wszystkiego naraz?

NIS2 nie wymaga wdrożenia wszystkich dostępnych technologii. Wymaga świadomych decyzji dotyczących bezpieczeństwa i rozwiązań dopasowanych do sytuacji organizacji.

Zacznij od tego, co naprawdę ważne. Umów się na spotkanie, napisz lub zadzwoń do ekspertów HLB M2 AltPi Secure IT.

Podstawa prawna

1. Ustawa o krajowym systemie cyberbezpieczeństwa wraz z późniejszymi zmianami.
2. Ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw.

Materiał ma charakter informacyjny. Zakres obowiązków i termin ich realizacji należy każdorazowo ocenić w odniesieniu do sytuacji konkretnego podmiotu.