Dla firmy: obowiązki z nowelizacji ustawy o KSC i NIS2

Nowe przepisy o cyberbezpieczeństwie obejmą tysiące firm, a pośrednio także ich małych dostawców.

NIS2 to unijna dyrektywa (UE) 2022/2555 o wysokim wspólnym poziomie cyberbezpieczeństwa.

Kogo dotyczy? Dyrektywa dzieli firmy i instytucje na podmioty kluczowe i ważne. Zwykle są to średnie i duże przedsiębiorstwa z wymienionych sektorów, między innymi energetyki, transportu, zdrowia, wodociągów, infrastruktury cyfrowej, usług ICT, poczty i kurierów, gospodarki odpadami, produkcji żywności i części przemysłu.

Główne obowiązki według dyrektywy: - zarządzanie ryzykiem i wdrożenie zabezpieczeń, takich jak kopie zapasowe, uwierzytelnianie wieloskładnikowe i szyfrowanie, - zgłaszanie poważnych incydentów: wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin i raport końcowy w ciągu miesiąca, - odpowiedzialność kierownictwa, które zatwierdza środki bezpieczeństwa i przechodzi szkolenia, - bezpieczeństwo łańcucha dostaw, czyli sprawdzanie dostawców.

Mała firma często nie podlega przepisom bezpośrednio, ale jej klienci tak. Mogą więc wymagać od niej zabezpieczeń, oświadczeń albo audytu. Dobrym przygotowaniem jest ankieta samooceny w programie Firma Bezpieczna Cyfrowo.

Ustawa o KSC zawiera też podstawę do rekomendacji Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa (art. 67a). Na tej podstawie 23 października 2026 opublikowano zaktualizowaną rekomendację o ochronie dostawców internetu przed atakami DDoS.