Czy Twoja jednostka jest gotowa na KSC? Sprawdź w 10 minut.

Trzy terminy, które kierownictwo jednostki musi mieć w kalendarzu

Dla jednostek, które spełniały kryteria w dniu wejścia w życie nowelizacji (3.04.2026).

1. 3.10.2026

   Samoidentyfikacja i wpis do wykazu

   Wniosek elektroniczny w aplikacji Wykaz KSC (System S46), z oświadczeniami składanymi pod rygorem odpowiedzialności karnej. Zmiany danych zgłaszasz w 14 dni.

   termin minął
2. 3.04.2027

   Wdrożony SZBI i obowiązki rozdz. 3

   System zarządzania bezpieczeństwem informacji w 14 obszarach z art. 8 — od analizy ryzyka, przez łańcuch dostaw, po plany ciągłości działania.

   najbliższy termin · zostało — dni
3. 3.04.2028

   Pierwszy audyt podmiotów kluczowych

   Obowiązkowy, niezależny audyt bezpieczeństwa systemu informacyjnego (art. 15), wykonany przez uprawnionych audytorów. Potem cyklicznie.

   pełna egzekucja kar

1. Etap 0

   Samoidentyfikacja JST w świetle KSC

   Cel: Ustalenie statusu jednostki oraz zakresu zastosowania wobec niej wymagań ustawy o krajowym systemie cyberbezpieczeństwa.

   Zakres prac – analizie podlegać będą w szczególności:

   • status prawny jednostki
   • realizowane zadania publiczne
   • świadczone usługi
   • sektory i podsektory działalności
   • infrastruktura i systemy teleinformatyczne wykorzystywane do realizacji zadań
   • jednostki organizacyjne, spółki i inne podmioty powiązane – w zakresie istotnym dla analizy
   • przesłanki wynikające z art. 5 KSC
   • sektory, podsektory i rodzaje podmiotów określone w załącznikach nr 1 i 2 do KSC
   • przesłanki uznania za podmiot kluczowy lub ważny
   • obowiązki rejestracyjne i organizacyjne wynikające z ustawy

   Produkt końcowy

   Raport z samoidentyfikacji KSC, zawierający:

   1. opis przeprowadzonej analizy,
   2. podstawę prawną,
   3. ocenę przesłanek objęcia regulacją,
   4. określenie potencjalnego statusu jednostki,
   5. wskazanie obowiązków wynikających z KSC,
   6. identyfikację obszarów wymagających dalszej analizy,
   7. rekomendowany plan dalszego działania.
2. Etap I

   Audyt stanu obecnego – „Gdzie jesteśmy?”

   Cel: Ocena aktualnego poziomu przygotowania jednostki do realizacji wymagań KSC/NIS2 oraz rzeczywistego funkcjonowania mechanizmów cyberbezpieczeństwa.

   Audyt nie ogranicza się do sprawdzenia, czy jednostka posiada dokumentację. Jego zadaniem jest ustalenie, czy istniejące rozwiązania rzeczywiście funkcjonują i zapewniają właściwe zarządzanie ryzykiem cyberbezpieczeństwa.

   Audyt obejmuje m.in.:

   • istniejący SZBI i dokumentację bezpieczeństwa
   • strukturę organizacyjną cyberbezpieczeństwa
   • przypisanie ról, zadań i odpowiedzialności
   • zaangażowanie kierownictwa
   • zarządzanie ryzykiem
   • zarządzanie incydentami
   • bezpieczeństwo systemów i infrastruktury
   • zarządzanie dostępem i uprawnieniami
   • zarządzanie podatnościami
   • wykonywanie i ochronę kopii zapasowych
   • ciągłość działania i odtwarzanie po awarii
   • bezpieczeństwo łańcucha dostaw
   • współpracę z dostawcami IT i usługodawcami
   • bezpieczeństwo zasobów ludzkich
   • szkolenia i świadomość personelu
   • monitorowanie i ocenę skuteczności zabezpieczeń
   • mechanizmy raportowania do kierownictwa

   Produkt końcowy

   Raport z audytu stanu obecnego, pokazujący zarówno rozwiązania funkcjonujące prawidłowo, jak i obszary wymagające poprawy.
3. Etap II

   Diagnoza i GAP Analysis – „Czego nam brakuje?”

   Cel: Przełożenie wyników audytu na konkretny plan osiągnięcia zgodności i zwiększenia odporności organizacji.

   Każda zidentyfikowana luka zostanie odniesiona do odpowiedniego wymagania oraz oceniona z punktu widzenia ryzyka dla jednostki.

   Proponowana mapa zgodności

   1. Wymaganie KSC/NIS2→
   2. Stan obecny→
   3. Luka→
   4. Ryzyko→
   5. Rekomendacja→
   6. Priorytet→
   7. Odpowiedzialność→
   8. Termin

   Rekomendacje zostaną podzielone na działania:

   1. Pilne→
   2. Krótkoterminowe→
   3. Średnioterminowe→
   4. Doskonalące

   Jednostka otrzymuje:

   • raport GAP Analysis
   • mapę zgodności KSC/NIS2
   • listę zidentyfikowanych ryzyk
   • rekomendacje
   • priorytety działań
   • propozycję odpowiedzialności
   • harmonogram wdrożenia
   • Roadmapę KSC dla kierownictwa

   Produkt końcowy

   Raport GAP Analysis z mapą zgodności, rejestrem ryzyk, harmonogramem i Roadmapą KSC dla kierownictwa.
4. Etap III

   Opracowanie i dostosowanie SZBI

   Cel: Zaprojektowanie Systemu Zarządzania Bezpieczeństwem Informacji odpowiadającego wymaganiom KSC/NIS2, ale przede wszystkim dostosowanego do rzeczywistych procesów, zasobów i możliwości konkretnej JST.

   Nie proponujemy tworzenia dokumentacji „dla samej dokumentacji”. SZBI ma być narzędziem zarządzania bezpieczeństwem jednostki, a nie zbiorem procedur znajdujących się na półce.

   Zakres może obejmować m.in.:

   • politykę bezpieczeństwa informacji
   • model zarządzania SZBI
   • role i odpowiedzialności
   • metodykę zarządzania ryzykiem
   • procedury zarządzania incydentami
   • procedury raportowania i eskalacji
   • zasady zarządzania dostępem
   • zarządzanie podatnościami
   • bezpieczeństwo kopii zapasowych
   • ciągłość działania i odtwarzanie
   • bezpieczeństwo dostawców i łańcucha dostaw
   • zasady bezpiecznego nabywania i utrzymywania systemów
   • zarządzanie zmianą
   • zasady monitorowania bezpieczeństwa
   • mechanizmy kontroli i okresowych przeglądów
   • dokumentację niezbędną do wykazania realizacji obowiązków

   Produkt końcowy

   Kompletny, dostosowany do jednostki pakiet SZBI wraz z dokumentacją wykonawczą.
5. Etap IV

   Wdrożenie SZBI i szkolenia

   Cel: Przejście od dokumentacji do rzeczywistego funkcjonowania systemu.

   Wdrożenie obejmuje wsparcie osób odpowiedzialnych za poszczególne procesy, ustalenie sposobu dokumentowania realizacji obowiązków oraz przygotowanie pracowników i kierownictwa.

   Ścieżka I – Kierownictwo JST

   Dedykowane szkolenie/warsztat obejmujący m.in.:

   • rolę kierownika podmiotu
   • odpowiedzialność kierownictwa
   • zarządzanie ryzykiem cyberbezpieczeństwa
   • nadzór nad realizacją zadań
   • podejmowanie decyzji dotyczących ryzyka
   • reagowanie na poważne incydenty
   • sposób uzyskiwania informacji o stanie cyberbezpieczeństwa jednostki

   Ścieżka II – Pracownicy

   Szkolenie praktyczne:

   • podstawowe zasady cyberhigieny
   • phishing i socjotechnika
   • ochrona informacji
   • hasła i uwierzytelnianie
   • bezpieczna praca z systemami
   • rozpoznawanie incydentów
   • sposób i ścieżka zgłaszania zdarzeń

   Ścieżka III – IT / SZBI / osoby odpowiedzialne za cyberbezpieczeństwo

   Warsztaty obejmujące praktyczne stosowanie procedur, zarządzanie ryzykiem i incydentami, dokumentowanie działań oraz przygotowanie dowodów funkcjonowania SZBI.

   Produkt końcowy

   Wdrożony SZBI + przeszkolone kierownictwo + przygotowani pracownicy + osoby odpowiedzialne za utrzymanie systemu.
6. Etap V

   Audyt weryfikacyjny – „Czy system rzeczywiście działa?”

   Audyt proponowany jest po upływie okresu pozwalającego na praktyczne zastosowanie wdrożonych rozwiązań, np. po 3–6 miesiącach.

   Weryfikujemy:

   • stopień wdrożenia rekomendacji
   • funkcjonowanie SZBI
   • znajomość i stosowanie procedur
   • realizację obowiązków przez właścicieli procesów
   • dokumentowanie podejmowanych działań
   • zarządzanie ryzykiem
   • obsługę incydentów
   • funkcjonowanie mechanizmów kontrolnych
   • nadzór kierownictwa
   • poziom dojrzałości organizacyjnej

   Produkt końcowy

   Raport z audytu weryfikacyjnego, obejmujący:

   • ocenę wdrożenia,
   • wykaz pozostających luk,
   • ocenę realizacji wcześniejszych rekomendacji,
   • nowe rekomendacje,
   • plan dalszego doskonalenia SZBI.
7. Etap VIOpcja dodatkowa

   Stałe wsparcie KSC/SZBI

   Po zakończeniu projektu możliwe jest objęcie jednostki okresowym wsparciem eksperckim.

   Może ono obejmować:

   • konsultacje KSC/SZBI
   • okresowe przeglądy dokumentacji
   • aktualizację procedur
   • wsparcie przy szacowaniu ryzyka
   • analizę zmian organizacyjnych i technologicznych
   • okresowe szkolenia
   • ćwiczenia incydentowe
   • wsparcie przed audytem
   • okresowe raportowanie stanu cyberbezpieczeństwa kierownictwu