Pre-check NIS2: zobacz, co widać z zewnątrz
Dyrektywa NIS2 wymaga od podmiotów kluczowych i ważnych dziesięciu środków zarządzania ryzykiem (art. 21 ust. 2). Część z nich widać z internetu bez żadnego dostępu do Twoich systemów. Sprawdzamy je w minutę i mówimy wprost, co jeszcze musisz potwierdzić wewnątrz firmy.
To nie jest certyfikat zgodności
Mówimy to na początku, żeby nie było wątpliwości: żaden skan zewnętrzny nie potwierdzi zgodności z NIS2. Zgodność to także polityki zatwierdzone przez zarząd, szkolenia, testowane kopie zapasowe, MFA na kontach, procedura zgłaszania incydentów do CSIRT w 24 h. Tego nie widać z internetu. Nasz pre-check pokazuje stan techniczny widoczny z zewnątrz i oznacza resztę jako „do potwierdzenia wewnątrz firmy”. To dobry pierwszy krok i uczciwy punkt wyjścia do rozmowy z audytorem.
Dziesięć środków z art. 21 ust. 2 i co z nich widać
Kogo dotyczy i jakie są terminy
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa wdrażająca NIS2 weszła w życie 3 kwietnia 2026 r. Wprowadza podział na podmioty kluczowe i ważne w kilkunastu sektorach, obowiązek samodzielnej oceny i wpisu do wykazu, rozszerzone zarządzanie ryzykiem, zgłaszanie incydentów oraz osobistą odpowiedzialność kierownictwa.
- Do 3 października 2026
wniosek o wpis do wykazu podmiotów kluczowych i ważnych (samoocena). - Do 3 kwietnia 2027
dostosowanie systemów, procedur i struktur do wymagań. - Później
audyty i nadzór; kary administracyjne według harmonogramu ustawy.
Ustawa została skierowana do kontroli następczej przez Trybunał Konstytucyjny, a źródła różnią się w szczegółach. Zanim podejmiesz decyzje organizacyjne, sprawdź tekst w Dzienniku Ustaw i komunikaty Ministerstwa Cyfryzacji. Nie świadczymy doradztwa prawnego.
Najczęstsze pytania
Czy ten audyt potwierdza zgodność z NIS2?
Nie. To zewnętrzny pre-check techniczny zmapowany na art. 21. Zgodność wymaga środków organizacyjnych, których z zewnątrz nie widać.
Co dokładnie sprawdzacie?
Uwierzytelnianie poczty i odporność na podszywanie, szyfrowanie (TLS, STARTTLS, MTA-STS, HSTS, DNSSEC), aktualność oprogramowania i podatności (wersja CMS, sekrety w kodzie, ryzyko przejęcia subdomeny, nagłówki), skrypty z obcych serwerów, subdomeny z logów Certificate Transparency, domeny-sobowtóry. Pasywnie, bez logowania i bez skanowania portów.
Czym różni się podmiot kluczowy od ważnego?
To klasyfikacja z nowelizacji KSC zależna od sektora i wielkości. Kluczowe podlegają ostrzejszemu nadzorowi i wyższym karom. O tym, do której grupy należysz, decyduje samoocena według kryteriów ustawy.
Jak przejść od pre-checku do zgodności?
Zacznij od naprawy braków technicznych z raportu (to najtańsze), potem uporządkuj środki organizacyjne: polityki, kopie zapasowe z testem odtwarzania, MFA, procedura incydentów. Monitoring ciągły (SecVault Strażnik) pokrywa część wymogu oceny skuteczności środków.