KSC

1. 1. Analizujemy kwalifikowalność i obowiązki ustawowe

   • Sprawdzamy, czy Państwa firma podlega pod ustawę o KSC, oceniając sektor działalności, wielkość przedsiębiorstwa i kryteria szczególne (np. status dostawcy MSSP czy usług DNS).
   • Ustalamy, czy organizacja zostanie zakwalifikowana jako podmiot kluczowy czy ważny, i jakie z tego wynikają terminy oraz obowiązki rejestracyjne.

   2. Przeprowadzamy audyt wstępny i analizę luk (gap analysis)

   • Weryfikujemy, jakie zabezpieczenia, procedury i dokumenty już funkcjonują w firmie, a czego brakuje do spełnienia wymogów ustawy.
   • Efektem jest praktyczna mapa luk i priorytetów, która staje się podstawą harmonogramu wdrożenia.

   3. Wdrażamy i utrzymujemy System Zarządzania Bezpieczeństwem Informacji (SZBI)

   • Identyfikujemy systemy informacyjne, które realnie wpływają na działanie firmy i powinny zostać objęte ochroną.
   • Szacujemy ryzyko i pomagamy zdecydować, którymi zagrożeniami zająć się najpierw.
   • Opracowujemy plany ciągłości działania i odtworzenia na wypadek awarii lub ataku.
   • Wprowadzamy zasady bezpieczeństwa zasobów ludzkich – od weryfikacji kandydatów po odbieranie dostępów osobom odchodzącym z firmy.
   • Na bieżąco aktualizujemy dokumentację SZBI, tak by odpowiadała zmianom w firmie, systemach i przepisach.

   4. Zabezpieczamy łańcuch dostaw

   • Tworzymy polityki i procedury współpracy z dostawcami IT (sprzęt, oprogramowanie, usługi), by przez nich nie wpuścić zagrożenia do organizacji.
   • Przeprowadzamy ocenę ryzyka dostawców i weryfikujemy, czy klient korzysta z rozwiązań dostawcy uznanego za dostawcę wysokiego ryzyka, przygotowując plan ich wymiany na wypadek decyzji organów państwowych.

   5. Przygotowujemy do audytu bezpieczeństwa

   • Wspieramy w przygotowaniu do obowiązkowego, niezależnego audytu, który dla podmiotów kluczowych musi się odbyć po raz pierwszy do 3 kwietnia 2028 r., a potem nie rzadziej niż co 3 lata.
   • Pomagamy skompletować dokumentację i usunąć ryzyka jeszcze przed wizytą audytora.

   6. Prowadzimy szkolenia dla personelu i kierownictwa

   • Szkolimy pracowników z podstaw bezpieczeństwa – rozpoznawania phishingu, zasad dotyczących haseł i postępowania w razie incydentu.
   • Realizujemy osobne, obowiązkowe szkolenia dla zarządu i kierownictwa – ustawa wymaga ich edukacji co najmniej raz w roku, z innym przekazem niż dla pracowników: o odpowiedzialności i decyzjach.

   7. Monitorujemy zmiany w przepisach

   • Śledzimy nowelizacje ustawy o KSC, wytyczne organów właściwych i komunikaty CSIRT, na bieżąco informując, co z nich wynika dla Państwa firmy.
   • Reagujemy, gdy zmieniają się terminy, formularze rejestracyjne czy zakres obowiązków.

Każdy z tych etapów prowadzimy z pełną znajomością zarówno przepisów ustawy o KSC, jak i technicznej strony cyberbezpieczeństwa. Łączymy wiedzę prawników, audytorów ISO/IEC 27001 i specjalistów IT, dzięki czemu wdrożenie obowiązków NIS2 nie jest oddzielnym projektem prawnym i technicznym, a jednym, skoordynowanym procesem. Pomagamy zmieścić się w ustawowych terminach — 6 miesięcy na rejestrację, 12 miesięcy na wdrożenie SZBI i 24 miesiące na pierwszy audyt — i zminimalizować ryzyko kar finansowych oraz osobistej odpowiedzialności kierownictwa.