AURACO
eAURA
PLEN
Umów rozmowę

Strona głównaUsługiNIS2 i cyberbezpieczeństwo

NIS2: audyt, doradztwo i pełnomocnik do spraw cyberbezpieczeństwa

Zaczynamy od ustalenia, czy organizacja podlega ustawie o krajowym systemie cyberbezpieczeństwa i jako podmiot kluczowy czy ważny. Dopiero potem rozmawiamy o środkach, bo od tej klasyfikacji zależy zakres obowiązków i wysokość kar. Oferujemy trzy formy współpracy: audyt zgodności, bieżące doradztwo oraz pełnienie funkcji pełnomocnika do spraw cyberbezpieczeństwa.

Zapytaj o wycenę
Sprawdź, czy podlegacie

Checklista NIS2 w PDF

Odnośnik do pliku wyślemy na adres e-mail podany na stronie materiałów. Do wysłania nie potrzebujemy żadnej zgody.

Pobierz

Klauzula informacyjna (art. 13 RODO)

Terminy

Trzy zgłoszenia zamiast jednego

NIS2 nie zna pojedynczego zgłoszenia jak RODO. Poważny incydent uruchamia sekwencję trzech, o rosnącej szczegółowości. Pierwszy termin jest krótszy niż w RODO i najczęściej to on zaskakuje organizacje przyzwyczajone do doby na zastanowienie.

24 h

Wczesne ostrzeżenie

Krótszy termin niż w RODO i najczęstsze źródło poślizgu. Wystarczy sygnał, że doszło do poważnego incydentu, bez pełnej analizy.

72 h

Zgłoszenie właściwe

Ocena wstępna: charakter incydentu, dotknięte usługi, wskaźniki naruszenia integralności. Termin liczony tak samo jak w RODO.

30 dni

Sprawozdanie końcowe

Opis przyczyny źródłowej, zastosowanych środków i skutków transgranicznych. Domyka sprawę wobec organu.

Osobny obowiązek: wniosek o wpis do wykazu

Podmioty kluczowe i ważne mają obowiązek samodzielnie złożyć wniosek o wpis do Wykazu prowadzonego pod adresem wykaz-ksc.gov.pl. Termin wniosku z harmonogramu ministra minął 3 października 2026; obowiązek wpisu nadal istnieje, a organ może wpisać podmiot z urzędu. Ciężar samoidentyfikacji spoczywa na organizacji, a brak wpisu mimo spełnienia przesłanek jest naruszeniem zagrożonym karą. Nikt o tym nie przypomni. Sprawdźcie Państwo w kilka minut, czy podmiot podlega ustawie i jako kto.

Na czym polega problem

Ustalenie, po której stronie progu jest organizacja, bywa trudniejsze, niż się wydaje

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, wdrażająca NIS2, zastąpiła poprzednie przepisy i znacznie rozszerzyła katalog podmiotów objętych obowiązkami. Kryteria są dwuwarstwowe: sektor działalności oraz wielkość organizacji. Błędna samoocena bywa kosztowna w obie strony – jedni wdrażają środki, do których nie są zobowiązani, inni przez lata pozostają poza reżimem, którego formalnie podlegają.

Osobna trudność dotyczy relacji z RODO. Oba akty wymagają zarządzania ryzykiem i zgłaszania incydentów, ale definicje, terminy i adresaci zgłoszeń są różne. Procedura napisana pod jeden z nich rzadko obsługuje drugi.

Jak pracujemy

Cztery etapy, każdy z konkretnym rezultatem

01

Klasyfikacja

Ustalamy, czy i jako kto organizacja podlega ustawie. Rezultat: pisemne uzasadnienie, które broni się przed organem.

02

Analiza luk

Porównanie stanu faktycznego z wymaganiami. Rezultat: lista braków uszeregowana według ryzyka, nie według rozdziałów ustawy.

03

Wdrożenie

Polityki, procedura obsługi incydentu, zasady dla dostawców. Rezultat: dokumenty, które da się realnie stosować.

04

Utrzymanie

Przeglądy okresowe i wsparcie przy incydencie. Rezultat: zgodność, która nie wygasa wraz z końcem projektu.

Formy współpracy

Trzy sposoby, w jakie możemy Państwa wesprzeć

Audyt zgodności

Jednorazowe badanie zakończone raportem i planem działań. Punkt wyjścia, gdy nie wiadomo, na czym się stoi.

Bieżące doradztwo

Wsparcie przy wdrażaniu środków, opiniowanie procedur i umów z dostawcami, konsultacje przy incydentach.

Pełnomocnik do spraw cyberbezpieczeństwa

Przejmujemy funkcję na zasadzie outsourcingu, tak jak przy IOD. Wyznaczona osoba wraz ze wsparciem całego zespołu.

Najczęstsze pytania

O co pytają Państwo najczęściej

Czy NIS2 dotyczy także małych firm?

Co do zasady nie, ale od reguły wielkościowej istnieją wyjątki sektorowe – obejmują między innymi dostawców usług zaufania i rejestry nazw domen. Samo zatrudnienie poniżej progu nie przesądza sprawy.

Ile trwa wdrożenie?

Klasyfikacja i analiza luk zamykają się zwykle w kilku tygodniach. Wdrożenie zależy od skali – organizacja z dojrzałym systemem zarządzania bezpieczeństwem potrzebuje istotnie mniej pracy.

Czy zgodność z ISO 27001 wystarczy?

Wdrożona norma PN-EN ISO/IEC 27001 pokrywa znaczną część wymagań technicznych i organizacyjnych, ale nie obejmuje obowiązków rejestracyjnych ani reżimu zgłoszeniowego. Traktujemy ją jako mocny punkt wyjścia, nie jako komplet.

Porozmawiajmy

Pierwsza rozmowa jest bezpłatna i niezobowiązująca. Zwykle wystarcza, żeby ocenić skalę pracy.

22 207 21 87

Formularz kontaktowy

Powiązane usługi

Audyty RODO

Inspektor Ochrony Danych

Audyty chmur obliczeniowych

Szkolenia

Z bloga

Kto podlega dyrektywie NIS2 i od kiedy liczy się termin

Od czego zależy wycena

Od tego, czy zaczynamy od ustalenia, czy w ogóle podlegają Państwo tym przepisom, czy od wdrożenia. Pierwsza rozmowa rozstrzyga tę kwestię i nic nie kosztuje.

Pytania i odpowiedzi

NIS2: pytania, które padają najczęściej

Kto podlega przepisom NIS2 w Polsce?

Obowiązki nakłada nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa z 23 stycznia 2026 roku, która weszła w życie 3 kwietnia 2026 i wdraża dyrektywę NIS2 do polskiego porządku prawnego. Podlegają jej podmioty z sektorów wymienionych w załącznikach, przekraczające progi wielkości, a niezależnie od wielkości – niektóre podmioty krytyczne. Katalog jest znacznie szerszy niż wcześniej: objął między innymi gospodarkę odpadami, produkcję żywności, usługi pocztowe i zarządzanie usługami teleinformatycznymi. Wiele organizacji dowiaduje się o objęciu przypadkiem, zwykle od kontrahenta.

Czy zarząd odpowiada osobiście?

Tak i jest to najistotniejsza zmiana względem poprzedniego stanu prawnego. Ustawa stanowi wprost, że kierownik podmiotu kluczowego lub ważnego odpowiada za wykonywanie obowiązków w zakresie cyberbezpieczeństwa, a odpowiedzialności tej nie można przenieść na dział informatyki ani na zewnętrznego dostawcę. Kierownictwo zatwierdza środki zarządzania ryzykiem i nadzoruje ich wdrożenie, a raz w roku kalendarzowym przechodzi szkolenie, którego odbycie trzeba udokumentować. Za zaniechanie grozi kara pieniężna nakładana na kierownika osobiście – do 300 procent jego wynagrodzenia w podmiocie prywatnym, do 100 procent w publicznym.

Czym pełnomocnik różni się od audytu?

Audyt jest jednorazowym badaniem stanu. Pełnomocnik to stała rola: prowadzi dokumentację, pilnuje terminów zgłoszeń, utrzymuje kontakt z organem i przygotowuje sprawozdania. Organizacje, które po audycie nie wyznaczyły nikogo do prowadzenia tematu, po roku wracają do punktu wyjścia.

Jakie są terminy zgłaszania incydentów?

Wczesne ostrzeżenie w ciągu dwudziestu czterech godzin, zgłoszenie właściwe w ciągu siedemdziesięciu dwóch, sprawozdanie końcowe w ciągu miesiąca. Pierwszy termin jest krótszy niż w RODO i zaskakuje organizacje przyzwyczajone do doby na zastanowienie.

Sprawdźmy razem, czy przepisy obejmują Państwa organizację

Umów rozmowę

Z bloga na ten temat

Pisaliśmy o tym szerzej

Wszystkie wpisy