Jesteś podmiotem ważnym lub kluczowym. Zbudujemy SZBI, który obroni się przed kontrolą, bez fabryki dokumentów.
Ustawa o krajowym systemie cyberbezpieczeństwa po nowelizacji NIS2 wymaga wdrożenia systemu zarządzania bezpieczeństwem informacji. Budujemy go na ISO/IEC 27001:2022, bo to jedyna droga rozpoznawana przez organy, audytorów i klientów. Certyfikat nie jest obowiązkowy. Dokładasz go później, jeśli będzie potrzebny.
Rozpoznajesz swoją sytuację?
Produkcja, ciepłownictwo, gospodarka odpadami, transport, usługi dla sektora publicznego. Firmy spoza IT, które ustawa objęła obowiązkami, jakich wcześniej nie miały.
Dowiedziałeś się, że podlegasz, i nie wiesz, od czego zacząć
Pismo, artykuł, informacja od prawnika. Ustawa mówi o systemie zarządzania, analizie ryzyka, zgłaszaniu incydentów i odpowiedzialności zarządu. W firmie jest jedna osoba od IT albo zewnętrzny dostawca.
Co dostajesz najpierw: potwierdzenie kwalifikacji z podstawą prawną, listę obowiązków w Twojej kategorii i plan, który zarząd może zatwierdzić w jednej uchwale.
Masz zewnętrzne IT i nie wiesz, czy to wystarczy
Dostawca dba o serwery i kopie zapasowe, ale nikt nie zarządza ryzykiem, nie prowadzi rejestru incydentów, nie wie, kto zgłosi incydent do CSIRT w 24 godziny.
Co dostajesz najpierw: podział odpowiedzialności między firmę a dostawcę, klauzule do umowy i listę dowodów, których masz od niego wymagać.
Chcesz zgodności, ale nie "dokumentów dla urzędu"
Widziałeś oferty pakietów szablonów. Wiesz, że kontrola sprawdzi, czy system działa, a nie czy istnieje segregator. Chcesz czegoś, co przetrwa kontrolę i nie zatrzyma produkcji.
Co dostajesz najpierw: raport z audytu zerowego, który pokazuje, co już spełniasz (zwykle więcej, niż myślisz) i co naprawdę trzeba zbudować.
Co będziesz mieć po każdym etapie
Pięć etapów, każdy z konkretnym produktem, próbką do pobrania i szacunkiem czasu Twojego zespołu. Każdy etap możesz kupić osobno.
Kwalifikacja i audyt zerowy
2 do 3 tygodnieNajpierw potwierdzamy, czy i w jakiej kategorii podlegasz ustawie, z odniesieniem do konkretnych przepisów, i sprawdzamy wpis do wykazu. Potem oceniamy stan organizacji wobec wymagań ISO 27001:2022 i obowiązków z ustawy jednocześnie. Jeden raport, dwa źródła wymagań, bez podwójnej pracy.
Po tym etapie masz
- Wniosek z kwalifikacji regulacyjnej: podlegasz lub nie, w jakiej kategorii, na jakiej podstawie
- Raport z oceną dojrzałości 0 do 5 wobec normy i ustawy, luki z priorytetami
- Mapa drogowa z nakładem pracy i terminami, ustawiona pod termin ustawowy
- Zobacz próbkę raportu (PDF)
Możesz od razu
Złożyć wniosek o wpis do wykazu z poprawnymi danymi. Przedstawić zarządowi, ile pracy jest przed firmą i czy zdążycie.
Twój zespół, orientacyjnie
Ten etap osobno: Gap Analysis
Planowanie, role, BIA i ocena ryzyka
3 do 5 tygodniUstalamy zakres SZBI, powołujemy role wymagane przez ustawę i normę, wyznaczamy osoby do kontaktu z właściwym CSIRT, inwentaryzujemy aktywa. Najpierw analiza wpływu na biznes (BIA): które procesy, linie i systemy są krytyczne dla usługi objętej ustawą i ile przestoju firma wytrzyma. Na tej podstawie ocena ryzyka z kryteriami proporcjonalności z ustawy. Zarząd podejmuje udokumentowane decyzje o postępowaniu z ryzykiem.
Po tym etapie masz
- Zakres SZBI i kontekst organizacji
- Zarządzenia: Pełnomocnik ds. SZBI, osoby do kontaktu z CSIRT, odpowiedzialności zarządu
- Analizę wpływu na biznes (BIA): procesy i systemy krytyczne dla usługi, RTO, RPO, MTPD
- Raport ryzyka dla zarządu, dowód sprawowania nadzoru przez kierownictwo (próbka PDF)
- Rejestr aktywów, metodykę oceny ryzyka opartą na BIA, rejestr ryzyka i plan postępowania z ryzykiem zatwierdzony przez zarząd
- Zobacz próbkę rejestru ryzyka (PDF)
Możesz od razu
Zaplanować budżet i ludzi. Wiesz, które zabezpieczenia trzeba kupić, które opisać, a które zlecić dostawcy IT.
Twój zespół, orientacyjnie
Wdrożenie SZBI
3 do 6 miesięcyPolityki i procedury dopasowane do tego, jak firma pracuje, w tym obszary wymagane wprost przez ustawę: incydenty i ich zgłaszanie, ciągłość działania, łańcuch dostaw, bezpieczeństwo sieci i systemów. Dostawca IT wdraża zabezpieczenia techniczne z planu, my definiujemy wymagania i weryfikujemy dowody.
Po tym etapie masz
- Politykę bezpieczeństwa informacji i komplet procedur, w tym procedurę obsługi i zgłaszania incydentów zgodną z terminami ustawowymi
- Deklarację stosowania (SoA) dla 93 zabezpieczeń Aneksu A
- Klauzule bezpieczeństwa do umowy z dostawcą IT i zakres jego obowiązków
- Przeszkolony zespół i pierwsze zapisy działania systemu
- Zobacz próbkę deklaracji stosowania (PDF)
Możesz od razu
Zgłosić incydent w terminie, gdyby się zdarzył. Odpowiedzieć na pytanie organu, jak zarządzacie bezpieczeństwem.
Twój zespół, orientacyjnie
Audyt wewnętrzny i przegląd zarządzania
2 do 4 tygodnieSprawdzamy system tak, jak sprawdzi go kontrola organu lub audytor: na dowodach. Niezgodności trafiają do planu działań korygujących, zarząd przeprowadza przegląd zarządzania i podpisuje się pod stanem systemu.
Po tym etapie masz
- Raport z audytu wewnętrznego z klasyfikacją ustaleń
- Plan działań korygujących z właścicielami i terminami
- Protokół przeglądu zarządzania z decyzjami zarządu
Możesz od razu
Pokazać organowi lub klientowi, że system jest sprawdzany, nie tylko wdrożony.
Twój zespół, orientacyjnie
Ten etap osobno: Audyt wewnętrzny ISO 27001
Gotowość na kontrolę i audyt KSC
ciągle, od dnia wdrożeniaUstawa nie kończy się na wdrożeniu. Porządkujemy pakiet dowodów dla kontroli organu, a dla podmiotów kluczowych przygotowujemy do obowiązkowego audytu cyberbezpieczeństwa. Jeśli klienci zaczną wymagać certyfikatu, system jest gotowy do certyfikacji bez nowego projektu.
Po tym etapie masz
- Pakiet dowodów działania SZBI ułożony pod pytania kontrolne
- Kalendarz obowiązków z ustawy i normy na pierwszy rok: przeglądy, testy, szkolenia, aktualizacje wykazu
- Dla podmiotów kluczowych: przygotowanie do audytu cyberbezpieczeństwa i wsparcie w jego trakcie
- Opcja: przejście do certyfikacji ISO 27001 jako kolejny etap
Możesz od razu
Odpowiedzieć na wezwanie organu bez paniki. Wskazać w firmie osobę, która wie, gdzie co leży.
Twój zespół, orientacyjnie
Dlaczego termin 3.04.2027 wymaga startu jesienią 2026
Etapy 1 do 4 trwają łącznie od 5 do 9 miesięcy. Najdłuższy jest etap 3, bo zabezpieczenia techniczne wdraża Twoje IT lub dostawca, a to zależy od ich dostępności. System powinien działać i zostawiać zapisy co najmniej dwa miesiące przed terminem, żeby przy kontroli było co pokazać. Start w październiku daje realny margines. Start w styczniu oznacza pracę pod presją.
Obowiązki, które pokrywa SZBI wg ISO 27001
Ustawa wymienia obszary, które system ma objąć. Norma ISO 27001 pokrywa je w całości, a tam, gdzie ustawa dokłada własne terminy i procedury, wpisujemy je wprost do dokumentacji.
- System zarządzania i analiza ryzykaZakres, role, ocena ryzyka, plan postępowania, przegląd zarządzania. Rdzeń normy.
- Obsługa i zgłaszanie incydentówProcedura, klasyfikacja, terminy zgłoszeń do właściwego CSIRT, system S46, osoby do kontaktu.
- Ciągłość działania i łańcuch dostawPlany ciągłości, kopie zapasowe, wymagania wobec dostawców i klauzule umowne.
- Bezpieczeństwo sieci, systemów i ludziKontrola dostępu, zarządzanie podatnościami, szyfrowanie, szkolenia, higiena cyberbezpieczeństwa.
- Odpowiedzialność zarząduZatwierdzenie systemu, nadzór, szkolenie kierownictwa. Udokumentowane, nie domyślne.
Żeby nie było niedomówień
- Nie sprzedajemy pakietu szablonów. Dokument, którego nikt nie stosuje, przy kontroli jest obciążeniem, nie dowodem.
- Nie wciskamy certyfikatu. Ustawa go nie wymaga. Jeśli nie ma klienta, który o niego pyta, nie ma powodu za niego płacić.
- Nie zastępujemy Twojego IT. Zabezpieczenia techniczne wdraża Twój zespół lub dostawca. My mówimy, co i dlaczego, i sprawdzamy dowody.
- Nie straszymy karami. Kary istnieją, ale lepszym argumentem jest to, że system po prostu ogranicza szkody przy incydencie.
- Nie wiążemy Cię z całością. Każdy etap ma własną wycenę i produkt. Po audycie zerowym możesz wdrażać sam.
Ile czasu zabierze Twojemu zespołowi
Rząd wielkości dla firmy od 30 do 100 osób, z jedną lokalizacją, kilkoma systemami i zewnętrznym lub jednoosobowym IT. Więcej zakładów, systemów OT lub własna serwerownia przesuwają te liczby w górę. Konkretne wartości dla Twojej firmy podajemy po audycie zerowym.
| Etap | Kto | Czas |
|---|---|---|
| Kwalifikacja i audyt zerowy | koordynator, IT, właściciele procesów | 15 do 25 h |
| Planowanie, role, BIA, ryzyko | zarząd, koordynator, IT, właściciele procesów (BIA) | 25 do 40 h |
| Wdrożenie SZBI | koordynator, IT lub dostawca, cały zespół (szkolenie) | 100 do 160 h |
| Audyt wewnętrzny | koordynator, właściciele procesów, zarząd | 15 do 25 h |
| Gotowość na kontrolę | koordynator, zarząd | 10 do 20 h |
| Razem | bez szkoleń pracowników | 165 do 270 h |
Godziny dostawcy IT na wdrożenie zabezpieczeń technicznych są poza tą tabelą i zależą od jego umowy z Tobą. Jeśli nie masz kogo wyznaczyć na koordynatora, możemy przejąć funkcję Pełnomocnika ds. SZBI.
O to zapytamy na pierwszej rozmowie
Odpowiedzi możesz wpisać od razu w formularzu. Przycisk poniżej otwiera go z gotowym szablonem.
- Branża i usługa, przez którą podlegasz ustawie
- Liczba pracowników i lokalizacje
- Kto prowadzi IT: własny zespół, jedna osoba, zewnętrzny dostawca
- Czy jest już wpis do wykazu lub złożony wniosek
- Co już macie: polityki, RODO, plan ciągłości, nic od zera
- Czy macie systemy OT lub automatykę przemysłową
- Kto zajmie się tematem po Waszej stronie
- Czy któryś klient wymaga certyfikatu ISO 27001
"Kontrola nie pyta, czy masz politykę. Pyta, kto ją stosował w zeszłym miesiącu i gdzie jest na to dowód."
Wdrożenie prowadzi jeden konsultant od kwalifikacji do gotowości na kontrolę. Jestem certyfikowanym audytorem wiodącym ISO 27001 i pracuję z firmami spoza IT, które ustawa objęła obowiązkami: tłumaczę wymagania na język zarządu i na konkretne zadania dla dostawcy IT.
Pytania, które padają na pierwszej rozmowie
Nie. Ustawa wymaga wdrożenia systemu zarządzania bezpieczeństwem informacji, nie certyfikatu. SZBI zgodny z ISO 27001 daje najlepszą pozycję przy kontroli i audycie, bo organy i audytorzy znają tę normę. Certyfikację możesz dołożyć później jako kolejny etap, jeśli zażąda jej klient lub przetarg.
Kategoria zależy od sektora, rodzaju usługi i progów wielkości, z wyjątkami, które nie patrzą na wielkość. Kwalifikację robimy w etapie 1 z odniesieniem do konkretnych przepisów i dajemy pisemny wniosek. Możesz wstępnie sprawdzić się sam w bezpłatnym NIS2/KSC Readiness Check.
Zawsze Twoja firma, bo to ona jest podmiotem ważnym lub kluczowym. Dostawca wykonuje zadania techniczne, ale zarządzanie ryzykiem, decyzje i zgłaszanie incydentów zostają po Twojej stronie. W etapie 3 dostajesz klauzule do umowy z dostawcą i listę dowodów, których masz od niego wymagać.
Tak, ustawa wprost nakłada na kierownictwo obowiązek zatwierdzenia systemu, nadzoru i przeszkolenia. W praktyce to kilkanaście godzin w projekcie: zatwierdzenie zakresu, decyzje w BIA (ile przestoju usługi firma akceptuje), akceptacja ryzyka, przegląd zarządzania, szkolenie. Bez tego system nie obroni się przy kontroli.
Na poziomie organizacyjnym tak: OT wchodzi do zakresu SZBI, rejestru aktywów, oceny ryzyka, ciągłości działania i wymagań wobec dostawców. Nie prowadzimy audytów technicznych OT ani wdrożeń wg IEC 62443. Jeśli ocena ryzyka pokaże taką potrzebę, wskazujemy zakres dla wyspecjalizowanego wykonawcy.
Priorytetem jest to, co organ sprawdzi najpierw: wpis do wykazu, osoby do kontaktu, procedura zgłaszania incydentów, analiza ryzyka i decyzje zarządu. Mapa drogowa z etapu 1 jest układana tak, żeby te elementy były gotowe najwcześniej, a reszta domykana w kolejności ryzyka. Lepiej mieć udokumentowany, realizowany plan niż nic.
Ścieżka jest ta sama, ale podmiot publiczny ma dodatkowo obowiązki z rozporządzenia KRI, w tym coroczny audyt. Łączymy oba źródła wymagań w jednym systemie, żeby nie utrzymywać dwóch dokumentacji.
Zacznij od kwalifikacji i audytu zerowego
Pierwsza rozmowa jest bezpłatna i trwa 30 minut. Wychodzisz z niej z odpowiedzią, czy podlegasz, i rekomendacją, od czego zacząć. Każdy etap poniżej możesz kupić osobno.
Ścieżka do ISO 27001
- Warsztat online 2 godziny z zarządem: wstępna kwalifikacja, stan wyjściowy, dostawca IT, ograniczenia
- Pisemna notatka 3 do 5 stron: zakres SZBI, ścieżka (KSC bez certyfikatu czy z certyfikatem), harmonogram pod 3.04.2027
- Lista brakujących elementów i szacunek nakładu po Waszej stronie
- Dokument dla zarządu, że temat ruszył i kiedy się zakończy