Wykaz KSC i NIS2: do kiedy firmy muszą wdrożyć cyberbezpieczeństwo

Obowiązki cyberbezpieczeństwa dla firm wpisanych do Wykazu KSC wejdą w pełni w życie 3 kwietnia 2027 roku. To termin, do którego podmioty objęte nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa, wdrażającą dyrektywę NIS2, muszą spełnić wymagania. Wcześniej wskazywany termin 3 października dotyczył wyłącznie podmiotów spełniających kryteria już od dnia wejścia nowelizacji w życie, więc dla większości firm właściwą datą pozostaje wiosna 2027 roku.

Kogo dotyczą nowe obowiązki z ustawy o KSC?

Nowelizacja obejmuje podmioty kluczowe i ważne, działające m.in. w energetyce, transporcie i ochronie zdrowia. Wymagania są zbliżone do tych, które przewiduje prawo unijne, co oznacza, że polskie przepisy nie są wyjątkiem, lecz częścią szerszego standardu obowiązującego w całej Unii Europejskiej. Dla małej firmy kluczowe jest jedno pytanie: czy znajduje się na liście podmiotów w Wykazie KSC. Jeśli tak, obowiązki będą jej dotyczyć niezależnie od wielkości zespołu.

Ile podmiotów znalazło się w Wykazie KSC?

Do Wykazu wpisano prawie 70,5 tys. podmiotów. Z tej liczby ponad 8,1 tys. zgłosiło się samodzielnie, a 62,3 tys. zostało wpisanych z urzędu. Wcześniejsze szacunki zakładały około 35–38 tys. podmiotów, więc skala objęcia regulacją okazała się wyraźnie większa, niż przewidywano.

Z prostego zestawienia wynika, że zdecydowana większość wpisów (ok. 88 proc.) miała charakter wpisu z urzędu. Oznacza to, że wiele firm może nie wiedzieć, iż podlega regulacji, dopóki nie zweryfikuje swojego statusu. Sprawdzenie własnej pozycji w Wykazie to pierwszy, najtańszy krok, jaki można wykonać.

Jakie wymagania trzeba spełnić do kwietnia 2027 roku?

Podstawowym wymogiem jest wdrożenie systemu zarządzania bezpieczeństwem informacji. To nie jednorazowy dokument, lecz zestaw procedur, ról i kontroli, które firma stale utrzymuje. Do tego dochodzi obowiązek rozpoczęcia korzystania z systemu S46 również do 3 kwietnia 2027 roku.

Dlaczego konta uprzywilejowane są najbardziej newralgiczne?

Konta uprzywilejowane należą do administratorów, integratorów i zewnętrznych dostawców, którzy mają szeroki dostęp do systemów. Typowym problemem jest sytuacja, w której uprawnienia pozostają aktywne po zakończeniu projektu lub współpracy. Taki dostęp bywa zapomniany, a jednocześnie stanowi atrakcyjny punkt wejścia dla atakującego.

Jak ograniczyć ryzyko związane z dostępem?

Rozwiązania sprowadzają się do trzech elementów: dostępu czasowego, który wygasa automatycznie, monitorowania sesji oraz kontroli działań użytkowników z uprawnieniami podwyższonymi. W małej firmie nie zawsze potrzebne są zaawansowane narzędzia. Często wystarcza prosty rejestr kont, przypisanie każdej osoby zewnętrznej do konkretnego zlecenia i regularny przegląd, kto ma dostęp do czego.

Czy sama dokumentacja wystarczy?

Nie. Paweł Dawidek, CEO Fudo Security, zwraca uwagę, że uporządkowanie dostępu do kluczowych systemów powinno być priorytetem, a przygotowanie dokumentów nie może zastąpić realnych zmian w infrastrukturze. Forsal.pl przywołuje tę opinię w kontekście ustaleń „Rzeczpospolitej” i danych Ministerstwa Cyfryzacji.

Co to oznacza dla Twojej firmy?

Termin 3 kwietnia 2027 roku wydaje się odległy, ale projekty bezpieczeństwa w małych organizacjach zwykle wymagają wielu miesięcy: od inwentaryzacji systemów, przez zmiany w umowach z dostawcami, po szkolenia zespołu. Warto zacząć od sprawdzenia, czy firma figuruje w Wykazie KSC, a następnie od zestawienia kont uprzywilejowanych, w tym tych należących do zewnętrznych partnerów. Każde konto, którego nikt już nie używa, to zbędne ryzyko, które można usunąć jeszcze dziś.