Pomoc przy incydencie

Zgodność

Analiza luk względem NIS2, KSC i DORA: sprawdź, czego brakuje

DC9 Cyber porównuje stan bezpieczeństwa organizacji z wymaganiami NIS2 i znowelizowanej ustawy o krajowym systemie cyberbezpieczeństwa (KSC) albo rozporządzenia DORA, wskazuje luki i pomaga je zamknąć — od dokumentacji po testy techniczne i ćwiczenia z raportowania incydentów.

Zapytaj o analizę luk

Kogo to dotyczy

Dyrektywa (UE) 2022/2555 · nowelizacja ustawy o KSC

NIS2 i ustawa o KSC

Podmioty kluczowe i ważne z 18 sektorów — m.in. energetyka, transport, bankowość, ochrona zdrowia, woda, infrastruktura cyfrowa, administracja, produkcja, żywność, usługi pocztowe i cyfrowe. W Polsce nowelizacja ustawy o KSC weszła w życie 3 kwietnia 2026 r.; obowiązki mają osobne terminy: wniosek o wpis do wykazu do 3 października 2026 r., wdrożenie środków do 3 kwietnia 2027 r., pierwszy audyt podmiotów kluczowych do 3 kwietnia 2028 r.

Rozporządzenie (UE) 2022/2554

DORA

Sektor finansowy: banki, zakłady ubezpieczeń, firmy inwestycyjne, instytucje płatnicze i inne podmioty finansowe, a pośrednio ich dostawcy usług ICT. Stosowane od 17 stycznia 2025 r.

Co sprawdzamy

Punktem odniesienia jest dziesięć obszarów środków zarządzania ryzykiem z art. 21 NIS2, a dla sektora finansowego — pięć filarów DORA.

  • analiza ryzyka i polityki bezpieczeństwa systemów
  • obsługa incydentów i procedury ich zgłaszania
  • ciągłość działania: kopie zapasowe, odtwarzanie, zarządzanie kryzysowe
  • bezpieczeństwo łańcucha dostaw i dostawców ICT
  • bezpieczne pozyskiwanie, rozwój i utrzymanie systemów, obsługa podatności
  • ocena skuteczności wdrożonych środków i testy odporności
  • cyberhigiena i szkolenia — także dla zarządu, który odpowiada za zatwierdzenie środków
  • kryptografia, kontrola dostępu, zarządzanie aktywami i uwierzytelnianie wieloskładnikowe

Terminy zgłaszania incydentów — dwa różne reżimy

poważny incydent

NIS2 / ustawa o KSC

  1. wczesne ostrzeżenie — do 24 godzin od wykrycia
  2. zgłoszenie incydentu — do 72 godzin od wykrycia
  3. sprawozdanie końcowe — do miesiąca od zgłoszenia

Na podstawie art. 23 NIS2; ustawa o KSC określa szczegóły dla poszczególnych typów podmiotów.

poważny incydent związany z ICT

DORA

  1. zgłoszenie wstępne — do 4 godzin od zaklasyfikowania incydentu jako poważnego, nie później niż 24 godziny od powzięcia o nim wiedzy
  2. raport pośredni — do 72 godzin od zgłoszenia wstępnego
  3. raport końcowy — do miesiąca od ostatniego raportu pośredniego

Rozporządzenie delegowane (UE) 2025/301, art. 5.

Jak wygląda analiza luk

  1. Zakres i kwalifikacja

    Ustalamy, czy i jako jaki podmiot organizacja podlega NIS2 lub DORA, oraz które systemy i procesy obejmuje analiza.

  2. Przegląd i wywiady

    Analizujemy dokumentację, rozmawiamy z IT, bezpieczeństwem i kierownictwem, sprawdzamy procesy w praktyce.

  3. Weryfikacja techniczna

    Tam, gdzie to potrzebne, potwierdzamy stan faktyczny testami i przeglądem konfiguracji, a procedury reagowania — ćwiczeniem tabletop.

  4. Raport i plan

    Przekazujemy listę luk z priorytetami i planem działań, który da się wdrożyć etapami.

Co otrzymujesz

  • raport luk względem NIS2 i ustawy o KSC albo DORA, z oceną ryzyka i priorytetami
  • plan działań z podziałem na szybkie usprawnienia i zmiany długoterminowe
  • procedurę zgłaszania incydentów dopasowaną do właściwego reżimu i jego terminów
  • materiał dla zarządu: co zatwierdzić, za co odpowiada i od czego zacząć
  • możliwość wsparcia wdrożenia: testy, szkolenia, ćwiczenia i usuwanie długu technologicznego
Zapytaj o analizę luk

Najczęstsze pytania

Skąd wiadomo, czy firma podlega NIS2 i ustawie o KSC?

Decyduje sektor działalności i zwykle wielkość firmy, a w niektórych sektorach sama rola podmiotu. Kwalifikację robimy na początku analizy na podstawie znowelizowanej ustawy o KSC. Podmioty kluczowe i ważne składają wniosek o wpis do wykazu do 3 października 2026 r.

Czy zarząd odpowiada za cyberbezpieczeństwo?

Tak. NIS2 wymaga, by organy zarządzające zatwierdzały środki zarządzania ryzykiem, nadzorowały ich wdrożenie i przechodziły szkolenia. Dlatego częścią analizy jest materiał dla zarządu.

Czym różni się analiza luk od audytu?

Analiza luk pokazuje różnicę między stanem obecnym a wymaganiami i plan dojścia do zgodności. Nie jest certyfikacją ani audytem wymaganym ustawą o KSC — przygotowuje do wdrożenia i do takiego audytu.

Czy pomagacie też we wdrożeniu?

Tak. Po analizie możemy przeprowadzić testy penetracyjne, ćwiczenia tabletop z raportowania incydentów, szkolenia oraz pomóc zlikwidować dług technologiczny.