Czy Twoja firma jest bezpieczna? Audyt NIS2/KSC

Czy Twoja firma jest na pewno bezpieczna? Brak alarmów, sprawna poczta i działające komputery nie są jeszcze dowodem bezpieczeństwa. Atakujący często nie niszczy danych od razu. Może przez wiele dni lub tygodni obserwować sieć, poznawać sposób pracy firmy, przejmować kolejne konta i czekać na moment, w którym atak przyniesie największe straty.

Dlatego najważniejsze pytanie nie brzmi: „czy mamy antywirusa?”, lecz: czy potrafimy wykazać, że nasze zabezpieczenia rzeczywiście działają?

Atak nie zawsze zaczyna się od awarii

W filmach cyberatak wygląda jak nagła seria czerwonych komunikatów. W rzeczywistości pierwsze sygnały bywają prawie niewidoczne. Przestępca może zdobyć hasło do skrzynki e-mail, wykorzystać nieaktualny serwer VPN, podatną stronę internetową albo komputer pracownika. Następnie stara się utrzymać dostęp i dotrzeć do ważniejszych systemów.

W tym czasie firma może pracować normalnie. Atakujący może jednak:

• czytać pocztę i przygotowywać wiarygodne wiadomości podszywające się pod pracowników lub kontrahentów,
• szukać dokumentów, danych klientów, informacji finansowych i tajemnic przedsiębiorstwa,
• przejmować kolejne konta oraz zwiększać swoje uprawnienia,
• sprawdzać, gdzie znajdują się kopie zapasowe i czy można je usunąć,
• wyprowadzać dane małymi porcjami, aby nie wzbudzić podejrzeń,
• czekać na dogodny moment, aby zaszyfrować serwery, zatrzymać pracę firmy albo zażądać okupu.

Najbardziej niebezpieczny intruz to często nie ten, którego od razu widać, lecz ten, który już jest w środku i nadal pozostaje niezauważony.

Najczęstsze słabe punkty w firmach

Do skutecznego ataku nie zawsze jest potrzebna wyjątkowo zaawansowana technika. Często wystarczy kilka zwykłych zaniedbań, które występują jednocześnie:

• to samo hasło używane w kilku usługach,
• brak uwierzytelniania wieloskładnikowego (MFA),
• nieaktualny system, firewall, router, serwer VPN albo aplikacja internetowa,
• zbyt szerokie uprawnienia użytkowników i konta byłych pracowników,
• brak podziału sieci na bezpieczne segmenty,
• kopie zapasowe podłączone na stałe do tej samej infrastruktury,
• backup, którego nikt nigdy nie próbował odtworzyć,
• brak monitorowania logowań, zmian uprawnień i nietypowego ruchu,
• podatności u dostawcy usług IT, chmury lub oprogramowania,
• pracownik, który nieświadomie otworzył załącznik lub podał hasło na fałszywej stronie.

Każdy z tych problemów można naprawić. Najpierw trzeba jednak wiedzieć, które z nich naprawdę występują i jaką drogę ataku tworzą razem.

Co daje audyt bezpieczeństwa?

Dobry audyt nie kończy się listą programów zainstalowanych na komputerach. Powinien odpowiedzieć na praktyczne pytania: skąd można wejść do sieci, do jakich danych można dotrzeć, czy atak zostanie zauważony oraz czy firma potrafi bezpiecznie odtworzyć działanie po incydencie.

Kompleksowe badanie może obejmować między innymi:

• inwentaryzację urządzeń, usług, kont i dostępu zdalnego,
• analizę konfiguracji sieci, serwerów, stacji roboczych, chmury i kopii zapasowych,
• sprawdzenie aktualizacji, uprawnień, MFA, polityk haseł i ochrony poczty,
• testy podatności od strony Internetu i wewnątrz organizacji,
• kontrolowane testy penetracyjne, prowadzone w uzgodnionym zakresie i na podstawie pisemnej zgody,
• weryfikację, czy wykryte słabości można połączyć w realny scenariusz ataku,
• ocenę procedur reagowania na incydenty, ciągłości działania i odtwarzania danych.

Efektem powinien być nie tylko wykaz problemów, ale kompletny raport: podsumowanie dla kierownictwa, dowody techniczne, ocena ryzyka, priorytety napraw oraz konkretne zalecenia. Dzięki temu wiadomo, co należy zrobić natychmiast, co zaplanować, a które zabezpieczenia już działają prawidłowo.

NIS2 i KSC idą w cyberbezpieczeństwie dalej niż samo RODO

RODO koncentruje się przede wszystkim na ochronie danych osobowych. NIS2 oraz znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa patrzą szerzej: na odporność całej organizacji, bezpieczeństwo sieci i systemów, ciągłość usług, łańcuch dostaw, wykrywanie incydentów i zdolność do odtworzenia działania.

Nowelizacja KSC wdrażająca NIS2 obowiązuje od 3 kwietnia 2026 r. Podmioty kluczowe i podmioty ważne mają wdrożyć system zarządzania bezpieczeństwem informacji oraz odpowiednie środki techniczne i organizacyjne. Ustawa wskazuje wprost między innymi na testowanie systemu informacyjnego, ciągłe monitorowanie, zarządzanie podatnościami oraz polityki i procedury oceny skuteczności zabezpieczeń.

To istotna zmiana podejścia: nie wystarczy posiadać procedurę w segregatorze. Trzeba umieć pokazać, że środki bezpieczeństwa są adekwatne do ryzyka i działają w praktyce. Testy podatności oraz kontrolowane testy penetracyjne są jednym z najskuteczniejszych sposobów takiej technicznej weryfikacji.

Nie oznacza to, że każda firma automatycznie podlega wszystkim obowiązkom KSC ani że każdy podmiot ma identyczny obowiązek cyklicznego pentestu. Status zależy między innymi od sektora, rodzaju usług i wielkości organizacji. Firmy objęte regulacją powinny dokonać samooceny i — jeżeli spełniają kryteria — zarejestrować się w Wykazie KSC do 3 października 2026 r. Termin wdrożenia głównych obowiązków dla podmiotów spełniających kryteria w dniu wejścia ustawy to 3 kwietnia 2027 r. Podmioty kluczowe, które wcześniej nie były operatorami usług kluczowych, mają przeprowadzić pierwszy obowiązkowy audyt do 3 kwietnia 2028 r.

Nawet firma, która nie jest bezpośrednio podmiotem kluczowym lub ważnym, może odczuć wymagania NIS2/KSC jako dostawca w łańcuchu dostaw. Klienci coraz częściej oczekują dowodów bezpieczeństwa, wyników testów, zasad reagowania na incydenty i kontroli dostępu.

Kary mogą być wysokie — ale największą karą bywa sam incydent

Ustawa przewiduje dla podmiotów objętych KSC wysokie maksymalne kary. Dla podmiotu kluczowego może to być do 10 mln euro lub 2% przychodów, a dla podmiotu ważnego do 7 mln euro lub 1,4% przychodów — w obu przypadkach zastosowanie może mieć kwota wyższa. Przy naruszeniu powodującym szczególnie poważne zagrożenie ustawa przewiduje karę do 100 mln zł. Odpowiedzialność może dotyczyć również kierownika podmiotu.

Zgodnie z informacją Ministerstwa Cyfryzacji przepisy o karach pieniężnych zaczną być stosowane od 3 kwietnia 2028 r. Nie jest to jednak powód, by odkładać przygotowania. Wcześniej upływają terminy samooceny, rejestracji i wdrożenia obowiązków, a uporządkowanie infrastruktury, dokumentacji i procedur wymaga czasu.

Poza sankcjami administracyjnymi pozostają koszty, które pojawiają się natychmiast: przestój, utrata danych, okup, obsługa incydentu, utrata zaufania klientów, odpowiedzialność kontraktowa i odbudowa całego środowiska IT.

Zamów kompleksowy audyt bezpieczeństwa

Możesz zlecić mi kompleksowy techniczny audyt bezpieczeństwa firmy. W uzgodnionym zakresie wykonam testy podatności oraz kontrolowane testy penetracyjne, sprawdzę konfigurację najważniejszych elementów infrastruktury i ocenię realne scenariusze ataku.

Otrzymają Państwo kompletny raport opisujący aktualny poziom bezpieczeństwa, wykryte podatności, możliwe skutki, priorytety oraz zalecany plan naprawczy. Raport może pomóc w podejmowaniu decyzji technicznych, rozmowach z dostawcami i przygotowaniu organizacji do wymagań klientów oraz regulacji.

Nie czekaj, aż przestępca pokaże, że zabezpieczenia były za słabe. Lepiej sprawdzić je wcześniej, w kontrolowanych warunkach.

Skontaktuj się i umów konsultację dotyczącą audytu bezpieczeństwa.

Stan prawny: 15 sierpnia 2026 r. Materiał ma charakter informacyjny i nie stanowi porady prawnej ani zapewnienia zgodności z KSC/NIS2. Zakres obowiązków należy ocenić indywidualnie. Techniczny audyt i test penetracyjny nie zawsze są tożsame z ustawowym audytem, dla którego mogą obowiązywać szczególne wymagania.

Źródła: Ministerstwo Cyfryzacji — obowiązki podmiotów kluczowych i ważnych; Ministerstwo Cyfryzacji — najważniejsze terminy; Dz.U. 2026 poz. 252 — nowelizacja ustawy o KSC; dyrektywa NIS2.