01
Profil działalności
Jakie usługi rzeczywiście świadczy organizacja i które z nich mogą mieścić się w sektorach objętych KSC.
Regulacje i zgodność · KSC / NIS2
KSC i NIS2 dla firm i organizacji
KSC i NIS2 dla firm: od kwalifikacji i audytu gotowości po wdrożenie SZBI. Pomagamy przełożyć wymagania ustawy na odpowiedzialności, procesy, zabezpieczenia i dowody, które działają w realnej organizacji.
Kwalifikacja KSCAudyt zerowySZBIIncydenty i ciągłość
Stan prawny informacji na stronie: 6 października 2026 r.
Najpierw zakres i ryzyko. Potem dokumentacja.KSC nie może być segregatorem oderwanym od procesów, usług i dostawców.
Czy ustawa dotyczy Twojej organizacji?
Kwalifikacja zaczyna się od działalności, wielkości i powiązań
Nie wystarczy sprawdzić jednej nazwy branży. Analizujemy profil działalności, sektory wskazane w załącznikach do ustawy, kody PKD, wielkość podmiotu oraz przedsiębiorstwa partnerskie i powiązane.
02
Skala i powiązania
Zatrudnienie, finanse oraz sposób uwzględniania podmiotów partnerskich i powiązanych.
03
Status i tryb wpisu
Podmiot kluczowy lub ważny, samorejestracja albo wpis z urzędu i wynikające z tego działania.
Termin samorejestracji dla podmiotów spełniających kryteria w dniu wejścia nowelizacji w życie upłynął 3 października 2026 r. Jeżeli status organizacji nie został zweryfikowany, warto zrobić to niezwłocznie i ustalić dalsze kroki.
Kogo mogą dotyczyć przepisy
Jakich organizacji może dotyczyć KSC i NIS2?
Zakres jest szerszy niż cyberbezpieczeństwo w ochronie zdrowia. W pierwszym kroku sprawdzamy rzeczywisty profil usług, skalę organizacji oraz jej powiązania — dopiero potem określamy status i obowiązki.
Energetyka i infrastruktura
Energia elektryczna, ciepło, gaz, paliwa oraz operatorzy infrastruktury krytycznej.
Produkcja przemysłowa
Maszyny, elektronika, pojazdy, chemia, farmacja, żywność oraz środowiska IT/OT.
Transport i logistyka
Transport drogowy, kolejowy, lotniczy i wodny, operatorzy logistyczni oraz usługi pocztowe.
Ochrona zdrowia
Szpitale, podmioty lecznicze, laboratoria, producenci wyrobów medycznych i farmaceutycznych.
Cyfrowa infrastruktura i ICT
Telekomunikacja, chmura, centra danych, DNS, usługi zarządzane i dostawcy technologii.
Woda, ścieki i odpady
Dostawcy wody pitnej, operatorzy systemów ściekowych oraz podmioty gospodarki odpadami.
Administracja i nauka
Administracja publiczna, jednostki badawcze, uczelnie realizujące usługi krytyczne i sektor kosmiczny.
Finanse i usługi cyfrowe
Bankowość, infrastruktura rynku finansowego, platformy cyfrowe i inne podmioty regulowane.
Ważne: sama obecność w branży nie przesądza o podleganiu KSC. Znaczenie mają między innymi świadczone usługi, wielkość, forma prawna, powiązania kapitałowe i szczególne przesłanki ustawowe.
Zobacz KSC w ochronie zdrowia →Harmonogram
Trzy daty, które porządkują przygotowanie
3 kwietnia 2026Nowelizacja weszła w życie
Od tej daty biegną ustawowe terminy dla podmiotów objętych przepisami.
3 kwietnia 2027Wdrożenie obowiązków
Termin m.in. na przygotowanie SZBI, procesów incydentowych, odpowiedzialności i podłączenie do S46.
3 kwietnia 2028Pierwszy audyt ustawowy
Dotyczy nowych podmiotów kluczowych; kolejne audyty co najmniej raz na trzy lata.
Zakres współpracy
KSC i NIS2 dla firm: od niepewności do operacyjnej gotowości
Budujemy program wokół usług, ryzyka i odpowiedzialności zarządczej. Dokumenty powstają jako zapis realnego sposobu działania, a nie jako cel sam w sobie.
Porozmawiaj o organizacji1
Kwalifikacja KSC / NIS2
Warsztat z kierownictwem, analiza działalności, wielkości, powiązań i trybu wpisu do Wykazu KSC.
2
Audyt zerowy i analiza luk
Ocena stanu obecnego, usług krytycznych, aktywów, dostawców, zabezpieczeń, dokumentacji i praktyk operacyjnych.
3
Mapa ryzyka i plan wdrożenia
Priorytety ryzyka, właściciele działań, budżet, zależności i harmonogram — bez listy przypadkowych projektów IT.
4
SZBI oraz procesy bezpieczeństwa
Polityki, role, zarządzanie incydentami, ciągłość działania, podatności, dostęp, kryptografia, dostawcy i monitoring.
5
Ćwiczenia, szkolenia i dowody
Testujemy reakcję organizacji, uczymy role odpowiedzialne i budujemy ślad dowodowy wymagany w zarządzaniu i audycie.
6
Gotowość do niezależnego audytu
Domykamy luki i przygotowujemy organizację do oceny przez niezależnych audytorów, zachowując rozdział ról.
Obowiązki w praktyce
Co musi działać — nie tylko istnieć na papierze
W praktyce KSC i NIS2 dla firm wymagają połączenia zarządzania, technologii, ludzi i dowodów w jeden utrzymywany system.
Zarządzanie i role
Odpowiedzialność kierownictwa, właściciele ryzyk, kontakt z KSC i cykliczny nadzór.
Ryzyko i SZBI
Metoda oceny ryzyka, plan postępowania, polityki, cele, pomiary i doskonalenie.
Incydenty
Wykrywanie, klasyfikacja, eskalacja, zgłoszenia, komunikacja i wnioski po zdarzeniu.
Dostawcy
Ocena zależności, wymagania umowne, dostęp stron trzecich i ryzyko łańcucha dostaw.
Ciągłość usług
Scenariusze awarii, kopie, odtwarzanie, plany ciągłości oraz testy techniczne i organizacyjne.
Dostęp i aktywa
Inwentaryzacja, tożsamość, uprawnienia, kryptografia, konfiguracja i cykl życia systemów.
Podatności
Aktualizacje, ocena podatności, bezpieczny rozwój, priorytety napraw i dokumentowanie decyzji.
Ludzie i dowody
Świadomość, szkolenia, weryfikacje, rejestry, raporty i mierniki potwierdzające działanie systemu.
Nie mylmy trzech różnych usług
Audyt gotowości, audyt ustawowy i ISO/IEC 27001
Audyt zerowy / analiza luk
Diagnoza stanu obecnego i plan działań. Może być punktem startu dla podmiotu kluczowego lub ważnego.
- Zakres i priorytety
- Mapa luk i ryzyk
- Roadmapa wdrożenia
Audyt cyberbezpieczeństwa
Formalna, niezależna ocena przewidziana dla podmiotów kluczowych. Wymaga zachowania bezstronności i ustawowych warunków.
- Niezależna rola audytowa
- Raport z ustaleń
- Cykliczność ustawowa
ISO/IEC 27001
Norma systemu zarządzania bezpieczeństwem informacji może wesprzeć KSC, lecz sama certyfikacja nie zastępuje wszystkich obowiązków ustawy.
- Systemowe zarządzanie
- Audyt certyfikacyjny
- Ciągłe doskonalenie
Zasada niezależności: zespół wspierający wdrożenie nie powinien przedstawiać własnej pracy jako niezależnego audytu ustawowego. Zakres i role ustalamy jawnie już na początku projektu.
Co otrzymuje organizacja
Konkretny system pracy, nie tylko raport
Rezultatem jest wspólna mapa odpowiedzialności i ryzyka, plan wdrożenia oraz zestaw dowodów, które można utrzymywać po zakończeniu projektu.
Raport kwalifikacji KSC
Mapa usług, aktywów i dostawców
Rejestr i plan postępowania z ryzykiem
Roadmapa z właścicielami i terminami
Dokumentacja oraz procedury SZBI
Scenariusze incydentów i ciągłości
Pakiet szkoleń i ćwiczeń
Repozytorium dowodów i mierników
Maciej MisiurekLeanTrix · MISOFT EU
Ekspert prowadzący
Maciej Misiurek
Ekspert digitalizacji, AI i transformacji IT oraz przedstawiciel MISOFT EU. Łączy perspektywę zarządczą, procesową i technologiczną — szczególnie tam, gdzie KSC musi zostać przełożone na działanie biznesu i IT.
- budował i skalował środowiska IT oraz zespoły odpowiedzialne za systemy biznesowe;
- prowadził integracje ERP, OMS, WMS, chmury i środowisk wielosystemowych;
- w projektach KSC/NIS2 wspiera kwalifikację, analizę gotowości, mapowanie usług i dostawców, ciągłość oraz ślad dowodowy.
Na tej stronie świadomie nie przypisujemy Maćkowi certyfikatów ani roli niezależnego audytora ustawowego. Zakres współpracy obejmuje przygotowanie organizacji, wdrożenie i gotowość.
Powiązane wsparcie
Wybierz właściwy punkt startu
FAQ
Najczęstsze pytania o KSC i NIS2
Jak sprawdzić, czy firma podlega KSC?
Trzeba zestawić faktyczny profil działalności z sektorami ustawy, sprawdzić kryteria wielkościowe oraz przedsiębiorstwa partnerskie i powiązane. Sam kod PKD może nie wystarczyć do bezpiecznej kwalifikacji.
Czy termin wpisu do Wykazu KSC już minął?
Dla podmiotów spełniających kryteria w dniu wejścia nowelizacji w życie termin samorejestracji upłynął 3 października 2026 r. Część podmiotów jest wpisywana z urzędu. Jeśli status nie jest jasny, należy go niezwłocznie zweryfikować.
Czy certyfikat ISO/IEC 27001 wystarczy do zgodności z KSC?
ISO/IEC 27001 może być mocnym fundamentem SZBI, ale sama certyfikacja nie zastępuje wszystkich obowiązków KSC, w tym kwalifikacji, wpisu, wymagań sektorowych, zgłaszania incydentów i audytu ustawowego.
Czym różni się audyt zerowy od audytu ustawowego?
Audyt zerowy jest diagnozą gotowości i może być wykonywany przed lub w trakcie wdrożenia. Audyt ustawowy jest formalną, niezależną oceną dotyczącą podmiotów kluczowych i podlega szczególnym wymaganiom.
Ile trwa przygotowanie organizacji?
Zależy od skali, dojrzałości, liczby usług, systemów i dostawców. Najczęściej rozpoczynamy od krótkiej kwalifikacji i audytu gotowości, po których powstaje realistyczna roadmapa etapów.
Czy LeanTrix pomaga również w wykonaniu działań?
Tak. Możemy przejść od diagnozy do wdrożenia: uporządkować role, ryzyko, procesy, dokumentację, mechanizmy incydentowe, ciągłość, dostawców, szkolenia i sposób gromadzenia dowodów.
Źródła i zastrzeżenie: informacje opracowano na podstawie komunikatów Ministerstwa Cyfryzacji dotyczących wejścia nowelizacji w życie i harmonogramu, samorejestracji oraz obowiązków podmiotów kluczowych i ważnych. Materiał ma charakter informacyjny i nie stanowi porady prawnej; ostateczna kwalifikacja wymaga analizy konkretnego podmiotu.