NIS2 i ustawa o KSC: obowiązki, terminy i wdrożenie cyberbezpieczeństwa
Cyber Security & Resilience
NIS2 i ustawa o KSC: obowiązki, terminy i wdrożenie cyberbezpieczeństwa
Opis szkolenia
Szkolenie omawia wymagania ustawy o krajowym systemie cyberbezpieczeństwa po nowelizacji obowiązującej od 3 kwietnia 2026 r., wdrażającej dyrektywę NIS2. Koncentrujemy się na obowiązkach podmiotów kluczowych i ważnych oraz ich praktycznym wdrożeniu.
Uczestnicy analizują kwalifikację podmiotu, organizację SZBI, odpowiedzialność kierownictwa, wymagania wobec dostawców, ciągłość działania, obsługę incydentów i obowiązki dokumentacyjne. Omawiamy odrębność Wykazu KSC oraz operacyjnego korzystania z systemu S46.
Praktyczny nacisk: identyfikacja obowiązków i terminów właściwych dla konkretnego typu podmiotu, analiza stanu wdrożenia oraz przygotowanie planu działań. Dla podmiotów, których termin wpisu do Wykazu KSC już upłynął, omawiamy sposób oceny sytuacji i organizacji niezwłocznych działań.
Uwaga: szkolenie ma charakter edukacyjny i wdrożeniowy. Nie stanowi opinii prawnej ani wiążącej kwalifikacji organizacji jako podmiotu kluczowego lub ważnego.
Uczestnik
- rozumie relację pomiędzy dyrektywą NIS2 a obowiązującą ustawą KSC,
- zna podstawowe zasady ustalania statusu podmiotu kluczowego lub ważnego,
- rozumie obowiązki dotyczące Wykazu KSC i systemu S46,
- zna wymagania dotyczące SZBI i zarządzania ryzykiem cyberbezpieczeństwa,
- rozumie odpowiedzialność kierownika podmiotu kluczowego lub ważnego,
- zna obowiązek corocznego szkolenia kierownika i osoby, której powierzono obowiązki w zakresie cyberbezpieczeństwa,
- zna podstawowe zasady zgłaszania incydentów poważnych, w tym terminy 24 godziny / 72 godziny / 1 miesiąc,
- rozumie znaczenie bezpieczeństwa łańcucha dostaw i ciągłości działania,
- zna podstawowe wymagania dotyczące audytów i wykazywania spełnienia obowiązków,
- potrafi zaplanować podstawowe działania wdrożeniowe.
- Doprecyzowanie: Zalecamy oddzielenie terminów 24/72 godzin i sprawozdania końcowego od wymagań innych reżimów, np. RODO i DORA. Formułowanie terminów powinno odnosić się do właściwego zdarzenia początkowego i obowiązujących przepisów.
Dla kogo?
Szkolenie kierujemy do:
- członków zarządu i kadry kierowniczej,
- osób odpowiedzialnych za cyberbezpieczeństwo,
- kierowników IT,
- osób odpowiedzialnych za bezpieczeństwo informacji,
- osób odpowiedzialnych za compliance i ryzyko,
- pełnomocników systemów zarządzania,
- osób odpowiedzialnych za ciągłość działania,
- osób odpowiedzialnych za wdrożenie, utrzymanie i wykazywanie spełnienia obowiązków KSC.
Program szkolenia
1. NIS2 i KSC – status podmiotu, Wykaz KSC, terminy i wdrożenie
- NIS2 jako podstawa europejska i KSC jako obowiązujące prawo krajowe,
- kryteria podmiotów kluczowych i ważnych,
- samoidentyfikacja organizacji,
- Wykaz KSC i system S46,
- konsekwencje przekroczenia terminów: 3 października 2026 r. – zasadniczy termin rejestracji dla odpowiednich podmiotów istniejących w dniu wejścia ustawy w życie; 3 kwietnia 2027 r. – termin wdrożenia nowych obowiązków i korzystania z S46; ,
- 3 kwietnia 2028 r. – pierwszy audyt dla wskazanej kategorii podmiotów kluczowych. Terminy mogą zależeć od sytuacji podmiotu.
2. Odpowiedzialność kierownika i organizacja cyberbezpieczeństwa
- odpowiedzialność kierownika podmiotu kluczowego lub ważnego,
- zatwierdzanie i nadzorowanie rozwiązań cyberbezpieczeństwa,
- przydzielanie odpowiedzialności i zasobów,
- świadomość personelu,
- obowiązki kierownictwa w zakresie nadzoru, kompetencji i dokumentowania realizacji zadań,
- dokumentowanie udziału w szkoleniu.
3. SZBI i zarządzanie ryzykiem cyberbezpieczeństwa
- identyfikacja i szacowanie ryzyka,
- środki techniczne, organizacyjne i operacyjne odpowiednie do ryzyka,
- polityki i procedury bezpieczeństwa,
- kontrola dostępu, uwierzytelnianie i kryptografia - odpowiednio do ryzyka,
- bezpieczeństwo systemów, sieci i informacji,
- zarządzanie podatnościami i zmianami,
- monitorowanie skuteczności środków.
4. Incydenty poważne i obowiązki zgłoszeniowe
- identyfikacja i klasyfikacja incydentów,
- obsługa i dokumentowanie incydentu,
- wczesne ostrzeżenie - do 24 godzin od wykrycia incydentu poważnego,
- zgłoszenie incydentu poważnego - do 72 godzin,
- sprawozdanie okresowe - na wniosek właściwego CSIRT,
- tryb zgłaszania poważnych incydentów, w tym wczesne ostrzeżenie, zgłoszenie i sprawozdanie końcowe, z uwzględnieniem terminów i momentu ich liczenia określonych w przepisach. (szczegółowe terminy weryfikowane dla właściwej kategorii podmiotu)
- zgłoszenia poprzez S46 Cyber Hub i współpraca z właściwym CSIRT.
5. Łańcuch dostaw, personel i wymagania organizacyjne
- dostawcy i podwykonawcy,
- ocena ryzyka łańcucha dostaw,
- wymagania bezpieczeństwa i nadzór nad dostawcami,
- wyznaczanie osób odpowiedzialnych za kontakt z podmiotami KSC,
- wymagania dotyczące personelu wykonującego określone zadania, w tym weryfikacja niekaralności w przypadkach przewidzianych ustawą.
6. Ciągłość działania, odtwarzanie i odporność
- krytyczne procesy,
- scenariusze zakłóceń,
- odtwarzanie,
- testowanie,
- doskonalenie.
7. Audyty, ocena skuteczności i plan wdrożenia
- analiza stanu obecnego i identyfikacja luk,
- wykorzystanie istniejących systemów zarządzania, w tym ISO/IEC 27001,
- monitorowanie i ocena skuteczności środków,
- obowiązek audytu cyberbezpieczeństwa dla podmiotów objętych tym wymaganiem,
- priorytety, odpowiedzialności i plan działania.
Dokument po szkoleniu
Certyfikat uczestnictwa w szkoleniu „NIS2 / znowelizowana KSC w praktyce - obowiązki podmiotów kluczowych i ważnych”, wystawiony przez 4QUALITY Doradztwo i Szkolenia.
Uwaga — opcja dostępna wyłącznie w wersji dedykowanej, zamkniętej dla pracowników jednej organizacji (wyceniana indywidualnie):
Przykładowa matryca: obowiązek KSC → właściciel procesu → niezbędny dowód → stan wdrożenia → działanie → termin. Matryca stanowi rezultat warsztatu, jeżeli warsztat jest objęty programem szkolenia. W szkoleniu otwartym oraz w szkoleniu dla pojedynczych uczestników warsztat nie jest realizowany.