Co się zmienia
KSC/NIS2 w sektorze publicznym: trzy problemy, które trzeba uporządkować
NIS2 obejmuje szerszą grupę przedsiębiorstw publicznych i zmienia sposób zarządzania cyberbezpieczeństwem: samodzielna kwalifikacja, odpowiedzialność kierownictwa oraz ryzyko systemów, procesów i dostawców stają się częścią jednego procesu.
Zmiana 1
Klasyfikujesz się sam – i sam się rejestrujesz
Administracja rządowa, samorząd i inne podmioty publiczne nie są traktowane identycznie. Status zależy od rodzaju jednostki, jej zadań i zasad wskazanych w KSC. Różnice wyjaśniamy w FAQ.
Rejestracja w 6 miesięcy
Zmiana 2
Odpowiada kierownictwo, nie dział IT
Kierownictwo odpowiada za nadzór nad środkami zarządzania ryzykiem. Analiza powinna obejmować usługi publiczne, systemy dziedzinowe, rejestry, pracowników, dostawców i zależności między nimi.
Odpowiedzialność osobista
Zmiana 3
Zakres to cała organizacja: IT, systemy operacyjne i dostawcy
Podczas audytu liczy się nie tylko polityka. Trzeba pokazać aktualne ryzyka, zatwierdzenia, przeglądy, działania, testy planów, obsługę incydentów i ocenę dostawców.
IT + systemy operacyjne + łańcuch dostaw
Mapa obowiązków
Pięć obszarów, które trzeba utrzymywać i potrafić wykazać
Audyt i kontrola szybko sprowadzają się do konkretów: kto zatwierdził ryzyko, kiedy testowano plan, które działania są otwarte, jak oceniono dostawcę i gdzie jest historia zmian.
1
Klasyfikacja i rejestracja
Samoidentyfikacja, wpis do Wykazu KSC oraz utrzymywanie aktualnych danych i osób kontaktowych.
2
Zarządzanie ryzykiem i środki bezpieczeństwa
Analiza ryzyka systemów IT i operacyjnych, środki bezpieczeństwa, ciągłość działania oraz regularne przeglądy.
3
Łańcuch dostaw
Ocena dostawców ICT i systemy operacyjne oraz kontrola wymagań bezpieczeństwa i dostępu zewnętrznego.
4
Obsługa incydentów
Klasyfikacja incydentów, obsługa wymaganych terminów zgłoszeń oraz dokumentowanie decyzji, komunikacji i działań po incydencie.
5
Nadzór kierownictwa, szkolenia i audyt
Nadzór kierownictwa, szkolenia, audyt bezpieczeństwa oraz plan i monitoring działań naprawczych.
Harmonogram
Terminy, które biegną od wejścia ustawy w życie
3.04.2026
Ustawa o KSC wdrażająca NIS2 wchodzi w życie. Od tego dnia liczone są kolejne terminy.
+6 mies.
Rejestracja w wykazie S46 i zgłoszenie osoby kontaktowej ds. cyberbezpieczeństwa. Najbliższy termin dla większości spółek publicznych.
+12 mies.
Pełne wdrożenie systemu zarządzania bezpieczeństwem informacji i środków z ustawy – wraz z dokumentacją i zatwierdzeniem przez zarząd.
+24 mies.
Pierwszy audyt bezpieczeństwa dla podmiotów kluczowych – następnie cyklicznie. Od tego momentu realne staje się naliczanie kar.
na bieżąco
Zgłaszanie incydentów w 24 h / 72 h, przeglądy ryzyka, testy planów, ocena dostawców, szkolenia zarządu i pracowników.
Podstawa prawna: dyrektywa (UE) 2022/2555 (NIS2) oraz ustawa o krajowym systemie cyberbezpieczeństwa. KSC obejmuje różne kategorie podmiotów publicznych, w tym administrację rządową oraz określone jednostki samorządowe i inne podmioty publiczne. Dokładny status trzeba ustalić na podstawie rodzaju jednostki i art. 5 KSC.
Specyfika sektora
Awaria systemu publicznego szybko staje się problemem dla obywatela
Niedostępność rejestru, systemu dziedzinowego, e-usługi lub infrastruktury może zatrzymać obsługę spraw i świadczenie usług publicznych. Dlatego ryzyko cyber trzeba powiązać z procesami i ciągłością działania jednostki.
Administracja rządowa
Wytwarzanie, przesył, dystrybucja, obrót
Operatorzy sieci stacjonarnych i mobilnych, dostęp do internetu, usługi głosowe i inne publiczne usługi łączności.
Samorząd wojewódzki
Urzędy marszałkowskie i jednostki województwa
Wytwarzanie i dystrybucja ciepła. Sezonowość podnosi wagę planów ciągłości – okno na przywrócenie usługi w szczycie zimowym jest krótkie.
Powiaty i miasta
Starostwa i miasta na prawach powiatu
Produkcja maszyn jest silnie zależna od automatyki, systemów projektowych, oprogramowania i zdalnego serwisu.
Gminy
Urzędy gmin i miast
W automotive przestój pojedynczej linii lub dostawcy może wpływać na cały łańcuch dostaw, dlatego ważne są zależności i priorytety odtworzenia.
Instytucje publiczne
Jednostki i instytucje wskazane w KSC
Nowy podsektor w NIS2 – obejmuje instalacje, które w krajowych projektach wodorowych dopiero powstają i projektują architekturę bezpieczeństwa od zera.
Spółki komunalne
Operatorzy infrastruktury ładowania
Rozproszona infrastruktura zarządzana zdalnie, silnie zależna od dostawców platform i integracji – stąd nacisk na nadzór nad łańcuchem dostaw.
Co to znaczy w praktyce: analiza ryzyka i plany ciągłości muszą obejmować zarówno IT, jak i systemy operacyjne i sterowania oraz zależności od dostawców i serwisu. Więcej szczegółów znajdziesz w FAQ.
BCMLogic Next dla sektora publicznego
System GRC dla sektora publicznego
BCMLogic Next łączy ryzyka, SZBI, BIA, plany ciągłości, incydenty, dostawców i działania. Bezpieczeństwo, IT, kierownictwo i właściciele procesów pracują na jednym aktualnym modelu.
🔄
Masz już dokumentację? – przenosimy ją do systemu. Zaczynasz od zera – prowadzą Was kreatory.
Możemy przenieść istniejącą dokumentację do systemu albo rozpocząć pracę od kreatorów prowadzących użytkownika krok po kroku.
⚠️
Analiza ryzyka systemów IT i operacyjnych
Ryzyka dla IT, OT i procesów publicznych wraz z właścicielami, działaniami i historią zmian.
Kreator krok po kroku
📋
Polityki i procedury
Szablony, workflow zatwierdzeń, historia wersji i ścieżka audytu.
Szablony gotowe
🔄
Plany ciągłości działania
BIA, BCP i DRP dla krytycznych usług i procesów – z zależnościami od systemów, lokalizacji, personelu i dostawców.
Scenariusze systemy operacyjne i sterowania
🚨
Zarządzanie incydentami
Obsługa incydentów wraz z terminami 24 h / 72 h, klasyfikacją i ścieżką działań.
Timer 24 h / 72 h
🏭
Dostawcy i łańcuch dostaw
Rejestr i ocena ryzyka dostawców systemów, integratorów, chmury, serwisu i innych usług ICT wpływających na działanie jednostki.
Rejestr dostawców systemy operacyjne
✅
Przygotowanie do audytu
Status zgodności, historia zatwierdzeń i przeglądów oraz raporty wspierające przygotowanie do audytu.
Raport dla audytora
Demo online
Chcesz zobaczyć jak to wygląda w praktyce?
Zobacz BCMLogic Next na danych demonstracyjnych albo umów 30-minutowe spotkanie i przejdź z nami przez scenariusz operatora lub dostawcy sektora publicznego.
🖥
Środowisko prezentacyjne online
Gotowe dane demonstracyjne: ryzyka, incydenty, ciągłość działania i zgodność NIS2.
📞
Zamów dostęp do demo, umów 30-minutowe spotkanie →
Krótkie spotkanie z zespołem
30 minut na pokaz systemu i pytania związane z Waszą organizacją oraz etapem przygotowań do NIS2.
FAQ · KSC/NIS2 w sektorze publicznym
Najczęstsze pytania o NIS2 w administracji publicznej
Krótko o urzędach, JST, SZBI, audycie, incydentach i dostawcach.
Które podmioty publiczne obejmuje KSC/NIS2?
Zakres obejmuje różne kategorie administracji rządowej, samorządowej i innych podmiotów publicznych. Nie wszystkie jednostki są klasyfikowane identycznie, dlatego status trzeba sprawdzić według rodzaju jednostki i zasad z art. 5 KSC.
Czy urząd gminy albo starostwo podlega NIS2?
Samorządy są objęte odrębnymi zasadami klasyfikacji. W praktyce inaczej traktowane mogą być urzędy wojewódzkie, starostwa, miasta na prawach powiatu i gminy. Dlatego warto zacząć od samoidentyfikacji konkretnej jednostki.
Od czego zacząć wdrożenie KSC/NIS2 w urzędzie?
Od potwierdzenia statusu jednostki i oceny stanu obecnego. Następnie warto uporządkować właścicieli procesów i systemów, analizę ryzyka, SZBI, dostawców, obsługę incydentów oraz ciągłość działania.
Mamy już SZBI lub ISO 27001. Czy trzeba zaczynać od nowa?
Nie. Istniejące polityki, analizy ryzyka, rejestry i procedury można wykorzystać jako punkt wyjścia. BCMLogic Next pozwala utrzymywać je dalej z właścicielami, terminami, historią zmian i dowodami wykonania.
Jak przygotować urząd do audytu KSC/NIS2?
Trzeba mieć aktualne dowody: zatwierdzone ryzyka, przeglądy, testy planów, działania naprawcze, oceny dostawców i historię incydentów. W systemie GRC informacje nie muszą być każdorazowo zbierane z wielu arkuszy i dokumentów.
Jak połączyć NIS2 z ciągłością działania urzędu?
BIA pozwala wskazać usługi i procesy, których niedostępność najbardziej wpływa na obywateli i działanie jednostki. Następnie można powiązać je z systemami, lokalizacjami, personelem i dostawcami oraz utrzymywać odpowiednie plany ciągłości.
Jak zarządzać dostawcami IT i integratorami?
Warto zacząć od dostawców mających dostęp do kluczowych systemów albo wpływ na ciągłość usług. W GRC można powiązać dostawcę z usługą, systemem, ryzykiem, wymaganiami bezpieczeństwa i terminami okresowych przeglądów.
Czy BCMLogic Next zastępuje doradcę albo integratora KSC?
Nie. Platforma może być środowiskiem, w którym jednostka utrzymuje efekty projektu po zakończeniu pracy doradcy lub integratora – ryzyka, dokumentację, działania, dostawców, incydenty i dowody zgodności.
Następny krok
Zobacz, jak działa system GRC dla sektora publicznego
Sprawdź platformę online lub umów krótkie demo dopasowane do usług, ryzyk i wymagań Twojej organizacji.
BCMLogic sp. z o.o. – niezależny dostawca oprogramowania GRC.
Informacja
Strona przygotowana przez BCMLogic sp. z o.o. – niezależnego dostawcę oprogramowania GRC. BCMLogic nie reprezentuje organów administracji ani instytucji nadzorczych. Treści dotyczące obowiązków prawnych mają charakter informacyjny – każde przedsiębiorstwo powinno zweryfikować swój status prawny we własnym zakresie lub z pomocą doradcy prawnego. Zakres podmiotowy i terminy zależą od krajowych przepisów wdrażających dyrektywę NIS2 oraz od profilu działalności podmiotu.