Cyberbezpieczeństwo – pierwsze działania po samoidentyfikacji

Samoidentyfikacja to pierwszy krok, zmierzający do zachowania zgodności z przepisami ustawy wdrażającej NIS2. Jej wynik determinuje konieczność złożenia wniosku o wpis do wykazu podmiotów kluczowych i ważnych.

Nowe przepisy ustawy wdrażającej NIS2 weszły w życie 3 kwietnia 2026 r. Obejmują 18 sektorów gospodarki i dotyczą przedsiębiorców, którzy kwalifikują się jako podmioty kluczowe lub ważne (pisaliśmy o nich w artykule „Cyberbezpieczeństwo w nowym wydaniu – zmiany wchodzą w życie”). Jednak minimalny standard w zakresie bezpieczeństwa cybernetycznego będzie wymagany również od podmiotów, które nie są bezpośrednio uznane za podmioty kluczowe czy ważne. Wynika to z obowiązku zachowania bezpieczeństwa łańcucha dostaw technologii informacyjno-komunikacyjnych przez podmioty kluczowe i ważne.

Jak zatem przygotować się do nowych standardów, mając już wnioski z samoidentyfikacji? Jakie działania podjąć? Odpowiadamy krok po kroku.

1.Moje przedsiębiorstwo nie jest podmiotem kluczowym ani ważnym

W przypadku gdy samoidentyfikacja wykazała, że przedsiębiorstwo nie kwalifikuje się jako podmiot kluczowy albo ważny, sytuacja jest stosunkowo prosta. Przedsiębiorstwo nie jest zobowiązane do bezpośredniego wdrożenia nowych obowiązków. Jeżeli jednak jest dostawcą produktów, usług lub procesów z zakresu technologii informacyjno-komunikacyjnych, to warto wdrożyć podstawowe normy dotyczące cyberbezpieczeństwa. Podmioty kluczowe i ważne mogą wymagać od kontrahentów (kontraktowo, czy też w ramach zamówień publicznych) wdrożenia właściwych norm ISO, w...