Podmioty objęte regulacjami mają czas do 3 kwietnia 2027 r. na wdrożenie wymaganych mechanizmów bezpieczeństwa. Są one nieomal identyczne, jak w całej Unii Europejskiej. Według najnowszych danych w Wykazie KSC znajduje się już prawie 70,5 tys. podmiotów. Jednym z wyzwań na najbliższe miesiące będzie uporządkowanie dostępu do kluczowych systemów IT, w tym uprawnień administratorów i zewnętrznych dostawców. Zwłaszcza gdy firma chce ubiegać się o kontrakty na wspólnym rynku.
Co NIS 2 nowego wprowadził w cyberbezpieczeństwo firmy objętej regulacjami KSC
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, wdrażająca unijną dyrektywę NIS2, znacząco rozszerzyła zakres podmiotów zobowiązanych do stosowania nowych wymagań. Wcześniejsze szacunki wskazywały na około 35–38 tys. podmiotów, jednak po zakończeniu terminu samorejestracji skala okazała się znacznie większa. Jak ustaliła „Rzeczpospolita” na podstawie danych Ministerstwa Cyfryzacji, w Wykazie KSC znalazło się prawie 70,5 tys. podmiotów, z czego ponad 8,1 tys. dokonało samorejestracji, a 62,3 tys. zostało wpisanych z urzędu. Nowe obowiązki dotyczą podmiotów kluczowych i ważnych działających m.in. w energetyce, transporcie, ochronie zdrowia i innych sektorach istotnych dla funkcjonowania państwa oraz gospodarki.
Koniec rejestracji oznacza dla firmy początek wdrożeń rozwiązań poprawiających cyberbezpieczeństwo
Termin 3 października dotyczył podmiotów, które spełniały ustawowe kryteria już w dniu wejścia w życie nowelizacji i były zobowiązane do samodzielnego złożenia wniosku o wpis. Część organizacji, w tym podmioty publiczne, była wpisywana do wykazu z urzędu.
Kolejną istotną datą jest 3 kwietnia 2027 r. Do tego czasu organizacje objęte okresem dostosowawczym powinny wdrożyć wymagane rozwiązania i procedury związane z cyberbezpieczeństwem, w tym system zarządzania bezpieczeństwem informacji, oraz rozpocząć korzystanie z systemu S46. Dla wielu podmiotów oznacza to konieczność przeanalizowania nie tylko stosowanych zabezpieczeń, ale również sposobu zarządzania dostępem do infrastruktury IT. Organizacje będą musiały ustalić, które systemy mają kluczowe znaczenie dla ich działalności, kto może z nich korzystać i czy przyznane uprawnienia odpowiadają rzeczywistym potrzebom.
– Największym błędem byłoby potraktowanie najbliższych miesięcy wyłącznie jako czasu na przygotowanie dokumentacji. Zgodność z regulacjami powinna mieć przełożenie na rzeczywisty poziom bezpieczeństwa. Jednym z pierwszych obszarów, które warto uporządkować, jest dostęp do najważniejszych systemów: kto go posiada, do jakich zasobów, w jakim celu i czy zakres tych uprawnień nadal odpowiada rzeczywistym potrzebom – mówi Paweł Dawidek, CEO Fudo Security.
Cyberbezpieczeństwo firmy: jakie uprawnienia administratorów i dostawców znajdą się pod lupą nadzoru ministerstwa
Jednym z obszarów wymagających szczególnej uwagi są konta uprzywilejowane, które pozwalają wykonywać operacje niedostępne dla standardowych użytkowników. Korzystają z nich m.in. administratorzy systemów, integratorzy oraz zewnętrzne firmy odpowiedzialne za utrzymanie infrastruktury.
Problem pojawia się wtedy, gdy przyznane uprawnienia pozostają aktywne mimo zakończenia projektu, zmiany obowiązków pracownika lub ustania współpracy z dostawcą. W takich sytuacjach dostęp do wrażliwych zasobów mogą zachowywać osoby, które nie potrzebują go już do wykonywania swoich zadań. Szczególne znaczenie ma to w przypadku zewnętrznych serwisantów, którzy łączą się z systemami organizacji sporadycznie. Utrzymywanie dla nich stałych uprawnień zwiększa liczbę aktywnych punktów dostępu do infrastruktury, a tym samym może powiększać powierzchnię potencjalnego ataku.
– W praktyce warto rozdzielić dwa pytania: czy dana osoba może mieć dostęp oraz czy potrzebuje go właśnie teraz. Administrator albo zewnętrzny serwisant może być uprawniony do pracy z określonym systemem, ale nie oznacza to, że szerokie uprawnienia powinny pozostawać aktywne przez cały rok. Im bardziej dostęp jest ograniczony do konkretnego zasobu, zadania i czasu, tym mniejsza pozostaje przestrzeń do błędu lub wykorzystania przejętego konta – mówi Paweł Dawidek, CEO Fudo Security.
Nie wystarczy wiedzieć, kto zalogował się do systemu. Tego wymaga cyberbezpieczeństwo firmy
Kolejnym wyzwaniem dla organizacji będzie zapewnienie możliwości weryfikacji działań wykonywanych przez użytkowników posiadających szerokie uprawnienia. Sama informacja o zalogowaniu do systemu nie zawsze pozwala ustalić, jakie operacje zostały przeprowadzone ani co było przyczyną incydentu. Ma to znaczenie zarówno w przypadku cyberataków wykorzystujących przejęte konta, jak i błędów popełnianych przez osoby posiadające dostęp do krytycznej infrastruktury. Możliwość odtworzenia przebiegu sesji administracyjnej może ułatwić analizę zdarzenia, identyfikację jego skutków i podjęcie działań naprawczych.
Wraz z rozwojem rozproszonych środowisk IT i rosnącym udziałem zewnętrznych dostawców ręczna kontrola takich uprawnień staje się coraz trudniejsza. Dlatego obok przeglądu kont istotne znaczenie zyskują rozwiązania umożliwiające przyznawanie dostępu na określony czas, monitorowanie sesji i kontrolowanie działań użytkowników uprzywilejowanych.
Masz pół roku na przełożenie przepisów na praktyczne cyberbezpieczeństwo firmy
Choć termin rejestracji już minął, dla organizacji objętych nowymi wymaganiami najbliższe sześć miesięcy będzie okresem intensywnych przygotowań. Do kwietnia 2027 r. konieczne będzie przełożenie wymagań regulacyjnych na konkretne procesy i zabezpieczenia. Ekspert w dziedzinie cyberbezpieczeństwa podsumowuje zmiany – KSC warto potraktować jako impuls do uporządkowania i dalszego rozwijania procesów, które w wielu organizacjach z czasem stają się coraz bardziej złożone. Polityka bezpieczeństwa może być dobrze opisana, a jednocześnie szybkie ustalenie, ilu administratorów ma dostęp do kluczowego systemu, którzy zewnętrzni dostawcy nadal posiadają uprawnienia i jaki jest ich zakres, nie zawsze jest oczywiste. Możliwość udzielenia na takie pytania jasnej odpowiedzi pokazuje, na ile kontrola dostępu działa również w praktyce – mówi Paweł Dawidek, CEO Fudo Security.
Dziennikarz z zawodu i zamiłowania. Zajmuje się tematyką gospodarczą, prawną i finansową, szczególnie nowymi technologiami, i komunikacją oraz mediami. Poza dziennikarstwem zajmuje się fotografią, jeździ na nartach i uwielbia Hiszpanię. Z marką INFOR związany wcześniej, zaczynał przygodę z dziennikarstwem w Gazecie Prawnej. Od kwietnia 2026 r. już jako dziennikarz internetowy przygotowuje i publikuje artykuły na portalu Forsal.pl.