Darmowa analiza luk NIS2 / KSC
Sprawdź, jak blisko jesteś wymagań NIS2 i znowelizowanej ustawy o KSC. Odpowiadasz na pytania obszar po obszarze (około 15 minut), a wynik dostajesz od razu: procent dojrzałości i ocenę każdego obszaru. Pełny raport z rekomendacjami, podstawą prawną i 10 priorytetami otwierasz za darmo jednym kliknięciem, bez podawania e-maila.
Jak oceniać odpowiedzi (skala 1 do 5)
Pytania obejmują nadzór kierownictwa, analizę ryzyka i polityki, obsługę i zgłaszanie incydentów, ciągłość działania, bezpieczeństwo łańcucha dostaw oraz środki techniczne z art. 21 dyrektywy NIS2. Przy każdym wymaganiu wybierz poziom, który najlepiej opisuje stan na dziś, a nie plan na przyszły kwartał. Jeśli nie masz dowodu (dokumentu, zapisu, raportu), wybierz niższy poziom.
- 1Brak: działanie nie jest realizowane ani zaplanowane.
- 2Zaplanowane: jest decyzja lub plan, ale wdrożenie się nie zaczęło.
- 3W trakcie: wdrożenie trwa, działa częściowo, dokumentacja jest niepełna.
- 4Wdrożone: działa i jest udokumentowane, ludzie są przeszkoleni, ale brak systematycznego pomiaru.
- 5Zoptymalizowane: działa, jest mierzone, przeglądane i doskonalone w cyklu.
- n/dNie dotyczy: tylko przy wybranych pytaniach; wymaganie nie ma zastosowania (uzasadnij to w dokumentacji). Nie wpływa na wynik.
Odpowiedzi zapisują się tylko w Twojej przeglądarce; możesz przerwać i wrócić później. Wynik pojawia się po ostatnim obszarze albo wcześniej, gdy odpowiesz na co najmniej 60% pytań.
Najczęściej zadawane pytania
Czym jest analiza luk NIS2 / KSC?
To porównanie obecnych praktyk z wymaganiami dyrektywy NIS2 (UE) 2022/2555 i znowelizowanej ustawy o krajowym systemie cyberbezpieczeństwa (nowelizacja z 23 stycznia 2026 r., Dz. U. 2026 poz. 252, obowiązuje od 3 kwietnia 2026 r.): odpowiedzialności kierownictwa, środków zarządzania ryzykiem z art. 21, obsługi i zgłaszania incydentów oraz bezpieczeństwa łańcucha dostaw.
Kogo dotyczą wymagania NIS2 i KSC?
Średnich i dużych podmiotów z sektorów wymienionych w załącznikach I i II dyrektywy, a w niektórych przypadkach także mniejszych, niezależnie od wielkości. Podmioty dzielą się na kluczowe i ważne; obowiązki są zbliżone, różni się nadzór i wysokość kar. Jeśli nie wiesz, czy podlegasz, zacznij od kalkulatora „Czy podlegam pod NIS2 / KSC?”.
Jakie są terminy zgłaszania incydentów?
NIS2 przewiduje wczesne ostrzeżenie w ciągu 24 godzin od uzyskania wiedzy o poważnym incydencie, zgłoszenie incydentu w ciągu 72 godzin i sprawozdanie końcowe najpóźniej miesiąc po zgłoszeniu (art. 23). W Polsce te same terminy wynikają z ustawy o KSC, a zgłoszenia przekazuje się przez system S46.
Czy kierownictwo odpowiada osobiście?
Tak. Organy zarządzające zatwierdzają środki zarządzania ryzykiem, nadzorują ich wdrożenie i muszą przechodzić szkolenia z cyberbezpieczeństwa (art. 20 NIS2). W polskiej ustawie o KSC odpowiedzialność kierownika podmiotu określa art. 8c, a coroczne szkolenia art. 8e. Przepisy przewidują też kary pieniężne dla kierownika podmiotu, przy czym kary za nowe obowiązki można nakładać dopiero od kwietnia 2028 r.
Czy bank albo ubezpieczyciel powinien wypełnić tę analizę?
Raczej nie. Banki i infrastruktura rynków finansowych są wymienione w NIS2, ale DORA jest dla nich aktem szczególnym (art. 4 NIS2): zarządzanie ryzykiem ICT i zgłaszanie incydentów prowadzą według DORA. Zakładów ubezpieczeń NIS2 w ogóle nie wymienia, a DORA ich obejmuje. Takie podmioty powinny skorzystać z analizy luk DORA.
Powiązane narzędzia
Narzędzie ma charakter informacyjny i służy do samooceny. Nie stanowi porady prawnej, audytu ani oceny zgodności i nie zastępuje analizy przeprowadzonej przez specjalistę. Wynik zależy od rzetelności odpowiedzi. Potrzebujesz weryfikacji? Omów wynik z ekspertem.