Zgodność i audyty
Nowelizacja ustawy o KSC obowiązuje od 3 kwietnia 2026 r.1, DORA – od 17 stycznia 2025 r.2 Do tego dochodzą CRA dla producentów sprzętu i oprogramowania oraz AI Act. Pomagamy ustalić, które obowiązki Cię dotyczą, zamknąć luki i udowodnić – także manualnymi testami penetracyjnymi – że zabezpieczenia działają.
2027
3 kwietnia mija termin wdrożenia obowiązków z nowelizacji ustawy o KSC dla podmiotów kluczowych i ważnych, które spełniały kryteria w dniu jej wejścia w życie.1
3.10.2026
minął termin złożenia wniosku o wpis do wykazu podmiotów kluczowych i ważnych.1
2028
do 3 kwietnia pierwszy audyt podmiotów kluczowych, potem co najmniej raz na trzy lata. Od tego dnia można też nakładać kary za większość obowiązków.1
2%
rocznego obrotu albo 10 mln EUR – NIS2 wymaga, by kary dla podmiotów kluczowych sięgały co najmniej tego progu (dla ważnych: 1,4% albo 7 mln EUR).3
11.09.2026
od tego dnia producenci zgłaszają aktywnie wykorzystywane podatności (CRA). Główne wymogi CRA obowiązują od 11 grudnia 2027 r.4
Wniosek: terminy są bliżej, niż się wydaje. Rozpoznanie, analiza luk, plan i wdrożenie zabezpieczeń technicznych to z naszego doświadczenia zwykle wiele miesięcy pracy – zwłaszcza gdy w grę wchodzą zakupy i dostawcy.
Obszary z NIS2, DORA, CRA i AI Act, w których najczęściej brakuje czegoś więcej niż dokumentu. Przy każdym: co robimy i które rozwiązanie zamyka lukę technicznie.
NIS2 zaczyna listę obowiązkowych środków od polityk analizy ryzyka i bezpieczeństwa systemów informacyjnych (art. 21 ust. 2 lit. a).3 Analiza sprzed kilku lat nie obejmuje chmury, AI ani nowych dostawców.
SafeWave: aktualna ocena ryzyka dla systemów i procesów, od których zależą Twoje usługi, i polityki, które z niej wynikają.
Wczesne ostrzeżenie trzeba wysłać w 24 godziny od wykrycia poważnego incydentu.3 Bez monitoringu i ustalonej ścieżki decyzji ten termin jest nierealny.
SafeWave: procedura obsługi i zgłaszania incydentów, ćwiczenia na scenariuszach i monitoring 24/7 – zobacz SOC, XDR i Threat Intelligence.
NIS2 wymaga bezpieczeństwa łańcucha dostaw (art. 21 ust. 2 lit. d).3 DORA idzie dalej: podmiot finansowy prowadzi rejestr informacji o wszystkich umowach z dostawcami usług ICT (art. 28 ust. 3).2
SafeWave: ewidencja dostawców ICT, ocena ich ryzyka i wymagania bezpieczeństwa do umów.
NIS2 wymaga polityk i procedur oceny skuteczności środków zarządzania ryzykiem (art. 21 ust. 2 lit. f).3 DORA wprost wymienia testy penetracyjne w programie testowania odporności (art. 24–25).2
SafeWave: manualne testy penetracyjne z raportem i retestem oraz ciągła walidacja – zobacz CTEM i walidacja odporności.
Jeśli wprowadzasz na rynek UE sprzęt lub oprogramowanie, CRA obejmuje Cię jako producenta. Od 11 września 2026 r. aktywnie wykorzystywane podatności trzeba zgłaszać – wczesne ostrzeżenie w ciągu 24 godzin.4
SafeWave: ocena, czy i które produkty podlegają CRA, proces obsługi i zgłaszania podatności oraz testy bezpieczeństwa produktu.
Od 2 sierpnia 2026 r. obowiązują m.in. obowiązki przejrzystości z AI Act, a wymogi dla systemów wysokiego ryzyka z załącznika III – od 2 grudnia 2027 r.5
SafeWave: ład AI – spis zastosowań, polityka, ocena ryzyka i klasyfikacja według AI Act, w duchu normy ISO/IEC 42001.6 Zobacz Bezpieczne i odpowiedzialne AI.
Polityki w segregatorze to dobry początek. Audytor zapyta jednak, jak działają w praktyce – i poprosi o dowody.
Dokument to nie zabezpieczenie. Zgodność to stan, który da się pokazać.
SafeWave
Łączymy wymogi prawne z technologią, którą znamy od środka. Dzięki temu plan zgodności od razu przekłada się na konkretne zabezpieczenia, a nie tylko na dokumenty.
Czy podlegasz NIS2/KSC, DORA lub CRA, porównanie stanu obecnego z wymogami i normą ISO/IEC 27001, ocena ryzyka.7
Harmonogram z właścicielami, wdrożenie zabezpieczeń z naszych obszarów i dokumentacja dla audytora.
Ocena zakresu, proces obsługi i zgłaszania podatności, dokumentacja bezpieczeństwa produktu.
Polityka AI, spis zastosowań, ocena ryzyka i klasyfikacja według AI Act.
Testy prowadzone przez pentesterów – aplikacje, API i infrastruktura – z raportem, rekomendacjami i retestem.
Szkolenie dla zarządu z obowiązków NIS2 i regularny, zrozumiały raport o stanie bezpieczeństwa.
Interpretację przepisów w konkretnym przypadku warto potwierdzić z prawnikiem. My odpowiadamy za to, żeby wymogi zamieniły się w działające zabezpieczenia.
NIS2 i ustawa o KSC
18 sektorów w załącznikach I i II dyrektywy NIS2.3
DORA
17.01.2025 – od tego dnia DORA stosuje się w całej UE.2
NIS2 przenosi odpowiedzialność za cyberbezpieczeństwo na poziom zarządu. Członkowie organów zarządzających zatwierdzają środki zarządzania ryzykiem, nadzorują ich wdrożenie i mogą odpowiadać za naruszenia.3
Nowelizacja ustawy o KSC również wskazuje odpowiedzialność kierowników za zadania z zakresu cyberbezpieczeństwa.1
Art. 20 – odpowiedzialność zarządu, art. 21 – dziesięć obszarów środków zarządzania ryzykiem, art. 23 – zgłaszanie incydentów, art. 34 – kary.3
Obowiązuje od 3 kwietnia 2026 r. Wpis do wykazu do 3 października 2026 r., wdrożenie obowiązków do 3 kwietnia 2027 r., pierwszy audyt podmiotów kluczowych do 3 kwietnia 2028 r.1
Od 17 stycznia 2025 r.: zarządzanie ryzykiem ICT, zgłaszanie incydentów, testy odporności – w tym testy penetracyjne – ryzyko dostawców ICT i wymiana informacji o zagrożeniach.2
Rozporządzenie (UE) 2024/2847 obowiązuje od 10 grudnia 2024 r. Zgłaszanie aktywnie wykorzystywanych podatności od 11 września 2026 r., główne wymogi od 11 grudnia 2027 r.4
Rozporządzenie (UE) 2024/1689, zmienione rozporządzeniem (UE) 2026/1744: obowiązki według roli i poziomu ryzyka, przejrzystość od 2 sierpnia 2026 r., wysokie ryzyko (zał. III) od 2 grudnia 2027 r.5
Strona porządkuje najważniejsze obowiązki i terminy, ale nie zastępuje lektury przepisów ani porady prawnej.
SafeWave działa od 1998 r. jako integrator niezależny od producentów. Zgodność traktujemy jako plan zabezpieczeń, a nie projekt dokumentacyjny.
Ustalamy, którym przepisom podlegasz – NIS2/KSC, DORA, CRA, AI Act – oraz które systemy, produkty i usługi są w zakresie.
Porównujemy stan obecny z wymogami i oceniamy ryzyko. Wynik: lista luk z priorytetami.
Harmonogram z właścicielami i wdrożenie zabezpieczeń – organizacyjnych i technicznych.
Manualne testy penetracyjne, dokumentacja dla audytora, ćwiczenia z incydentów i raport dla zarządu. Wsparcie po polsku.
Zacznijmy od krótkiej analizy: którym przepisom podlegasz – NIS2/KSC, DORA, CRA, AI Act – jakie obowiązki Cię dotyczą i gdzie są największe luki.