To nie jest porada prawna ani lista kar. To mapa pytań, które warto zadać księgowemu, prawnikowi albo jednostce właściwej — zanim ktoś sprzeda Ci „pakiet NIS2”.
Dwie warstwy, które się mylą
- Obowiązki podmiotu kluczowego / ważnego (KSC w brzmieniu wdrażającym NIS2) — dotyczą wskazanych sektorów i progów. Nie każda spółka z NIP-em automatycznie „musi mieć SOC”.
- Dobre praktyki i umowy — klienci, ubezpieczyciel, przetarg albo partner z łańcucha dostaw mogą wymagać MFA, testu backupu i osoby odpowiedzialnej za incydent bez wpisywania Cię na listę podmiotów kluczowych.
Jeśli nie wiesz, w której warstwie jesteś: najpierw ustal status (kluczowy / ważny / poza zakresem), potem kupuj narzędzia.
Co zwykle jest sensowne także poza formalnym zakresem
Te rzeczy pomagają w codziennej pracy i w rozmowie z ubezpieczycielem — niezależnie od etykiety NIS2:
- imienne konta i MFA (baseline M365 / Google);
- lista usług wystawionych do internetu (arkusz ekspozycji);
- backup z testem odtworzenia;
- kto odbiera telefon przy incydencie (mapa ról);
- dostęp dostawców z terminem (checklista).
Czego nie kupować „bo NIS2”
- Całodobowego SOC „w abonamencie” bez spisanego zakresu i bez ludzi, którzy rozumieją Twoje środowisko.
- Certyfikatu na ścianę zamiast domknięcia RDP i poczty.
- Audytu „zgodności” bez listy kontroli i bez właściciela napraw.
RODO a incydent
Osobna ścieżka: naruszenie ochrony danych osobowych może wymagać oceny i — w określonych przypadkach — zgłoszenia do UODO w krótkim terminie. To nie to samo co ticket w SIEM. Mapę „kiedy kto” masz w zasobie o incydencie.
Jak mogę pomóc
Mogę pomóc ułożyć fakty techniczne (konta, ekspozycja, poczta, backup, ścieżka IR) pod rozmowę z prawnikiem lub ubezpieczycielem. Nie wydam opinii „jesteście / nie jesteście podmiotem kluczowym” — to decyzja prawna.