Lista zgodności z dyrektywą NIS2
Bezpłatna, interaktywna samoocena oparta na dyrektywie NIS2 (UE) 2022/2555. Przeanalizuj obowiązki zarządcze, dziesięć środków zarządzania ryzykiem (Art. 21) oraz terminy zgłaszania incydentów (Art. 23) i śledź swoje postępy.
Jest to samoocena oparta na dyrektywie, a nie porada prawna. NIS2 jest wdrażana do prawa krajowego, które może doprecyzować szczegóły i określić zakres podmiotowy. Należy sprawdzić krajową ustawę wdrażającą oraz właściwy organ.
Oficjalne źródło, sprawdzone 28 września 2026 r.:
Zarządzanie (Artykuł 20)
- Zatwierdzenie i odpowiedzialność kierownictwaOrgany zarządzające zatwierdzają środki zarządzania ryzykiem, nadzorują ich wdrażanie i mogą ponosić za to odpowiedzialność.
- Szkolenia kierownictwaKierownictwo (oraz personel) przechodzi szkolenia z zakresu cyberbezpieczeństwa.
Środki zarządzania ryzykiem (Artykuł 21 ust. 2)
- Analiza ryzyka i polityki bezpieczeństwaPolityki w zakresie analizy ryzyka oraz bezpieczeństwa systemów informacyjnych (a).
- Obsługa incydentówWykrywanie, reagowanie i odzyskiwanie po wystąpieniu incydentów (b).
- Ciągłość działaniaZarządzanie kopiami zapasowymi, odtwarzanie po awarii i zarządzanie kryzysowe (c).
- Bezpieczeństwo łańcucha dostawBezpieczeństwo w relacjach z bezpośrednimi dostawcami i dostawcami usług (d).
- Bezpieczne nabywanie i rozwójBezpieczeństwo przy nabywaniu, opracowywaniu i utrzymywaniu systemów, w tym obsługa i ujawnianie podatności (e).
- Ocena skutecznościPolityki i procedury służące ocenie, czy przyjęte środki są rzeczywiście skuteczne (f).
- Higiena cybernetyczna i szkoleniaPodstawowe praktyki higieny cybernetycznej oraz szkolenia z zakresu cyberbezpieczeństwa (g).
- Kryptografia i szyfrowaniePolityki dotyczące stosowania kryptografii i, w razie potrzeby, szyfrowania (h).
- Bezpieczeństwo HR, kontrola dostępu, zasobyBezpieczeństwo zasobów ludzkich, polityki kontroli dostępu i zarządzanie zasobami (i).
- MFA i bezpieczna komunikacjaUwierzytelnianie wieloskładnikowe lub ciągłe, zabezpieczona komunikacja głosowa/wideo/tekstowa oraz komunikacja alarmowa (j).
Zgłaszanie incydentów (Artykuł 23)
- Wczesne ostrzeżenie w ciągu 24 godzinPowiadomienie CSIRT lub właściwego organu o znaczącym incydencie w ciągu 24 godzin.
- Zgłoszenie incydentu w ciągu 72 godzinPrzesłanie zgłoszenia incydentu wraz z wstępną oceną w ciągu 72 godzin.
- Raport końcowy w ciągu miesiącaPrzedłożenie raportu końcowego w ciągu jednego miesiąca od zgłoszenia.
Wdrożenie NIS2 w praktyce? Zestaw NIS2 Toolkit (w języku angielskim) oferuje 12 edytowalnych dokumentów Word/Excel: środki z art. 21 ust. 2, szablony zgłaszania incydentów (24 h/72 h/miesiąc) oraz zestawienie organów dla Francji, Hiszpanii, Holandii, Belgii i Polski (jednorazowa opłata 199 €).
Najczęściej zadawane pytania
Jakie są minimalne środki według NIS2?
Artykuł 21 ust. 2 wymienia dziesięć minimalnych środków: od analizy ryzyka i obsługi incydentów, po bezpieczeństwo łańcucha dostaw, kryptografię, kontrolę dostępu i uwierzytelnianie wieloskładnikowe. Niniejsza lista opiera się na tym wykazie.
Jakie są terminy zgłaszania incydentów w NIS2?
Artykuł 23 określa trzyetapowy proces: wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie incydentu w ciągu 72 godzin oraz raport końcowy w ciągu jednego miesiąca.
Czy NIS2 dotyczy mojej organizacji?
Zakres zależy od sektora, wielkości organizacji oraz krajowej implementacji. Należy sprawdzić krajowe przepisy dotyczące NIS2 oraz właściwy organ nadzorczy.
Czy moje postępy są gdzieś zapisywane?
Wyłącznie w przeglądarce użytkownika. Żadne dane nie są przesyłane na serwer, a postęp można zresetować w dowolnym momencie.
Czy listę można pobrać do Excela?
Tak. Przycisk „Pobierz do Excela (CSV)” zapisuje wszystkie punkty wraz ze statusem w pliku, który otwiera się w Excelu, Arkuszach Google lub LibreOffice.