Centrum Audytu Bezpieczeństwa

KSC to nie tylko systemy, procedury i zgłoszenia incydentów.

To także ludzie.

W kolejnym wpisie z serii „KSC po nowelizacji w praktyce” omawiamy personel: szkolenia pracowników, świadomość obowiązków, szkolenie kierownika podmiotu oraz weryfikację niekaralności zgodnie z art. 8f ustawy.

Warto pamiętać o ważnym rozróżnieniu.

Edukacja i cyberhigiena dotyczą szerzej personelu, bo pracownicy powinni wiedzieć, jak bezpiecznie korzystać z systemów, jak rozpoznawać zagrożenia i komu zgłaszać incydenty.

Natomiast weryfikacja niekaralności z art. 8f nie dotyczy automatycznie każdego pracownika. Dotyczy osób, które realizują zadania z art. 8 lub art. 11 ustawy, czyli zadania związane z SZBI albo obsługą incydentów.

W praktyce warto więc uporządkować trzy obszary: szkolenia pracowników, roczne szkolenie kierownika oraz listę osób realizujących zadania wymagające weryfikacji.

cab.com.pl

Audyt, nadzór i kary w KSC budzą dużo emocji.

Ale warto spojrzeć na ten temat spokojnie.
Nie każdy podmiot objęty KSC ma obowiązek cyklicznego audytu.

➡️ Podmioty kluczowe przeprowadzają audyt co najmniej raz na 3 lata.
➡️ Podmioty ważne nie mają obowiązku cyklicznego audytu, ale mogą zostać zobowiązane do audytu na żądanie organu właściwego do spraw cyberbezpieczeństwa.

Różni się też sposób nadzoru.
W FAQ Ministerstwa Cyfryzacji wskazano, że nadzór nad podmiotami kluczowymi ma charakter ex ante, a nad podmiotami ważnymi ex post.

W nowym wpisie z serii „KSC po nowelizacji w praktyce” omawiamy audyt, nadzór i kary bez straszenia, ale z pokazaniem praktycznych różnic i konsekwencji.

Bo w KSC nie chodzi tylko o sankcje. Chodzi o to, aby umieć wykazać, że obowiązki są faktycznie realizowane.

Audyt, nadzór i kary w KSC: co warto wiedzieć bez paniki? - Centrum Audytu Bezpieczeństwa Audyt KSC, nadzór i kary: sprawdź, kiedy podmiot kluczowy musi przeprowadzić audyt, czym różni się nadzór nad podmiotami kluczowymi i ważnymi oraz jakie sankcje przewiduje ustawa.

Nie każde zdarzenie techniczne oznacza obowiązek zgłoszenia w KSC.

Zanim organizacja zacznie liczyć terminy 24 h i 72 h, musi najpierw ustalić, czy dane zdarzenie jest incydentem oraz czy spełnia przesłanki incydentu poważnego.

W kolejnym wpisie z serii „KSC po nowelizacji w praktyce” omawiamy, czym jest incydent, kiedy mówimy o incydencie poważnym, jakie znaczenie ma wpływ zdarzenia na usługę lub zadanie publiczne, jaką rolę pełni system S46 oraz jakie uproszczenie dotyczy podmiotów ważnych będących podmiotami publicznymi.

To ważne, bo obsługa incydentu nie zaczyna się od formularza. Zaczyna się od zauważenia zdarzenia, oceny jego wpływu i uporządkowanej decyzji, co dalej.

Incydenty w KSC: nie każde zdarzenie oznacza obowiązek zgłoszenia Incydenty w KSC: sprawdź, kiedy zdarzenie staje się incydentem poważnym, kiedy obowiązuje 24 h i 72 h oraz jaką rolę pełni S46.

Cyberbezpieczeństwo to nie tylko zadanie działu IT.

W kolejnym wpisie z serii „KSC po nowelizacji w praktyce” omawiamy rolę kierownika podmiotu kluczowego lub ważnego.

Ustawa o KSC wskazuje, że kierownik odpowiada m.in. za decyzje dotyczące przygotowania, wdrażania, stosowania, przeglądu i nadzoru SZBI, planowanie adekwatnych środków finansowych, przydzielanie zadań, nadzór nad ich wykonaniem oraz świadomość personelu.

Nie oznacza to, że kierownik ma samodzielnie wykonywać zadania techniczne.

Oznacza natomiast, że cyberbezpieczeństwo musi być objęte zarządzaniem.

W praktyce chodzi o decyzje, odpowiedzialności, zasoby, nadzór i współpracę osób, które realizują zadania z zakresu bezpieczeństwa.

Więcej na ten temat już dziś na CAB! 👇

Kierownik podmiotu w KSC: cyberbezpieczeństwo to odpowiedzialność zarządcza Kierownik podmiotu w KSC odpowiada za organizację cyberbezpieczeństwa, decyzje dotyczące SZBI, środki, zadania, nadzór i szkolenie.

❌ Teczka NIS 2 nie wystarczy.

➡️ W kolejnym wpisie z serii „KSC po nowelizacji w praktyce” omawiamy dokumentację SZBI, ale bez sprowadzania jej do samego zestawu gotowych procedur.

➡️ Ustawa o KSC i FAQ Ministerstwa Cyfryzacji pokazują, że dokumentacja powinna być powiązana z rzeczywistym działaniem organizacji, jej systemami informacyjnymi i zakresem obowiązków.

➡️ Ważne jest też rozróżnienie statusu podmiotu. Inaczej wygląda pełny zakres obowiązków z art. 8 ustawy, a inaczej uproszczony model wymagań dla podmiotów ważnych będących podmiotami publicznymi, stosujących załącznik nr 4.

➡️ W nowym wpisie porządkujemy, czym jest dokumentacja normatywna i operacyjna, dlaczego gotowy pakiet dokumentów nie oznacza automatycznej zgodności oraz jak patrzeć na dokumentację w sposób adekwatny do danego podmiotu.

👇 👇 👇 👇👇 👇 👇 👇👇 👇 👇 👇👇 👇 👇 👇
https://cab.com.pl/2026/07/08/dokumentacja-szbi-w-ksc-dlaczego-sama-teczka-dokumentow-nie-wystarczy/

➡️ Sam wpis do Wykazu KSC nie wystarczy.

➡️ Po ustaleniu statusu podmiotu kluczowego albo ważnego i po uporządkowaniu kwestii związanych z Wykazem KSC oraz S46 pojawia się najważniejsze pytanie: co właściwie trzeba wdrożyć?

➡️ W nowym wpisie z serii „KSC po nowelizacji w praktyce” omawiamy podstawowe obowiązki podmiotów kluczowych i ważnych wynikające z ustawy o krajowym systemie cyberbezpieczeństwa oraz FAQ Ministerstwa Cyfryzacji.

➡️ W centrum tych obowiązków znajduje się SZBI, czyli system zarządzania bezpieczeństwem informacji. Obejmuje on m.in. szacowanie ryzyka, środki techniczne i organizacyjne, monitoring, ciągłość działania, edukację personelu, cyberhigienę, kryptografię, kontrolę dostępu, zarządzanie aktywami i bezpieczeństwo łańcucha dostaw.

➡️ To nie jest jeden dokument ani jedno narzędzie. To uporządkowany system zarządzania bezpieczeństwem w organizacji.

👉https://cab.com.pl/2026/07/01/obowiazki-podmiotow-kluczowych-i-waznych-w-ksc-co-trzeba-wdrozyc/

📖 Wykaz KSC i S46: wpis to nie tylko formalność.

W drugim wpisie z serii „KSC po nowelizacji w praktyce” omawiamy jeden z pierwszych praktycznych kroków dla podmiotów kluczowych i ważnych: wpis do Wykazu KSC oraz dostęp do Systemu S46 Cyber Hub.

Na podstawie ustawy o KSC i FAQ Ministerstwa Cyfryzacji wyjaśniamy, kiedy złożyć wniosek o wpis, jakie dane trzeba przygotować, co oznacza wpis z urzędu, jak korygować błędne dane, kiedy aktualizować wpis, kiedy podmiot uzyskuje dostęp do S46 i dlaczego sama forma prawna nie decyduje o objęciu ustawą.

Wykaz KSC ma służyć identyfikacji podmiotów, wymianie informacji o cyberbezpieczeństwie oraz prowadzeniu czynności nadzorczych. Dlatego warto potraktować go nie jako administracyjną listę, ale jako realny element wejścia do krajowego systemu cyberbezpieczeństwa.

👉https://cab.com.pl/2026/06/23/wykaz-ksc-i-s46-wpis-dane-terminy-i-aktualizacja/

, , , , , , , , ,

📚 Z Grzegorzem Klimarczykiem znamy się i współpracujemy od wielu lat, dlatego z dużą przyjemnością sięgam po jego najnowszą książkę „Firma bez szefa”.

Open Nexus od lat pokazuje, że turkusowa organizacja to nie tylko ciekawa koncepcja zarządzania, ale realny model budowania odpowiedzialności, zaangażowania i zaufania w zespole.

To podejście jest mi szczególnie bliskie również w cyberbezpieczeństwie. Nawet najlepsze technologie i procedury nie zapewnią bezpieczeństwa bez świadomych, odpowiedzialnych ludzi. Kultura organizacyjna i poczucie współodpowiedzialności są dziś równie ważne jak narzędzia ochrony.

Dzięki za spotkanie, rozmowę i książkę. Teraz czas na lekturę! 👏