Firma wie, że podlega NIS2. Zarząd wydał polecenie „zajmijcie się tym”. I na tym często kończy się postęp, bo IT mówi, że to sprawa prawna, prawnik mówi, że nie zna się na technikaliach, a compliance manager (jeśli w ogóle istnieje) czeka na budżet. W efekcie mija kwartał, a projekt stoi w miejscu.
Ten artykuł nie tłumaczy, czym jest NIS2 ani jak NIS2 wpłynie na Twój biznes. Zakładamy, że to już wiesz. Odpowiadamy na pytanie operacyjne: kto konkretnie robi co, w jakiej kolejności i gdzie bez zewnętrznego wsparcia naprawdę trudno się obejść.
Poniżej znajdziesz opis ról zarządu, prawnika, działu IT i koordynatora projektu, typowy harmonogram wdrożenia oraz uczciwą odpowiedź na pytanie, czy da się to zrobić samodzielnie, bez CISO i bez zewnętrznego partnera.
Dlaczego „to temat IT” to błędne założenie, które opóźnia wdrożenie NIS2
Największy błąd organizacyjny przy wdrożeniu NIS2 to traktowanie go jako projektu technicznego. Dyrektywa UE 2022/2555 wprost wskazuje organ zarządzający jako podmiot odpowiedzialny za wdrożenie i nadzór nad środkami bezpieczeństwa, co oznacza bezpośrednią odpowiedzialność zarządu w obszarze cyberbezpieczeństwa: nie dział IT, nie CISO, nie prawnik. Jeśli IT Manager dostał NIS2 „na biurko” bez mandatu zarządu, bez budżetu i bez decyzji o tym, kto koordynuje projekt, to jest postawiony w roli wykonawcy bez zleceniodawcy. Może przygotować techniczne elementy, ale nie podpisze polityki bezpieczeństwa, nie zatwierdzi rejestru ryzyka ani nie odpowie przed organem nadzorczym KSC, a zaniedbania mogą prowadzić także do osobistej odpowiedzialności członków zarządu.
Szczegółowy opis tego, co dyrektywa nakłada bezpośrednio na kierownictwo, znajdziesz w artykule NIS2 a odpowiedzialność zarządu – co Prezes musi wiedzieć i czego nie może delegować. Tu skupiamy się na tym, jak ten obowiązek przełożyć na praktyczny podział ról w organizacji.
Cztery role w projekcie NIS2 – co należy do kogo
Zarząd – właściciel projektu, nie odbiorca raportu
Zarząd ponosi odpowiedzialność formalną i nie może jej w pełni delegować. W praktyce oznacza to konkretne zadania, a nie tylko zatwierdzanie dokumentów na końcu procesu:
- Zatwierdzenie polityki bezpieczeństwa informacji i polityki zarządzania ryzykiem IT
- Przydział zasobów: budżet, ludzie i czas na projekt wdrożeniowy
- Formalne powołanie koordynatora ds. NIS2 lub wskazanie roli odpowiedzialnej
- Przyjmowanie raportów o stanie wdrożenia i zgłoszonych incydentach
- Zatwierdzenie planu ciągłości działania i procedury zgłaszania incydentów do CSIRT
Zarząd, który ogranicza się do podpisu na końcu procesu, nie spełnia wymagań dyrektywy. Musi być zaangażowany od początku, co w firmach bez kultury security governance bywa największym wyzwaniem organizacyjnym całego projektu.
Prawnik lub radca prawny – interpretacja regulacji i dokumentacja
NIS2 to regulacja prawna z sankcjami sięgającymi 10 mln EUR lub 2% globalnego obrotu rocznego dla podmiotów kluczowych. Prawnik wnosi do projektu wiedzę, której dział IT nie posiada:
- Ocena klasyfikacji firmy – podmiot kluczowy czy ważny w rozumieniu polskiej ustawy o KSC
- Analiza wymagań dotyczących zgłaszania incydentów: terminy, treść zgłoszeń, właściwy adresat
- Przegląd umów z dostawcami i podwykonawcami pod kątem wymogów bezpieczeństwa łańcucha dostaw
- Przygotowanie polityk i procedur w formie prawnie skutecznej – uchwały, zarządzenia, regulaminy
- Monitorowanie zmian w polskiej implementacji dyrektywy i aktualizacja dokumentacji
Prawnik bez znajomości technikaliów nie napisze samodzielnie polityki bezpieczeństwa. Ale bez jego udziału ta polityka może nie mieć mocy formalnej i nie spełniać wymogów regulacyjnych. Obie strony są potrzebne.
Dział IT lub IT Manager – realizacja środków technicznych, organizacyjnych i zarządzanie ryzykiem
To rola, w której najczęściej ląduje cały ciężar projektu NIS2 – niesłusznie, ale nie bez podstaw. IT faktycznie realizuje większość środków wymaganych przez dyrektywę:
- Inwentaryzacja systemów, zasobów i danych objętych regulacją
- Ocena stanu technicznego: konfiguracje, zarządzanie dostępami, backup, monitorowanie sieci
- Wdrożenie lub weryfikacja narzędzi: MFA, segmentacja sieci, zarządzanie podatnościami, logi zdarzeń
- Przygotowanie dokumentacji technicznej na potrzeby audytu i ewentualnej kontroli KSC
- Utrzymanie rejestru incydentów i obsługa procedury zgłoszeniowej od strony technicznej
Problem pojawia się, gdy IT Manager próbuje jednocześnie przeprowadzić gap analysis NIS2, ocenić ryzyko regulacyjne i wdrożyć środki zaradcze bez wsparcia prawnika, bez mandatu zarządu i bez zewnętrznej weryfikacji. To nie jest niemożliwe, ale jest ryzykowne: trudno obiektywnie ocenić luki w systemach, które zna się zbyt dobrze.
Koordynator projektu NIS2 – rola często nieobsadzona
W firmach z dedykowanym CISO ta rola jest naturalna. W małych i średnich firmach ktoś musi ją przejąć, jest to najczęściej IT Manager, COO lub zewnętrzny konsultant. Koordynator odpowiada za:
- Prowadzenie harmonogramu projektu i pilnowanie terminów
- Komunikację między zarządem, IT i prawnikiem
- Konsolidację wyników gap analysis w jeden plan działań z priorytetami
- Raportowanie postępu do zarządu
- Koordynację przygotowania dokumentacji wymaganej przy kontroli KSC
Brak tej roli to najczęstszy powód, dla którego projekty NIS2 się przeciągają. Każdy realizuje swój fragment, nikt nie widzi całości i nikt nie odpowiada za terminy.
Jak wygląda wdrożenie NIS2 krok po kroku – typowy przebieg projektu
Nie ma jednego uniwersalnego harmonogramu – zakres zależy od sektora, wielkości firmy i stanu wyjściowego. Poniżej typowa sekwencja dla firmy MŚP zaczynającej projekt od zera:
- Decyzja zarządu i powołanie koordynatora. Zarząd formalnie uruchamia projekt, wskazuje osobę odpowiedzialną i przydziela wstępny budżet na audyt i wdrożenie.
- Audyt zgodności – gap analysis NIS2. Analiza stanu faktycznego vs. wymagania dyrektywy w obszarach: zarządzanie ryzykiem, bezpieczeństwo łańcucha dostaw, zarządzanie incydentami, ciągłość działania, zabezpieczenia techniczne. Wynikiem jest raport z listą luk i priorytetyzacją działań. Szczegółowy zakres i przebieg audytu opisujemy w artykule co obejmuje audyt NIS2 i jakie daje wyniki.
- Priorytetyzacja i plan działań. Koordynator i zarząd decydują, które luki wymagają natychmiastowego działania, które można zaadresować w kolejnym kwartale, a które wiążą się z większymi inwestycjami.
- Wdrożenie środków technicznych i organizacyjnych. IT realizuje środki techniczne. Prawnik przygotowuje dokumentację formalną. HR i zarząd organizują szkolenia dla pracowników – dyrektywa wymaga regularnego szkolenia personelu w zakresie cyberbezpieczeństwa.
- Dokumentacja i gotowość kontrolna. Zebranie wszystkich wymaganych dokumentów: polityki, procedury, rejestry, dowody testów planów ciągłości. Przygotowanie organizacji do ewentualnej kontroli ze strony organu nadzorczego KSC.
- Utrzymanie i cykliczny przegląd. NIS2 to nie projekt jednorazowy. Wymaga regularnej aktualizacji oceny ryzyka, testowania planów ciągłości działania i monitorowania zmian w środowisku technicznym i regulacyjnym.
Czy IT Manager może wdrożyć NIS2 samodzielnie – uczciwa odpowiedź
Technicznie: część zadań, tak. Strategicznie i regulacyjnie: nie bez ryzyka.
IT Manager może przeprowadzić inwentaryzację systemów, zebrać dokumentację techniczną, wdrożyć środki bezpieczeństwa i prowadzić rejestr incydentów. To zakres, który leży w kompetencjach dobrego specjalisty IT.
Ale samodzielna ocena zgodności z regulacją prawną ma jeden zasadniczy problem: trudno dostrzec luki, które zna się zbyt dobrze. Zewnętrzny audyt zgodności z NIS2 wnosi niezależną perspektywę, aktualną znajomość wymagań KSC i doświadczenie z podobnych wdrożeń w innych organizacjach.
Pytanie nie brzmi „czy IT Manager jest wystarczająco kompetentny”. Pytanie brzmi: czy firma może sobie pozwolić na to, żeby ocenę zgodności z regulacją o sankcjach sięgających milionów euro przeprowadzić wyłącznie w trybie samooceny. Dla firm, które trafią na kontrolę KSC, odpowiedź na to pytanie może okazać się kosztowna.
NIS2 bez CISO – trzy modele organizacji wdrożenia
Większość firm objętych NIS2 nie ma dedykowanego CISO. Dyrektywa tego nie wymaga – wymaga natomiast, żeby ktoś konkretny pełnił funkcję nadzoru nad bezpieczeństwem informacji i żeby zarząd był tego świadomy i zaangażowany.
Firmy bez CISO mają w praktyce trzy opcje:
- IT Manager jako de facto CISO – realny scenariusz w firmach do 200 pracowników, o ile IT Manager ma odpowiednią wiedzę i mandat zarządu. Wymaga zewnętrznego wsparcia przy audycie i dokumentacji prawnej.
- Zewnętrzny CISO (vCISO) – opcja dla firm chcących mieć dedykowaną funkcję bez etatu. Zewnętrzny ekspert pełni rolę koordynatora i doradcy strategicznego, wewnętrzny IT realizuje środki techniczne.
- Outsourcing audytu i wsparcia wdrożeniowego – firma zleca audyt zgodności z NIS2 zewnętrznemu dostawcy i ewentualnie korzysta z jego wsparcia przy wdrożeniu. Wewnętrznie pozostaje właściciel projektu po stronie zarządu i IT Manager jako punkt kontaktowy.
Nie ma jednej właściwej ścieżki. Wybór zależy od zasobów wewnętrznych, sektora, stanu wyjściowego i tego, ile czasu IT Manager może realnie poświęcić na projekt regulacyjny obok bieżącej obsługi infrastruktury.
Checklista: czy Twoja firma i podmioty kluczowe mają obsadzone kluczowe role NIS2?
Zanim uruchomisz projekt, sprawdź, czy masz odpowiedzi na te pytania:
- Czy zarząd formalnie zatwierdził uruchomienie projektu NIS2 i przydzielił budżet?
- Czy wskazano konkretną osobę jako koordynatora projektu NIS2?
- Czy prawnik lub radca prawny jest włączony w projekt i zna wymagania polskiej ustawy o KSC?
- Czy IT Manager ma mandat i zasoby do realizacji środków technicznych?
- Czy przeprowadzono gap analysis – zewnętrzną lub wewnętrzną jako punkt startowy wdrożenia?
- Czy ustalono sposób raportowania postępu do zarządu i częstotliwość przeglądów?
- Czy zidentyfikowano dostawców i podwykonawców objętych wymaganiami bezpieczeństwa łańcucha dostaw?
Jeśli więcej niż dwa punkty pozostają bez odpowiedzi, projekt NIS2 w Twojej firmie nie ma jeszcze solidnych podstaw organizacyjnych – niezależnie od tego, ile środków technicznych zostało już wdrożonych.
Jeśli chcesz zacząć od rzetelnej oceny stanu faktycznego, umów konsultację w sprawie audytu zgodności z NIS2. Pokażemy Ci, gdzie są luki, zanim pokaże je kontrola KSC.