Proste i praktyczne poradniki cyberbezpieczeństwa dla małych i średnich firm, które chcą zmniejszyć ryzyko cyberataków bez budowania dużego wewnętrznego zespołu security. Omawiamy MFA, backup, phishing, politykę haseł, bezpieczeństwo Microsoft 365, szkolenia pracowników, podstawową ocenę ryzyka i minimalny plan reagowania na incydenty.
NIS2 dla polskich MŚP: proste wyjaśnienie i 5 szybkich działań, które warto zrobić od razu
NIS2 i nowelizacja KSC nie są tylko tematem dla dużych korporacji. Wiele MŚP może zostać objętych obowiązkami bezpośrednio albo pośrednio przez wymagania klientów, ubezpieczycieli, banków, inwestorów i większych kontrahentów. Firma powinna najpierw sprawdzić, czy działa w sektorze objętym KSC, czy spełnia kryteria wielkościowe i czy musi wpisać się do Wykazu KSC. Potem warto wdrożyć 5 szybkich działań: MFA, backup z testem odtworzenia, aktualizacje i EDR, szkolenie phishingowe oraz prostą procedurę incydentową. Najważniejszy wniosek: NIS2 nie wymaga perfekcji od pierwszego dnia, ale wymaga realnego zarządzania ryzykiem, dowodów i decyzji zarządu.
Opracowanie: Zespół redakcyjny CCyber
NIS2 i KSC oznaczają, że wiele polskich firm musi podejść do cyberbezpieczeństwa bardziej systemowo. Nie chodzi tylko o zakup antywirusa albo napisanie polityki. Firma powinna wiedzieć, czy podlega nowym przepisom, jakie usługi i systemy są krytyczne, kto odpowiada za ryzyko, jak działa backup, czy konta mają MFA, jak zgłosić incydent i jakie dowody może pokazać klientowi, audytorowi, ubezpieczycielowi albo regulatorowi. Dla MŚP najrozsądniejsze podejście to zacząć od prostych, skutecznych działań: MFA, backup i test restore, aktualizacje oraz EDR, szkolenia phishingowe, procedura incydentowa i ocena najważniejszych dostawców. NIS2 nie powinno być projektem papierowym. Powinno zwiększyć odporność firmy na realny atak.
Lipiec 2026
NIS2 to unijna dyrektywa o cyberbezpieczeństwie sieci i systemów informacyjnych. Jej cel jest prosty: podnieść poziom odporności cyber w sektorach ważnych dla państwa, gospodarki i obywateli. Dyrektywa nie mówi każdej firmie, że ma kupić konkretny produkt. Wymaga natomiast, aby organizacje objęte przepisami realnie zarządzały ryzykiem, wdrażały odpowiednie środki bezpieczeństwa, zgłaszały poważne incydenty i angażowały kierownictwo.
Dla polskich firm najważniejsza jest nowelizacja KSC, czyli krajowe przepisy wdrażające NIS2. To one określają praktyczne obowiązki, terminy, wykaz podmiotów, sposób zgłaszania incydentów, System S46, SZBI, audyty i nadzór.
KSC rozszerza katalog podmiotów objętych obowiązkami. Wcześniej wiele organizacji nie było formalnie częścią krajowego systemu cyberbezpieczeństwa. Teraz więcej firm musi samodzielnie sprawdzić, czy wchodzi w zakres nowych przepisów.
To zależy. NIS2 i KSC nie obejmują każdej małej firmy automatycznie. Trzeba sprawdzić sektor działalności, wielkość firmy, rodzaj usługi, rolę w łańcuchu dostaw i wyjątki. Niektóre podmioty mogą być objęte niezależnie od wielkości, a inne mogą odczuć regulację pośrednio przez wymagania klientów.
Wiele MŚP mówi: „NIS2 nas nie dotyczy, bo jesteśmy za mali”. To może być prawda formalnie, ale nie zawsze biznesowo. Duży klient objęty NIS2 może wymagać od dostawców określonych zabezpieczeń. Bank, ubezpieczyciel, inwestor, audytor albo kontrahent może zapytać o MFA, backup, EDR, procedurę incydentową, szkolenia i ocenę dostawców.
Firma nie powinna budować osobnych programów dla każdej regulacji. W praktyce wiele wymagań się powtarza: ryzyko, dostęp, backup, incydenty, dostawcy, szkolenia, dowody i raportowanie. Dobre podejście polega na stworzeniu jednego programu cyberodporności, który zasila różne obowiązki.
Różne regulacje mogą mieć inne definicje, terminy i progi, ale fundament operacyjny jest podobny. Dla MŚP to dobra wiadomość: można zacząć od praktycznych zabezpieczeń, które pomagają jednocześnie w wielu obszarach.
MFA, czyli uwierzytelnianie wieloskładnikowe, jest jednym z najprostszych i najbardziej skutecznych działań. Najpierw trzeba objąć nim pocztę, administratorów, VPN, chmurę, backup, system finansowy i konta dostawców.
Dobrym przykładem jest sprawa Medibank. Regulator australijski zarzucał, że brak MFA przy dostępie VPN pozwolił atakującemu wykorzystać skradzione dane logowania i uzyskać dostęp do sieci. W wyniku incydentu dane milionów osób trafiły do dark webu. To pokazuje, że MFA nie jest „dodatkiem”. To kontrola, która często oddziela kradzież hasła od realnego przejęcia środowiska.
Wniosek dla MŚP jest prosty: nawet jeśli firma nie ma rozbudowanego SOC, może szybko ograniczyć ryzyko przejęcia kont przez MFA. Najlepiej stosować metody odporne na phishing, np. klucze sprzętowe, passkeys albo aplikacje z number matching. SMS jest lepszy niż brak MFA, ale nie powinien być docelowym standardem dla kont krytycznych.
Backup bez testu odtworzenia to deklaracja, nie odporność. Firma powinna wiedzieć, co jest backupowane, gdzie są kopie, kto ma dostęp, czy backup jest odporny na ransomware i ile trwa odtworzenie systemu krytycznego.
Wiele ataków zaczyna się od znanej podatności albo zainfekowanego komputera. MŚP powinno mieć podstawowy proces aktualizacji, ochronę endpointów i przegląd systemów wystawionych do internetu.
Phishing, BEC i oszustwa AI to codzienne ryzyko dla MŚP. Szkolenie powinno być krótkie, praktyczne i powtarzalne. Najważniejsze jest to, aby pracownicy wiedzieli, jak zgłosić podejrzaną wiadomość bez strachu przed karą.
Podczas incydentu nie ma czasu na ustalanie, kto decyduje, kto dzwoni do dostawcy, kto zgłasza incydent i kto informuje klientów. MŚP powinno mieć prostą procedurę, którą da się uruchomić w pierwszej godzinie.
NIS2 i KSC wzmacniają odpowiedzialność kierownictwa. Zarząd nie musi znać każdego szczegółu technicznego, ale musi rozumieć ryzyko, zatwierdzać priorytety, zapewniać budżet i wymagać raportowania. Cyberbezpieczeństwo przestaje być wyłącznym zadaniem administratora IT.
MŚP nie musi zaczynać od wielkiego systemu dokumentów. Warto przygotować mały, praktyczny pakiet, który odpowiada na najczęstsze pytania klientów, ubezpieczycieli i audytorów.
Dowody są ważniejsze niż deklaracje. Klient, audytor albo ubezpieczyciel nie chce tylko usłyszeć, że firma ma bezpieczeństwo. Chce zobaczyć, że proces działa.
W różnych opracowaniach rynkowych pojawiają się średnie dotyczące udziału cyberbezpieczeństwa w budżecie IT. Trzeba traktować je ostrożnie. Dla jednej firmy 15% budżetu IT będzie za mało, dla innej za dużo. Dobry budżet nie wynika z jednej średniej. Wynika z ryzyka, sektora, liczby systemów, wymagań klientów, historii incydentów, ubezpieczenia i kosztu przestoju.
Formalnie wiele małych firm może nie wejść bezpośrednio w zakres, ale wymagania mogą przyjść od klientów, ubezpieczycieli i partnerów.
Narzędzie bez właściciela, konfiguracji, monitoringu i procedury nie tworzy odporności.
Firma ma kopie, ale nie wie, czy i jak szybko odtworzy system krytyczny.
Najpierw trzeba chronić konta administratorów, pocztę, VPN, backup i dostawców. To są najczęstsze punkty wejścia.
Dostawca ma dostęp do systemów, ale firma nie wie, czy ma MFA, konta imienne, logowanie działań i procedurę zgłaszania incydentów.
Dokument nie wystarczy. Trzeba zrobić tabletop i sprawdzić, czy firma wie, co robi w pierwszej godzinie.
Zarząd musi widzieć ryzyka, decyzje, budżet i postęp działań. Bez tego cyber pozostaje problemem IT.
Firma usługowa zatrudnia 85 osób i dostarcza oprogramowanie dla dużych klientów z sektora produkcji oraz logistyki. Nie jest pewna, czy bezpośrednio podlega KSC, ale otrzymuje od klientów ankiety bezpieczeństwa. Pytania dotyczą MFA, backupu, testu restore, EDR, dostawców, procedury incydentowej i szkoleń.
Pierwszy przegląd pokazuje, że MFA działa tylko dla części pracowników, backup nie był testowany od roku, dostawca IT ma zdalny dostęp bez regularnego access review, a procedura incydentowa jest nieaktualna. Firma nie potrzebuje od razu pełnego SOC i rozbudowanego GRC. Potrzebuje 90-dniowego planu.
Po trzech miesiącach firma ma MFA dla kont krytycznych, test restore, rejestr ryzyk, incident response plan, szkolenie phishingowe, ocenę dostawcy IT i raport dla zarządu. Dzięki temu może odpowiedzieć klientom konkretnymi dowodami, a nie deklaracją, że „bezpieczeństwo jest ważne”.
Ten temat warto połączyć z dalszym czytaniem i ofertą CCyber, aby przejść od zrozumienia NIS2 do praktycznego wdrożenia podstaw bezpieczeństwa.
ccyber.io pomaga MŚP przełożyć NIS2 i KSC na praktyczny plan działań, który da się wdrożyć bez chaosu i bez przypadkowych zakupów. Zaczynamy od ryzyka, systemów krytycznych i dowodów, a dopiero potem dobieramy narzędzia oraz dostawców.
Możemy wesprzeć organizację w obszarach:
Najlepszym pierwszym krokiem jest NIS2 Quick Wins Workshop dla MŚP. W krótkim warsztacie można sprawdzić, czy firma podlega KSC, które quick wins wdrożyć natychmiast, jakie dowody przygotować i jak zaplanować budżet na kolejne 12 miesięcy.
Nie. Trzeba sprawdzić sektor, wielkość, typ usługi i wyjątki. Nawet jeśli firma nie podlega bezpośrednio, może dostać wymagania od większych klientów.
Nie. Antywirus albo EDR to tylko jeden element. Firma potrzebuje MFA, backupu, testu restore, procedury incydentowej, szkoleń, oceny dostawców i dowodów.
Włącz MFA na kontach krytycznych, sprawdź backup, wykonaj test restore, zaktualizuj systemy, uruchom szkolenie phishingowe i przygotuj prostą procedurę incydentową.
Tak. Badania Microsoft pokazują bardzo wysoką skuteczność MFA w ograniczaniu przejęć kont. Najlepiej stosować phishing-resistant MFA dla kont krytycznych.
Backup jest konieczny, ale sam nie wystarczy. Musi być odporny na usunięcie, chroniony MFA, testowany i połączony z procedurą odtworzenia.
Nie zawsze. Wymaga zdolności wykrywania, reagowania i zarządzania ryzykiem proporcjonalnie do organizacji. MŚP może zacząć od monitoringu podstawowego, EDR, MDR albo wsparcia dostawcy.
Raport MFA, test restore, raport EDR, rejestr ryzyk, procedura incydentowa, raport szkoleń, ocena dostawców i lista działań naprawczych.
Zacznij od sprawdzenia sektora, wielkości firmy, rodzaju usług, powiązań z klientami i wyjątków. Potem przygotuj decyzję zarządu oraz plan działań.
NIS2 i KSC zmieniają podejście do cyberbezpieczeństwa w polskich firmach. Nie chodzi tylko o nowe przepisy, ale o realną odporność na ataki, które mogą zatrzymać firmę, naruszyć dane, przerwać dostawy albo zablokować komunikację z klientami.
Dla MŚP najlepszym podejściem jest praktyczny start: MFA, backup, test restore, EDR, aktualizacje, szkolenia, procedura incydentowa, ocena dostawców i dowody. To działania, które pomagają jednocześnie w NIS2, KSC, cyberubezpieczeniu, audytach klientów i codziennym bezpieczeństwie.
Najlepsza zasada brzmi: nie zaczynaj od pytania, jak spełnić NIS2 na papierze. Zacznij od pytania, co zatrzyma Twoją firmę podczas ataku i jakie pięć działań możesz zrobić teraz, aby skutki takiego ataku były mniejsze.
FBiO na cyberbezpieczeństwo samorządów: co można sfinansować i jak przygotować projekt?
Fundusz Bezpieczeństwa i Obronności może być dla samorządów ważnym źródłem finansowania odporności cyfrowej, cyberbezpieczeństwa, ochrony infrastruktury krytycznej i ciągłości działania usług publicznych. To jednak nie jest zwykła dotacja na dowolny zakup IT. W praktyce chodzi o preferencyjne finansowanie inwestycji, które wzmacniają bezpieczeństwo i odporność państwa oraz lokalnych usług. Samorząd powinien przygotować projekt w oparciu o realne ryzyka: wodociągi, oczyszczalnie, transport, komunikację kryzysową, systemy e-usług, backup, monitoring, MFA, SOC, cyberhigienę, ochronę danych, procedury incydentowe i zgodność z KSC oraz NIS2. Największy błąd to traktowanie FBiO jako szybkich pieniędzy na sprzęt. Najlepsze projekty łączą cyberbezpieczeństwo z ochroną ludności, ciągłością działania i mierzalnym wzrostem odporności.
Opracowanie: Zespół redakcyjny CCyber
Fundusz Bezpieczeństwa i Obronności może pomóc samorządom sfinansować projekty cyberbezpieczeństwa, ale najlepsze projekty nie powinny zaczynać się od listy zakupów. Powinny zaczynać się od pytania: które usługi publiczne muszą działać także podczas kryzysu, awarii, cyberataku lub sabotażu? FBiO może wspierać inwestycje wzmacniające bezpieczeństwo i odporność, w tym cyberbezpieczeństwo, systemy wykrywania i ostrzegania, infrastrukturę krytyczną, usługi teleinformatyczne, ciągłość działania i rozwiązania dual-use. Dla JST i spółek komunalnych to szansa na sfinansowanie projektów, które wcześniej były odkładane: backup, odtwarzanie, MFA, monitoring, SOC, EDR, systemy komunikacji kryzysowej, ochrona OT, cyberbezpieczeństwo wodociągów, oczyszczalni, transportu i e-usług. Trzeba jednak pamiętać, że to projekt inwestycyjny z warunkami, dokumentacją, kosztami kwalifikowalnymi, terminami i obowiązkiem utrzymania efektów.
Lipiec 2026
Fundusz Bezpieczeństwa i Obronności to instrument finansowany ze środków Krajowego Planu Odbudowy i Zwiększania Odporności. Jego celem jest wsparcie inwestycji wzmacniających bezpieczeństwo i odporność państwa, ochronę ludności, infrastrukturę podwójnego zastosowania, cyberbezpieczeństwo, ciągłość działania usług krytycznych oraz potencjał przedsiębiorstw, w tym sektora obronnego.
W praktyce FBiO ma dwa główne filary: część pożyczkową obsługiwaną przez BGK oraz część kapitałową realizowaną przez spółkę Chrobry S.A. Część pożyczkowa jest szczególnie ważna dla samorządów, spółek komunalnych, sektora kolejowego i przedsiębiorstw, które planują inwestycje w bezpieczeństwo i odporność.
W rozmowach o FBiO często pojawia się słowo „pieniądze”, „wsparcie” albo „dofinansowanie”. Dla samorządu najważniejsze jest jednak precyzyjne rozumienie mechanizmu. W części pożyczkowej mówimy o preferencyjnej pożyczce, a nie o klasycznej bezzwrotnej dotacji na dowolny zakup.
To nadal oznacza konieczność dobrego planowania finansowego. Nawet przy zerowym oprocentowaniu i możliwym umorzeniu samorząd musi rozumieć wpływ projektu na budżet, zdolność spłaty, utrzymanie inwestycji i koszty eksploatacyjne po zakończeniu projektu.
W części pożyczkowej dla sektora komunalnego finansowanie może dotyczyć kilku kategorii inwestycji. Cyberbezpieczeństwo jest jedną z nich, ale może też łączyć się z innymi kategoriami, na przykład systemami wykrywania i ostrzegania, infrastrukturą ochrony ludności, komunikacją kryzysową i odpornością usług krytycznych.
Samorząd nie powinien traktować cyber jako osobnego dodatku do infrastruktury. W praktyce cyberbezpieczeństwo może wzmacniać niemal każdy projekt odpornościowy: schrony potrzebują komunikacji, wodociągi systemów sterowania, transport systemów teleinformatycznych, centrum zarządzania kryzysowego bezpiecznej łączności, a urząd backupu, MFA i procedur reagowania.
Dokładna kwalifikowalność zależy od zasad naboru i dokumentacji BGK, dlatego każdy pomysł trzeba sprawdzić formalnie. Poniższa lista pokazuje jednak, jakie typy projektów mogą dobrze wpisywać się w logikę FBiO, jeśli są powiązane z bezpieczeństwem, odpornością i ciągłością usług.
Najlepszy projekt finansowany z FBiO powinien wspierać obowiązki wynikające z KSC i NIS2. Samorząd może dzięki temu uniknąć sytuacji, w której finansuje infrastrukturę, ale nadal nie ma dowodów zgodności, procedur, właścicieli ryzyk i gotowości na incydent.
Każdy projekt FBiO z elementem cyber powinien mieć mapowanie do ryzyka, usługi krytycznej i obowiązku organizacyjnego. Jeżeli projekt kupuje narzędzie, trzeba wskazać, jaki proces ono wspiera, kto będzie właścicielem, jakie dowody powstaną i jak będzie mierzona poprawa odporności.
Nie zaczynaj od sprzętu. Zacznij od listy usług, które muszą działać podczas kryzysu: woda, ścieki, ciepło, transport, komunikacja z mieszkańcami, zarządzanie kryzysowe, e-usługi, obieg dokumentów, system finansowy i dane mieszkańców.
Projekt powinien wynikać z ryzyka. Przykład: ransomware może zatrzymać urząd i spółkę komunalną, brak backupu uniemożliwi odtworzenie, przejęcie konta dostawcy da atakującemu dostęp do systemów, a brak monitoringu opóźni wykrycie incydentu.
Rezultat powinien być mierzalny. Nie „poprawa bezpieczeństwa”, ale na przykład: 100% kont administratorów z MFA, 95% urządzeń z EDR, test restore systemu krytycznego co pół roku, czas eskalacji incydentu poniżej 30 minut albo monitoring 24/7 dla pięciu systemów krytycznych.
Projekt cyber powinien pokazywać, jak rozwiązanie będzie działać: jakie systemy obejmie, jakie dane będzie przetwarzać, jakie integracje są potrzebne, kto będzie administratorem, jak będzie wyglądał dostęp dostawcy i jak zostaną zabezpieczone logi.
Pożyczka może sfinansować inwestycję, ale samorząd musi utrzymać efekty. Licencje, monitoring, usługi MSSP, aktualizacje, testy, szkolenia i serwis muszą mieć źródło finansowania po zakończeniu realizacji projektu.
Koszty muszą być zgodne z zasadami naboru i kwalifikowalności. Poniższa lista jest praktycznym punktem startowym do budżetowania projektu cyber, ale każdy element trzeba zweryfikować z dokumentacją BGK.
Zakup serwera, macierzy, firewalla albo licencji nie zwiększy odporności, jeśli nie ma właściciela, procedury, konfiguracji, testów i utrzymania.
SIEM, EDR lub backup generują wartość dopiero wtedy, gdy ktoś analizuje alerty, wykonuje testy, aktualizuje reguły i reaguje na incydenty.
System bezpieczeństwa musi być podłączony do realnych źródeł danych: poczty, tożsamości, endpointów, serwerów, chmury, firewalli, systemów dziedzinowych i OT.
Jeśli po zakończeniu projektu nie ma budżetu na licencje, serwis, monitoring i szkolenia, efekt szybko zniknie.
Wniosek powinien być kompletny, podpisany kwalifikowanym podpisem elektronicznym i zgodny z wymaganiami naboru. Ważne jest wcześniejsze przygotowanie załączników, opisów kosztów, dokumentów formalnych i uzasadnienia inwestycji.
Dobry projekt pokazuje, jak inwestycja zmniejszy ryzyko przerwania usługi dla mieszkańców, przedsiębiorców albo jednostek zależnych.
Rezultat powinien być policzalny: liczba systemów objętych monitoringiem, liczba kont z MFA, czas odtworzenia, liczba przeszkolonych osób, liczba testów, liczba zamkniętych podatności.
Jeżeli projekt pomaga w incident response, ciągłości działania, ocenie dostawców, asset management, backupie, szkoleniach albo zarządzaniu ryzykiem, łatwiej uzasadnić jego strategiczny charakter.
Samorząd powinien wiedzieć, ile będzie kosztowało utrzymanie rozwiązania po pierwszym roku, kto będzie je obsługiwał i czy konieczna będzie usługa zewnętrzna.
Projekt bez właściciela po stronie urzędu albo spółki komunalnej szybko stanie się problemem zakupowym, a nie inwestycją w odporność.
FBiO nie jest tylko dla samorządów. Przedsiębiorstwa mogą korzystać z części pożyczkowej oraz z instrumentów kapitałowych, jeżeli projekt wzmacnia bezpieczeństwo i odporność państwa. W części pożyczkowej dla przedsiębiorców finansowanie może obejmować między innymi projekty cyberbezpieczeństwa, ciągłość dostaw energii i paliw, bezpieczeństwo infrastruktury krytycznej, usługi teleinformatyczne, transport oraz produkcję dual-use.
Samorząd może jednocześnie korzystać z różnych programów, ale musi uważać na podwójne finansowanie tych samych kosztów. FBiO nie może finansować wydatków rozliczonych lub zgłoszonych do rozliczenia w KPO lub innych programach UE, ani kosztów objętych innym krajowym wsparciem.
Jeden projekt może być częścią większej strategii odporności, ale każdy koszt musi mieć jedno źródło finansowania, jasne uzasadnienie i dokumentację. Dobrze jest przygotować mapę finansowania, która pokazuje, które działania idą z FBiO, które z budżetu własnego, które z programu Cyfrowa Europa, a które z innych środków.
Najpierw trzeba opisać usługę krytyczną, ryzyko i oczekiwany efekt. Dopiero potem dobiera się technologię i dostawców.
Zewnętrzny wykonawca może wdrażać rozwiązanie, ale urząd lub spółka komunalna musi mieć właściciela decyzji, odbioru i utrzymania.
Projekt jest sfinansowany, ale nie ma budżetu na licencje, monitoring, serwis, szkolenia i testy w kolejnych latach.
Samorząd kupuje narzędzia, ale nie powstają procedury, rejestry, dowody, raporty i mechanizmy zgłaszania incydentów.
Urząd wzmacnia własne systemy, ale wodociągi, zakład komunalny albo jednostki oświatowe pozostają poza projektem.
Backup, SOC, procedura incydentowa i komunikacja awaryjna muszą być testowane. Bez testów projekt jest niepełny.
Projekt zawiera koszty, które nie są dobrze powiązane z celem finansowania, nie są opisane albo mogą być wykluczone.
Najtrudniej odtworzyć dowody na końcu projektu. Dokumentacja powinna powstawać w trakcie realizacji, przy każdym kamieniu milowym i odbiorze.
Gmina średniej wielkości ma urząd, zakład wodociągów, system podatkowy, obieg dokumentów, BIP, pocztę, e-Doręczenia i zewnętrznego dostawcę IT. Po analizie ryzyka okazuje się, że największym zagrożeniem jest ransomware oraz brak możliwości szybkiego odtworzenia systemów urzędu i spółki wodociągowej. Dodatkowo część kont administratorów nie ma MFA, a dostawca IT używa zdalnego dostępu bez pełnego logowania działań.
Gmina przygotowuje projekt do FBiO nie jako „zakup sprzętu IT”, ale jako program odporności cyfrowej usług krytycznych. Zakres obejmuje backup odporny na ransomware, MFA, EDR, segmentację, monitoring logów, procedurę incydentową, test restore, tabletop i ocenę dostawców. Projekt obejmuje urząd i spółkę wodociągową, bo to ona odpowiada za usługę krytyczną dla mieszkańców.
Po wdrożeniu gmina ma nie tylko nowe narzędzia, ale także dowody: raport MFA, raport testu restore, rejestr ryzyk, rejestr dostawców, procedurę zgłoszenia incydentu, plan ciągłości działania i raport dla kierownictwa. To pozwala powiązać finansowanie z KSC, NIS2 i realną odpornością mieszkańców na zakłócenie usług.
Ten temat warto połączyć z dalszym czytaniem i ofertą CCyber, aby przejść od pomysłu na FBiO do dobrze przygotowanego projektu, wniosku i wdrożenia.
ccyber.io pomaga samorządom, spółkom komunalnym i dostawcom przygotować projekty cyberbezpieczeństwa pod finansowanie z FBiO oraz innych programów krajowych i unijnych. Łączymy perspektywę finansowania, cyberbezpieczeństwa, KSC, NIS2, projektów IT, dostawców i dowodów realizacji.
Możemy wesprzeć organizację w obszarach:
Najlepszym pierwszym krokiem jest FBiO Cyber Project Workshop dla JST. W krótkim warsztacie można ustalić, czy pomysł pasuje do finansowania, które usługi krytyczne obejmuje, jakie koszty trzeba zaplanować, jakie dowody powstaną i jak projekt połączyć z KSC oraz NIS2.
Nie w klasycznym znaczeniu. Dla sektora komunalnego jest to przede wszystkim preferencyjna pożyczka, która może mieć oprocentowanie od 0%, długi okres spłaty i możliwość częściowego umorzenia dla uprawnionych JST.
Tak, projekty z zakresu cyberbezpieczeństwa są wskazywane jako jedna z kategorii możliwych do finansowania. Trzeba jednak wykazać związek projektu z bezpieczeństwem, odpornością i kosztami kwalifikowalnymi.
Może to być uzasadnione, jeśli projekt jest powiązany z odpornością usług krytycznych, detekcją incydentów, KSC, NIS2 i ciągłością działania. Kwalifikowalność konkretnego modelu kosztowego trzeba sprawdzić w zasadach naboru.
Projekt backupu i odtwarzania może dobrze wpisywać się w cyberodporność, szczególnie jeśli dotyczy systemów krytycznych, ochrony przed ransomware i testów restore. Trzeba jednak opisać rezultat oraz utrzymanie po projekcie.
Tak, produkt BGK dla sektora komunalnego wskazuje JST i spółki komunalne jako odbiorców. Trzeba opisać strukturę projektu, role, właścicielstwo, koszty i wpływ na usługi publiczne.
Można planować większą strategię finansowania, ale nie wolno finansować tych samych kosztów z dwóch źródeł. Należy prowadzić jasną mapę kosztów i źródeł finansowania.
Najważniejsze jest połączenie projektu z usługą krytyczną, ryzykiem, mierzalnym rezultatem, budżetem, kwalifikowalnością kosztów i planem utrzymania efektów.
Zacznij od listy usług krytycznych, rejestru systemów, backupu, MFA, dostawców, ryzyk i procedury incydentowej. Dopiero potem buduj projekt finansowania i dobieraj technologię.
FBiO może być jednym z najważniejszych instrumentów finansowania odporności samorządów w najbliższych latach. Dla JST i spółek komunalnych to szansa na projekty, które łączą ochronę ludności, ciągłość usług, cyberbezpieczeństwo, systemy ostrzegania, infrastrukturę krytyczną i odporność cyfrową.
Najważniejsze jest jednak właściwe podejście. Projekt nie powinien być listą zakupów ani próbą wydania środków na dowolne IT. Powinien wynikać z ryzyka, dotyczyć usług ważnych dla mieszkańców, mieć mierzalne rezultaty, plan utrzymania, właścicieli i dowody wykonania.
Najlepsza zasada brzmi: nie pytaj najpierw, co można kupić. Zapytaj, która usługa publiczna przestanie działać po cyberataku, ile potrwa odtworzenie, kto podejmie decyzję i które finansowanie pomoże realnie zwiększyć odporność mieszkańców.
Jak zapewnić pełną ewidencję i widoczność zasobów zgodną z NIS2 bez drogich narzędzi enterprise?
Pełna ewidencja zasobów zgodna z NIS2 nie musi oznaczać drogiego systemu klasy enterprise. Dla MŚP najważniejsze jest, aby firma wiedziała, jakie ma urządzenia, konta, aplikacje, usługi chmurowe, dane, dostawców, systemy krytyczne i publicznie dostępne zasoby. Można zacząć od arkusza, eksportów z Microsoft 365 lub Google Workspace, danych z routera, DHCP, DNS, EDR, antywirusa, backupu, faktur, umów, systemu księgowego i prostych skanów sieci. Kluczowe nie jest narzędzie, ale proces: właściciel zasobu, krytyczność, dane, dostęp, backup, aktualizacje, dostawca, status zabezpieczeń i regularny przegląd.
Opracowanie: Zespół redakcyjny CCyber
Pełna ewidencja i widoczność zasobów zgodna z NIS2 nie musi zaczynać się od zakupu drogiego CMDB, EASM, CAASM albo platformy klasy enterprise. Dla MŚP najważniejsze jest zbudowanie wiarygodnego, regularnie aktualizowanego rejestru zasobów i połączenie go z prostymi źródłami danych: katalogiem użytkowników, systemem poczty, MDM lub EDR, routerem, DHCP, DNS, firewallem, backupem, chmurą, fakturami, umowami i systemem księgowym. Firma powinna wiedzieć, jakie ma urządzenia, aplikacje, systemy, konta, dane, usługi chmurowe, dostawców i zasoby wystawione do internetu. Pełna widoczność nie oznacza idealnej automatyzacji od pierwszego dnia. Oznacza, że firma potrafi odpowiedzieć: co mamy, kto jest właścicielem, jak krytyczne to jest, jakie dane tam są, kto ma dostęp, czy jest backup, czy są aktualizacje i czy zasób jest monitorowany.
Lipiec 2026
NIS2 nie mówi, że każda firma musi kupić konkretny system do inwentaryzacji. Wymaga jednak zarządzania ryzykiem cyber, a tego nie da się zrobić bez wiedzy o zasobach. Jeżeli firma nie wie, jakie systemy posiada, kto ma do nich dostęp, gdzie są dane i które usługi są krytyczne, nie jest w stanie rzetelnie ocenić ryzyka, przygotować planu ciągłości działania ani wykazać zgodności.
Najprościej: ewidencja zasobów to fundament dla ryzyka, MFA, backupu, podatności, incydentów, dostawców, ciągłości działania i audytu.
Nie. W małej lub średniej firmie pełna ewidencja nie oznacza, że od pierwszego dnia każdy kabel, każde urządzenie i każda aplikacja są automatycznie widoczne w jednej konsoli. Oznacza, że firma ma proces, który pozwala stale zbliżać się do kompletności i szybko wykrywać braki.
Audytor lub klient rzadko oczekuje od MŚP idealnego systemu klasy globalnej korporacji. Będzie jednak oczekiwać, że firma ma jasny rejestr, właścicieli, daty, krytyczność, status zabezpieczeń i dowody cyklicznego przeglądu.
Drogie narzędzia mogą być bardzo pomocne, ale nie rozwiążą problemu, jeśli firma nie ma procesu. Narzędzie bez właścicieli, klasyfikacji, przeglądu i decyzji biznesowych stanie się kolejną nieaktualną bazą danych.
Najważniejsze jest, aby rejestr był używany w decyzjach. Jeżeli z rejestru wynika, że system nie ma właściciela, nie ma backupu albo ma publiczny dostęp, musi powstać działanie naprawcze.
Rejestr nie musi być skomplikowany. Musi jednak zawierać pola, które pozwalają podejmować decyzje o ryzyku.
To arkusz, prosta baza, system ticketowy albo lekkie narzędzie IT asset management. Rejestr główny jest miejscem, w którym firma podejmuje decyzje. Nie musi automatycznie odkrywać wszystkiego, ale musi zbierać wynik z wielu źródeł.
To systemy, z których zbierasz dane: Microsoft 365, Google Workspace, katalog użytkowników, MDM, EDR, antywirus, firewall, DHCP, DNS, backup, chmura, hosting, repozytorium kodu i skaner sieciowy.
Automatyka nie wie wszystkiego. Właściciel biznesowy musi potwierdzić, czy system nadal jest używany, czy jest krytyczny, jakie dane zawiera i czy dostawca nadal ma dostęp.
Widoczność ma prowadzić do działań. Nieznane urządzenie, brak MFA, brak backupu, publiczny port, nieużywana aplikacja albo konto byłego pracownika powinny trafić do planu naprawczego.
Microsoft Entra ID, Active Directory, Google Workspace albo inny katalog tożsamości pokazuje użytkowników, grupy, konta administratorów, urządzenia, aplikacje i logowania.
Panel administracyjny pokazuje licencje, użytkowników, grupy, urządzenia, usługi, aplikacje i część ustawień bezpieczeństwa.
Nawet prosty router, serwer DHCP albo DNS daje dużo informacji o urządzeniach widzianych w sieci.
Firewall pokazuje publiczne usługi, połączenia zdalne, reguły NAT, VPN i ruch do internetu. To bardzo ważne dla widoczności powierzchni ataku.
Jeżeli firma ma ochronę urządzeń, konsola zwykle pokazuje laptopy, serwery, wersje systemu, status agenta i brakujące aktualizacje.
Backup pokazuje, które systemy są objęte kopią, które nie są, które kopie się nie udały i kiedy był test odtworzenia.
AWS, Azure, Google Cloud, hosting, VPS i platformy PaaS pokazują zasoby, które mogą być niewidoczne w lokalnej sieci.
Część najważniejszych zasobów ukrywa się w kosztach. Faktura za narzędzie SaaS może ujawnić usługę, o której IT nie wiedziało.
Okresowy skan wewnętrznej sieci może pokazać urządzenia, otwarte usługi i niespodziewane systemy. Trzeba wykonywać go ostrożnie, szczególnie w środowiskach OT.
Nie wszystko znajdziesz technicznie. Marketing, sprzedaż, finanse, HR i produkcja mogą używać narzędzi, których nie widać w centralnym IT.
Shadow IT to narzędzia, konta, aplikacje, urządzenia i usługi używane poza formalną kontrolą organizacji. W MŚP często powstaje bez złych intencji. Ktoś kupuje narzędzie do marketingu, zakłada konto testowe, używa prywatnego dysku albo zamawia małą aplikację u dostawcy.
Nie każdy zasób wymaga takiej samej uwagi. Krytyczność pomaga ustalić priorytety zabezpieczeń i działań naprawczych.
Zasób, którego awaria zatrzymuje sprzedaż, produkcję, płatności, obsługę klientów, bezpieczeństwo, dostęp do danych lub odtwarzanie działania.
Zasób ważny dla wielu użytkowników, danych klientów, finansów, procesów operacyjnych albo dostawców, ale z możliwym obejściem krótkoterminowym.
Zasób wspiera dział lub proces, ale jego awaria nie zatrzymuje całej firmy i można działać ręcznie przez pewien czas.
Zasób pomocniczy, testowy albo mało istotny, bez danych wrażliwych i bez wpływu na usługi krytyczne.
Bez właściciela rejestr umrze po pierwszym eksporcie. Właściciel procesu nie musi sam znać każdego systemu, ale odpowiada za kompletność, cykl przeglądu i raportowanie.
Ustal, czy ewidencja obejmuje całą firmę, jedną spółkę, jeden oddział, jeden system, środowisko produkcyjne albo zakres audytu klienta.
Na start wystarczy arkusz, ale powinien mieć kontrolę wersji, właściciela i jasne pola obowiązkowe. W późniejszym etapie można przenieść go do lekkiego narzędzia ITSM lub asset management.
Zacznij od katalogu użytkowników, panelu Microsoft 365 lub Google Workspace, EDR, backupu, DHCP, firewalli i faktur. Nie czekaj na idealny zestaw danych.
Ten sam laptop może pojawić się w EDR, DHCP, katalogu użytkowników i fakturze. Ustal regułę łączenia rekordów, na przykład po numerze seryjnym, nazwie urządzenia, użytkowniku i adresie MAC.
Każdy zasób krytyczny musi mieć właściciela biznesowego i technicznego. „IT” jako właściciel wszystkiego to słaby dowód.
Właściciel procesu powinien wskazać, czy zasób wspiera usługę krytyczną i jakie dane przetwarza.
Dla każdego zasobu krytycznego sprawdź MFA, backup, EDR, aktualizacje, logi, dostawców i publiczną ekspozycję.
Brak właściciela, brak backupu, brak MFA, brak EDR, brak testu restore albo publiczny port powinny mieć status i działanie naprawcze.
Rejestr musi być aktualizowany cyklicznie i po zmianach. Minimum dla MŚP to kwartalny przegląd zasobów krytycznych i roczny przegląd pełny.
Firma tworzy arkusz przed audytem, a potem nikt go nie aktualizuje. Po trzech miesiącach rejestr nie odzwierciedla rzeczywistości.
Współczesne MŚP często ma więcej ryzyka w usługach SaaS niż w laptopach. Rejestr musi obejmować narzędzia chmurowe i aplikacje biznesowe.
IT wie, że system istnieje, ale nie wie, jak ważny jest dla procesu i jakie dane są w środku.
Firma zna laptopy, ale nie wie, jakie domeny, subdomeny, porty i panele administracyjne są dostępne z internetu.
Dostawca IT, backupu, hostingu albo SaaS może mieć większy wpływ na ciągłość działania niż wewnętrzny laptop.
Sama nazwa systemu to za mało. Rejestr powinien pokazywać MFA, backup, EDR, logi, aktualizacje i test restore.
Stare systemy, nieużywane konta, porzucone subdomeny i zapomniane środowiska testowe często są najłatwiejszym celem.
Narzędzie pomaga, ale nie zastąpi decyzji: kto jest właścicielem, co jest krytyczne, co trzeba poprawić i kto zamyka luki.
Zarząd nie potrzebuje listy każdego laptopa. Potrzebuje widzieć ryzyko, braki i decyzje.
Firma usługowa zatrudnia 85 osób. Korzysta z Microsoft 365, CRM, systemu fakturowania, repozytorium plików, narzędzi marketingowych, zewnętrznego dostawcy IT i kilku aplikacji SaaS kupowanych przez działy biznesowe. Zarząd pyta, czy firma jest gotowa na wymagania NIS2, ale IT nie ma pełnej listy zasobów.
Firma zaczyna bez drogiego narzędzia enterprise. Tworzy arkusz rejestru, eksportuje użytkowników i urządzenia z Microsoft 365 oraz EDR, pobiera listę faktur za SaaS, sprawdza backup, spisuje domeny, publiczne IP i dostawców. Po miesiącu okazuje się, że istnieje 14 narzędzi SaaS poza wiedzą IT, 6 kont administratorów bez formalnego właściciela, 3 systemy krytyczne bez potwierdzonego testu restore i 2 stare subdomeny prowadzące do nieużywanych usług.
Po 90 dniach firma ma rejestr zasobów, właścicieli, krytyczność, status MFA, backupu i dostawców. Nie jest to jeszcze platforma enterprise, ale firma potrafi pokazać zarządowi i audytorowi, co ma, co jest krytyczne, gdzie są luki i jakie działania są w toku.
ccyber.io pomaga MŚP zbudować ewidencję i widoczność zasobów zgodną z wymaganiami NIS2 bez niepotrzebnego przeciążania firmy narzędziami enterprise. Zaczynamy od procesu, źródeł danych i praktycznego rejestru, a dopiero potem dobieramy automatyzację.
Możemy wesprzeć organizację w obszarach:
Najlepszym pierwszym krokiem jest Asset Visibility for NIS2 Workshop. W krótkim warsztacie można ustalić, jakie zasoby firma już widzi, jakie są ukryte, które źródła danych można wykorzystać bez nowych kosztów i jaki rejestr będzie wystarczający na pierwszym etapie.
Nie. NIS2 wymaga zarządzania ryzykiem i asset management jako elementu środków bezpieczeństwa, ale nie wskazuje konkretnego narzędzia. Dla MŚP ważniejszy jest działający proces i dowody.
Na start tak, jeśli ma właściciela, wersję, pola obowiązkowe, cykliczny przegląd i jest porównywany z danymi technicznymi. Długoterminowo można go zastąpić lżejszym narzędziem ITSM lub asset management.
Zasoby krytyczne warto przeglądać co najmniej kwartalnie oraz po każdej istotnej zmianie. Pełny przegląd całej ewidencji można robić raz w roku lub częściej, jeśli firma szybko się zmienia.
Oba obszary są ważne. W wielu MŚP największe ryzyko jest dziś w SaaS, kontach administratorów, usługach chmurowych, publicznych zasobach i dostawcach, nie tylko w laptopach.
Sprawdź faktury, płatności kartą, aplikacje OAuth, logowania SSO, DNS, ankiety do działów, repozytoria projektów i listę dostawców. To często ujawnia Shadow IT.
Warto, ale ostrożnie. Skan sieci pomaga wykryć urządzenia i usługi, ale w środowiskach produkcyjnych i OT powinien być zaplanowany z odpowiedzialnymi osobami.
Systemy wspierające usługi krytyczne, tożsamość, poczta, backup, systemy finansowe, systemy produkcyjne, dane klientów, dostawcy krytyczni i zasoby wystawione do internetu.
Zacznij od listy systemów krytycznych, użytkowników, administratorów, urządzeń, SaaS, backupu, publicznych adresów IP, domen i dostawców. Następnie przypisz właścicieli i status zabezpieczeń.
Pełna ewidencja i widoczność zasobów zgodna z NIS2 nie musi zaczynać się od drogich narzędzi enterprise. Dla MŚP najważniejsze jest, aby zbudować realny, aktualny i używany rejestr zasobów, który łączy urządzenia, aplikacje, dane, konta, chmurę, dostawców, backup, publiczną ekspozycję i krytyczność biznesową.
Największą wartość daje prosty proces: zbierz dane z istniejących źródeł, przypisz właścicieli, oznacz krytyczność, sprawdź podstawowe zabezpieczenia, porównuj rejestr z rzeczywistością i regularnie raportuj braki zarządowi.
Najlepsza zasada brzmi: nie pytaj najpierw, jakie narzędzie kupić. Zapytaj, czy firma potrafi dziś powiedzieć, co ma, co jest krytyczne, gdzie są dane, kto ma dostęp, co jest wystawione do internetu i czego nie umie jeszcze zobaczyć.
Jak zdobyć tańsze cyberubezpieczenie? Wdróż te rozwiązania już teraz
Tańsze cyberubezpieczenie nie wynika z samej deklaracji, że firma „dba o bezpieczeństwo”. Ubezpieczyciel patrzy na realne kontrole, historię incydentów, branżę, przychody, dane, dostawców i zdolność firmy do odtworzenia działania po ataku. Największy wpływ na ubezpieczalność i warunki polisy mają zwykle: MFA, testowany backup, EDR, aktualizacje, kontrola kont administratorów, bezpieczny dostęp zdalny, ochrona poczty, szkolenia, procedura płatności, plan reagowania, BCP, kontrola dostawców i pakiet dowodów. Nie ma gwarancji niższej składki, ale dobrze udokumentowane zabezpieczenia mogą pomóc uzyskać lepsze warunki, wyższe limity, mniejsze wyłączenia lub łatwiejsze odnowienie polisy.
Opracowanie: Zespół redakcyjny CCyber
Żeby zwiększyć szansę na tańsze cyberubezpieczenie, firma powinna poprawić to, co ubezpieczyciel widzi jako największe źródła ryzyka: brak MFA, nietestowany backup, słabą ochronę urządzeń, nieaktualne systemy, zbyt szerokie uprawnienia administratorów, niekontrolowany dostęp zdalny, słabą ochronę poczty, brak szkoleń, brak procedury płatności, brak incident response planu i brak dowodów. Nie da się zagwarantować niższej składki, bo cena zależy od branży, przychodów, historii szkód, zakresu polisy, limitów i rynku ubezpieczeniowego. Można jednak zwiększyć ubezpieczalność firmy i poprawić pozycję w rozmowie z brokerem oraz ubezpieczycielem. Najważniejsze jest, aby nie deklarować zabezpieczeń na słowo. Każda odpowiedź w ankiecie powinna mieć zakres, właściciela i dowód.
Lipiec 2026
Tak, ale trzeba dobrze rozumieć słowo „tańsze”. Ubezpieczyciel nie sprzedaje zniżki za samą nazwę narzędzia. Ocenia ryzyko. Jeżeli firma potrafi pokazać, że ograniczyła prawdopodobieństwo incydentu i umie zmniejszyć jego skutki, może mieć lepszą pozycję w rozmowie o składce, limitach, wyłączeniach i odnowieniu polisy.
Lepsze przygotowanie może pomóc w kilku obszarach:
Ważne: cyberubezpieczenie nie jest nagrodą za posiadanie narzędzi. Jest mechanizmem transferu części ryzyka. Firma nadal musi zarządzać ryzykiem, utrzymywać zabezpieczenia i aktualizować informacje przekazywane brokerowi oraz ubezpieczycielowi.
Ubezpieczyciel chce odpowiedzieć na proste pytanie: jak prawdopodobne jest, że ta firma będzie miała kosztowny incydent i jak duży może być ten koszt?
Nie wszystkie czynniki możesz zmienić. Nie zmienisz łatwo branży ani historii incydentów. Możesz jednak poprawić zabezpieczenia, przygotować dowody, uporządkować procesy i pokazać, że firma ma realną kontrolę nad ryzykiem.
Jeżeli broker lub ubezpieczyciel zapyta, czy firma ma MFA, backup, EDR i szkolenia, odpowiedź „tak” jest za słaba. Trzeba pokazać, gdzie dokładnie kontrola działa, kogo obejmuje, jakie są wyjątki i kiedy była ostatnio sprawdzana.
Słabo: „Mamy backup”.
Dobrze: „Backup obejmuje Microsoft 365, serwer plików, system finansowy i CRM. Kopie są odseparowane od produkcji. Ostatni test odtworzenia wykonano 12 czerwca 2026 r. Wynik testu i działania naprawcze są w raporcie”.
MFA to jedna z najważniejszych kontroli z perspektywy ubezpieczyciela. Chroni przed przejęciem kont po kradzieży hasła, phishingu albo wycieku danych logowania.
Dowód dla ubezpieczyciela: raport MFA, lista kont objętych MFA, lista wyjątków i decyzje o akceptacji ryzyka.
Backup bez testu jest obietnicą, a nie dowodem. Ubezpieczyciel chce wiedzieć, czy firma potrafi wrócić do działania po ransomware, awarii, błędzie człowieka albo utracie danych.
Dowód dla ubezpieczyciela: raport backupu, raport testu odtworzenia, RTO, RPO i lista działań naprawczych.
Ubezpieczyciel będzie pytał, czy laptopy, serwery i stacje robocze są chronione. Sama obecność antywirusa może nie wystarczyć, jeśli nikt nie monitoruje alertów albo ochrona nie obejmuje wszystkich urządzeń.
Dowód dla ubezpieczyciela: raport pokrycia EDR lub antywirusa, lista wyjątków, raport alertów i procedura reakcji.
Niezałatane systemy, VPN, firewalle, serwery i aplikacje internetowe są częstą drogą wejścia. Ubezpieczyciel może pytać, jak szybko firma łata podatności krytyczne.
Dowód dla ubezpieczyciela: raport podatności, raport patch management i lista podatności po terminie.
Konta administratorów są dla atakującego skrótem do całej firmy. Dlatego ubezpieczyciele zwracają uwagę na MFA, liczbę administratorów, konta imienne i przeglądy uprawnień.
Dowód dla ubezpieczyciela: raport kont administratorów, raport PIM lub PAM, access review i lista odebranych uprawnień.
Zdalny dostęp jest wygodny, ale jest też jednym z najważniejszych punktów ryzyka. Szczególnie groźne są publiczne RDP, stare VPN, konta dostawców bez MFA i stały dostęp serwisowy.
Dowód dla ubezpieczyciela: opis modelu dostępu zdalnego, raport MFA, lista dostawców z dostępem i logi sesji.
Poczta jest najczęstszym miejscem rozpoczęcia oszustw, przejęć kont i fałszywych płatności. Ubezpieczyciel może pytać o MFA, filtrację, SPF, DKIM, DMARC i szkolenia.
Dowód dla ubezpieczyciela: raport konfiguracji poczty, status SPF/DKIM/DMARC, raport szkoleń i rejestr zgłoszeń phishingu.
Szkolenia nie powinny być jedną prezentacją raz w roku. Dla ubezpieczyciela ważniejsze jest, czy firma uczy pracowników rozpoznawania phishingu, zgłaszania błędów, używania MFA i weryfikowania płatności.
Dowód dla ubezpieczyciela: plan szkoleń, lista uczestników, materiały, wyniki testów i raport zgłoszeń.
Business email compromise i fałszywe przelewy mogą nie być objęte standardową polisą albo mogą mieć podlimity. Niezależnie od polisy firma powinna ograniczyć ryzyko fałszywej płatności.
Dowód dla ubezpieczyciela: procedura płatności, rejestr potwierdzeń drugim kanałem i raport szkolenia finansów.
Polisa może dawać dostęp do ekspertów, ale firma nadal musi wiedzieć, co robi w pierwszej godzinie incydentu. Plan reagowania powinien być krótki, aktualny i ćwiczony.
Dowód dla ubezpieczyciela: incident response plan, lista kontaktów, raport tabletop i lista działań naprawczych.
Cyberubezpieczenie może dotyczyć kosztów przestoju, ale ubezpieczyciel będzie chciał wiedzieć, czy firma umie ograniczyć czas niedostępności i działać awaryjnie.
Dowód dla ubezpieczyciela: BCP, DRP, raport testu restore, analiza kosztu przestoju i decyzje zarządu.
Jeżeli firma nie wie, jakie systemy i dane posiada, nie odpowie dobrze na pytania ubezpieczyciela. Inwentaryzacja jest fundamentem ryzyka i zakresu polisy.
Dowód dla ubezpieczyciela: rejestr aktywów, mapa systemów krytycznych i klasyfikacja danych.
Incydent u dostawcy IT, chmury, hostingu, backupu albo systemu finansowego może zatrzymać firmę. Ubezpieczyciel może pytać, czy firma zarządza ryzykiem stron trzecich.
Dowód dla ubezpieczyciela: rejestr dostawców, oceny ryzyka, klauzule bezpieczeństwa i lista dostawców z dostępem.
Po incydencie firma musi odtworzyć, co się stało. Brak logów utrudnia reakcję, dochodzenie, zgłoszenia i likwidację szkody.
Dowód dla ubezpieczyciela: raport źródeł logów, konfiguracja SIEM lub log management, przykładowe alerty i polityka retencji.
Najlepsze zabezpieczenia niewiele pomogą w rozmowie z brokerem, jeśli firma nie ma dowodów. Pakiet dowodów skraca rozmowę, zmniejsza liczbę niejasności i ułatwia odnowienie polisy.
Dowód dla ubezpieczyciela: uporządkowane repozytorium dowodów z datami, właścicielami i statusem aktualności.
Każdy ubezpieczyciel ma własny model oceny, ale w praktyce największą wagę często mają kontrole, które ograniczają ransomware, przejęcie konta i przestój.
Odpowiedź „mamy MFA” jest ryzykowna, jeśli MFA nie obejmuje administratorów, VPN albo dostawców.
Wyjątki są normalne, ale muszą być znane, opisane i zaakceptowane. Ukryty wyjątek może być problemem po incydencie.
Firma może mieć EDR, ale nikt nie reaguje na alerty. Może mieć backup, ale nikt go nie testuje. Może mieć plan incydentu, ale nikt go nie zna.
Ankieta ubezpieczeniowa powinna być sprawdzona przez IT, security, zarząd, finanse, legal i właścicieli procesów.
Tańsza polisa z dużymi wyłączeniami może nie chronić przed scenariuszem, który jest najbardziej realny dla firmy.
Broker może porównać oferty, ale jeżeli ryzyko firmy jest wysokie, konkurencja cenowa ma ograniczone znaczenie.
Backup wpisany w ankiecie jako „działa” bez testu odtworzenia jest słabym dowodem.
MFA na zwykłych kontach nie wystarczy, jeśli administratorzy, VPN, dostawcy i system finansowy są poza zakresem.
Dostawca IT zna część techniczną, ale zwykle nie zna pełnego obrazu danych, finansów, historii incydentów, dostawców i decyzji zarządu.
Fałszywe przelewy mogą być wyłączone lub limitowane. Procedura drugiego kanału jest tania i bardzo ważna.
Szkolenia bez listy uczestników, programu i wyników testu są trudne do pokazania w audycie.
Firma zmienia chmurę, dostawcę, system albo zakres danych, ale nie aktualizuje informacji dla brokera i ubezpieczyciela.
Najważniejsze nie jest tylko „ile kosztuje polisa”, ale co realnie obejmuje i czego nie obejmuje.
Firma usługowa zatrudnia 70 osób i chce kupić cyberubezpieczenie. Pierwsza oferta jest droga, a broker wskazuje, że problemem są odpowiedzi w ankiecie: MFA działa tylko w Microsoft 365, backup nie był testowany od roku, nie ma formalnego incident response planu, EDR nie obejmuje wszystkich urządzeń, a procedura płatności nie istnieje.
Firma nie szuka od razu kolejnej, tańszej oferty. Najpierw przez 60 dni zamyka najważniejsze luki. Włącza MFA dla administratorów i VPN, wykonuje test restore, uzupełnia EDR, przygotowuje incident response plan, szkoli pracowników, wdraża drugi kanał dla zmian rachunków i zbiera dowody.
Po aktualizacji ankiety broker ma lepszy materiał do rozmowy z ubezpieczycielem. Firma nie dostaje gwarancji najniższej składki, ale uzyskuje lepszą pozycję negocjacyjną, mniej niejasności i większą szansę na polisę, która odpowiada realnym scenariuszom ryzyka.
ccyber.io pomaga MŚP przygotować się do cyberubezpieczenia w sposób praktyczny, oparty na ryzyku i dowodach. Nie obiecujemy automatycznej obniżki składki, bo decyzja należy do ubezpieczyciela. Pomagamy jednak poprawić ubezpieczalność firmy, zamknąć najważniejsze luki i przygotować pakiet dowodów dla brokera.
Możemy wesprzeć organizację w obszarach:
Najlepszym pierwszym krokiem jest Cyber Insurance Cost Reduction Readiness Workshop. W krótkim warsztacie można sprawdzić, które zabezpieczenia są już wdrożone, gdzie brakuje dowodów, które luki najbardziej wpływają na rozmowę z brokerem i co warto zrobić przed wysłaniem ankiety.
Nie ma gwarancji, ale MFA jest jedną z najważniejszych kontroli ocenianych przez ubezpieczycieli. Brak MFA może utrudnić uzyskanie dobrych warunków.
Nie sam backup. Ważny jest test odtworzenia, odseparowanie kopii, ochrona kont backupu i plan przywracania usług krytycznych.
To zależy od ubezpieczyciela, branży i wielkości firmy. W praktyce ochrona urządzeń, monitoring alertów i reakcja na incydenty są bardzo często oceniane.
Może pomóc jako dowód dojrzałości, ale ubezpieczyciel nadal może pytać o konkretne kontrole, takie jak MFA, backup, EDR, incident response i dostawcy.
Tak, przez brokera można rozmawiać o zakresie, limitach, wyłączeniach, podlimitach i wymaganiach. Lepsze dowody zabezpieczeń mogą ułatwić rozmowę.
Nie. Tańsza polisa może mieć niższe limity, większy udział własny, więcej wyłączeń lub brak ochrony dla ważnych scenariuszy, takich jak BEC albo incydent u dostawcy.
Nie ukrywaj ich. Opisz stan faktyczny, zakres, plan naprawczy i terminy. Odpowiedź „częściowo wdrożone” z dowodami jest lepsza niż deklaracja bez pokrycia.
Zacznij od MFA, testu backupu, ochrony urządzeń, przeglądu administratorów, bezpiecznego dostępu zdalnego, incident response planu i pakietu dowodów dla brokera.
Tańsze cyberubezpieczenie nie zaczyna się od negocjacji ceny, tylko od obniżenia realnego ryzyka. Ubezpieczyciel będzie patrzył na to, czy firma ma podstawowe zabezpieczenia i czy potrafi je udowodnić.
Najważniejsze rozwiązania to MFA, testowany backup, EDR, aktualizacje, kontrola administratorów, bezpieczny dostęp zdalny, ochrona poczty, szkolenia, procedura płatności, incident response, BCP, kontrola dostawców, logi i repozytorium dowodów.
Najlepsza zasada brzmi: nie próbuj kupić tańszej polisy na podstawie życzeniowych odpowiedzi. Wdróż podstawowe kontrole, przetestuj je, zbierz dowody i dopiero wtedy rozmawiaj z brokerem o warunkach.
Czy moja firma podlega NIS2? Prosty przewodnik dla MŚP
MŚP nie powinno odpowiadać na pytanie o NIS2 wyłącznie na podstawie liczby pracowników albo kodu PKD. Trzeba sprawdzić pięć rzeczy: sektor działalności, wielkość firmy, wyjątki niezależne od wielkości, rolę w łańcuchu dostaw oraz aktualne przepisy krajowe wdrażające NIS2. Mała firma często nie będzie bezpośrednio podmiotem kluczowym lub ważnym, ale może być pośrednio objęta wymaganiami klientów, jeśli dostarcza IT, software, chmurę, usługi zarządzane, komponenty, serwis, dane albo procesy dla podmiotów regulowanych.
Opracowanie: Zespół redakcyjny CCyber
Nie każda mała lub średnia firma w Polsce podlega NIS2 bezpośrednio. Sama informacja, że firma jest MŚP, nie wystarczy. Trzeba sprawdzić sektor działalności, rodzaj świadczonych usług, wielkość przedsiębiorstwa, powiązania kapitałowe, wyjątki niezależne od wielkości oraz to, czy firma jest dostawcą dla podmiotu regulowanego. Co do zasady NIS2 obejmuje głównie średnie i duże podmioty z określonych sektorów. Małe i mikrofirmy mogą jednak zostać objęte w wyjątkowych przypadkach albo odczuć NIS2 pośrednio przez wymagania klientów, umowy, ankiety bezpieczeństwa i audyty dostawców. Najbezpieczniejszym podejściem jest przygotowanie krótkiej analizy podlegania z datą, źródłami, decyzją zarządu i planem minimum cyberbezpieczeństwa.
Lipiec 2026
NIS2 jest dyrektywą Unii Europejskiej. Oznacza to, że dla praktycznej odpowiedzi w Polsce trzeba patrzeć na dyrektywę, ale także na krajowe przepisy wdrażające, czyli przede wszystkim nowelizację przepisów dotyczących krajowego systemu cyberbezpieczeństwa. Dlatego odpowiedź na pytanie „czy moja firma podlega NIS2?” powinna mieć datę i wskazanie wersji przepisów, na której została oparta.
Ten przewodnik pomaga przygotować praktyczną analizę. Nie zastępuje indywidualnej opinii prawnej, ale pokazuje, jak zarząd MŚP powinien uporządkować temat przed rozmową z prawnikiem, audytorem, klientem lub dostawcą cyberbezpieczeństwa.
Jeżeli firma jest mikro lub mała, nie działa w szczególnym sektorze i nie świadczy usług krytycznych dla większych podmiotów, prawdopodobnie nie będzie bezpośrednio podmiotem kluczowym lub ważnym. Nie oznacza to jednak, że może zignorować temat.
Jeżeli firma jest średnia, działa w jednym z sektorów NIS2 albo obsługuje klientów z takich sektorów, powinna wykonać formalną analizę podlegania.
Jeżeli firma świadczy usługi IT, chmurowe, zarządzane, bezpieczeństwa, DNS, hostingowe, telekomunikacyjne, zaufania, rejestracji domen albo utrzymuje systemy klientów regulowanych, powinna potraktować NIS2 jako temat priorytetowy niezależnie od tego, czy finalnie będzie objęta bezpośrednio.
Dopiero odpowiedź na te pytania pozwala przygotować rozsądny wniosek. Sam kod PKD, sama liczba pracowników albo sama branżowa etykieta „IT” nie wystarczą.
NIS2 obejmuje sektory wysokiej krytyczności oraz pozostałe sektory krytyczne. Dla MŚP najważniejsze jest sprawdzenie, czy rzeczywista działalność firmy pasuje do jednego z tych sektorów lub czy firma świadczy usługi dla klientów z tych sektorów.
Mała firma produkcyjna może myśleć, że NIS2 jej nie dotyczy, ale jeśli produkuje komponenty dla sektora medycznego, transportowego, energetycznego lub technologicznego, może zostać objęta wymaganiami klientów. Software house może nie być oczywistym podmiotem kluczowym, ale jeśli utrzymuje system dla szpitala, operatora infrastruktury, banku albo dostawcy usług zarządzanych, może dostać wymagania NIS2 w umowie.
Co do zasady NIS2 obejmuje podmioty średnie i duże z sektorów wskazanych w dyrektywie. W praktyce trzeba sprawdzić liczbę pracowników, obrót, sumę bilansową oraz powiązania z innymi podmiotami.
W NIS2 szczególnie ważne jest to, czy firma kwalifikuje się jako średnie przedsiębiorstwo albo przekracza progi średniego przedsiębiorstwa. Trzeba też uważać na firmy partnerskie i powiązane, bo grupa kapitałowa może wpływać na kwalifikację.
Jeżeli firma ma mniej niż 50 pracowników i nie świadczy szczególnych usług, często będzie poza bezpośrednim zakresem NIS2. Jeżeli firma ma od 50 do 249 pracowników i działa w sektorze objętym NIS2, analiza podlegania jest obowiązkowym zadaniem zarządu.
Niektóre podmioty mogą być objęte NIS2 niezależnie od wielkości. To szczególnie ważne dla firm technologicznych, telekomunikacyjnych, domenowych, usług zaufania i podmiotów o szczególnym znaczeniu dla społeczeństwa lub gospodarki.
Mała firma nie powinna automatycznie uznawać, że jest poza zakresem. Jeżeli świadczy usługę o szczególnym znaczeniu, działa w obszarze infrastruktury cyfrowej albo jest niezbędna dla krytycznej usługi klienta, potrzebna jest dokładniejsza analiza.
NIS2 dzieli podmioty na kluczowe i ważne. Różnica ma znaczenie dla nadzoru i egzekwowania obowiązków. Dla MŚP najważniejsze jest jednak najpierw ustalić, czy firma w ogóle jest bezpośrednio w zakresie.
Podmiot kluczowy to zasadniczo organizacja o większym znaczeniu, często większa i działająca w sektorach wysokiej krytyczności albo spełniająca szczególne kryteria. Podmioty kluczowe są zwykle objęte silniejszym nadzorem.
Podmiot ważny to organizacja objęta NIS2, która nie kwalifikuje się jako podmiot kluczowy. Obowiązki zarządzania ryzykiem i zgłaszania incydentów nadal mają znaczenie, ale reżim nadzorczy może być inny.
Dla większości MŚP najpierw trzeba odpowiedzieć: czy jesteśmy bezpośrednio w zakresie. Dopiero później warto rozstrzygać, czy status będzie kluczowy czy ważny.
To najważniejsza część dla wielu MŚP. Firma może nie być bezpośrednio podmiotem kluczowym lub ważnym, ale może obsługiwać klientów, którzy podlegają NIS2. Wtedy wymagania pojawią się w umowach, ankietach bezpieczeństwa, audytach, postępowaniach zakupowych i wymaganiach dostępowych.
Nie. PKD może być pomocnym punktem startu, ale nie zastępuje analizy rzeczywistej działalności. NIS2 dotyczy typów usług, sektorów, znaczenia działalności, skali i roli organizacji. Firma może mieć kod PKD ogólny, ale w praktyce świadczyć usługę krytyczną dla klienta regulowanego. Może też mieć kod technologiczny, ale wykonywać działalność poza zakresem NIS2.
Firma działa w sektorze NIS2, spełnia próg wielkości albo wyjątek niezależny od wielkości. W takim przypadku trzeba przygotować pełniejszy program zgodności i dowodów.
Firma działa blisko sektora regulowanego, ma nietypową rolę, jest częścią grupy, świadczy usługę o szczególnym znaczeniu albo jej kwalifikacja zależy od krajowych przepisów.
To bardzo częsty scenariusz dla MŚP. Firma nie musi być formalnym podmiotem regulowanym, ale klienci będą wymagać konkretnych zabezpieczeń i dowodów.
Firma nie działa w sektorze objętym, nie spełnia progu wielkości i nie ma klientów regulowanych. Warto jednak monitorować zmiany przepisów, klientów i modelu działalności.
Software house może nie być bezpośrednio podmiotem kluczowym lub ważnym, jeśli nie spełnia kryteriów NIS2. Może jednak być ważnym dostawcą dla podmiotu z sektora zdrowia. Klient może wymagać bezpiecznego SDLC, testów, zarządzania podatnościami, SLA, zgłaszania incydentów i kontroli podwykonawców.
Jeżeli klient produkcyjny podlega NIS2, dostawca IT może zostać objęty wymaganiami umownymi. Szczególnie jeśli ma dostęp administratora, obsługuje backup, konta użytkowników, sieć lub systemy krytyczne.
Typowy mały sklep internetowy zwykle nie będzie bezpośrednio objęty tylko dlatego, że działa online. Trzeba jednak sprawdzić skalę, typ usługi, ewentualny status platformy, dane klientów, dostawców płatności i wymagania umów.
Taka firma powinna wykonać analizę podlegania. Może być średnim przedsiębiorstwem, dostawcą usług cyfrowych lub ICT, a jednocześnie dostawcą dla klientów regulowanych. Nawet jeśli ostateczna kwalifikacja wymaga analizy prawnej, wymagania klientów są bardzo prawdopodobne.
Sama wielkość może wskazywać na brak bezpośredniego podlegania. Jeżeli jednak firma dostarcza krytyczne komponenty do sektora medycznego, energetycznego, transportowego albo dla dużych klientów regulowanych, może odczuć NIS2 przez łańcuch dostaw.
Jeżeli analiza wskazuje, że firma może być bezpośrednio objęta NIS2, nie należy czekać na audyt albo pismo od klienta. Trzeba przygotować plan gotowości.
To najczęstszy scenariusz dla MŚP. Wtedy firma powinna przygotować „NIS2 supplier readiness”, czyli pakiet dowodów i kontroli, których będą oczekiwać klienci regulowani.
Dostawca, który potrafi szybko odpowiedzieć na ankietę NIS2, pokazać dowody i wyjaśnić swój model bezpieczeństwa, ma przewagę w sprzedaży do większych klientów.
Mała firma może być pośrednio objęta przez klientów albo bezpośrednio przez wyjątek. Najpierw trzeba sprawdzić fakty.
PKD nie pokazuje pełnego obrazu usług, klientów, dostępu do systemów i znaczenia firmy w łańcuchu dostaw.
Wielkość firmy może zależeć od spółek partnerskich i powiązanych. To może zmienić kwalifikację.
Firma może być poza bezpośrednim zakresem, ale klient z sektora regulowanego może narzucić wymagania umowne.
Ustna odpowiedź „NIS2 nas nie dotyczy” jest słaba. Potrzebna jest notatka lub analiza z uzasadnieniem.
Nawet jeśli kwalifikacja wymaga doprecyzowania, firma może już wdrożyć minimum: MFA, backup, incident response, access review i szkolenia.
NIS2 to nie tylko analiza prawna. To także ryzyko cyber, dostawcy, incydenty, ciągłość działania i dowody.
Większe firmy będą pytać dostawców o zabezpieczenia. MŚP powinno mieć gotowe odpowiedzi i dowody.
Nawet jeśli firma nie podlega bezpośrednio NIS2, podstawowe zabezpieczenia są potrzebne. Chronią przed ransomware, phishingiem, przejęciem poczty, utratą danych i problemami w relacjach z klientami.
Firma SaaS zatrudnia 42 osoby. Dostarcza platformę do obsługi dokumentów dla klientów z produkcji, ochrony zdrowia i administracji lokalnej. Zarząd pyta, czy firma podlega NIS2, bo sama firma jest mała i nie uważa się za podmiot krytyczny.
Analiza pokazuje, że bezpośrednie podleganie wymaga sprawdzenia szczegółów usługi, wielkości, klientów i przepisów krajowych. Jednocześnie widać, że firma jest pośrednio dotknięta NIS2, bo kilku klientów może być podmiotami regulowanymi. Klienci już pytają o MFA, backup, zgłaszanie incydentów, testy bezpieczeństwa i podwykonawców.
Firma nie czeka na ostateczną interpretację. W 90 dni przygotowuje analizę podlegania, pakiet dowodów dla klientów, MFA, test restore, incident response plan, procedurę zgłaszania incydentów klientom i ocenę dostawców. Dzięki temu jest gotowa zarówno na wymagania klientów, jak i na dalszą analizę prawną.
ccyber.io pomaga MŚP ustalić, czy NIS2 może dotyczyć firmy bezpośrednio lub pośrednio. Łączymy perspektywę prawną, techniczną, dostawczą i biznesową. Nie kończymy na odpowiedzi „tak” lub „nie”. Przygotowujemy praktyczny plan działań i pakiet dowodów, który pomaga w rozmowach z klientami, audytorami i ubezpieczycielami.
Możemy wesprzeć organizację w obszarach:
Najlepszym pierwszym krokiem jest NIS2 Applicability Workshop dla MŚP. W krótkim warsztacie można ustalić, czy firma może być bezpośrednio objęta, czy jest pośrednio dotknięta przez klientów i jakie minimum warto wdrożyć niezależnie od finalnej kwalifikacji.
Nie. Mała firma zwykle nie podlega bezpośrednio tylko dlatego, że prowadzi działalność gospodarczą. Trzeba jednak sprawdzić sektor, usługę, wyjątki i klientów.
Nie. Średnia firma podlega wtedy, gdy działa w sektorze lub świadczy usługę objętą NIS2 albo spełnia szczególne kryteria. Sama wielkość nie wystarczy.
Nie. PKD może pomóc, ale nie zastępuje analizy rzeczywistej działalności, klientów, usług, danych, dostępu do systemów i roli w łańcuchu dostaw.
Nie zawsze bezpośrednio. Może jednak zostać objęty wymaganiami klienta w umowie, audycie, ankiecie bezpieczeństwa i procedurach zgłaszania incydentów.
Tak, jeśli spełnia kryteria sektora, wielkości albo szczególnej usługi. Nawet jeśli nie jest objęty bezpośrednio, może być pośrednio dotknięty jako dostawca systemów dla podmiotów regulowanych.
Przygotuj analizę podlegania, zbierz dane o firmie, usługach i klientach, sprawdź sektory NIS2 i skonsultuj wynik z prawnikiem lub doradcą. Równolegle wdrażaj podstawowe zabezpieczenia.
Najczęściej: MFA, backup, test odtworzenia, incident response plan, access review, szkolenia, zarządzanie podatnościami, bezpieczeństwo dostawców i procedura zgłaszania incydentów.
Zacznij od pięciu rzeczy: lista usług, lista klientów z sektorów regulowanych, dane o wielkości firmy, analiza wyjątków niezależnych od wielkości i szybki przegląd podstawowych zabezpieczeń.
Pytanie „czy moja firma podlega NIS2?” wymaga praktycznej analizy. Nie wystarczy sprawdzić wielkości firmy albo kodu PKD. Trzeba ocenić sektor, usługę, wyjątki, klientów, powiązania kapitałowe, dostęp do danych i systemów oraz aktualne przepisy krajowe.
Dla wielu MŚP najważniejszy będzie wpływ pośredni. Firma może nie być formalnym podmiotem kluczowym lub ważnym, ale jako dostawca dla podmiotu regulowanego będzie musiała pokazać zabezpieczenia, procedury i dowody.
Najlepsza zasada brzmi: nie czekaj na ankietę klienta albo kontrolę. Przygotuj analizę podlegania, wdroż minimum cyberbezpieczeństwa i zbierz dowody, które pokażą, że firma zarządza ryzykiem w praktyce.
Piszemy o regulacjach takich jak NIS2, DORA, CRA i ISO 27001, o bezpieczeństwie MŚP i infrastruktury krytycznej, a także o cyberhigienie, cyberzagrożeniach i budowaniu świadomości bezpieczeństwa w organizacji.
Każdy artykuł to praktyczna wiedza - bez żargonu i z konkretnymi wskazówkami do wdrożenia, które pomagają firmom skutecznie chronić dane, ludzi i ciągłość działania.