Nasz blog to praktyczne artykuły o cyberbezpieczeństwie i regulacjach, pisane prostym językiem zrozumiałym dla właścicieli firm i menedżerów. Poruszamy konkretne tematy, takie jak wymagania NIS2, DORA, CRA, wdrożenia norm ISO 27001, analiza incydentów, phishing, ransomware czy dobre praktyki dla MŚP.
Zamiast technicznego żargonu - oferujemy wskazówki, które można od razu zastosować w biznesie. Stawiamy na treści „do wdrożenia od zaraz": publikujemy checklisty, analizy zagrożeń, poradniki dla sektora MŚP i regularne aktualizacje o nowych przepisach.
Backup Microsoft 365: 8 dobrych praktyk i test odtwarzania danych
Jak skonfigurować backup Microsoft 365, żeby odzyskać potrzebne dane, a nie tylko otrzymywać raporty poprawnie wykonanych kopii? Omawiamy osiem praktyk: zakres ochrony Exchange, OneDrive, SharePoint i danych Teams, pojemność, niezależność kopii, częstotliwość, retencję, wersjonowanie, dostęp administratorów i testy. Artykuł zawiera również scenariusz sprawdzenia odtwarzania, kryteria odbioru oraz plan pierwszych 30 dni. Wyjaśniamy różnice między funkcjami Microsoft 365 a możliwościami konkretnych rozwiązań backupowych.
Opracowanie: Zespół redakcyjny CCyber
Dobry backup Microsoft 365 powinien pozwalać odzyskać właściwe dane, z odpowiedniego momentu, do użytecznego miejsca i w czasie akceptowalnym dla firmy. Sam komunikat o poprawnym wykonaniu zadania nie potwierdza wszystkich tych warunków.
Zacznij od zakresu: skrzynek Exchange Online, kont OneDrive, witryn SharePoint i konkretnych danych używanych w Teams. Następnie ustal częstotliwość, retencję, ochronę kopii przed zniszczeniem, dostęp administratorów i sposób odtwarzania. Rozwiązanie natywne Microsoft, produkt zewnętrzny albo ich połączenie oceniaj według tych samych potrzeb biznesowych.
19 września 2026 r.
Punktem wyjścia jest poradnik Xopero dotyczący praktyk backupu Microsoft 365. Informacje o działaniu usług sprawdzono w dokumentacji Microsoft oraz wytycznych instytucji bezpieczeństwa. Poniższe kryteria odbioru, scenariusz testowy i harmonogram są propozycją CCyber, nie gwarancją funkcjonalności konkretnego produktu.
Dla administratorów Microsoft 365, kierowników IT, właścicieli firm i osób nadzorujących zewnętrzną obsługę informatyczną. Szczególnie dla organizacji, które już wykonują kopie, ale nie sprawdziły ich kompletności, uprawnień po odtworzeniu ani czasu potrzebnego na wznowienie pracy.
Microsoft 365 udostępnia mechanizmy odzyskiwania danych oraz odrębną, płatną usługę Microsoft 365 Backup. Uruchomienie tej usługi wymaga konfiguracji rozliczenia i polityk ochrony. Nie należy zakładać, że sama licencja na pocztę i aplikacje oznacza aktywny backup. Procedurę opisuje dokumentacja uruchomienia Microsoft 365 Backup.
Kosz i historia wersji pomagają przy wybranych pomyłkach użytkownika. Retencja Microsoft Purview służy zachowaniu lub usuwaniu treści zgodnie z przyjętymi zasadami. Legal hold i eDiscovery nie są natomiast tym samym procesem co szybkie, masowe odtwarzanie po incydencie. To rozróżnienie wyjaśnia FAQ Microsoft 365 Backup.
W tym artykule skupiamy się na skonfigurowaniu i sprawdzeniu ochrony. Szersze uzasadnienie znajdziesz w materiale „Backup Microsoft 365: dlaczego sama chmura nie wystarczy”, dostępnym w kategorii Tożsamość, dostęp i bezpieczeństwo chmury.
Zamiast zapisywać „backup wszystkich użytkowników”, przygotuj listę potrzebnych danych. Uwzględnij pocztę, skrzynki współdzielone i archiwa, dokumenty osobiste oraz zespołowe, listy SharePoint i istotne materiały współpracy. Dla każdego elementu sprawdź obsługę w wybranym rozwiązaniu.
Teams wymaga osobnego doprecyzowania. Pliki przesyłane do kanałów są przechowywane w SharePoint, a pliki wysyłane w czatach w OneDrive osoby udostępniającej. Nie wynika z tego automatyczna możliwość przywrócenia wiadomości, struktury zespołu i uprawnień. Rozmieszczenie plików opisuje dokumentacja Microsoft Teams.
Osobno zaplanuj odzyskiwanie tożsamości i konfiguracji. Kopia dokumentów nie powinna być traktowana jako dowód zabezpieczenia całej konfiguracji środowiska.
Sprawdź również nowe konta i witryny. W Microsoft 365 Backup wybranie grupy przez filtr może utworzyć statyczną listę, a dynamiczne reguły są odrębnym mechanizmem. Szczegóły znajdują się w dokumentacji polityk ochrony.
Kryterium odbioru: dla każdego ważnego rodzaju danych wiadomo, czy jest chroniony, od kiedy, gdzie można go przywrócić i jakie pozostają wyłączenia.
Zbierz rozmiary skrzynek, archiwów, kont OneDrive i witryn SharePoint. Sprawdź przyrost danych oraz sposób rozliczania usuniętych elementów i wersji. Nie zakładaj, że koszt backupu będzie zawsze proporcjonalny wyłącznie do liczby pracowników.
Microsoft 365 Backup rozlicza chronioną zawartość według modelu zużycia. Dokumentacja wskazuje, że kalkulacja uwzględnia również określone dane usunięte i wersjonowane, a podstawowe raporty użycia nie pokazują wszystkich składników potrzebnych do oszacowania kosztu. Pomocny jest opis modelu rozliczeń i kalkulatora Microsoft.
Przy porównywaniu ofert zapytaj także o przechowywanie, dodatkowe kopie, eksport danych, pomoc przy odtwarzaniu i zakończenie współpracy. Są to pytania do konkretnej umowy, nie opłaty występujące automatycznie u każdego dostawcy.
Kryterium odbioru: budżet obejmuje uzgodniony zakres, przewidywany wzrost danych, obsługę i testy. Założenia są zapisane, a nie ukryte w jednej cenie „za użytkownika”.
Przy zasadzie 3-2-1 warto doprecyzować znaczenie liczb. Chodzi o trzy kopie danych, w tym dane produkcyjne i dwie kopie zapasowe, wykorzystanie co najmniej dwóch technologii przechowywania oraz jedną kopię w innej lokalizacji. „Dwa” nie oznacza po prostu dwóch folderów. Praktyczne rozwinięcie przedstawia CERT Polska w materiale o kopiach bezpieczeństwa.
W środowisku chmurowym dodatkowo sprawdź wspólne zależności: konta administratorów, uprawnienia do usuwania, klucze szyfrujące i możliwość odzyskania dostępu. Dwie kopie w różnych chmurach mogą nadal zależeć od jednego przejętego konta.
Microsoft opisuje dla własnego backupu przechowywanie w granicach zaufania Microsoft 365 oraz ochronę przed nadpisaniem. Usunięcie kopii ma odrębne zasady związane z wyłączeniem ochrony. Dlatego pozostawanie w jednym ekosystemie nie oznacza automatycznie braku zabezpieczeń, ale nie daje też niezależności od wszystkich jego awarii. Szczegóły zawiera opis architektury Microsoft 365 Backup.
Kryterium odbioru: potrafisz wskazać, które zdarzenie mogłoby jednocześnie zagrozić danym produkcyjnym, kopiom i dostępowi do odtwarzania oraz jakie zabezpieczenie ogranicza ten scenariusz.
RPO określa wymagany punkt odzyskania danych po zakłóceniu. W praktyce pomaga ustalić, jak dużą lukę w aktualności danych firma może zaakceptować. RTO dotyczy czasu, w którym trzeba przywrócić działanie. Definicje wyjaśnia słownik NIST dla RPO i RTO.
Proponowane w materiale wyjściowym rzadsze kopie dla mniej aktywnych użytkowników nie powinny być wdrażane wyłącznie na podstawie liczby zmian. Rzadko edytowany dokument może mieć kluczowe znaczenie dla firmy.
Uzgodnij wymagania z właścicielem procesu, a następnie sprawdź dostępne punkty przywracania. Ich odstępy mogą zależeć od usługi i wieku danych. W Microsoft 365 Backup dokumentacja rozróżnia pod tym względem Exchange oraz SharePoint i OneDrive.
Kryterium odbioru: rzeczywiście dostępny, użyteczny punkt przywracania mieści się w przyjętym RPO. Sam harmonogram zadania nie wystarcza, jeśli kopie kończą się błędem lub pozostają niekompletne.
Okres przechowywania kopii ustal na podstawie potrzeb odzyskiwania, wymagań dotyczących danych oraz czasu, po którym firma może wykryć ich utratę. Nie przyjmuj jednego okresu dla wszystkich informacji bez uzasadnienia.
93 dni nie jest uniwersalnym limitem ochrony wszystkich danych Microsoft 365. Dokumentacja wskazuje ten okres dla elementów w koszach SharePoint, liczony od usunięcia z pierwotnej lokalizacji. Nie jest to osobne 93 dni na każdy poziom kosza. Szczegóły opisuje instrukcja odzyskiwania elementów SharePoint.
Polityki Microsoft Purview mogą zachowywać treści według odrębnych okresów i zasad. Nie należy mylić ich z retencją produktu backupowego. Zasady przechowywania i usuwania wyjaśnia dokumentacja retencji Microsoft Purview.
Przed usunięciem konta pracownika sprawdź przejęcie danych, dostęp do wcześniejszych kopii i procedurę odtworzenia. Nie zakładaj, że odebranie licencji, usunięcie konta i zakończenie ochrony mają identyczny skutek.
Kryterium odbioru: firma zna najstarszy potrzebny punkt odzyskania oraz sposób postępowania z danymi po odejściu pracownika i zakończeniu umowy z dostawcą backupu.
Historia wersji, retencja i backup mogą się uzupełniać. Microsoft wskazuje, że wersjonowanie pomaga przy odzyskiwaniu wcześniejszej treści, ale ma inne właściwości niż masowe przywracanie po rozległym incydencie. Nie wyłączaj go wyłącznie dlatego, że kupiono backup.
Zweryfikuj odtwarzanie pojedynczej wiadomości, pliku lub folderu oraz większego zakresu. Ustal, czy operacja nadpisuje stan bieżący, tworzy kopię w innym miejscu, zachowuje wymagane metadane i nie udostępnia treści niewłaściwym osobom.
Nowe konto, nowy adres witryny i inny tenant to różne cele odtwarzania. Tenant oznacza odrębne środowisko organizacji w Microsoft 365. Dostępność jednej opcji nie potwierdza pozostałych. Wymagaj dokumentacji konkretnego produktu i testu potrzebnego scenariusza.
Kryterium odbioru: odzyskanie pojedynczego elementu nie wymusza nieuzgodnionego cofnięcia pracy całego zespołu, a ograniczenia większego odtworzenia są znane przed incydentem.
Oddziel codzienną pracę od administracji backupem. Stosuj konta imienne, silne uwierzytelnianie i role ograniczone do wymaganych czynności. Sprawdź również uprawnienia aplikacji integracyjnej, poświadczenia techniczne i sposób ich odnowienia.
Microsoft rekomenduje używanie najmniej uprzywilejowanych ról i opisuje dedykowaną rolę administratora backupu. Warto też włączyć powiadomienia o istotnych zmianach. Ich kanał i częstotliwość trzeba jednak znać, zamiast zakładać natychmiastowe alarmowanie.
Konto w domenie onmicrosoft.com nie jest osobnym tenantem ani niezależną kopią danych. Konto awaryjne utworzone wyłącznie w chmurze może ograniczyć zależność od federacji lub środowiska lokalnego. Microsoft zaleca dla takich kont silne, odporne na phishing uwierzytelnianie, monitoring i regularną weryfikację. Opisuje to instrukcja zarządzania kontami awaryjnymi.
Kryterium odbioru: uprawniona osoba potrafi rozpocząć odzyskiwanie także przy niedostępności zwykłego konta administratora. Ta ścieżka jest zabezpieczona i testowana, a nie oparta na haśle zapisanym w publicznym dokumencie.
Xopero proponuje regularne testy w środowisku testowym. To podejście wymaga dopasowania do obsługiwanych metod odtwarzania, licencji oraz zasad ochrony danych. Nie zakładaj, że każdy produkt przeniesie wszystkie dane do innego tenanta.
Jako punkt startowy CCyber rekomenduje test po uruchomieniu ochrony, następnie ustalony cykl, na przykład kwartalny dla wybranych usług, oraz dodatkową weryfikację po istotnych zmianach. Częstotliwość powinna odpowiadać ryzyku. Test jednego pliku nie potwierdza wydajności odtworzenia setek skrzynek.
Na bieżąco sprawdzaj także brak nowych punktów przywracania, wyłączenia kont i witryn oraz błędy integracji. Powiadomienie musi mieć odbiorcę, zastępstwo i termin reakcji.
Regularne testowanie dostępności i integralności kopii zaleca również CISA w przewodniku #StopRansomware.
Kryterium odbioru: znasz ostatni pozytywny wynik testu, jego zakres oraz braki wymagające naprawy. Nie utożsamiasz statusu „backup wykonany” ze statusem „odtwarzanie sprawdzone”.
Poniższy scenariusz jest propozycją CCyber. Wykonuj go na uzgodnionych zasobach testowych, bez uruchamiania ransomware i bez celowego niszczenia danych produkcyjnych.
Przygotuj kontrolowany zestaw: wiadomość z załącznikiem, dokument z kilkoma wersjami oraz folder z różnymi uprawnieniami. Zapisz oczekiwaną zawartość, użytkownika uprawnionego i osobę, która nie powinna uzyskać dostępu.
Ustal wymagany punkt odzyskania, dopuszczalny czas oraz miejsce odtworzenia. Potwierdź, że wybrany wariant jest obsługiwany. Gdy potrzebny jest osobny tenant, sprawdź to przed rozpoczęciem testu.
Potwierdź wykonanie kopii, a następnie przeprowadź uzgodnioną zmianę lub usunięcie wyłącznie w zestawie testowym. Wybierz punkt sprzed zmiany. Zapisz jego czas i zakres.
Uwzględnij także starszy punkt odzyskania. Test wyłącznie najnowszej kopii nie odpowiada na pytanie, co stanie się przy późnym wykryciu utraty danych.
Zweryfikuj treść, załączniki, potrzebne metadane i uprawnienia. Potwierdź możliwość wykonania uzgodnionej czynności biznesowej, na przykład odczytania oferty i jej załącznika przez właściwą osobę.
Zapisz osobno czas operacji narzędzia oraz całego ćwiczenia, obejmującego zgłoszenie, decyzję, uzyskanie dostępu i potwierdzenie wyniku. Porównuj RTO z wcześniej ustalonym zakresem pomiaru, nie tylko z czasem kopiowania.
Protokół powinien zawierać zakres, datę, osobę wykonującą, punkt przywracania, czas, rezultat kontroli dostępu i listę ograniczeń. Każdemu brakowi przypisz właściciela, termin i ponowny test.
Po odbiorze usuń dodatkowe kopie testowe zgodnie z uzgodnionymi zasadami. Nie pozostawiaj poufnych materiałów w słabiej chronionej przestrzeni tylko dlatego, że test się udał.
Przykład modelowy. Dla biblioteki dokumentów firma przyjęła RPO jednej godziny i RTO czterech godzin. W ćwiczeniu symulowany incydent następuje o 10:00, a najnowszy użyteczny punkt odzyskania pochodzi z 8:00.
Odtwarzanie kończy się szybko i użytkownik może pracować. Nadal pozostaje jednak dwugodzinne okno potencjalnej utraty danych, większe niż uzgodniona godzina. Pozytywny wynik czasowy nie usuwa tej rozbieżności.
Do naprawy może być częstotliwość, obsługa błędów albo zakres ochrony. Nie należy automatycznie kupować szybszego magazynu, jeśli problemem jest brak właściwego punktu przywracania.
Uzgodnij ważne usługi, dane, RPO i RTO. Porównaj je z rzeczywistą ochroną. Zapisz nieobsługiwane elementy, konta pominięte w politykach i niewyjaśnione zależności.
Uzupełnij zakres, retencję, role administratorów i powiadomienia. Z dostawcą ustal obsługę błędów, odtwarzanie po godzinach oraz zasady odzyskania danych po zakończeniu umowy.
Przeprowadź uzgodniony test, sprawdź wynik biznesowy i przedstaw pozostałe braki. Zatwierdź dalsze działania oraz cykl weryfikacji. Taki plan porządkuje wdrożenie, ale nie gwarantuje zakończenia wszystkich prac w miesiąc.
Zamiast samej liczby wykonanych kopii pokaż, które ważne usługi mają ochronę i użyteczny punkt odzyskania zgodny z wymaganiami, kiedy przeprowadzono ich test oraz jakie wyłączenia pozostają otwarte.
Rozdziel trzy stany: chronione i sprawdzone, chronione, ale niesprawdzone oraz niechronione lub nieznane. Raport powinien prowadzić do decyzji o ryzyku i zasobach, nie ukrywać braków za jednym procentem skuteczności.
W kategorii Tożsamość, dostęp i bezpieczeństwo chmury znajdziesz również artykuły o kontach uprzywilejowanych i śladzie audytowym. Przy planowaniu większego odtworzenia przydadzą się materiały o reagowaniu na incydenty i ciągłości działania.
W ramach bezpiecznych wdrożeń IT CCyber wspiera konfigurację bezpieczeństwa, dostępów i kopii zapasowych, w tym w Microsoft 365.
Sprawdź, czy Twój backup odpowiada rzeczywistym potrzebom odzyskiwania. Punktem wyjścia do ustalenia zakresu wsparcia może być lista chronionych usług, przyjęte RPO i RTO oraz wynik ostatniego testu. Nie przekazuj danych dostępowych ani kopii firmowych dokumentów przed uzgodnieniem bezpiecznej formy współpracy.
Nie ma jednej odpowiedzi dla każdej firmy. Microsoft oferuje własną usługę backupu, a na rynku istnieją rozwiązania zewnętrzne. Wybór powinien uwzględniać zakres, retencję, sposób odtwarzania i wymagany poziom niezależności. Produkt zewnętrzny może również korzystać z platformy Microsoft 365 Backup Storage.
Tylko wtedy, gdy rzeczywiście dostępne punkty odzyskania odpowiadają dopuszczalnej utracie danych. Dla procesu, który nie może utracić więcej niż godziny zmian, jedna kopia dziennie nie spełnia takiego wymagania.
Nie należy tego zakładać. Ochrona plików to inny zakres niż odtwarzanie komunikacji, konfiguracji i struktury współpracy. Sprawdź obsługiwane typy danych oraz rezultat testu konkretnego rozwiązania.
Nie. To funkcja zależna od produktu, typu danych i warunków usługi. Odtworzenie do nowego adresu witryny albo innego konta w tej samej organizacji nie potwierdza obsługi odrębnego tenanta.
Pomaga odzyskać dane, ale nie usuwa przyczyny przejęcia i nie cofa ich wcześniejszej kradzieży. Odtwarzanie trzeba połączyć z opanowaniem incydentu oraz sprawdzeniem środowiska docelowego, zgodnie z zasadami reagowania opisanymi przez CISA.
Najlepsze praktyki backupu Microsoft 365 zaczynają się od potrzeb odzyskiwania, a kończą na sprawdzonym wyniku. Pomiędzy nimi znajdują się zakres ochrony, pojemność, niezależność kopii, częstotliwość, retencja, wersjonowanie i kontrola dostępu.
Nie pytaj wyłącznie, czy kopia się wykonała. Sprawdź, czy właściwe osoby odzyskają właściwe dane w wymaganym czasie, bez nieuzgodnionej utraty zmian i nadmiernego dostępu. Dopiero taki rezultat pozwala ocenić, czy wdrożenie odpowiada potrzebom firmy.
NIS2 w Polsce: 7 pułapek w interpretacji obowiązków KSC
Plan wdrożenia NIS2 przygotowany na podstawie projektu ustawy może wymagać aktualizacji. Wyjaśniamy siedem pułapek dotyczących statusu podmiotu, rejestracji, terminów, kar, zgłaszania incydentów i odpowiedzialności kierownictwa. Pokazujemy, dlaczego sześć miesięcy nie oznacza jednego terminu na wszystkie obowiązki, a 100 mln zł nie jest automatyczną karą za każdą lukę. Artykuł zawiera również praktyczny sposób aktualizacji wcześniejszej analizy i planu działań na podstawie obowiązującej ustawy o KSC.
Opracowanie: Zespół redakcyjny CCyber
Przygotowanie firmy do NIS2 w Polsce powinno opierać się na obowiązującej ustawie o krajowym systemie cyberbezpieczeństwa, a nie na założeniach wcześniejszego projektu. Trzeba osobno ustalić status organizacji, termin rejestracji, termin wdrożenia obowiązków i zasady audytu. Równie ważne jest prawidłowe odczytanie terminów zgłoszeń oraz przesłanek kar.
Nie wystarczy przyjąć, że każda firma z wymienionej branży jest podmiotem kluczowym, wszystkie obowiązki trzeba wykonać w sześć miesięcy, a odpowiedzialność przejmie dostawca IT. Takie uproszczenia mogą prowadzić do błędnego zakresu projektu, niepotrzebnych wydatków albo pominięcia rzeczywistych obowiązków.
19 września 2026 r.
Materiał wyjściowy zestawiamy z obowiązującymi przepisami i komunikatami instytucji publicznych. Proponowany sposób przeglądu planu jest rekomendacją CCyber, nie urzędową procedurą. Ocena konkretnej organizacji wymaga uwzględnienia jej działalności, struktury i właściwych przepisów szczególnych.
Dla zarządów, właścicieli firm, osób odpowiedzialnych za zgodność oraz zespołów prowadzących wdrożenie NIS2 i KSC. Szczególnie dla organizacji, które przygotowały analizę podlegania, budżet lub harmonogram przed uchwaleniem nowelizacji i nie sprawdziły jeszcze, czy przyjęte założenia pozostają prawidłowe.
Opracowanie Copla o wdrożeniu NIS2 w Polsce, zaktualizowane 19 stycznia 2026 r., przedstawia stan prac nad projektem. Zawiera szacunkowe okna rejestracji i wdrożenia oraz odniesienia do projektowanej klasyfikacji żywności i chemikaliów.
Poniższe wyjaśnienia dotyczą już prawa uchwalonego. Nie należy przypisywać ich wcześniejszemu opracowaniu ani traktować jego prognoz jako aktualnego harmonogramu.
Ustawa z 23 stycznia 2026 r. zmieniająca ustawę o krajowym systemie cyberbezpieczeństwa została ogłoszona 2 marca 2026 r. i weszła w życie 3 kwietnia 2026 r. Potwierdza to oficjalna metryka aktu w ELI.
Wejście w życie nie oznacza jednak, że wszystkie nowe obowiązki należało wykonać tego samego dnia. Ustawa przewiduje przepisy przejściowe. Z drugiej strony okres dostosowawczy nie oznacza, że organizacja może ignorować dotychczasowe obowiązki, aktywne incydenty albo terminy rejestracyjne.
Co poprawić w planie: usuń określenia „po uchwaleniu ustawy” i „termin do potwierdzenia”, jeżeli dotyczą już rozstrzygniętych kwestii. Każdemu obowiązkowi przypisz aktualną podstawę, datę oraz warunek rozpoczęcia biegu terminu.
Znaczenie branży dla gospodarki nie zastępuje kwalifikacji prawnej. KSC rozróżnia sektory i rodzaje podmiotów, a status organizacji wynika z połączenia działalności, kryteriów wielkościowych oraz przepisów szczególnych.
W obowiązującym załączniku nr 2 znajdują się między innymi produkcja, przetwarzanie i dystrybucja żywności oraz produkcja, wytwarzanie i dystrybucja chemikaliów. Są to sektory ważne. Nie oznacza to automatycznie, że każda organizacja z tych branż podlega ustawie albo że nigdy nie może uzyskać statusu podmiotu kluczowego na innej podstawie.
Trzeba odczytać również opis rodzaju podmiotu. W obszarze żywności załącznik odnosi się do przedsiębiorstw zajmujących się dystrybucją hurtową oraz przemysłową produkcją i przetwarzaniem. Ogólne określenie „firma spożywcza” jest za mało precyzyjne.
Podstawą oceny są art. 5 oraz załączniki do KSC. Przy ocenie wielkości trzeba uwzględnić właściwe zasady dotyczące przedsiębiorstw powiązanych i partnerskich oraz wyłączenia przewidziane w ustawie.
Art. 8i KSC określa szczególne zasady dla podmiotów z sektorów bankowości i infrastruktury rynków finansowych. Wyłącza stosowanie części przepisów dotyczących SZBI i raportowania, ale pozostawia wskazane obowiązki. Nie należy ani dublować całego programu DORA i KSC, ani zakładać całkowitego wyłączenia z KSC.
Co poprawić w planie: dla każdej spółki zapisz rodzaj działalności, podstawę kwalifikacji, uzasadnienie statusu i ewentualne wyjątki. Sama nazwa grupy kapitałowej nie zastępuje analizy poszczególnych podmiotów.
W KSC występuje kilka różnych terminów. Sześć miesięcy może dotyczyć rejestracji albo szczególnego obowiązku przejściowego, ale nie jest uniwersalnym terminem wdrożenia całego systemu bezpieczeństwa.
Poniższe daty dotyczą właściwego okresu przejściowego dla organizacji spełniających przesłanki objęcia ustawą 3 kwietnia 2026 r. Wyjaśnia je harmonogram Ministerstwa Cyfryzacji.
To termin złożenia wniosku o wpis do Wykazu KSC przez podmioty zobowiązane do samorejestracji. Część organizacji jest wpisywana z urzędu i podlega właściwemu trybowi uzupełnienia danych. Nie należy składać wszystkich obowiązków rejestrowych pod jednym hasłem „czekamy na pismo”.
Aktualny obowiązek samodzielnej identyfikacji i rejestracji przypomina komunikat Ministerstwa z 3 września 2026 r.
Dla podmiotów objętych odpowiednim okresem dostosowawczym jest to termin wdrożenia obowiązków oraz rozpoczęcia korzystania z S46 zgodnie z harmonogramem. Chodzi o działające procesy i zabezpieczenia, a nie dopiero zatwierdzenie projektu.
Termin dotyczy nowych podmiotów kluczowych, które nie były wcześniej operatorami usług kluczowych. Dotychczasowi OUK zachowują swój cykl audytowy. Podmiot ważny nie otrzymuje automatycznie identycznego obowiązku pierwszego audytu tylko dlatego, że podlega KSC.
Przy późniejszym spełnieniu przesłanek co do zasady trzeba odrębnie uwzględnić sześć miesięcy na wniosek o wpis, 12 miesięcy na realizację obowiązków i 24 miesiące na pierwszy audyt podmiotu kluczowego. Podstawę stanowią art. 7c i 16 KSC, z uwzględnieniem szczególnych trybów i wyłączeń.
Dodatkowo art. 33 ust. 4 nowelizacji przewiduje dla dotychczasowych OUK sześciomiesięczny termin przejścia na nowy model zgłaszania incydentów poważnych. To kolejny powód, aby nie stosować jednej daty do wszystkich organizacji i zadań.
Co poprawić w planie: prowadź osobno rejestrację, wdrożenie, raportowanie i audyt. Rejestracja nie potwierdza zgodności, a termin audytu nie przedłuża czasu na wdrożenie zabezpieczeń.
Obie części tego stwierdzenia wymagają rozdzielenia. KSC określa różne podstawy i zasady kar. Kwota z nagłówka nie jest gotowym wyliczeniem sankcji dla konkretnej firmy.
Art. 73 ust. 3 przewiduje dla podmiotu kluczowego limit odpowiadający 10 mln euro albo 2% przychodów z działalności gospodarczej z poprzedniego roku obrotowego, przy zastosowaniu kwoty wyższej. Przepis wskazuje również dolną granicę 20 000 zł.
Art. 73 ust. 4 odnosi się do 7 mln euro albo 1,4% takich przychodów dla podmiotu ważnego i wskazuje dolną granicę 15 000 zł. Przy konkretnej analizie trzeba uwzględnić pełne brzmienie przepisów, zasady przeliczenia waluty i regulacje szczególne.
Nie należy utożsamiać tych kwot z karą należną za każde wykryte uchybienie. Ustawa określa podstawy odpowiedzialności oraz kryteria ustalania sankcji. Nie należy też zamieniać przychodu na zysk ani bez analizy przenosić do kalkulacji polskiej sankcji uproszczonego opisu globalnego obrotu z materiału o dyrektywie.
Art. 73 ust. 5 dotyczy naruszeń powodujących zagrożenia określone w tym przepisie, związane między innymi z bezpieczeństwem państwa, życiem i zdrowiem ludzi oraz poważnymi szkodami lub utrudnieniami w świadczeniu usług.
Nie jest to automatyczna sankcja za brak pojedynczego dokumentu ani uniwersalny limit wszystkich kar KSC. Zastosowanie przepisu wymaga oceny jego przesłanek. Podstawę stanowi art. 73 KSC.
Art. 35 ustawy nowelizującej odracza możliwość pierwszego nałożenia kar wymienionych w art. 73 ust. 1-4, art. 73a-73c i art. 76b do upływu dwóch lat od wejścia w życie nowelizacji.
Przepis ten nie wymienia art. 73 ust. 5. Dlatego ogólnego komunikatu „kary dopiero od 2028 r.” nie należy odczytywać jako całkowitego wyłączenia wszelkich sankcji. Sam brak wymienienia przepisu nie przesądza jeszcze o możliwości ukarania konkretnej firmy w konkretnym dniu. Trzeba ustalić obowiązujący ją obowiązek, jego termin oraz przesłanki odpowiedzialności.
Ten szczegół można sprawdzić bezpośrednio w art. 35 nowelizacji. Odroczenie określonych kar nie przesuwa terminów wdrożenia i nie usuwa odrębnych uprawnień nadzorczych organów.
Co poprawić w planie: oddziel ryzyko sankcji od dat wykonania obowiązków. Nie buduj harmonogramu bezpieczeństwa wyłącznie na założeniu, kiedy może pojawić się kara.
W ogólnym modelu raportowania KSC wczesne ostrzeżenie przekazuje się niezwłocznie, nie później niż w ciągu 24 godzin od wykrycia incydentu poważnego. Zgłoszenie incydentu przekazuje się niezwłocznie, nie później niż w ciągu 72 godzin od tego samego momentu wykrycia.
Nie jest to 24 godziny plus kolejne 72 godziny. Termin nie zaczyna biec dopiero po akceptacji formularza przez zarząd. Nie należy też oczekiwać na zakończenie całej analizy technicznej, aby przekazać informacje znane na etapie zgłoszenia.
Sprawozdanie końcowe przekazuje się co do zasady w ciągu miesiąca od zgłoszenia incydentu. Gdy obsługa nadal trwa, art. 12b przewiduje sprawozdanie z postępu i późniejsze sprawozdanie końcowe.
Istnieją wyjątki. Dostawcy usług zaufania mają skrócony termin zgłoszenia. Szczególne zasady dotyczą także wskazanych podmiotów publicznych i sektorów finansowych. Trzeba również uwzględnić właściwy okres przejściowy. Nie kopiuj jednego schematu do każdej organizacji.
Praktyczne kanały i podstawowe terminy opisuje instrukcja zgłaszania incydentów przez S46. Podstawy prawne znajdują się w art. 11-12c KSC.
Co poprawić w planie: zapisz moment rozpoczęcia biegu terminów, właściwego odbiorcę, zastępstwa i kanał awaryjny. Scenariusze do ćwiczeń znajdziesz w materiałach CCyber o reagowaniu na incydenty i ciągłości działania.
Art. 8c KSC wskazuje, że kierownik podmiotu ponosi odpowiedzialność również wtedy, gdy określone obowiązki powierzono innej osobie za jej zgodą. Outsourcing pomaga wykonać zadania, ale nie usuwa automatycznie odpowiedzialności ustawowej.
Art. 8d i 8e obejmują między innymi decyzje dotyczące SZBI, planowanie środków finansowych, przydzielanie zadań, nadzór i udokumentowane szkolenie kierownictwa raz w roku kalendarzowym. Odpowiedzialność kontraktowa wykonawcy i odpowiedzialność kierownika wynikają z różnych podstaw.
Co poprawić w planie: wskaż nie tylko wykonawcę, ale także osobę podejmującą decyzję i odbierającą rezultat po stronie organizacji. Tematy te rozwijamy w kategorii Ryzyko cyber, governance i vCISO.
Wewnętrzna ocena dostawcy jako ryzykownego nie jest tym samym co formalne uznanie go za dostawcę wysokiego ryzyka w procedurze z art. 67b KSC. Ustawa przewiduje odrębny mechanizm i skutki odnoszące się do zakresu odpowiedniej decyzji.
Nie zakładaj obowiązku wymiany wszystkich produktów wyłącznie na podstawie nazwy producenta albo ogólnego komentarza prasowego. Sprawdzaj właściwą decyzję, objęte nią produkty lub usługi oraz terminy wynikające z przepisów.
Narzędzie GRC może pomagać w prowadzeniu rejestrów, przypisywaniu zadań i gromadzeniu dowodów. Nie zastępuje jednak decyzji kierownictwa, konfiguracji systemów, reagowania na incydenty ani sprawdzenia skuteczności zabezpieczeń.
Art. 10 KSC rozróżnia dokumentację normatywną i operacyjną. Ta druga obejmuje zapisy potwierdzające wykonanie czynności, w tym zapisy systemowe. Ustawa dopuszcza dokumentację papierową lub elektroniczną. Sam zakup określonej platformy nie jest zatem ogólnym warunkiem spełnienia KSC.
Podobnie certyfikat ISO/IEC 27001 może wspierać ocenę dojrzałości, ale nie jest samodzielnym potwierdzeniem wykonania każdego obowiązku KSC. Trzeba porównać zakres certyfikacji z zakresem podlegania oraz sprawdzić obowiązki rejestrowe, zgłoszeniowe i audytowe.
Co poprawić w planie: do każdego zadania dodaj kryterium odbioru. „Zakupiono usługę” i „potwierdzono działanie usługi w wymaganym zakresie” powinny być odrębnymi statusami.
Poniższy sposób pracy jest rekomendacją CCyber. Pozwala poprawić wcześniejszy projekt bez automatycznego odrzucania wykonanych analiz i wdrożeń.
Sprawdź analizę podlegania, harmonogram, zakres audytu, procedury incydentowe i prezentacje dla zarządu. Szukaj szczególnie dat, progów, definicji i stwierdzeń „nie dotyczy”. Zapisz, na jakiej wersji źródła oparto każde istotne założenie.
Dla każdej rozbieżności wskaż podstawę prawną i wpływ na organizację. Nie poprawiaj tylko daty w nagłówku. Zmiana statusu podmiotu może wpływać również na audyt, model nadzoru i zakres zamówionej usługi.
Przypisz właściciela, termin i kryterium wykonania. Zapisz, czy potrzebna jest zmiana dokumentu, konfiguracji, umowy czy decyzji budżetowej. Zachowaj historię zmian, zamiast przedstawiać poprawiony dokument jako obowiązujący od początku projektu.
Przekaż kierownictwu krótką informację: co się zmieniło, które wcześniejsze działania pozostają użyteczne, co wymaga poprawy i jakie decyzje są potrzebne. Najważniejsze jest usunięcie rozbieżności między formalnym planem a faktycznymi obowiązkami.
Przykład modelowy, nie opis konkretnego klienta. Firma przemysłowo przetwarzająca żywność przygotowała projekt na podstawie wcześniejszego opracowania. Założono status podmiotu kluczowego, jeden sześciomiesięczny termin oraz automatyczny obowiązek pierwszego audytu w 2028 r.
Aktualna analiza, przy przyjętych w przykładzie warunkach wielkościowych i braku innej podstawy statusu kluczowego, wskazuje na podmiot ważny. Firma rozdziela rejestrację od wdrożenia, aktualizuje zakres zamówienia audytowego i zachowuje zaplanowane testy bezpieczeństwa jako działania wynikające z ryzyka.
Nie rezygnuje z ochrony tylko dlatego, że zmieniła się kwalifikacja. Usuwa natomiast błędne uzasadnienia i dopasowuje wydatki do właściwych obowiązków. Wcześniejsza analiza techniczna nadal może być użyteczna, choć jej część regulacyjna wymaga korekty.
Szersze omówienia obowiązków, dowodów i przygotowania do kontroli znajdziesz w kategorii Regulacje cyber UE i zgodność. Ten artykuł koncentruje się na sprawdzeniu założeń prawnych, zanim zostaną przeniesione do budżetu i harmonogramu.
Program zgodności NIS2 CCyber obejmuje analizę luk, ocenę dojrzałości, plan działań oraz wsparcie wdrożenia polityk, procedur i kontroli.
Sprawdź, czy Twój plan NIS2 odpowiada aktualnym wymaganiom KSC. Punktem wyjścia może być istniejąca analiza, harmonogram i lista nierozstrzygniętych kwestii. Celem przeglądu powinno być ustalenie konkretnych zmian, a nie przygotowanie kolejnego ogólnego raportu.
Nie automatycznie. Najpierw sprawdź jego datę, zakres, zastosowane kryteria i aktualność dowodów. Część techniczna może pozostać przydatna, a część regulacyjna wymagać uzupełnienia. Odrębnie oceń, czy badanie spełnia warunki audytu ustawowego.
Nie. Rejestracja jest odrębną czynnością. Nie potwierdza sama w sobie wdrożenia SZBI, działania zabezpieczeń ani gotowości do obsługi incydentów.
Brak identycznego obowiązku okresowego audytu jak dla podmiotu kluczowego nie oznacza braku weryfikacji. Organ może nakazać audyt w ustawowo określonych okolicznościach. Testy i oceny mogą być również potrzebne do sprawdzania skuteczności zabezpieczeń.
Nie. Przesłanki, odbiorcy i zakres informacji są różne. Jeden incydent może wymagać oceny obowiązków w kilku reżimach. Procedura powinna prowadzić te oceny równolegle, zamiast zakładać, że jeden formularz zamyka sprawę.
Nie. Trzeba wskazać konkretny obowiązek. Przykładowo ogólny termin na złożenie wniosku o wpis wiąże się ze spełnieniem przesłanek, a obowiązek uzupełnienia danych może mieć inny moment rozpoczęcia biegu terminu.
Największym problemem wcześniejszych planów NIS2 nie musi być jakość pracy technicznej. Może nim być pozostawienie założeń z projektu ustawy w dokumentach, na podstawie których organizacja nadal podejmuje decyzje.
Sprawdź status, rozdziel terminy, zweryfikuj zasady raportowania i przypisz odpowiedzialność. Kary analizuj na podstawie konkretnych przepisów, a postęp wdrożenia oceniaj przez wykonane i sprawdzone działania. Dzięki temu aktualizacja programu poprawi jego trafność bez niepotrzebnego rozpoczynania wszystkiego od nowa.
Cyberbezpieczeństwo małej firmy: checklista i polityka haseł [PDF]
Pobierz pakiet Cybersecurity Toolkit dla małej firmy: checklistę 12 pytań, kartę ryzyka, wzór polityki haseł i dostępu oraz formularze dotyczące backupu, incydentów i dostawców IT. Pokazujemy, jak uzupełnić materiały, wybrać pierwsze działania i sprawdzić ich wykonanie. Pakiet pomaga rozpocząć porządkowanie bezpieczeństwa bez rozbudowanej dokumentacji. Nie zastępuje audytu ani pełnego SZBI, ale daje właścicielowi firmy i osobie obsługującej IT wspólny punkt wyjścia do pracy.
Opracowanie: Zespół redakcyjny CCyber
Cybersecurity Toolkit dla małej firmy to pakiet arkuszy, które pomagają przejść od pytania „czy jesteśmy zabezpieczeni?” do konkretnych działań. Zawiera checklistę ryzyk, wzór polityki haseł i dostępu, kartę ryzyka, ewidencję ważnych usług oraz formularze dotyczące odtwarzania danych, incydentów i współpracy z dostawcą IT.
Materiał służy do pierwszego przeglądu i uporządkowania pracy. Nie ocenia automatycznie bezpieczeństwa firmy i nie potwierdza zgodności z przepisami. Najważniejszy rezultat to nie wypełniony PDF, lecz ustalenie, co trzeba poprawić, kto za to odpowiada i jak sprawdzimy wykonanie.
19 września 2026 r.
Pakiet jest autorskim materiałem roboczym CCyber. Zalecenia techniczne oparto na publicznych wytycznych NIST, CERT Polska, NCSC i CISA. Dobór pytań, formularze i plan pracy są propozycją CCyber, a nie urzędowym formularzem ani certyfikatem.
Dla właścicieli małych firm, osób zarządzających biurem, kierowników IT i organizacji korzystających z zewnętrznej obsługi informatycznej. Szczególnie dla zespołów, które mają już pocztę firmową, aplikacje chmurowe, dane klientów i kopie zapasowe, ale nie mają wspólnego obrazu bezpieczeństwa.
Arkusze można wykorzystać podczas rozmowy z dostawcą IT, przeglądu wewnętrznego albo przygotowania pierwszego planu działań. W większej lub silnie regulowanej organizacji będą materiałem pomocniczym, nie kompletnym systemem zarządzania.
Pobierz pakiet PDF po polsku: checklista, polityka haseł i arkusze robocze
Pobierz angielską wersję pakietu: Small Business Cybersecurity Toolkit
Każda wersja ma 12 stron. Arkusze można wydrukować albo uzupełnić funkcją dodawania tekstu i oznaczeń w czytniku PDF. Nie zawierają interaktywnych pól formularza. Puste strony robocze można kopiować na potrzeby wewnętrznej pracy organizacji.
Wzór polityki pozostaje projektem do czasu dopasowania go do firmy i zatwierdzenia przez właściwą osobę.
Na stronach 2-3 sprawdzisz między innymi dostęp do kont, MFA, aktualizacje, kopie zapasowe, reagowanie na phishing i zasady pracy z dostawcami. Przy każdym pytaniu znajduje się miejsce na status oraz dowód lub opis braku.
Strona 4 pomaga rozwinąć wybraną lukę w scenariusz ryzyka: co może się wydarzyć, jaki będzie skutek dla firmy, jakie zabezpieczenia już działają i co należy zrobić dalej.
Strona 5 służy do wskazania usług, bez których firma nie może normalnie pracować. Łączy proces biznesowy z systemem, dostawcą, właścicielem, ochroną dostępu i backupem. To ewidencja startowa, nie pełna inwentaryzacja całego środowiska.
Strona 6 zawiera zasady dla użytkowników oraz miejsca na zatwierdzenie, właściciela i termin przeglądu. Strona 7 pomaga sprawdzić, czy zasady są rzeczywiście wymuszane w aplikacjach i gdzie występują ograniczenia techniczne.
Na stronie 8 zapiszesz, co odtwarzano, jaki wynik był oczekiwany, ile trwał test i czy właściciel procesu potwierdził przydatność odzyskanych danych.
Strona 9 zawiera miejsca na kontakty oraz podstawowe zasady postępowania po zauważeniu podejrzanej sytuacji. Jest przeznaczona do uzupełnienia przed incydentem, gdy można spokojnie uzgodnić role i sposób kontaktu.
Strona 10 pomaga ustalić, kto aktualizuje systemy, obsługuje backup i odbiera alerty. Zawiera również krótką listę czynności przy zakończeniu współpracy.
Strona 11 pozwala zapisać trzy priorytetowe działania wraz z wykonawcą, terminem i kryterium sprawdzenia. Strona 12 wyjaśnia podstawowe pojęcia i prowadzi do źródeł.
Zacznij od określenia zakresu. Zapisz, jaką firmę, lokalizację, usługę lub grupę systemów sprawdzasz. Inaczej odpowiedź „mamy MFA” może dotyczyć poczty, ale nie obejmować dostępu administratora do backupu.
Do rozmowy zaproś osobę znającą proces biznesowy oraz osobę obsługującą IT. Właściciel firmy może ocenić skutki przestoju, a administrator potwierdzić konfigurację. Żadna z tych perspektyw nie zastępuje drugiej.
Takie łączenie potrzeb biznesowych z zarządzaniem bezpieczeństwem jest zgodne z kierunkiem przewodnika NIST CSF 2.0 dla małych firm. Nasza checklista jest uproszczonym narzędziem startowym, a nie odwzorowaniem wszystkich elementów tego frameworku.
Przy odpowiedzi pozytywnej zapisz, co sprawdzono, kiedy i gdzie znajduje się potwierdzenie. Może to być raport konfiguracji, zapis przeglądu dostępu albo protokół testu.
Gdy zabezpieczenie obejmuje tylko część systemów, wybierz „częściowo”. Gdy nie masz informacji, wybierz „nie wiem”. Jeżeli pytanie nie dotyczy danego zakresu, zapisz uzasadnienie zamiast automatycznie zaznaczać „tak”.
Jedna poważna luka może mieć większe znaczenie niż kilka poprawnie działających mechanizmów. Dlatego pakiet nie generuje oceny w rodzaju „firma jest bezpieczna w 83%”.
Po przeglądzie wybierz działania na podstawie możliwych skutków, ekspozycji i pilności. Podejrzenie trwającego incydentu wymaga uruchomienia reakcji, a nie oczekiwania na zakończenie checklisty.
Zapis „brak MFA” opisuje lukę. Zapis „przejęcie poczty osoby zatwierdzającej płatności może pozwolić na wysłanie fałszywej instrukcji przelewu” opisuje scenariusz i możliwy skutek.
Przykład modelowy: firma korzysta z poczty przy ustalaniu płatności z kontrahentami. Nie ma potwierdzenia, czy MFA jest wymuszane. Dodatkowo zmiana numeru rachunku może zostać zaakceptowana na podstawie samej wiadomości.
W karcie ryzyka warto zapisać dwa działania: sprawdzenie i wdrożenie właściwego uwierzytelniania oraz niezależne potwierdzanie zmian rachunku. Każde powinno mieć wykonawcę i sposób weryfikacji. To bardziej użyteczne niż ogólne zadanie „poprawić cyberbezpieczeństwo”.
Przy ocenie prawdopodobieństwa podaj uzasadnienie. Brak danych oznacz jako nieznany obszar. Nie przypisuj niskiego ryzyka wyłącznie dlatego, że firma nie pamięta wcześniejszego incydentu.
W pakiecie rozdzieliliśmy zasady użytkownika od czynności administratora. Dzięki temu pracownik otrzymuje instrukcję zachowania, a IT listę rzeczy do sprawdzenia w systemach.
Wzór przyjmuje minimum 15 znaków dla haseł kont użytkowników. To propozycja wspólnej zasady firmowej, także przy MFA. NIST SP 800-63B-4 odróżnia hasła używane samodzielnie, dla których wymaga minimum 15 znaków, od haseł będących częścią MFA, dla których dopuszcza minimum 8 znaków.
Polityka przewiduje unikalność haseł, zatwierdzony menedżer i brak narzuconej mieszanki typów znaków jako podstawy ochrony. Szczegóły podejścia opisuje NIST SP 800-63B-4. Są to wytyczne techniczne, nie uniwersalny przepis dla każdej polskiej firmy.
Wzór nie wprowadza obowiązkowej zmiany hasła co 30, 60 lub 90 dni, chyba że organizację wiąże odrębny wymóg. Podejrzenie ujawnienia poświadczeń wymaga natomiast niezwłocznego zgłoszenia i działania zgodnie z procedurą.
Przegląd polityki i wymuszona zmiana wszystkich haseł to różne czynności. Dokument może wymagać aktualizacji, nawet gdy nie ma powodu, aby resetować hasła użytkowników.
Pakiet uwzględnia MFA dla poczty, dostępu zdalnego i kont krytycznych. Rozróżnia też metody odporne na phishing, takie jak FIDO2, od kodów jednorazowych czy zatwierdzania powiadomień. Różnice wyjaśnia CERT Polska w materiale o bezpiecznym dostępie.
Polityka obejmuje również odzyskiwanie konta i koniec współpracy. Jej reguł długości nie należy automatycznie przenosić na PIN urządzenia, klucze API czy sekrety kont technicznych. Te obszary wymagają osobnych zasad.
NCSC zaleca, aby organizacja wiedziała, jak odzyskać dane krytyczne, i nie opierała się wyłącznie na podstawowych mechanizmach usługi online. Kopia powinna wspierać konkretną potrzebę odtwarzania. Więcej w poradniku NCSC o zabezpieczaniu danych krytycznych.
Dlatego formularz CCyber pyta nie tylko o datę kopii, lecz także o docelowy i rzeczywisty czas odzyskania, zakres danych i wynik sprawdzenia biznesowego.
Przykład: plik został odtworzony, ale nie otwiera się w używanej aplikacji albo brakuje powiązanych danych. Test nie powinien być oznaczony jako zakończony sukcesem tylko dlatego, że plik pojawił się w folderze.
Test uzgodnij z IT i właścicielem procesu. Nie nadpisuj danych produkcyjnych w ramach samodzielnego sprawdzania formularza.
Uzupełnij kontakty, zastępstwa i godziny obsługi przed incydentem. Zapewnij uprawnionym osobom dostęp do karty także podczas awarii firmowej poczty.
Karta przypomina o szybkim zgłoszeniu, przerwaniu ryzykownego działania i zachowaniu dowodów. Nie zastępuje technicznej procedury reagowania. Zalecenia dotyczące ograniczania skutków ransomware i ochrony materiału dowodowego opisuje CISA w przewodniku #StopRansomware.
Nie wyłączaj samodzielnie systemów produkcyjnych, OT ani urządzeń medycznych. W takich środowiskach decyzja o odłączeniu musi uwzględniać bezpieczeństwo ludzi i procesów.
Pakiet wskazuje ogólny kanał CERT Polska, ale nie rozstrzyga, jakie obowiązki zgłoszeniowe dotyczą konkretnej organizacji. Właściwy tryb, odbiorców i terminy trzeba ustalić osobno.
Zamiast pytać „czy wszystko jest bezpieczne?”, przejdź przez konkretne zadania. Kto aktualizuje systemy? Kto testuje backup? Kto odbiera ostrzeżenia po godzinach? Jak odbierany jest dostęp po zakończeniu współpracy?
Ustal także wyłączenia z usługi. Brak zadania w abonamencie nie musi oznaczać błędu dostawcy, ale pozostawienie go bez właściciela jest problemem organizacji.
W arkuszu zapisz odpowiedzialność, dowód wykonania i otwarte kwestie. Takie podejście do wymagań wobec dostawców wspiera NIST SP 1305 dotyczący ryzyka w łańcuchu dostaw.
Wybierz koordynatora, wskaż ważne usługi i uzupełnij checklistę. Zapisz nieznane obszary oraz sytuacje wymagające pilnej reakcji.
Zatwierdź właściwy zakres polityki, sprawdź dostęp i uzgodnienia z dostawcą. Zapisz trzy zadania w planie, zamiast tworzyć kilkadziesiąt nieprzypisanych rekomendacji. Liczba trzech zadań służy rozpoczęciu pracy, nie ograniczeniu docelowego zakresu bezpieczeństwa.
Wykonaj uzgodnione testy, oceń wyniki i potwierdź zamknięcie działań. Rozróżniaj statusy „wdrożone” oraz „wdrożone i sprawdzone”. Ustal następny przegląd i dalsze prace.
Ten harmonogram jest propozycją organizacyjną. Nie przesuwa terminów prawnych ani nie uzasadnia zwlekania z reakcją na aktywne zagrożenie.
Nie jest audytem, certyfikatem ani kompletnym SZBI. Nie zawiera pełnej analizy podlegania NIS2, KSC, RODO lub wymaganiom sektorowym. Nie przeprowadza testów technicznych i nie potwierdza skuteczności zabezpieczeń bez ich sprawdzenia.
Może natomiast porządkować informacje potrzebne do dalszego przeglądu, oceny ryzyka i planowania wdrożeń. Gdy pojawiają się systemy produkcyjne, dane szczególnie chronione, złożone integracje lub istotne wymagania klientów, zakres trzeba rozszerzyć.
Pusty pakiet jest materiałem do udostępnienia. Wypełniony może pokazywać słabości firmy, listę dostawców, kontakty i zależności systemów. Przechowuj go w zatwierdzonym miejscu z ograniczonym dostępem.
W polu „dowód” podawaj lokalizację raportu lub numer zgłoszenia, nie pełne dane klientów, hasła, kody MFA ani klucze. Materiały przekazywane doradcy ogranicz do potrzebnego zakresu i uzgodnij bezpieczny kanał.
Szersze poradniki znajdują się w kategorii Cyberbezpieczeństwo dla MŚP. Tematy kont, uprawnień i odzyskiwania danych rozwijamy w obszarze tożsamości, dostępu i bezpieczeństwa chmury.
Ten artykuł koncentruje się na wykorzystaniu gotowych arkuszy. Nie trzeba ponownie przepisywać całej wiedzy do dokumentacji, lecz powiązać wybrane zasady z rzeczywistym środowiskiem firmy.
W ramach wsparcia cyberbezpieczeństwa dla MŚP CCyber pomaga w analizie ryzyka, wdrażaniu zabezpieczeń, przygotowaniu polityk i szkoleniach.
Przejdź od zaznaczonych braków do planu wdrożenia. Punktem wyjścia do rozmowy może być zakres przeglądu i lista pytań, na które firma nie potrafiła odpowiedzieć. Nie wysyłaj pełnego pakietu ani informacji poufnych przed uzgodnieniem sposobu ich przekazania.
Tak. Część biznesową może uzupełnić właściciel lub koordynator. Potwierdzenie konfiguracji i testów wymaga jednak udziału osoby obsługującej IT. Nie warto zgadywać odpowiedzi technicznych.
Nie. Trzeba ją dopasować, zatwierdzić, przekazać użytkownikom i wdrożyć w systemach. Karta dla IT pomaga wskazać różnice między zasadą a rzeczywistą konfiguracją.
Nie. Pakiet nie obejmuje wszystkich obowiązków i nie jest narzędziem certyfikacji. Służy do rozpoznania wybranych luk i przygotowania działań.
Ustal, kto może dostarczyć informacje i dowody. Zacznij od usług ważnych dla działalności, dostępu i odtwarzania danych. Brak odpowiedzi jest punktem startowym do weryfikacji, a nie powodem do wpisania „tak”.
Tak, na potrzeby wewnętrznej pracy organizacji. Zapisz jednak zakres przeglądu, aby później nie pomylić częściowego sprawdzenia z oceną całej firmy.
Praktyczny toolkit nie zastępuje bezpieczeństwa dokumentacją. Pomaga ustalić, czego firma nie wie, co wymaga poprawy i kto ma wykonać następny krok.
Najlepszym rezultatem pracy z pakietem będzie sprawdzone działanie: poprawiona kontrola dostępu, użyteczne odtworzenie danych, uzgodniona odpowiedzialność dostawcy lub przetestowany kontakt podczas incydentu. Wypełniony formularz powinien opisywać ten wynik, nie go zastępować.
Program Cyfrowa Europa: jak uzyskać dofinansowanie na cyberbezpieczeństwo?
Dofinansowanie z programu Cyfrowa Europa zaczyna się od wyboru właściwego naboru, a nie od zakupu licencji. Wyjaśniamy, jak sprawdzić kwalifikowalność, ustalić rolę w projekcie, uzyskać numer PIC oraz przygotować części A i B wniosku. Pokazujemy również, jak liczyć wkład własny, odróżnić beneficjenta od dostawcy i uniknąć błędów przy składaniu dokumentów. Uwzględniamy nabory cyberbezpieczeństwa otwarte we wrześniu 2026 r. oraz różnicę między wsparciem konkretnego projektu a obietnicą refundacji dowolnych wydatków IT.
Opracowanie: Zespół redakcyjny CCyber
Aby ubiegać się o dofinansowanie z programu Cyfrowa Europa, trzeba wybrać konkretny nabór, potwierdzić kwalifikowalność organizacji i projektu, przygotować budżet oraz złożyć kompletny wniosek przez unijny portal Funding and Tenders. Potrzebne są konto EU Login i numer identyfikacyjny organizacji PIC. Samo założenie konta ani posiadanie statusu MŚP nie daje prawa do dotacji.
W projektach cyberbezpieczeństwa kluczowe jest dopasowanie do celu konkursu. Rozwój i wdrożenie rozwiązania dla wielu MŚP to inny projekt niż zakup backupu wyłącznie na potrzeby własnej firmy. Najpierw ustal, jaki rezultat finansuje nabór. Dopiero potem dobieraj partnerów, zadania i technologię.
19 września 2026 r.
Punktem wyjścia jest poradnik Xopero z 21 listopada 2025 r. dotyczący programu, rejestracji i składania wniosków. Status naborów oraz procedurę uzupełniamy informacjami instytucji prowadzących program. Przykłady budżetowe i karta projektu poniżej są autorskimi materiałami pomocniczymi, nie urzędowymi formularzami.
Dla właścicieli firm, osób odpowiedzialnych za rozwój produktów cyberbezpieczeństwa, dostawców IT, zespołów projektowych oraz organizacji publicznych rozważających udział w programie Cyfrowa Europa. Również dla MŚP, które chcą ustalić, czy powinny składać własny wniosek, dołączyć do projektu czy szukać innej formy wsparcia.
Cyfrowa Europa, czyli Digital Europe Programme, wspiera wdrażanie technologii cyfrowych w gospodarce i administracji. Obejmuje między innymi cyberbezpieczeństwo, sztuczną inteligencję, superkomputery, zaawansowane kompetencje cyfrowe i półprzewodniki.
Komisja Europejska wskazuje budżet programu przekraczający 8,1 mld euro w perspektywie 2021-2027. Nie jest to jednak pula przeznaczona w całości na cyberbezpieczeństwo ani wyłącznie dla polskich przedsiębiorstw. Finansowanie jest rozdzielane między obszary i konkretne działania. Zakres programu opisuje oficjalna strona Komisji Europejskiej.
Dlatego pytanie „czy moja firma kwalifikuje się do Cyfrowej Europy?” trzeba doprecyzować: do którego tematu, w jakiej roli i z jakim projektem?
Nabór DIGITAL-ECCC-2025-DEPLOY-CYBER-09, obejmujący między innymi UPTAKE i CYBERAI, zakończył się 31 marca 2026 r. ECCC oznacza go jako zamknięty. Jego dokumentacja może pomóc zrozumieć wcześniejsze priorytety, lecz nie służy do złożenia nowego wniosku po terminie. Potwierdza to oficjalna karta naboru CYBER-09.
Według komunikatów ECCC i CPPC kolejna runda, DIGITAL-ECCC-2027-DEPLOY-CYBER-11, obejmuje siedem tematów z łącznym budżetem 96 mln euro. Termin składania wniosków to 14 stycznia 2027 r., godz. 17:00 CET. Rok 2027 w identyfikatorze nie oznacza, że trzeba czekać z aplikowaniem do stycznia.
Aktualne ogłoszenie i odnośniki do tematów znajdują się w komunikacie CPPC o nowych naborach cyberbezpieczeństwa.
Temat DIGITAL-ECCC-2027-DEPLOY-CYBER-11-AI4SME dotyczy rozwoju, dostosowania i wdrażania cyberbezpiecznych rozwiązań opartych na AI dla europejskich MŚP. CPPC wskazuje budżet 20 mln euro oraz poziom dofinansowania 75% dla MŚP i 50% dla pozostałych beneficjentów.
Temat DIGITAL-ECCC-2027-DEPLOY-CYBER-11-CYBERAI obejmuje rozwiązania wspierające między innymi wykrywanie zagrożeń, analizę i reagowanie. CPPC wskazuje budżet 15 mln euro oraz dofinansowanie 50%.
To dwa przykłady, nie pełny katalog. Pozostałe tematy obejmują również przygotowanie na incydenty, wdrażanie wymagań regulacyjnych i wyspecjalizowaną infrastrukturę. Warunki należy sprawdzić w zestawieniu CPPC oraz dokumentacji właściwego tematu w portalu unijnym.
Nie należy zakładać tego na podstawie samego hasła „dofinansowanie cyberbezpieczeństwa”. Poradnik Xopero łączy program z ochroną danych i rozwiązaniami backupowymi. To perspektywa dostawcy technologii, nie decyzja o kwalifikowalności konkretnego zakupu.
W opisanym przez ECCC temacie UPTAKE oczekiwanym rezultatem był między innymi zestaw narzędzi cyberbezpieczeństwa udostępniany MŚP jako usługa. Nowy AI4SME koncentruje się na rozwiązaniach wykorzystujących AI. Zwykły zakup licencji do istniejącego środowiska firmy nie staje się takim projektem tylko przez dodanie słów „NIS2” albo „innowacja”.
Backup może być uzasadnionym elementem szerszego przedsięwzięcia, jeżeli odpowiada jego celom i zasadom kosztowym. Nie oznacza to automatycznej kwalifikowalności całego zakupu ani pełnej zgodności organizacji z regulacjami po wdrożeniu produktu.
Zapisz identyfikator tematu, termin, cel, oczekiwane rezultaty i instytucję prowadzącą. Sprawdź status prawny wnioskodawcy, wymagania wobec partnerów oraz ograniczenia dotyczące państwa ustanowienia i kontroli właścicielskiej.
W naborach cyberbezpieczeństwa mogą obowiązywać szczególne ograniczenia bezpieczeństwa wynikające z art. 12 ust. 5 rozporządzenia ustanawiającego program. Nie przenoś automatycznie ogólnych zasad uczestnictwa państw stowarzyszonych na każdy temat cyber.
Instrukcja Komisji podkreśla, że system informatyczny nie sprawdza wszystkich warunków. Możliwość utworzenia wniosku nie potwierdza kwalifikowalności. Więcej w instrukcji przygotowania aplikacji.
Beneficjent realizuje zadania projektu i rozlicza przypisaną mu część grantu. Koordynator organizuje wspólne przygotowanie oraz przekazuje wniosek i raporty. Dostawca lub podwykonawca realizuje uzgodnione zamówienie, lecz nie staje się przez to automatycznie beneficjentem.
Firma korzystająca z rezultatów pilotażu również nie musi otrzymywać bezpośredniego przelewu z UE. To ważna różnica przy projektach „dla MŚP”.
Nie każdy temat wymaga międzynarodowego konsorcjum. Warunki trzeba sprawdzić osobno. Przy współpracy uzgodnij zadania, budżet, odpowiedzialność za dane i prawa do rezultatów. Zasady ról opisuje instrukcja udziału w projekcie.
EU Login identyfikuje osobę korzystającą z portalu. PIC to dziewięciocyfrowy identyfikator organizacji w Participant Register. Przed nową rejestracją sprawdź, czy firma nie ma już PIC z wcześniejszego projektu.
Nowo nadany numer może mieć początkowo status niezwalidowany. Późniejsza walidacja obejmuje sprawdzenie danych na podstawie dokumentów. PIC nie jest certyfikatem kwalifikowalności ani potwierdzeniem przyznania środków.
Przygotuj spójne dane rejestrowe i dostęp do dokumentów organizacji. Procedurę wyjaśnia instrukcja rejestracji i walidacji.
Rekomendujemy rozpoczęcie od trzech odpowiedzi: jaki problem rozwiązujesz, kto skorzysta z rezultatu i po czym poznasz, że rozwiązanie działa.
Następnie podziel pracę na pakiety. Dla każdego wskaż odpowiedzialnego partnera, zasoby, termin oraz rezultat. Odróżnij deliverable, czyli rezultat przekazywany zgodnie z planem projektu, od milestone, czyli punktu kontrolnego postępu.
Nie dodawaj kilkudziesięciu drobnych rezultatów tylko po to, aby wniosek wyglądał na rozbudowany. Oficjalna instrukcja zaleca logiczny podział prac i realistyczną liczbę głównych rezultatów.
Dla każdej pozycji sprawdź kategorię kosztu, sposób rozliczenia i związek z zadaniem. Przy sprzęcie znaczenie może mieć rozliczanie pełnego kosztu albo amortyzacji. Nie zakładaj też automatycznej kwalifikowalności VAT, kosztów przygotowania wniosku czy całego okresu abonamentu.
Zasady wynikają z dokumentacji i umowy grantowej. Pomocniczo wyjaśnia je Annotated Grant Agreement.
Oddziel udział finansowany z grantu od wkładu własnego, kosztów niekwalifikowalnych i pieniędzy potrzebnych do utrzymania rozwiązania po projekcie. To cztery różne pozycje w planowaniu finansowym.
Część A obejmuje dane administracyjne, uczestników, oświadczenia i informacje wymagane przez formularz. Część B opisuje projekt, działania, organizację pracy i uzasadnienie. Jest przygotowywana według właściwego szablonu i przesyłana jako PDF.
Korzystaj z szablonów pobranych wewnątrz systemu składania wniosków. Sprawdź załączniki, limity stron, zasady językowe oraz zgodność danych między częściami. Procedurę opisuje oficjalny podręcznik portalu.
Praktyczna kontrola redakcyjna: każda deklaracja o kompetencjach, partnerach i rezultatach powinna mieć uzasadnienie. Ogólne zdanie „nasze rozwiązanie poprawi cyberodporność Europy” nie pokazuje jeszcze, co zostanie wdrożone.
Zapisanie wersji roboczej nie jest złożeniem aplikacji. Po wysłaniu sprawdź potwierdzenie z datą i godziną oraz zachowaj kopię przekazanego pakietu.
Komisja rekomenduje wysłanie wniosku co najmniej 48 godzin przed terminem. W standardowej procedurze można przed zamknięciem naboru przesłać poprawioną wersję, która zastępuje poprzednią. Szczegóły i wyjątki opisuje instrukcja elektronicznego składania wniosków.
Wniosek jest oceniany zgodnie z kryteriami konkretnego konkursu. Spełnienie warunków udziału nie gwarantuje finansowania, ponieważ znaczenie mają także ocena projektu i dostępny budżet.
Po wyborze do finansowania pozostają formalności: walidacja organizacji, właściwe role w portalu, ewentualna ocena zdolności finansowej oraz przygotowanie umowy. W tym procesie pojawia się LEAR, czyli wyznaczony przedstawiciel organizacji odpowiedzialny za określone sprawy rejestrowe i uprawnienia w portalu.
Ustalenia dotyczące początku projektu, budżetu, raportowania i zaliczki trafiają do umowy. Opisuje to instrukcja przygotowania grantu.
Wyższa stawka jednego beneficjenta nie musi obejmować kosztów całego konsorcjum. Stawki zależne od rodzaju uczestnika są stosowane zgodnie z warunkami grantu, co wyjaśnia również Annotated Grant Agreement.
Poniżej przykład wyłącznie sposobu liczenia, nie rekomendowanej wielkości projektu ani potwierdzenia jego kwalifikowalności.
Beneficjent A, MŚP: 600 000 euro kosztów kwalifikowalnych przy stawce 75% daje 450 000 euro dofinansowania i 150 000 euro wkładu własnego.
Beneficjent B, stawka 50%: 400 000 euro kosztów kwalifikowalnych daje 200 000 euro dofinansowania i 200 000 euro wkładu własnego.
Łącznie: przy kosztach 1 000 000 euro dofinansowanie wynosi 650 000 euro, czyli 65%, a nie 75%. Poza tym rachunkiem pozostają ewentualne koszty niekwalifikowalne.
Rekomendujemy osobny plan przepływów pieniężnych. Kwota przyznanego grantu nie oznacza, że całość wpłynie na konto przed rozpoczęciem wydatków.
Poradnik Xopero wskazuje trzy obszary oceny: relevance, implementation i impact. Przy nowej aplikacji trzeba sprawdzić dokładne kryteria, progi i punktację w aktualnym naborze. Jako roboczy przegląd rekomendujemy trzy pytania.
Sprawdź, czy opisujesz właściwych odbiorców i oczekiwany rezultat. W projekcie AI4SME sama obecność modułu AI nie zastępuje uzasadnienia, jak poprawi on cyberbezpieczeństwo MŚP.
Zweryfikuj dostępność ludzi, technologii, danych i partnerów. Przy pilotażu sprawdź, czy organizacje testujące potwierdziły udział, czy zostały jedynie wymienione jako potencjalni odbiorcy.
Zdefiniuj sposób pomiaru, punkt wyjścia i zasady dalszego użycia rozwiązania. Liczba odbytych spotkań nie potwierdza jeszcze, że użytkownicy potrafią korzystać z wdrożonej usługi.
Nie przyjmuj jednej wysokości zaliczki dla wszystkich konkursów. Wskazane w poradniku komercyjnym 50% nie jest uniwersalną regułą programu. Wysokość prefinansowania, kolejne płatności i okresy raportowania wynikają z właściwej umowy.
Raportowanie powinno łączyć postęp rzeczowy i część finansową zgodnie z modelem grantu. Zasady przekazywania raportów opisuje instrukcja raportowania i wnioskowania o płatności.
Uczestnicy muszą zachować materiały potwierdzające realizację projektu. W grantach rozliczanych na podstawie kosztów potrzebne są właściwe dowody kosztowe. W grantach ryczałtowych typu lump sum nacisk spoczywa na potwierdzeniu wykonania prac zgodnie z zasadami tego modelu. Rozróżnienie opisuje instrukcja przechowywania dokumentacji.
Nie zakładaj jednego, uniwersalnego okresu trwałości dla wszystkich projektów. Obowiązki po zakończeniu finansowania trzeba odczytać z warunków konkretnego grantu.
Poniższa karta to propozycja CCyber. Pozwala szybko sprawdzić, czy pomysł jest gotowy do dalszej analizy, zanim zespół poświęci czas na pełny wniosek.
Problem i odbiorca: kto ma problem bezpieczeństwa i dlaczego obecne rozwiązanie jest niewystarczające?
Nabór i dopasowanie: jaki temat rozważamy i które oczekiwane rezultaty projektu go realizują?
Rola organizacji: samodzielny beneficjent, partner, koordynator, dostawca czy uczestnik pilotażu?
Zakres i ograniczenia: co zostanie dostarczone, czego projekt nie obejmuje i jakie zależności mogą go opóźnić?
Zespół i partnerzy: kto wykonuje najważniejsze zadania i czy jego udział został potwierdzony?
Budżet i płynność: jakie koszty ponosi każdy uczestnik, jakie finansowanie zakładamy i skąd pochodzi wkład własny?
Wynik i dowody: jak sprawdzimy działanie rozwiązania i co pokażemy w raporcie?
Decyzja: aplikujemy, szukamy partnera, zmieniamy zakres czy wybieramy inny instrument?
Przykład modelowy, nie opis konkretnego beneficjenta. Firma chce kupić nowy backup i przeprowadzić szkolenie pracowników. To uzasadniona potrzeba biznesowa, ale nie wystarcza do wykazania dopasowania do tematu dotyczącego rozwiązań AI dla europejskich MŚP.
Inny zespół rozwija usługę, która pomaga małym firmom analizować ryzyka i priorytetyzować działania. Ma technologię, organizacje pilotażowe i partnera odpowiedzialnego za testy bezpieczeństwa. Może opisać wdrożenie, sposób nadzorowania rekomendacji AI, pomiar wyników i utrzymanie usługi.
Druga koncepcja daje więcej podstaw do oceny dopasowania do AI4SME, ale nadal wymaga sprawdzenia wszystkich warunków. Lepsze dopasowanie tematyczne nie jest obietnicą przyznania dotacji. Pierwsza firma nie powinna dopisywać sztucznej innowacji. Powinna poszukać finansowania odpowiadającego rzeczywistej potrzebie.
Krajowy Punkt Kontaktowy Digital Europe w CPPC udziela nieodpłatnego wsparcia dotyczącego programu, aplikowania, realizacji projektów i poszukiwania partnerów. W sprawach naborów cyberbezpieczeństwa CPPC wskazuje także możliwość konsultacji z NCC-PL.
Do pierwszego kontaktu przygotuj krótką kartę projektu i konkretne pytania. Przykładowo: czy dana forma organizacyjna jest uprawniona, czy wymagany jest partner, jak rozumieć ograniczenia bezpieczeństwa albo gdzie znaleźć właściwy wzór załącznika.
Rozdziel pomoc proceduralną od przygotowania projektu. Wyjaśnienie zasad naboru nie zastępuje zaprojektowania architektury, budżetu i sposobu wykonania prac.
W kategorii Finansowanie i dotacje na cyberbezpieczeństwo znajdziesz również materiały o wsparciu MŚP oraz przygotowaniu i realizacji projektów cyber. Ten poradnik koncentruje się na przejściu od wyboru naboru do poprawnego złożenia wniosku.
Organizacjom potrzebującym wsparcia w doborze instrumentu, przygotowaniu dokumentacji i realizacji projektu służy oferta projektów cyberbezpieczeństwa z dofinansowaniem CCyber.
CCyber pomaga powiązać potrzeby bezpieczeństwa z zakresem projektu, budżetem, rezultatami i dokumentacją aplikacyjną. Wsparcie może obejmować także wdrożenie oraz przygotowanie materiałów do rozliczenia, zgodnie z uzgodnionym zakresem współpracy.
Przed rozpoczęciem pisania wniosku sprawdź dopasowanie pomysłu do naboru. Punktem wyjścia do konsultacji w ramach projektów z dofinansowaniem może być karta projektu z tego artykułu. Ułatwi ona ustalenie, czy warto aplikować samodzielnie, szukać partnera czy wybrać inną ścieżkę finansowania.
Nie. Poziom wsparcia zależy od tematu, statusu uczestnika i kosztów kwalifikowalnych. Status MŚP nie zastępuje oceny, czy projekt odpowiada zakresowi konkursu.
Nie zawsze. Część tematów dopuszcza samodzielne aplikowanie, inne wymagają określonego składu. Nie ma jednej reguły „trzech partnerów z trzech krajów” dla całego programu.
Rejestracja i uzyskanie PIC poprzedzają złożenie wniosku. Formalna walidacja może nastąpić później, w związku z przygotowaniem grantu. Zawsze sprawdź szczególne warunki naboru i nie odkładaj przygotowania dokumentów organizacji.
W opisanych naborach aplikację składa się elektronicznie w unijnym portalu. Kontakt z CPPC służy wsparciu i wyjaśnieniom, a nie zastąpieniu formalnego zgłoszenia.
Nie należy tak zakładać. Harmonogram i warunki płatności określa umowa. Własna płynność pozostaje istotna również wtedy, gdy projekt ma wysoki procent dofinansowania.
Uzyskanie dofinansowania z programu Cyfrowa Europa wymaga więcej niż znalezienia atrakcyjnego procentu wsparcia. Liczy się dopasowanie do konkursu, właściwa rola organizacji, wykonalny projekt, realistyczny budżet i poprawne złożenie dokumentów.
Najpierw potwierdź, że konkurs finansuje rezultat, który chcesz dostarczyć. Następnie przygotuj ludzi, pieniądze i dowody wykonania. Dopiero na tej podstawie warto podejmować decyzję o pełnym wniosku i zobowiązaniach związanych z realizacją grantu.
NIS2 dla MŚP: 5 pomijanych ryzyk i plan działania na 30 dni
MFA, backup i umowa z dostawcą IT nie wystarczają do oceny gotowości na NIS2. Dostęp może pozostać aktywny po odejściu pracownika, narzędzia chmurowe mogą wypaść z ewidencji, a alert bezpieczeństwa trafić do skrzynki, której nikt nie sprawdza. Pokazujemy pięć pomijanych ryzyk, sposób ich weryfikacji oraz plan pierwszych 30 dni. Przy każdym obszarze wskazujemy działanie, odpowiedzialność i dowód wykonania. To sposób na przyspieszenie wdrożenia wymagań KSC, a nie obietnica pełnej zgodności po odhaczeniu pięciu punktów.
Opracowanie: Zespół redakcyjny CCyber
MŚP może przyspieszyć przygotowanie do NIS2, sprawdzając nie tylko obecność zabezpieczeń, ale również ich zakres i działanie. Najpierw trzeba potwierdzić, czy firma podlega polskiej ustawie o krajowym systemie cyberbezpieczeństwa. Następnie warto zweryfikować pięć obszarów: dostęp pozostający po zakończeniu współpracy, niejasne obowiązki dostawcy IT, niezinwentaryzowane systemy, niepełne odtwarzanie danych oraz alerty bez uzgodnionej reakcji.
W pierwszych 30 dniach celem powinno być rozpoznanie tych luk, usunięcie najpilniejszych, przypisanie odpowiedzialności i potwierdzenie wykonanych działań. To etap wdrożenia, nie uniwersalna recepta na pełną zgodność. Pozostałe obowiązki, wymagania sektorowe i terminy nadal muszą zostać uwzględnione w programie bezpieczeństwa.
19 września 2026 r.
Pięć ryzyk opisanych poniżej to autorska lista kontrolna, a nie statystyczny ranking incydentów w polskich MŚP. Scenariusze i harmonogram są propozycją praktycznego działania. Podstawy regulacyjne oraz zalecenia techniczne wskazujemy w źródłach.
Dla właścicieli i zarządów MŚP, kierowników IT oraz osób koordynujących przygotowanie do NIS2 i KSC. Szczególnie dla firm, które korzystają z zewnętrznej obsługi IT, mają już podstawowe zabezpieczenia, ale nie wiedzą, czy obejmują one wszystkie ważne systemy i scenariusze.
Artykuł przyda się również dostawcom większych organizacji, którzy otrzymują ankiety bezpieczeństwa i potrzebują odpowiedzi popartych dowodami, a nie samymi deklaracjami.
NIS2 jest dyrektywą unijną. Dla polskiej firmy praktyczne obowiązki wynikają przede wszystkim z ustawy o krajowym systemie cyberbezpieczeństwa i przepisów właściwych dla jej działalności.
Nie wystarczy odpowiedzieć: „jesteśmy MŚP” albo „mamy mniej niż 50 pracowników”. Trzeba sprawdzić rodzaj świadczonych usług, sektor, kryteria wielkościowe i wyjątki. W przypadku przedsiębiorstw powiązanych lub partnerskich należy uwzględnić właściwe zasady oceny oraz ustawowe wyłączenia. Punktem odniesienia są art. 5 i załączniki do KSC.
Wymaganie klienta nie jest tym samym co ustawowe podleganie. Duży kontrahent może wymagać określonych zabezpieczeń w umowie, ale samo dostarczanie mu usług nie nadaje automatycznie statusu podmiotu kluczowego lub ważnego.
Dla organizacji objętych właściwym okresem przejściowym termin złożenia wniosku o wpis do Wykazu KSC przez podmioty zobowiązane do samorejestracji upływa 3 października 2026 r. Nie dotyczy to w ten sam sposób podmiotów wpisywanych z urzędu. Szczegóły wyjaśnia komunikat Ministerstwa Cyfryzacji o samorejestracji.
Podmioty spełniające kryteria w dniu wejścia w życie nowelizacji mają zgodnie z właściwym harmonogramem wdrożyć obowiązki do 3 kwietnia 2027 r. Przepisy dla organizacji spełniających kryteria później wymagają osobnego sprawdzenia. Korzystaj z oficjalnego harmonogramu KSC, zamiast ustalać termin wyłącznie na podstawie daty rozpoczęcia projektu.
Pracownik oddał laptop, a jego poczta została zablokowana. W firmie uznano zakończenie współpracy za zamknięte. Tymczasem pozostało lokalne konto w aplikacji, aktywna sesja albo poświadczenie używane przez integrację.
Zablokowanie jednego konta nie zawsze kończy wszystkie możliwości dostępu. Dokumentacja Microsoft Entra wskazuje, że aplikacje mogą zarządzać własnymi sesjami, a skuteczność odebrania dostępu zależy także od sposobu obsługi tokenów i kont w aplikacjach. Nie należy zakładać natychmiastowego odcięcia każdej usługi po jednej zmianie w katalogu użytkowników.
Porównaj listę obecnych pracowników i wykonawców z kontami w najważniejszych aplikacjach. Zacznij od poczty, finansów, systemu obsługi klientów, dostępu zdalnego i administracji. Osobno sprawdź konta techniczne, klucze API i uprawnienia aplikacji działających bez udziału człowieka.
Nie wyłączaj kont technicznych przypadkowo. Najpierw ustal ich właściciela i zależności. Niepotrzebny dostęp odbierz zgodnie z możliwościami danej usługi, uwzględniając sesje, tokeny i integracje. Pomocnym źródłem jest dokumentacja odbierania dostępu w Microsoft Entra.
Przy logowaniu użytkowników sprawdź również, czy MFA jest faktycznie wymuszane, a nie tylko zarejestrowane. Dla dostępu o wysokim znaczeniu rozważ metody odporne na phishing, takie jak odpowiednio wdrożone klucze FIDO2 lub passkeys. Zwykły kod jednorazowy nie daje takiej samej ochrony, co wyjaśnia dokumentacja metod uwierzytelniania Microsoft.
Odpowiedzialność: właściciel aplikacji i IT, z informacją o zmianach przekazywaną przez HR lub osobę zarządzającą współpracą z kontraktorem.
Dowód wykonania: uzgodniony przegląd kont, zapis usuniętych uprawnień i wynik kontrolowanego sprawdzenia, że wskazana ścieżka dostępu została zamknięta. Nie wpisuj do rejestru samych haseł ani wartości tokenów.
Firma ma miesięczny abonament na obsługę IT. Zarząd zakłada, że obejmuje on aktualizacje wszystkich systemów, monitoring, kopie zapasowe i reakcję po godzinach. Dostawca realizuje jednak wyłącznie zadania wyraźnie wymienione w umowie.
Problemem nie musi być nierzetelność dostawcy. Może nim być rozbieżność między zakupioną usługą a oczekiwaniem klienta. Podobnie dostęp administratora dla serwisanta nie oznacza, że firma kontroluje zakres i czas jego używania.
Przejdź z dostawcą przez konkretny scenariusz: wykrycie przejętego konta w sobotę. Ustal, kto widzi alert, kto kontaktuje się z firmą, kto może zablokować dostęp i kto zabezpiecza informacje potrzebne do analizy.
Następnie sprawdź zakres aktualizacji, backupu i dostępu zdalnego. Ustal, które systemy nie są objęte usługą, jakie zadania należą do klienta oraz co dzieje się przy zakończeniu współpracy. Zapisz potrzebne zmiany w uzgodnionym zakresie usługi i odpowiednich postanowieniach umownych.
Takie podejście odpowiada zasadzie określania wymagań i odpowiedzialności dostawców opisanej w NIST SP 1305 dotyczącym ryzyka w łańcuchu dostaw. Dokument NIST jest wskazówką organizacyjną, nie polskim przepisem.
Odpowiedzialność: właściciel umowy po stronie firmy, wspierany przez IT, bezpieczeństwo i obsługę prawną.
Dowód wykonania: uzgodniony podział zadań, lista wyłączeń z usługi, aktualne kontakty i wynik sprawdzenia eskalacji. Deklaracja „obsługujemy bezpieczeństwo” nie zastępuje tych ustaleń.
Raport aktualizacji pokazuje dobry wynik, ale obejmuje wyłącznie laptopy. Nie uwzględnia starego panelu testowego dostępnego z internetu, urządzenia sieciowego w oddziale ani aplikacji kupionej przez dział sprzedaży.
Niepełna ewidencja może zniekształcić obraz bezpieczeństwa. Organizacja ocenia stan znanych systemów, nie wiedząc, ile ważnych zasobów pozostaje poza aktualizacjami, kontrolą dostępu lub monitoringiem. Znaczenie identyfikacji zasobów podkreślają CIS Control 1 oraz przewodnik NIST dla małych firm.
Nie zaczynaj od zakupu dużej platformy. Zestaw informacje z faktur za usługi, paneli administracyjnych, list urządzeń i rozmów z właścicielami procesów. Dodaj aplikacje chmurowe, domeny, urządzenia sieciowe, dostęp zdalny oraz istotne integracje.
Dla każdego ważnego zasobu zapisz właściciela, cel użycia, dane, zależność biznesową i sposób utrzymania bezpieczeństwa. Sprawdź, kto aktualizuje oprogramowanie i czy producent nadal je wspiera. Związek ewidencji oprogramowania z zarządzaniem podatnościami opisuje CIS Control 2.
Nie wykonuj agresywnego skanowania systemów produkcyjnych, OT ani środowisk dostawcy bez uzgodnionego zakresu i zgody. Szybki przegląd nie powinien sam spowodować zakłócenia działalności.
Odpowiedzialność: IT wspólnie z właścicielami procesów i osobami zamawiającymi usługi.
Dowód wykonania: uzgodniony rejestr zasobów, lista nowo wykrytych luk oraz potwierdzenie usunięcia zbędnej ekspozycji lub objęcia systemu właściwym utrzymaniem. Raport powinien pokazywać również ograniczenia zakresu przeglądu.
Dostawca informuje, że kopie wykonują się poprawnie. Firma zakłada więc, że odzyska działalność po incydencie. Nie sprawdzono jednak, czy backup obejmuje dane z aplikacji chmurowej, jak uzyskać do niego dostęp po przejęciu konta administratora i czy odtworzone dane będą użyteczne.
W usługach chmurowych kosz, historia wersji i synchronizacja mogą pomagać w odzyskiwaniu informacji, ale ich zakres oraz odporność na usunięcie trzeba zweryfikować. NCSC zaleca sprawdzenie odzyskiwania danych krytycznych i zachowanie niezależnej kopii, zamiast polegania wyłącznie na podstawowych mechanizmach usługi.
Wybierz jeden proces, którego niedostępność szybko dotknie firmę, na przykład obsługę zamówień. Ustal, jakie dane, aplikacje, konfiguracje i uprawnienia są potrzebne do jego wznowienia.
Określ oczekiwany czas przywrócenia oraz dopuszczalną utratę danych. Następnie przeprowadź uzgodniony test w bezpiecznym środowisku. Sprawdź nie tylko obecność pliku, ale możliwość wykonania potrzebnej czynności biznesowej.
Zweryfikuj także, czy przejęcie zwykłego konta administracyjnego umożliwi zniszczenie kopii. Dobór rozwiązania powinien wynikać z tego scenariusza i wymagań odtwarzania, nie z założenia, że każda firma musi kupić ten sam produkt.
Odpowiedzialność: IT lub dostawca wykonuje odtworzenie, a właściciel procesu potwierdza przydatność wyniku.
Dowód wykonania: protokół określający zakres, punkt przywrócenia, rzeczywisty czas, ograniczenia i wynik testu biznesowego. Niepowodzenie testu powinno prowadzić do konkretnego działania naprawczego.
Narzędzie bezpieczeństwa wysyła ostrzeżenie o podejrzanym logowaniu. Wiadomość trafia do skrzynki obsługiwanej w dni robocze. Nie wiadomo, kto ma podjąć decyzję poza godzinami pracy ani czy dostawca może samodzielnie zablokować konto.
Wykrycie zdarzenia i skuteczna reakcja to dwie różne zdolności. Planowanie ról, kontaktów i działań po incydencie jest również podstawą poradnika reagowania i odtwarzania NCSC dla mniejszych organizacji.
Wskaż osobę przyjmującą zgłoszenie, zastępstwo i zakres decyzji technicznych. Ustal, co wymaga natychmiastowej eskalacji, jak działa obsługa poza standardowymi godzinami oraz jaki kanał komunikacji pozostaje dostępny przy awarii poczty.
Przeprowadź krótki, uzgodniony test. Niech sprawdzi drogę od zgłoszenia przez decyzję do działania, a nie tylko znajomość dokumentu. Pracownik powinien wiedzieć, gdzie zgłosić podejrzaną wiadomość lub własny błąd, bez oczekiwania na pewność, że doszło do ataku.
Osobno sprawdź obowiązki przekazywania informacji na zewnątrz. Wymagania KSC, RODO i umów mogą mieć różne przesłanki, odbiorców i terminy. Przygotowanie do właściwego CSIRT i S46 nie powinno ograniczać się do zapisania adresu strony.
Odpowiedzialność: koordynator incydentów, osoby uprawnione do działań technicznych i wyznaczony przedstawiciel kierownictwa.
Dowód wykonania: oś czasu ćwiczenia, potwierdzenie kontaktu, zapis decyzji i lista poprawek. Ćwiczenie oznacz jako ćwiczenie i nie wysyłaj fikcyjnych incydentów do produkcyjnego kanału zgłoszeń bez uzgodnienia z jego operatorem.
Opisane obszary odpowiadają zagadnieniom objętym art. 21 NIS2: kontroli dostępu, bezpieczeństwu łańcucha dostaw, zarządzaniu zasobami i podatnościami, ciągłości działania oraz obsłudze incydentów. Dyrektywa wymaga również oceny skuteczności przyjętych środków. Podstawę stanowi dyrektywa (UE) 2022/2555.
Nie jest to jednak pełna lista obowiązków. Program KSC musi uwzględnić właściwy zakres SZBI, ocenę ryzyka, kierownictwo, szkolenia, wymagania dotyczące personelu, raportowania i ewentualnych audytów. Zlecenie części prac dostawcy nie usuwa ustawowej odpowiedzialności kierownictwa.
Szybkie działania mają przyspieszyć ten program, a nie zastąpić go pięciopunktową deklaracją.
Poniższy plan zakłada dostęp do informacji o środowisku oraz udział osoby po stronie biznesu, IT i najważniejszego dostawcy. Czas prac zależy od skali firmy i wykrytych braków. Aktywne zagrożenia wymagają reakcji od razu, bez czekania na przewidziany etap.
Potwierdź podleganie KSC oraz terminy właściwe dla firmy. Jeżeli dotyczy Cię samorejestracja do 3 października 2026 r., nadaj jej pierwszeństwo. Wyznacz koordynatora programu i osobę zatwierdzającą decyzje biznesowe.
Wybierz najważniejsze procesy oraz systemy do pierwszego przeglądu. Nie utożsamiaj ograniczonego zakresu tego etapu z ostatecznym zakresem obowiązków.
Porównaj konta z listą osób uprawnionych, sprawdź integracje i zweryfikuj wymuszanie MFA. Uzupełnij ewidencję o aplikacje, usługi i urządzenia pominięte w dotychczasowych raportach.
Każde odkrycie zapisz jako konkretne zadanie: czego dotyczy, kto je wykona, do kiedy i jak potwierdzisz wynik.
Uzgodnij z najważniejszym dostawcą IT zakres zadań i wyłączenia z usługi. Przeprowadź test odtworzenia wybranego procesu. Sprawdź, czy uzyskany rezultat jest zgodny z potrzebą biznesową.
Zmiany wymagające negocjacji umowy, wymiany systemu lub większego wdrożenia umieść w dalszym planie. Samo wpisanie terminu naprawy nie oznacza usunięcia ryzyka.
Przeprowadź ćwiczenie incydentowe i ponownie sprawdź najważniejsze poprawki. Przygotuj raport rozdzielający wykonane działania, nadal otwarte braki i obszary jeszcze niezweryfikowane.
Zatwierdź dalszy harmonogram, budżet i właścicieli. Plan kolejnych miesięcy powinien obejmować całość mających zastosowanie obowiązków, nie tylko te pięć scenariuszy.
Poniższy przykład pokazuje, jak zastąpić ogólne zadanie „poprawić dostęp” zapisem, który można odebrać i zweryfikować.
Ryzyko: konto byłego wykonawcy nadal umożliwia dostęp do systemu obsługi klientów.
Działanie: ustalić wszystkie powiązane ścieżki dostępu, odebrać zbędne uprawnienia i unieważnić właściwe sesje oraz poświadczenia.
Właściciel: administrator systemu, przy akceptacji właściciela biznesowego.
Termin: wyznaczony zgodnie z oceną pilności, z natychmiastową reakcją w przypadku podejrzenia nadużycia.
Kryterium odbioru: kontrolowane sprawdzenie potwierdza brak nieuprawnionego dostępu w uzgodnionym zakresie.
Dowód: zapis zmiany, wynik weryfikacji i wskazanie sprawdzonych aplikacji. Bez haseł i wartości sekretów.
Zarząd powinien otrzymać informację o najpilniejszych ryzykach, wykonanych działaniach, wynikach testów i decyzjach potrzebnych do dalszych prac. Nie wystarczy liczba przygotowanych dokumentów.
Warto rozróżniać trzy stany: wdrożone i sprawdzone, wdrożone, ale jeszcze niesprawdzone oraz niewdrożone lub nieznane. Pozwala to uniknąć sytuacji, w której zamówiona usługa zostaje uznana za działające zabezpieczenie.
Nie wyliczaj „procentu zgodności z NIS2” na podstawie pięciu punktów tego artykułu. Tak ograniczona lista nie obejmuje wszystkich obowiązków ani całego środowiska firmy.
Najpierw sprawdź możliwości już posiadanych usług: egzekwowanie dostępu, raporty administratorów, rejestrowanie zdarzeń, kopie i eksport danych. Dopiero wtedy oceń, czego rzeczywiście brakuje.
Rekomendujemy wspólny rejestr działań dla IT, bezpieczeństwa i dostawców oraz krótkie przeglądy decyzji. Jedna poprawka może wspierać kilka wymagań, ale powinna mieć jasno opisany zakres. Uporządkowanie uprawnień do jednej aplikacji nie oznacza uporządkowania wszystkich dostępów w firmie.
Oszczędzaj na dublowaniu pracy, nie na weryfikacji efektu. Priorytetyzacja oznacza świadomą kolejność działań, a nie trwałe pominięcie obowiązków.
W kategorii Cyberbezpieczeństwo dla MŚP znajdziesz również przewodnik o podleganiu NIS2 oraz artykuł o pięciu podstawowych działaniach bezpieczeństwa. Ten wpis rozwija kolejny etap: sprawdzenie luk pozostających mimo wdrożonych podstaw.
Przegląd kont i odzyskiwania danych warto uzupełnić materiałami o tożsamości, dostępie i bezpieczeństwie chmury. Przy testowaniu reakcji przydadzą się treści dotyczące incydentów, ransomware i ciągłości działania.
Program zgodności NIS2 CCyber obejmuje ocenę gotowości i plan działań. Punktem wyjścia może być ustalenie zakresu obowiązków, przegląd najważniejszych luk oraz uporządkowanie odpowiedzialności za ich usunięcie.
Sprawdź, co rzeczywiście blokuje przygotowanie Twojej firmy do KSC. Rozmowę o zakresie wsparcia warto rozpocząć od listy usług krytycznych, obecnych dostawców i terminów, które obowiązują organizację. Celem powinien być plan oparty na stanie faktycznym, a nie zakup uniwersalnego pakietu dokumentów.
Nie ma uniwersalnej odpowiedzi. Firma z dojrzałymi procesami może potrzebować ograniczonych uzupełnień, a organizacja bez podstaw znacznie szerszego programu. Plan z tego artykułu służy pierwszemu etapowi i nie jest gwarancją zgodności.
Nie. Status trzeba ustalić na podstawie kryteriów prawnych. Osobną sprawą są wymagania umowne klienta, które mogą zobowiązywać dostawcę do określonych zabezpieczeń i przedstawiania dowodów.
Może korzystać z pomocy dostawców, ale powinna wyznaczyć wewnętrzną osobę koordynującą oraz właścicieli decyzji biznesowych. Trzeba ustalić, kto ma dostęp do konfiguracji, kto wykonuje zmiany i kto weryfikuje rezultat.
NIS2 nie ustanawia ogólnego obowiązku posiadania własnego centrum operacji bezpieczeństwa dla każdego MŚP. Wymaga odpowiednich zdolności i środków, których zakres zależy od właściwych przepisów oraz ryzyka. Monitoring bez ustalonej reakcji nie rozwiązuje jednak problemu.
Określ wpływ, właściciela, termin, ewentualne środki tymczasowe i sposób potwierdzenia naprawy. Sprawdź zgodność harmonogramu z terminami ustawowymi. Akceptacja ryzyka przez firmę nie uchyla obowiązku prawnego.
Szybsze przygotowanie do NIS2 nie polega na pomijaniu wymagań. Polega na usunięciu niejasności: kto ma dostęp, jakie systemy istnieją, za co odpowiada dostawca, co można odtworzyć i kto zareaguje na incydent.
Najbardziej użyteczne szybkie działanie to takie, które kończy się sprawdzonym wynikiem. Odebranym dostępem, uzgodnioną odpowiedzialnością, uzupełnionym zakresem ochrony, działającym odtworzeniem albo przetestowaną eskalacją. Na tych rezultatach można budować dalsze wdrożenie SZBI i pozostałych obowiązków KSC.
Piszemy o regulacjach takich jak NIS2, DORA, CRA i ISO 27001, o bezpieczeństwie MŚP i infrastruktury krytycznej, a także o cyberhigienie, cyberzagrożeniach i budowaniu świadomości bezpieczeństwa w organizacji.
Każdy artykuł to praktyczna wiedza - bez żargonu i z konkretnymi wskazówkami do wdrożenia, które pomagają firmom skutecznie chronić dane, ludzi i ciągłość działania.