# Skąd zarząd ma wiedzieć, że jego firma ma odpowiednie zabezpieczenia?

Ustawa o KSC nie daje listy kontrolnej, tylko nakazuje dobrać środki do ryzyka. Jak zarząd sprawdza, że to wystarcza, i jak to przedstawi audytorowi?

- Adres: <https://pelnomocnikcyber.pl/artykuly/skad-zarzad-ma-wiedziec-ze-zabezpieczen-jest-dosc/>
- Autor: [Paweł Rosół](https://pelnomocnikcyber.pl/autor/pawel-rosol/)
- Data publikacji: 24.09.2026
- Kategoria: [Zarządzanie ryzykiem](https://pelnomocnikcyber.pl/kategorie/zarzadzanie-ryzykiem/)
- Licencja: [CC BY 4.0](https://creativecommons.org/licenses/by/4.0/deed.pl)

Ustawa o KSC nie mówi, ile zabezpieczeń wystarczy. Mówi, że mają być dobrane do
oszacowanego ryzyka, i przerzuca na podmiot ciężar pokazania, dlaczego dobrał je tak, a
nie inaczej.

Dlatego pytanie „czy mamy uwierzytelnianie wieloskładnikowe, kopie zapasowe, SOC i
politykę?” niewiele zarządowi mówi, nawet jeśli na każde pada odpowiedź „tak”.

**Zarząd wie, że zabezpieczeń jest dość, kiedy ktoś potrafi mu pokazać ciąg: która usługa, jakie ryzyko, jaka decyzja, jaki środek, jaki test i kto zaakceptował to, co zostało.**

Ten tekst jest dla członków zarządu i opisuje ten ciąg: skąd się bierze, gdzie najczęściej
się urywa i czego żądać od osoby, która odpowiada za cyberbezpieczeństwo w spółce.

## Dlaczego ustawa nie daje listy kontrolnej?

Art. 8 ust. 1 pkt 2 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa
(ustawy o KSC) wymaga środków „odpowiednich i proporcjonalnych do oszacowanego ryzyka”,
uwzględniających „najnowszy stan wiedzy, koszty wdrożenia, wielkość podmiotu,
prawdopodobieństwo wystąpienia incydentów, narażenie podmiotu na ryzyka, skutki społeczne
i gospodarcze”.

Dalej przepis wymienia obszary, które środki mają objąć (polityki, łańcuch dostaw,
ciągłość działania, monitorowanie, kontrolę dostępu i inne), ale nie mówi, jak gruby ma
być mur w każdym z nich. Z tego wynika rzecz dla zarządu niewygodna.

**Dwie spółki z tego samego sektora mogą mieć różne zabezpieczenia i obie spełniać ustawę.**

Pytanie „czy nie mamy mniej niż konkurencja?” nie ma więc sensu, dopóki nie wiadomo, jakie
ryzyko ma każda z nich. Sensowne pytanie brzmi: dlaczego uznaliśmy, że ten poziom jest u
nas adekwatny, i gdzie to jest zapisane.

Odpowiedź na nie ma kilka ogniw i każde z nich może pęknąć:

```mermaid alt="Schemat: zakres, ryzyko, decyzja zarządu o akceptacji ryzyka, dowody działania i monitorowanie; ryzyko nieakceptowalne wraca do redukcji, brak dowodów wraca do uzupełnienia"
flowchart TD
  A[Czy podlegamy<br/>ustawie?] --> B[Co chronimy?<br/>zakres SZBI]
  B --> C[Jakie mamy<br/>ryzyko?]
  C --> D{Czy zarząd<br/>akceptuje<br/>ryzyko?}
  D -->|nie| E[Redukujemy:<br/>budżet, termin,<br/>właściciel,<br/>potem wracamy<br/>do ryzyka]
  D -->|tak| F{Czy umiemy<br/>wykazać,<br/>że działa?}
  F -->|nie| G[Uzupełniamy<br/>dowody<br/>i wracamy<br/>do pytania]
  F -->|tak| H[Monitorujemy<br/>i wracamy<br/>do ryzyka]
```

## Co widać w polskich firmach?

Business Growth Review zbadał na przełomie stycznia i lutego 2026 r., czyli jeszcze przed
wejściem w życie nowelizacji, 1018 firm zatrudniających ponad 300 osób. Była to ankieta
internetowa; odpowiadali głównie ludzie od bezpieczeństwa, ryzyka i compliance, a członków
zarządu było wśród nich 14,2 %.

Najczęściej wskazywanym obszarem niejasności był zakres wymagań (44,9 %), potem łańcuch
dostaw (39,2 %) i raportowanie incydentów (38,7 %). Odpowiedzialność zarządu wskazało
33,4 % firm, a 40,9 % nie ustaliło, czy w ogóle jest podmiotem kluczowym lub ważnym.

Dla mnie ciekawsze od listy niejasności jest to, jak firmy oceniły same siebie w dziesięciu
obszarach (skala od 1 do 5). Najwyżej wypadły polityki i procedury (3,63) oraz kopie
zapasowe i testy odtwarzania (3,57). Najniżej reagowanie na incydenty i ćwiczenia (3,21)
oraz bezpieczeństwo dostawców (3,0).

**Najlepiej idzie więc to, co da się napisać i położyć na stole, a najsłabiej to, co trzeba przećwiczyć albo wymusić na kimś spoza firmy.**

To samoocena, więc prawdziwy obraz jest raczej gorszy niż lepszy.

## Gdzie kończy się to, co trzeba chronić?

Art. 8 ust. 1 ustawy o KSC nakazuje wdrożyć system zarządzania bezpieczeństwem informacji
(SZBI) „w systemie informacyjnym wykorzystywanym w procesach wpływających na świadczenie
usługi”. Nie w całej firmie. To dobra wiadomość dla budżetu i zła dla tego, kto ma ten
zakres wyznaczyć, bo każde wyłączenie trzeba umieć obronić.

Weźmy spółkę produkcyjną z systemem ERP, systemem sterowania produkcją, SCADA, magazynem,
pocztą, CRM, kadrami, platformą zakupową i kilkoma usługami w chmurze.

Czy kadry są w zakresie? Zwykle nie. Czy poczta? Jeśli przez nią przychodzą zamówienia,
które uruchamiają produkcję, to już tak. Czy konto administratora domeny, przez które ktoś
może dojść do SCADA? Na pewno. **O zakresie decydują zależności**, a nie to, który dział
kupił system.

Sam dokument „Zakres SZBI: systemy X, Y, Z” niczego nie dowodzi. Pokazuję zarządowi, jak do
tego zakresu doszliśmy: usługa, procesy, które ją realizują, systemy, od których te procesy
zależą, i dostawcy tych systemów.

Wyłączenie z uzasadnieniem obroni się przed audytorem. Wyłączenie, które po prostu się
zdarzyło, bo nikt o systemie nie pomyślał, już nie.

## Jak odróżnić procedurę od dowodu, że działa?

Polityka mówi: „kopie zapasowe są wykonywane codziennie”. Audytor prosi o kopię z
konkretnego dnia sprzed kilku miesięcy. Potem o wynik ostatniego testu odtworzenia.

Potem o pokazanie, że ransomware, które zaszyfruje serwery produkcyjne, nie zaszyfruje
razem z nimi kopii. Przy trzecim pytaniu większość segregatorów przestaje pomagać.

Rozróżniam trzy poziomy:

1. Dokument: polityka, procedura, instrukcja. Mówi, co ma się dziać.
2. Zapis: log, zgłoszenie w systemie, raport ze skanu, protokół. Pokazuje, że to się
   działo.
3. Dowód skuteczności: test odtworzenia z czasem, ponowny skan po poprawce, ćwiczenie
   incydentu z wnioskami. Pokazuje, że to działa i że ktoś to sprawdził.

Trzeci poziom nie jest moim wymysłem. Wśród obszarów z art. 8 ust. 1 pkt 2 ustawy o KSC są
wprost, pod lit. h, „polityki i procedury oceny skuteczności środków technicznych i
organizacyjnych”.

Kto chce zobaczyć, jak taki dowód może wyglądać w praktyce, znajdzie przykłady w
wytycznych ENISA do wdrożenia NIS2 z czerwca 2025 r. Formalnie dotyczą one wybranych
dostawców usług cyfrowych i infrastruktury cyfrowej, a nie każdego podmiotu, ale jako wzór
tego, co audytor może uznać za dowód, przydają się każdemu.

## Jak wygląda dowód, że zarząd nadzorował?

Art. 8d ustawy o KSC nakazuje kierownikowi podmiotu podejmować decyzje o SZBI, planować
adekwatne środki finansowe, przydzielać zadania i nadzorować ich wykonanie. Art. 8c ust. 3
dodaje, że kierownik odpowiada także wtedy, gdy obowiązki powierzył innej osobie.

Jeśli kierownikiem jest zarząd i nie wskazano osoby odpowiedzialnej, odpowiadają wszyscy
jego członkowie (art. 8c ust. 2). Od 3 kwietnia 2028 r. organ może nałożyć na kierownika
karę do 300 % wynagrodzenia (art. 73a).

**„CISO zapewnił nas, że jest dobrze” nie jest dowodem nadzoru.**

Dowodem jest ślad decyzji w protokołach zarządu, z którego wynika:

- jakie ryzyka przedstawiono zarządowi i kiedy;
- które zarząd zaakceptował jako ryzyko rezydualne, a które kazał ograniczyć;
- jaki budżet przyznał, a co odłożył i z jakiego powodu;
- kiedy zarząd dowiedział się o luce i co zrobił w ciągu następnego kwartału;
- czy znał wyniki testów i ćwiczeń, a nie tylko listę kupionych narzędzi.

Odłożenie wydatku jest w porządku, jeśli zarząd zrobił to świadomie i to zapisał. Źle
wygląda dopiero luka, o której zarząd nie wiedział, albo taka, o której wiedział i nic z nią
nie zrobił.

## Czy o trzeciej w nocy ktoś wie, że to incydent poważny?

Art. 11 ust. 1 ustawy o KSC nakazuje sklasyfikować incydent według progów i zgłosić wczesne
ostrzeżenie o incydencie poważnym do CSIRT sektorowego „niezwłocznie, niepóźniej niż w
ciągu 24 godzin od momentu jego wykrycia”. Pełne zgłoszenie idzie w ciągu 72 godzin.

Na papierze to proste. Tak wygląda to w nocy:

- 2:00: monitoring pokazuje nietypowy ruch;
- 3:00: wiadomo, że przejęto jeden serwer;
- 5:00: wiadomo, że napastnik chodził po sieci;
- 9:00: nadal nie wiadomo, czy wyniósł dane;
- 14:00: okazuje się, że przejęty serwer obsługuje proces, od którego zależy usługa.

Od której godziny liczą się 24 godziny? I kto o 3:00 ma prawo zdecydować, że dzwonimy do
CSIRT?

**Tych rozstrzygnięć nie da się wypracować w trakcie incydentu.**

Kryteria klasyfikacji, nazwisko osoby, która w nocy decyduje o zgłoszeniu, i jej zastępca
muszą być ustalone wcześniej i przećwiczone. W badaniu BGR 38,3 % dużych firm albo nie
miało zdefiniowanych progów poważnego incydentu, albo nie wiedziało, czy je ma.

## Jak głęboko sprawdzać dostawców?

W tym samym badaniu tylko 26,3 % firm deklarowało systemowe zarządzanie ryzykiem dostawców,
a 28,8 % przyznało, że nie zarządza nim wcale. Zarząd słyszy wtedy pytania bez końca: czy
sprawdzać firmę sprzątającą, czy da się audytować wielkiego dostawcę chmury, co z
podwykonawcą naszego dostawcy.

Ustawa daje tu punkt zaczepienia. Art. 8 ust. 1 pkt 2 lit. e mówi o bezpieczeństwie
łańcucha dostaw produktów, usług i procesów ICT, od których zależy świadczenie usługi,
„z uwzględnieniem związków pomiędzy bezpośrednim dostawcą sprzętu lub oprogramowania a
podmiotem”.

Zaczynam więc od bezpośrednich dostawców tego, co jest w zakresie SZBI. Głębiej schodzę
tam, gdzie wiele systemów zależy od jednego dostawcy albo jednej chmury, bo tam awaria
jednej firmy staje się awarią całej usługi. Firma sprzątająca trafia na listę tylko wtedy,
gdy ma klucze do serwerowni.

## Czy certyfikat ISO/IEC 27001 zamyka temat?

Nie zamyka, choć bardzo pomaga. Ustawa o KSC nie wymaga certyfikacji SZBI, a dobrze
prowadzony system zgodny z normą to dobra podstawa. Dwie rzeczy trzeba jednak sprawdzić.

Pierwsza to zakres: certyfikat często obejmuje na przykład tylko serwerownię albo jeden
dział, a zakres z ustawy wyznacza usługa.

Druga to obowiązki, których norma nie zna: zgłoszenia do CSIRT sektorowego w terminach
ustawowych, coroczne szkolenie kierownika, informacja z Krajowego Rejestru Karnego dla
osób, które realizują zadania z cyberbezpieczeństwa, wpis do wykazu podmiotów kluczowych i
ważnych.

Z zarządem nie rozmawiam więc o tym, czy mamy ISO, tylko o tym, **które wymagania ustawy
nasze ISO pokrywa**, a które nie.

## Co pokazać audytorowi w 2028 r.?

Podmiot kluczowy przeprowadza audyt bezpieczeństwa systemu informacyjnego co najmniej raz
na 3 lata, na własny koszt (art. 15 ust. 1 ustawy o KSC). Ci, którzy spełniali przesłanki
podmiotu kluczowego w dniu wejścia w życie nowelizacji, mają na pierwszy audyt 24 miesiące
(art. 33 ust. 2 ustawy nowelizującej), czyli czas do 3 kwietnia 2028 r.

Brzmi to odlegle, ale dowody trzeciego poziomu powstają tylko z upływem czasu: rok testów
odtworzenia, dwa ćwiczenia incydentu, cztery kwartalne raporty dla zarządu.

**Dowodów skuteczności nie da się wyprodukować w miesiąc przed wizytą audytora.**

Audytu nie zrobi ta sama osoba, która prowadzi w spółce cyberbezpieczeństwo. Może natomiast
przygotować zarząd na pytania, które padną. Poniżej zestawiam je z odpowiedziami, które
niczego nie dowodzą, i z takimi, które coś znaczą:

| Pytanie zarządu | Odpowiedź, która nic nie mówi | Odpowiedź z dowodem |
|---|---|---|
| Czy podlegamy ustawie? | „Nikt nas nie wezwał” | notatka z analizą załączników, wielkości i grupy kapitałowej, z datą i podpisem |
| Co jest w zakresie SZBI? | „Cała informatyka” | mapa od usługi przez procesy i systemy do dostawców, z uzasadnieniem wyłączeń |
| Czy zabezpieczenia wystarczą? | „Mamy ISO i SOC” | rejestr ryzyka z decyzją przy każdym ryzyku i zaakceptowanym ryzykiem rezydualnym |
| Czy to działa? | „Polityka mówi, że…” | wynik ostatniego testu odtworzenia, ponownego skanu, ćwiczenia |
| Czy zdążymy ze zgłoszeniem? | „SOC nas powiadomi” | kryteria klasyfikacji, osoba decydująca w nocy, zapis z ćwiczenia z godzinami |
| Czy dostawcy nas nie pogrążą? | „Mają certyfikaty” | lista dostawców krytycznych dla usługi, zapisy w umowach, ocena koncentracji |
| Czy nadzorujemy? | „CISO mówi, że jest dobrze” | protokoły z decyzjami, budżetem, odroczeniami i ich powodami |

Gdybym na najbliższym posiedzeniu zarządu mógł zadać tylko jedno pytanie, poprosiłbym osobę
odpowiedzialną za cyberbezpieczeństwo o jedną stronę:

- krytyczne usługi spółki;
- najważniejsze ryzyka dla każdej z nich;
- zabezpieczenia, które je ograniczają, z datą ostatniego testu każdego z nich;
- ryzyka, których zarząd jeszcze nie zaakceptował ani nie kazał ograniczyć.

Jeśli taka strona powstanie w tydzień, system działa. Jeśli w odpowiedzi zarząd dostanie
dwustustronicową procedurę i zrzut ekranu z panelu SOC, wie przynajmniej, od czego zacząć.

## Pojęcia w tym tekście

- [Ustawa o KSC](https://pelnomocnikcyber.pl/slownik/ustawa-o-ksc/): Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Po nowelizacji z 2026 r. wdraża dyrektywę NIS2 i określa obowiązki podmiotów kluczowych i ważnych.
- [Uwierzytelnianie wieloskładnikowe](https://pelnomocnikcyber.pl/slownik/uwierzytelnianie-wieloskladnikowe/): Logowanie, które wymaga więcej niż jednego składnika, na przykład hasła i kodu z aplikacji. Ustawa o KSC wymienia je wśród środków bezpieczeństwa.
- [Centrum operacji bezpieczeństwa](https://pelnomocnikcyber.pl/slownik/centrum-operacji-bezpieczenstwa/): Zespół lub usługa, która całą dobę monitoruje systemy firmy, wykrywa podejrzane zdarzenia i uruchamia reakcję na incydent.
- [Incydent](https://pelnomocnikcyber.pl/slownik/incydent/): Zdarzenie, które szkodzi albo może zaszkodzić bezpieczeństwu systemów informacyjnych. Zgłaszać trzeba nie każdy incydent, tylko incydent poważny.
- [Łańcuch dostaw](https://pelnomocnikcyber.pl/slownik/lancuch-dostaw/): Dostawcy sprzętu, oprogramowania i usług ICT, od których zależy świadczenie usługi. Ich bezpieczeństwo podmiot uwzględnia w swoim zarządzaniu ryzykiem.
- [Ciągłość działania](https://pelnomocnikcyber.pl/slownik/ciaglosc-dzialania/): Zdolność podmiotu do świadczenia usługi mimo awarii albo ataku. Ustawa wymaga planów ciągłości działania, które są dokumentowane, testowane i utrzymywane.
- [Podmiot kluczowy](https://pelnomocnikcyber.pl/slownik/podmiot-kluczowy/): Podmiot z sektorów ustawy o KSC, który ze względu na wielkość albo rodzaj działalności ma najszersze obowiązki, w tym audyt bezpieczeństwa co najmniej raz na trzy lata.
- [System zarządzania bezpieczeństwem informacji](https://pelnomocnikcyber.pl/slownik/szbi/): Uporządkowany sposób, w jaki podmiot kluczowy lub ważny zarządza bezpieczeństwem systemu używanego do świadczenia usługi, od szacowania ryzyka po obsługę incydentów.
- [System SCADA](https://pelnomocnikcyber.pl/slownik/scada/): Supervisory Control and Data Acquisition: system nadzoru i zbierania danych, przez który dyspozytor widzi rozproszoną instalację, na przykład sieć wodociągową, i nią steruje.
- [Ransomware](https://pelnomocnikcyber.pl/slownik/ransomware/): Złośliwe oprogramowanie, które szyfruje dane i żąda okupu za ich odszyfrowanie. Coraz częściej sprawcy także wykradają dane i grożą ich upublicznieniem.
- [Dyrektywa NIS2](https://pelnomocnikcyber.pl/slownik/nis2/): Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. o cyberbezpieczeństwie w Unii. W Polsce wdraża ją ustawa o KSC po nowelizacji z 2026 r.
- [Kierownik podmiotu](https://pelnomocnikcyber.pl/slownik/kierownik-podmiotu/): Osoba albo organ kierujący podmiotem kluczowym lub ważnym, na przykład zarząd spółki. Odpowiada za cyberbezpieczeństwo podmiotu także wtedy, gdy zadania powierzył innej osobie.
- [Dyrektor ds. bezpieczeństwa informacji](https://pelnomocnikcyber.pl/slownik/dyrektor-ds-bezpieczenstwa-informacji/): Osoba odpowiedzialna w organizacji za program bezpieczeństwa informacji, zwykle raportująca zarządowi o stanie zabezpieczeń i ryzykach.
- [Wczesne ostrzeżenie](https://pelnomocnikcyber.pl/slownik/wczesne-ostrzezenie/): Pierwsze zgłoszenie incydentu poważnego do CSIRT sektorowego, niezwłocznie i najpóźniej w ciągu 24 godzin od wykrycia. Pełne zgłoszenie idzie w ciągu 72 godzin.
- [Incydent poważny](https://pelnomocnikcyber.pl/slownik/incydent-powazny/): Incydent, który poważnie zakłóca usługę, przynosi podmiotowi straty finansowe albo wyrządza poważną szkodę innym. Podmiot kluczowy lub ważny zgłasza go do CSIRT sektorowego.
- [CSIRT sektorowy](https://pelnomocnikcyber.pl/slownik/csirt-sektorowy/): Zespół reagowania na incydenty dla jednego sektora lub podsektora, ustanowiony przez organ właściwy. To do niego podmiot kluczowy lub ważny zgłasza incydent poważny.
- [CSIRT](https://pelnomocnikcyber.pl/slownik/csirt/): Zespół reagowania na incydenty bezpieczeństwa komputerowego. Na poziomie krajowym działają trzy: CSIRT GOV (Szef ABW), CSIRT MON (Minister Obrony Narodowej) i CSIRT NASK (NASK-PIB).
- [Zarządzanie ryzykiem](https://pelnomocnikcyber.pl/slownik/zarzadzanie-ryzykiem/): To, co podmiot robi z oszacowanym ryzykiem: dobiera zabezpieczenia, a ryzyko, którego nie ogranicza, akceptuje świadomie.
- [Wykaz podmiotów kluczowych i ważnych](https://pelnomocnikcyber.pl/slownik/wykaz-podmiotow-kluczowych-i-waznych/): Rejestr podmiotów kluczowych i ważnych prowadzony w systemie S46. Służy ich identyfikacji, wymianie informacji o incydentach i nadzorowi.
- [Audyt bezpieczeństwa](https://pelnomocnikcyber.pl/slownik/audyt-bezpieczenstwa/): Sprawdzenie, czy system informacyjny używany do świadczenia usługi spełnia wymagania ustawy o KSC. Podmiot kluczowy przeprowadza go na własny koszt co najmniej raz na trzy lata.

## Najczęściej zadawane pytania

### Czy ustawa o KSC podaje listę obowiązkowych zabezpieczeń?

Podaje obszary, a nie gotowy zestaw. Art. 8 ust. 1 pkt 2 ustawy o KSC wymaga środków technicznych i organizacyjnych odpowiednich i proporcjonalnych do oszacowanego ryzyka, z uwzględnieniem m.in. kosztów wdrożenia, wielkości podmiotu i prawdopodobieństwa incydentów, a potem wymienia obszary, które te środki mają objąć, od polityk po kontrolę dostępu. To, jakie konkretnie zabezpieczenia wybrać, wynika z szacowania ryzyka.

### Czy certyfikat ISO/IEC 27001 oznacza, że spełniamy ustawę o KSC?

Nie automatycznie. Ustawa o KSC nie wymaga certyfikacji systemu zarządzania bezpieczeństwem informacji, a certyfikat może obejmować inny zakres niż system informacyjny z art. 8 ust. 1. Poza normą zostają też obowiązki czysto ustawowe, na przykład zgłaszanie incydentu poważnego do CSIRT sektorowego w terminach z art. 11 ust. 1 i coroczne szkolenie kierownika z art. 8e.

### Kiedy podmiot kluczowy musi przeprowadzić pierwszy audyt?

Art. 15 ust. 1 ustawy o KSC wymaga audytu co najmniej raz na 3 lata. Podmioty, które spełniały przesłanki podmiotu kluczowego w dniu wejścia w życie nowelizacji, przeprowadzają pierwszy audyt w terminie 24 miesięcy od tego dnia (art. 33 ust. 2 ustawy nowelizującej), czyli do 3 kwietnia 2028 r.

## Źródła

1. [Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, tekst jednolity Dz.U. 2026 poz. 20, ze zmianami](https://eli.gov.pl/eli/DU/2026/20/ogl)
2. [Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, Dz.U. 2026 poz. 252](https://eli.gov.pl/eli/DU/2026/252/ogl)
3. [Business Growth Review, NIS2 - czy firmy w Polsce są gotowe na dyrektywę? Raport z badania (2026, PDF)](https://bgrev.pl/wp-content/uploads/2026/03/BGR_Raport-NIS_2026_fi.pdf)
4. [ENISA, NIS2 Technical Implementation Guidance (26 czerwca 2025 r.)](https://www.enisa.europa.eu/publications/nis2-technical-implementation-guidance)

Stan prawny na dzień publikacji: 24.09.2026. Wpis nie był od tego czasu weryfikowany pod kątem zmian w przepisach. Wpis jest informacją ogólną, nie poradą prawną ([zasady publikacji](https://pelnomocnikcyber.pl/zasady-publikacji/)).