Tag: Kierownik podmiotu
Artykuły
10 min czytania
Nowy podręcznik NIST dla kadry zarządzającej. Co z niego wziąć do SZBI według ustawy o KSC i ISO/IEC 27001?
NIST SP 800-100r1 to projekt, nie wymaganie. Co daje kierownikowi podmiotu, jak ma się do ISO/IEC 27001 i art. 8 ustawy o KSC i gdzie łatwo się pomylić.
13 min czytania
Napastnik na serwerze SCADA o 1:40 w nocy. Gdzie odciąć dostęp, gdy w ciepłowni nie ma osobnej stacji inżynierskiej?
Scenariusz: włamanie do integratora, jeden serwer do wszystkiego, styczniowa noc. Pięć punktów odcięcia, ich koszt dla procesu i kto decyduje.
22 min czytania
Studia z cyberbezpieczeństwa w Polsce. Kierunki techniczne, kierunki o bezpieczeństwie i podyplomowe w roku 2026/2027
Kto prowadzi kierunek cyberbezpieczeństwo, czym różni się politechnika od uniwersytetu i które podyplomowe liczą się przy audycie z art. 15 ustawy o KSC.
13 min czytania
Czy podmiot kluczowy lub ważny potrzebuje SOC-u? Informatyk, własny zespół czy usługa i ile to kosztuje
Ustawa o KSC wymaga monitorowania w trybie ciągłym, ale nie wymaga SOC-u. Kiedy wystarczy informatyk z Wazuhem, kiedy usługa zewnętrzna i co da AI.
12 min czytania
Stara SCADA, kilku serwisantów i mały budżet. Od czego zacząć zabezpieczanie automatyki i skąd wziąć pieniądze?
Podatności boneIO, przestarzała automatyka w wodociągach i ciepłowniach, osobne umowy z kilkoma serwisami. Co ustawa o KSC mówi o kosztach i jakie są dotacje.
13 min czytania
E-dzienniki 17 tysięcy szkół w rękach dwóch firm. Na czym polega ryzyko koncentracji i co planuje państwo?
Dane 5,4 mln uczniów trzymają dwa komercyjne e-dzienniki. Co już się stało, dlaczego to ryzyko systemowe i na czym stanęła ustawa o eDzienniku po wecie.
11 min czytania
Czy da się wyjść z wiecznego łatania? Secure by design i pytania, które warto zadać dostawcy oprogramowania
Od pół wieku wiemy, jak projektować bezpieczne systemy, a wciąż kupujemy produkty, które sami łatamy. Co daje secure by design i jak wymagać go przy zakupie?
11 min czytania
Osoba do kontaktu, administrator S46 i osoba zgłaszająca incydent. Czy to ta sama osoba?
Ustawa o KSC zna osoby do kontaktu i administratora S46, zgłaszającego nie wyznacza. Ile ich trzeba, kiedy KRK i czy może to być zewnętrzny pełnomocnik.
9 min czytania
PHP2Shell i rekomendacja Pełnomocnika nr 2026/33/6. Co zrobić w podmiocie, kiedy urzędy w Europie wyłączają strony?
Pełnomocnik Rządu zaleca natychmiastową aktualizację PHP i tymczasowe ustawienia php.ini. Co wynika z trybu art. 33 ustawy o KSC i czego uczą próby ataków.
13 min czytania
Dane pacjentów u jednego dostawcy. Co ustawa o KSC wymaga od placówki medycznej po MyDr, Medyc, FELG i Enel-Med?
18,8 mln osób w jednym wycieku, cztery kolejne w dwa miesiące. Kto w ochronie zdrowia podlega ustawie o KSC, czego wymaga art. 8 i co sprawdzić u dostawcy EDM?
10 min czytania
AI w sieci OT w 16 minut. Co test Booz Allen zmienia w szacowaniu ryzyka podmiotu kluczowego i ważnego?
Modele AI w laboratorium przeszły od brzegu sieci do sterowników i poruszyły ramieniem robota. Co z tego testu wynika dla art. 8 ustawy o KSC, a co nie.
15 min czytania
Rekomendacja Pełnomocnika nr 2026-67a-9 punkt po punkcie. Jak sprawdzić własny podmiot według katalogu ministerstwa?
Osiem obszarów i jedno zastrzeżenie o dobrowolności. Jakie pytanie zadaję w każdym obszarze, jakiego dowodu szukam i jak zapisać to, czego nie wdrażamy.
15 min czytania
Plan do 3 kwietnia 2027 r. dla zarządu. Co wynika z rekomendacji Pełnomocnika rządu ds. cyberbezpieczeństwa?
Rekomendacja 2026-67a-9 to katalog środków. Które z nich są obowiązkiem z ustawy o KSC, co musi istnieć 3 kwietnia 2027 r. i jak ułożyć pięć miesięcy pracy?
8 min czytania
Duński rejestr CPR wyciekł przez konto dwuosobowej firmy. Co sprawdzić u siebie według ustawy o KSC?
Dane 8,8 mln osób wyciekły z duńskiego rejestru przez legalny dostęp małej firmy i hasło „123456”. Co mówi na ten temat art. 8 ustawy o KSC?
10 min czytania
Kto w firmie tłumaczy cyberbezpieczeństwo z języka IT na język zarządu?
Aktualizacje, ochrona komputerów i wymiana sprzętu brzmią jak sprawy działu IT. Jak pełnomocnik ds. cyberbezpieczeństwa zamienia je w decyzje zarządu.
15 min czytania
Ataki na urządzenia OT. Jak napastnicy przestawiają proces i jak ograniczyć to ryzyko według ustawy o KSC i NIS2?
Panel w internecie, podatność w firmware, protokół bez uwierzytelniania, stacja inżynierska: cztery drogi do sterownika na przykładach i zabezpieczenia z art. 8
12 min czytania
Szkoła w ustawie o KSC. Co musi zrobić dyrektor i jak ująć e-dziennik i Classroom w SZBI?
Publiczna szkoła samorządowa jest podmiotem ważnym. Co z tego wynika dla dyrektora do 3 kwietnia 2027 r. i co zrobić z e-dziennikiem i platformą w chmurze.
23 min czytania
Jak zarejestrować się w systemie S46 i poprawnie zgłaszać przez niego incydenty?
Wpis do wykazu KSC otwiera przestrzeń podmiotu w S46 Cyber Hub. Kto składa i podpisuje wniosek, co przygotować, jak dostać konto i wysłać wczesne ostrzeżenie.
15 min czytania
Incydent poważny w praktyce: kto decyduje, co zgłosić i jak zdążyć w 24 godziny?
Podmiot sam uznaje incydent za poważny i zgłasza go w 24 godziny, 72 godziny i miesiąc. Kto o tym decyduje, według jakich progów i co zostaje w papierach?
6 min czytania
Czy ustawa o KSC wymaga powołania pełnomocnika ds. cyberbezpieczeństwa?
Nie wymaga. Ustawa o KSC nakazuje kierownikowi przydzielić zadania i nadzorować ich wykonanie, a podmiotowi powołać struktury albo zawrzeć umowę.
17 min czytania
Łańcuch dostaw w ustawie o KSC: czego wymagać od dostawców i co wpisać do umowy?
Ustawa o KSC nie obejmuje Twoich dostawców, ale nakazuje Ci zarządzać ryzykiem, które wnoszą. Co wpisać do umowy i co zrobić z umowami już zawartymi?
17 min czytania
SZBI według ustawy o KSC i NIS2. Co zmienić w systemie, który firma już ma?
Certyfikat ISO/IEC 27001 to dobry start, ale nie dowód zgodności z ustawą o KSC. Co zwykle trzeba poprawić w SZBI i jakie błędy widzę przy wdrożeniach.
13 min czytania
Shadow AI w podmiocie kluczowym i ważnym. Jak ująć ChatGPT w SZBI, zamiast go zakazywać?
Pracownicy wklejają dane firmy do publicznych modeli AI. Ustawa o KSC tego nie zakazuje, ale nakazuje zarządzać ryzykiem. Jak to zrobić i co pokazać audytorowi.
18 min czytania
Plan ciągłości działania: z czego się składa i jak sprawdzić, że działa?
Ustawa o KSC nakazuje wdrażać, testować i utrzymywać plany ciągłości działania. Co w nich jest, skąd biorę dane i po czym poznać, że nie zostały na półce.
12 min czytania
Systemy OT w firmie. Skąd bierze się ryzyko i co pełnomocnik ds. cyberbezpieczeństwa ma powiedzieć zarządowi?
Sterowniki, SCADA i panele HMI w energetyce, wod-kan, produkcji i szpitalach. Incydenty z Polski i ze świata, ryzyko po integratorach i raport dla zarządu.
8 min czytania
Skąd zarząd ma wiedzieć, że jego firma ma odpowiednie zabezpieczenia?
Ustawa o KSC nie daje listy kontrolnej, tylko nakazuje dobrać środki do ryzyka. Jak zarząd sprawdza, że to wystarcza, i jak to przedstawi audytorowi?
12 min czytania
Wodociągi i oczyszczalnie pod ostrzałem. Czego wymaga ustawa o KSC i jak odciąć włamywaczy od sterowników?
Panele sterowania stacji uzdatniania wody dostępne z internetu to główna droga ataku na wod-kan. Co mówi ustawa o KSC, co rekomenduje rząd, co robi pełnomocnik.
5 min czytania
Co kierownik podmiotu może powierzyć pełnomocnikowi, a co zostaje przy nim?
Ustawa o KSC pozwala powierzyć zadania z cyberbezpieczeństwa innej osobie, ale nie odpowiedzialność. Co kierownik robi sam, co można zlecić i jak to zapisać.
Aktualności
Streszczenie
Nowelizacja ustawy o KSC wprowadza osobistą karę pieniężną dla kierownika, także w jednostkach drogowych
CyberDefence24 opisuje, że nowelizacja ustawy o KSC przenosi odpowiedzialność za systemy i dane na kierowników jednostek, w tym dyrektorów zarządów dróg. Kara dla kierownika jest niezależna od kary dla jednostki, a pierwsze kary będą możliwe po 3 kwietnia 2028 r.
Źródło: CyberDefence24
Materiał własny
Pełnomocnik rządu wydał katalog podstawowych środków cyberbezpieczeństwa dla podmiotów KSC
Rekomendacja nr 2026-67a-9 z 15 października 2026 r. nie jest kierowana do jednej branży. Obejmuje osiem obszarów, od szacowania ryzyka i MFA po kopie zapasowe 3-2-1, łańcuch dostaw i audyt.
Źródło: Ministerstwo Cyfryzacji
Streszczenie
F5 potwierdził aktywne wykorzystanie krytycznej podatności w BIG-IP APM, CISA wyznaczyła termin na 25 września 2026 r.
Krytyczna podatność CVE-2026-94127 w F5 BIG-IP APM (CVSS 9.8) pozwala niezalogowanemu atakującemu na zdalne wykonanie kodu i jest już wykorzystywana. CISA dodała ją do katalogu KEV z terminem 25 września 2026 r.
Źródło: CISA Known Exploited Vulnerabilities