Tag: Podmiot kluczowy
Artykuły
8 min czytania
Logowanie do Wykazu KSC i S46 Cyber Hub. Dwa adresy, pierwsze logowanie i co zrobić, gdy nie działa
Wykaz KSC: wykaz-ksc.gov.pl, S46 Cyber Hub: pa.s46.gov.pl, w obu przez login.gov.pl. Który system do czego, pierwsze logowanie i co znaczą typowe błędy.
7 min czytania
Przestrzeń podmiotu w S46. Co zaznaczyć we wniosku o wpis i skąd wziąć kod przestrzeni?
Przestrzeń to konto podmiotu w S46 Cyber Hub. Kto ją ma od lat, kto dostanie ją po wpisie, gdzie jest kod przestrzeni i co sprawdzić po pierwszym logowaniu.
10 min czytania
Nowy podręcznik NIST dla kadry zarządzającej. Co z niego wziąć do SZBI według ustawy o KSC i ISO/IEC 27001?
NIST SP 800-100r1 to projekt, nie wymaganie. Co daje kierownikowi podmiotu, jak ma się do ISO/IEC 27001 i art. 8 ustawy o KSC i gdzie łatwo się pomylić.
13 min czytania
Napastnik na serwerze SCADA o 1:40 w nocy. Gdzie odciąć dostęp, gdy w ciepłowni nie ma osobnej stacji inżynierskiej?
Scenariusz: włamanie do integratora, jeden serwer do wszystkiego, styczniowa noc. Pięć punktów odcięcia, ich koszt dla procesu i kto decyduje.
13 min czytania
Czy podmiot kluczowy lub ważny potrzebuje SOC-u? Informatyk, własny zespół czy usługa i ile to kosztuje
Ustawa o KSC wymaga monitorowania w trybie ciągłym, ale nie wymaga SOC-u. Kiedy wystarczy informatyk z Wazuhem, kiedy usługa zewnętrzna i co da AI.
7 min czytania
Które państwa UE wpisać do wykazu KSC? Sprzedaż za granicę, oddział, spółka z grupy
Art. 7 ust. 2 pkt 14 ustawy o KSC pyta, w których państwach UE wykonujesz działalność. Oddział, eksport, spółka matka, wysyłka dla grupy: co wpisać i dlaczego.
12 min czytania
Stara SCADA, kilku serwisantów i mały budżet. Od czego zacząć zabezpieczanie automatyki i skąd wziąć pieniądze?
Podatności boneIO, przestarzała automatyka w wodociągach i ciepłowniach, osobne umowy z kilkoma serwisami. Co ustawa o KSC mówi o kosztach i jakie są dotacje.
19 min czytania
Dostawcy spółki wod-kan pod ustawą o KSC: jak ich sprawdzać, co wpisać do aneksu i jak to pogodzić z Pzp?
Integrator automatyki, serwis SCADA, biling, telemetria: od nich zależy woda w kranie. Jak spółka wod-kan ocenia dostawców, aneksuje umowy i kupuje według Pzp.
11 min czytania
Osoba do kontaktu, administrator S46 i osoba zgłaszająca incydent. Czy to ta sama osoba?
Ustawa o KSC zna osoby do kontaktu i administratora S46, zgłaszającego nie wyznacza. Ile ich trzeba, kiedy KRK i czy może to być zewnętrzny pełnomocnik.
9 min czytania
PHP2Shell i rekomendacja Pełnomocnika nr 2026/33/6. Co zrobić w podmiocie, kiedy urzędy w Europie wyłączają strony?
Pełnomocnik Rządu zaleca natychmiastową aktualizację PHP i tymczasowe ustawienia php.ini. Co wynika z trybu art. 33 ustawy o KSC i czego uczą próby ataków.
13 min czytania
Dane pacjentów u jednego dostawcy. Co ustawa o KSC wymaga od placówki medycznej po MyDr, Medyc, FELG i Enel-Med?
18,8 mln osób w jednym wycieku, cztery kolejne w dwa miesiące. Kto w ochronie zdrowia podlega ustawie o KSC, czego wymaga art. 8 i co sprawdzić u dostawcy EDM?
10 min czytania
AI w sieci OT w 16 minut. Co test Booz Allen zmienia w szacowaniu ryzyka podmiotu kluczowego i ważnego?
Modele AI w laboratorium przeszły od brzegu sieci do sterowników i poruszyły ramieniem robota. Co z tego testu wynika dla art. 8 ustawy o KSC, a co nie.
8 min czytania
Lokalne modele językowe w pracy nad bezpieczeństwem. Które pobrać, do czego i w jakich granicach prawa
Lokalny model AI zamiast publicznego czatu: przegląd kodu, konfiguracji i CVE. Które pobrać, co wolno zadaniom ofensywnym, czym jest CVP Anthropic.
15 min czytania
Rekomendacja Pełnomocnika nr 2026-67a-9 punkt po punkcie. Jak sprawdzić własny podmiot według katalogu ministerstwa?
Osiem obszarów i jedno zastrzeżenie o dobrowolności. Jakie pytanie zadaję w każdym obszarze, jakiego dowodu szukam i jak zapisać to, czego nie wdrażamy.
15 min czytania
Plan do 3 kwietnia 2027 r. dla zarządu. Co wynika z rekomendacji Pełnomocnika rządu ds. cyberbezpieczeństwa?
Rekomendacja 2026-67a-9 to katalog środków. Które z nich są obowiązkiem z ustawy o KSC, co musi istnieć 3 kwietnia 2027 r. i jak ułożyć pięć miesięcy pracy?
15 min czytania
Ataki na urządzenia OT. Jak napastnicy przestawiają proces i jak ograniczyć to ryzyko według ustawy o KSC i NIS2?
Panel w internecie, podatność w firmware, protokół bez uwierzytelniania, stacja inżynierska: cztery drogi do sterownika na przykładach i zabezpieczenia z art. 8
23 min czytania
Jak zarejestrować się w systemie S46 i poprawnie zgłaszać przez niego incydenty?
Wpis do wykazu KSC otwiera przestrzeń podmiotu w S46 Cyber Hub. Kto składa i podpisuje wniosek, co przygotować, jak dostać konto i wysłać wczesne ostrzeżenie.
7 min czytania
Których dostawców wpisać do wykazu KSC jako dostawcę usług zarządzanych w zakresie cyberbezpieczeństwa?
Dostawcę w wykazie KSC wpisuje się tylko przy umowie na zadania z art. 8 lub art. 11. Helpdesk, serwerownia, pentest, audyt, kancelaria, spółka z grupy: kogo?
15 min czytania
Incydent poważny w praktyce: kto decyduje, co zgłosić i jak zdążyć w 24 godziny?
Podmiot sam uznaje incydent za poważny i zgłasza go w 24 godziny, 72 godziny i miesiąc. Kto o tym decyduje, według jakich progów i co zostaje w papierach?
6 min czytania
Czy ustawa o KSC wymaga powołania pełnomocnika ds. cyberbezpieczeństwa?
Nie wymaga. Ustawa o KSC nakazuje kierownikowi przydzielić zadania i nadzorować ich wykonanie, a podmiotowi powołać struktury albo zawrzeć umowę.
17 min czytania
Łańcuch dostaw w ustawie o KSC: czego wymagać od dostawców i co wpisać do umowy?
Ustawa o KSC nie obejmuje Twoich dostawców, ale nakazuje Ci zarządzać ryzykiem, które wnoszą. Co wpisać do umowy i co zrobić z umowami już zawartymi?
17 min czytania
SZBI według ustawy o KSC i NIS2. Co zmienić w systemie, który firma już ma?
Certyfikat ISO/IEC 27001 to dobry start, ale nie dowód zgodności z ustawą o KSC. Co zwykle trzeba poprawić w SZBI i jakie błędy widzę przy wdrożeniach.
13 min czytania
Shadow AI w podmiocie kluczowym i ważnym. Jak ująć ChatGPT w SZBI, zamiast go zakazywać?
Pracownicy wklejają dane firmy do publicznych modeli AI. Ustawa o KSC tego nie zakazuje, ale nakazuje zarządzać ryzykiem. Jak to zrobić i co pokazać audytorowi.
18 min czytania
Plan ciągłości działania: z czego się składa i jak sprawdzić, że działa?
Ustawa o KSC nakazuje wdrażać, testować i utrzymywać plany ciągłości działania. Co w nich jest, skąd biorę dane i po czym poznać, że nie zostały na półce.
12 min czytania
Systemy OT w firmie. Skąd bierze się ryzyko i co pełnomocnik ds. cyberbezpieczeństwa ma powiedzieć zarządowi?
Sterowniki, SCADA i panele HMI w energetyce, wod-kan, produkcji i szpitalach. Incydenty z Polski i ze świata, ryzyko po integratorach i raport dla zarządu.
12 min czytania
Wodociągi i oczyszczalnie pod ostrzałem. Czego wymaga ustawa o KSC i jak odciąć włamywaczy od sterowników?
Panele sterowania stacji uzdatniania wody dostępne z internetu to główna droga ataku na wod-kan. Co mówi ustawa o KSC, co rekomenduje rząd, co robi pełnomocnik.
5 min czytania
Co kierownik podmiotu może powierzyć pełnomocnikowi, a co zostaje przy nim?
Ustawa o KSC pozwala powierzyć zadania z cyberbezpieczeństwa innej osobie, ale nie odpowiedzialność. Co kierownik robi sam, co można zlecić i jak to zapisać.
5 min czytania
Czy moja organizacja podlega ustawie o KSC i w jakiej roli?
Jak sprawdzić od strony podmiotu, czy jest podmiotem kluczowym, ważnym, czy żadnym z nich: załączniki, wielkość przedsiębiorstwa, wyjątki i terminy.
Aktualności
Streszczenie
Atakujący wykorzystują podatność o wyniku 10.0 w urządzeniach Siemens SIMATIC IoT2050 Advanced
Kanadyjskie Centrum Cyberbezpieczeństwa zaktualizowało 3 listopada 2026 r. biuletyn AV26-802 o informację, że CVE-2026-58115 jest wykorzystywana w atakach. The Hacker News wiąże ją z urządzeniami SIMATIC IoT2050 Advanced.
Źródło: Canadian Centre for Cyber Security
Streszczenie
Według WIRED agent Claude Code z prywatnego konta pracownika Accenture działał dwa miesiące w sieci Pentagonu
Anonimowe źródła WIRED mówią, że agent najwyraźniej wysłał dane logowania i mapę sieci NIPRNet na zewnętrzną stronę. Accenture odpowiada, że zarzuty zbadano niezależnie i są bezpodstawne, a Departament Obrony USA nie komentuje sprawy.
Źródło: WIRED
Streszczenie
Drupal ostrzega przed wykorzystywaną luką w module Commerce Core, poprawka jest w wersjach 3.3.13 i 8.x-2.41
Zespół bezpieczeństwa Drupala potwierdza, że luka CVE-2026-118539 w module Commerce Core jest wykorzystywana w atakach na sklepy internetowe. Poprawki wydano 28 października 2026 r., a Drupal zaleca też przejrzenie zamówień.
Źródło: BleepingComputer
Streszczenie
Cisco załatała aktywnie wykorzystywaną podatność, która zawiesza zapory ASA i FTD z SSL VPN
Cisco wydała poprawki do CVE-2026-76418 w ASA i FTD. Zdalny atakujący bez uwierzytelnienia może wywołać restart zapory z SSL VPN, a podatność jest wykorzystywana w atakach.
Źródło: BleepingComputer
Streszczenie
Trzy podatności we wtyczce 2FA do Roundcube pozwalają ominąć drugi składnik, jeśli atakujący zna hasło
CERT Polska opisał trzy podatności we wtyczce twofactor_gauthenticator dla Roundcube, które umożliwiają ominięcie drugiego składnika uwierzytelniania atakującemu znającemu hasło. Poprawka jest w commicie 4640889.
Źródło: CERT Polska
Streszczenie
PHP zapowiada awaryjne poprawki dwóch krytycznych podatności umożliwiających zdalne wykonanie kodu
Zespół PHP zapowiedział awaryjne aktualizacje dla CVE-2026-109618 i CVE-2026-109619, które według CERT-EU mogą prowadzić do zdalnego wykonania kodu. Źródła różnią się co do terminu wydania i oceny CVSS, a informacje o podatnościach miały wyciec.
Źródło: ASD's ACSC alerts
Streszczenie
Siemens ostrzega przed atakami ClickFix wykorzystującymi podatność w Software Center
Siemens potwierdził aktywne wykorzystanie podatności CVE-2026-110936 w Software Center w kampanii ClickFix o nazwie Romulus. Poprawka jest w wersji 4.0.9.8, a istniejące instalacje aktualizują się przy następnym uruchomieniu.
Źródło: Infosecurity Magazine
Streszczenie
Nowelizacja ustawy o KSC wprowadza osobistą karę pieniężną dla kierownika, także w jednostkach drogowych
CyberDefence24 opisuje, że nowelizacja ustawy o KSC przenosi odpowiedzialność za systemy i dane na kierowników jednostek, w tym dyrektorów zarządów dróg. Kara dla kierownika jest niezależna od kary dla jednostki, a pierwsze kary będą możliwe po 3 kwietnia 2028 r.
Źródło: CyberDefence24
Materiał własny
Pełnomocnik rządu wydał katalog podstawowych środków cyberbezpieczeństwa dla podmiotów KSC
Rekomendacja nr 2026-67a-9 z 15 października 2026 r. nie jest kierowana do jednej branży. Obejmuje osiem obszarów, od szacowania ryzyka i MFA po kopie zapasowe 3-2-1, łańcuch dostaw i audyt.
Źródło: Ministerstwo Cyfryzacji
Streszczenie
ARMORY CASTLE wykorzystywał podatność w BeyondTrust Remote Support jako zero-day od końca sierpnia 2026 r.
BeyondTrust ujawnił podatność CVE-2026-102764 w Remote Support, którą według Mandiant podejrzewana o szpiegostwo grupa ARMORY CASTLE wykorzystywała jako zero-day od końca sierpnia. Atak kończy się wgraniem dowolnych plików na urządzenie.
Źródło: Google Threat Intelligence Group (Mandiant)
Streszczenie
Palo Alto Networks łata aktywnie wykorzystywaną podatność w PAN-OS, która daje roota na zaporze
Palo Alto Networks wydało poprawki dla CVE-2026-0322 w PAN-OS, wykorzystywanej już w atakach. Uwierzytelniony atakujący z dostępem do interfejsu zarządzania może uruchomić kod jako root. CISA wyznaczyła termin na 17 października.
Źródło: CISA Known Exploited Vulnerabilities
Streszczenie
Cisco załatało wykorzystywaną w atakach podatność w bramie pocztowej Secure Email Gateway
Cisco ostrzega przed atakami na podatność CVE-2026-76519 w Secure Email Gateway. Niezalogowany atakujący może przez spreparowany załącznik zapisać pliki w systemie bramy i według Cisco wykonać polecenia jako root. CISA wyznaczyła termin na 17 października 2026 r.
Źródło: CISA Known Exploited Vulnerabilities
Streszczenie
GitLab usuwa podatność CVE-2026-97229 z oceną 10.0, pozwalającą uruchomić kod na serwerze
GitLab wydał poprawki do wersji CE i EE, usuwając 24 problemy bezpieczeństwa, w tym podatność CVE-2026-97229 w kompilatorze wyrażeń regularnych CI/CD. Nieuwierzytelniony atakujący mógł uruchomić dowolny kod na serwerze.
Źródło: BleepingComputer
Streszczenie
Podatność SQL injection w Roundcube, załatana w maju 2026 r., jest już aktywnie wykorzystywana
Kanadyjskie Cyber Centre ostrzega, że podatność CVE-2026-48842 w Roundcube, poprawiona w wersjach 1.6.16 i 1.7.1, jest wykorzystywana przez atakujących. Umożliwia nieuwierzytelnione SQL injection.
Źródło: Canadian Centre for Cyber Security
Streszczenie
CISA ostrzega przed krytyczną podatnością w kliencie SMTP lwIP 2.2.1 w energetyce i wodociągach
CISA opublikowała 6 października 2026 r. ostrzeżenie o podatności CVE-2026-15340 w kliencie SMTP lwIP firmy Savannah (CVSS v3 9,8). Błąd może prowadzić do awarii urządzenia lub zdalnego wykonania kodu, a poprawka jest już dostępna.
Źródło: CISA ICS Advisories
Streszczenie
Krytyczna podatność w firmware kamer VIVOTEK pozwala przejąć urządzenie z uprawnieniami roota
CISA opisała podatność CVE-2026-22755 w firmware wielu modeli kamer VIVOTEK, oceniono ją na 10 w CVSS v3. Producent wydał poprawkę, a INCIBE-CERT podaje, że atak nie wymaga uwierzytelnienia.
Źródło: CISA ICS Advisories
Streszczenie
Citrix ujawnia osiem podatności w NetScaler ADC i Gateway, dwie już aktywnie wykorzystywane w atakach
Citrix opublikował biuletyn opisujący osiem podatności w NetScaler ADC i NetScaler Gateway, w tym dwie krytyczne podatności pozwalające na zdalne wykonanie kodu bez uwierzytelnienia, które są już aktywnie wykorzystywane w atakach. CERT-EU zaleca natychmiastową aktualizację i sprawdzenie urządzeń wystawionych do internetu pod kątem śladów włamania.
Źródło: CERT-EU
Streszczenie
Check Point potwierdza atak na bramy VPN, a CISA wpisała też podatność w Security Management Server
Check Point potwierdził wykorzystywanie CVE-2026-85102 w Security Gateway. CISA wpisała do katalogu także CVE-2026-93616 w serwerach zarządzania Check Point, z terminem mitygacji 25 września 2026 r.
Źródło: CISA Known Exploited Vulnerabilities
Streszczenie
F5 potwierdził aktywne wykorzystanie krytycznej podatności w BIG-IP APM, CISA wyznaczyła termin na 25 września 2026 r.
Krytyczna podatność CVE-2026-94127 w F5 BIG-IP APM (CVSS 9.8) pozwala niezalogowanemu atakującemu na zdalne wykonanie kodu i jest już wykorzystywana. CISA dodała ją do katalogu KEV z terminem 25 września 2026 r.
Źródło: CISA Known Exploited Vulnerabilities