ISO 27001, NIS2 i KSC od zera. Mapa dla osób, które wchodzą do bezpieczeństwa informacji

Słyszysz o NIS2 na każdym webinarze. Ogłoszenia o pracę wołają o „specjalistę ds. bezpieczeństwa informacji”. Zarząd Twojej firmy nagle pyta, czy „jesteśmy w KSC”. A Ty siedzisz nad trzema skrótami i nie wiesz, który jest prawem, który normą, a który dyrektywą. Znasz to?

Jeżeli tak, to dobrze trafiłeś. Ten artykuł jest dla dwóch grup ludzi. Dla tych, którzy chcą wejść do branży bezpieczeństwa informacji, bo widzą, że rośnie. I dla tych, którzy właśnie dostali ten temat w firmie i nie wiedzą, od czego zacząć.

Pokażę Ci, czym są ISO 27001, NIS2 i KSC, jak się ze sobą łączą, kogo dotyczą, jakie role czekają w branży i od czego zacząć pierwsze 30 dni.

Bazuję na wiedzy Daniela Lamparta, audytora wiodącego ISO 9001 (IRCA), ISO 27001 i IATF 16949, który ma za sobą ponad 150 wdrożeń systemów zarządzania i jest autorem szkolenia z ISO 27001, NIS2 i KSC w Szkole Jakości. Dokładam do tego swoje spojrzenie audytora z branży lotniczej. Powiem Ci od razu jedną rzecz, która może Cię zaskoczyć: nie musisz być informatykiem, żeby pracować w bezpieczeństwie informacji.

Rozsiądź się wygodnie. Zaczynamy.

‍

Trzy nazwy, które ciągle słyszysz. Co jest czym?

Zacznijmy od uporządkowania. Z tych trzech nazw dwie to prawo, a jedna to norma. Ta różnica ustawia całą resztę.

‍

ISO/IEC 27001: norma

ISO/IEC 27001 to międzynarodowa norma systemu zarządzania bezpieczeństwem informacji, w skrócie SZBI (po angielsku ISMS). Aktualne wydanie pochodzi z 2022 roku. Załącznik A normy zawiera 93 zabezpieczenia podzielone na cztery grupy: organizacyjne, osobowe, fizyczne i technologiczne.

Norma jest dobrowolna. Firma wdraża ją, bo chce albo bo wymagają tego klienci, przetargi i łańcuch dostaw. Wdrożenie kończy się certyfikatem, a jednostka certyfikująca sprawdza system audytem co roku.

‍

NIS2: dyrektywa UE

NIS2 to dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa. Dyrektywa nie działa bezpośrednio w firmach. Każdy kraj UE przenosi ją do swojego prawa.

NIS2 ustala minimum: zarządzanie ryzykiem, zgłaszanie incydentów, odpowiedzialność kierownictwa i bezpieczeństwo łańcucha dostaw.

‍

KSC: polska ustawa

KSC to ustawa o krajowym systemie cyberbezpieczeństwa. Jej nowelizacja wdrażająca NIS2 została ogłoszona w Dzienniku Ustaw (Dz.U. 2026 poz. 252) i obowiązuje od 3 kwietnia 2026 roku. To KSC mówi polskim firmom, kto podlega obowiązkom, jakie są terminy, kto kontroluje i jakie są kary.

‍

Jak to się łączy?

Najprościej: ustawa mówi, co trzeba mieć. Norma podpowiada, jak to zbudować.

NIS2 ustala minimum dla całej UE. KSC przenosi to minimum do polskiego prawa. ISO 27001 to sprawdzona metoda budowy systemu, który te obowiązki spełnia. Dlatego wiele firm robi oba naraz: wdraża SZBI według ISO 27001 i w ten sposób realizuje trzon obowiązków z ustawy.

Brzmi znajomo, jeżeli pracowałeś z ISO 9001? Słusznie. ISO 27001 ma tę samą strukturę rozdziałów co inne normy systemów zarządzania: kontekst, przywództwo, planowanie, wsparcie, działania operacyjne, ocena, doskonalenie. Jeżeli znasz jedną, drugą czytasz dużo szybciej.

‍

Kogo obejmuje KSC po nowelizacji?

O tym, czy firma jest w zakresie, decydują sektor i wielkość. Nie to, czy ma serwerownię. Według szacunków firm doradczych nowelizacja obejmuje kilkadziesiąt tysięcy firm i instytucji w Polsce. Ustawa dzieli je na dwie grupy:

• Podmioty kluczowe. Głównie duże firmy z sektorów o wysokiej krytyczności: energetyka, transport, bankowość, ochrona zdrowia, woda, infrastruktura cyfrowa. Do tego niektóre podmioty niezależnie od wielkości, na przykład część administracji publicznej. Nadzór jest z góry, kontrola może przyjść w każdej chwili.
• Podmioty ważne. Średnie firmy z sektorów o wysokiej krytyczności oraz średnie i duże z innych sektorów krytycznych. Przykłady: produkcja maszyn, urządzeń elektrycznych, elektroniki, pojazdów i wyrobów medycznych, produkcja żywności, chemia, gospodarka odpadami, usługi pocztowe i kurierskie. Nadzór jest po sygnale, na przykład po incydencie.

Zwykle próg zaczyna się od 50 pracowników lub 10 mln euro rocznego obrotu, ale są wyjątki, więc zawsze sprawdzaj sektor i kryteria w ustawie.

‍

Jakie są najważniejsze obowiązki?

• Zarządzanie ryzykiem i wdrożenie środków bezpieczeństwa.
• Zgłaszanie incydentów poważnych: wczesne ostrzeżenie do właściwego zespołu CSIRT w ciągu 24 godzin, pełne zgłoszenie w ciągu 72 godzin i raport końcowy w ciągu miesiąca.
• Odpowiedzialność kierownictwa: zarząd zatwierdza środki bezpieczeństwa, nadzoruje ich wdrożenie i sam przechodzi szkolenia.
• Bezpieczeństwo łańcucha dostaw: firma odpowiada także za ryzyko po stronie dostawców usług.

Kary wynikające z NIS2 sięgają 10 mln euro lub 2% światowego rocznego obrotu dla podmiotów kluczowych oraz 7 mln euro lub 1,4% obrotu dla podmiotów ważnych. Za zaniedbania odpowiadają też osoby z kierownictwa.

Terminy wdrożenia biegną od wejścia w życie nowelizacji. Samorejestracja w wykazie podmiotów trwała do 3 października 2026 roku, a na zbudowanie systemu zarządzania bezpieczeństwem informacji firmy mają około roku od wejścia w życie ustawy. Konkretne daty dla swojej firmy zawsze potwierdzaj w tekście ustawy i u prawnika.

‍

Dlaczego to jest okno dla początkujących?

Tu dochodzimy do najciekawszej części, jeżeli myślisz o karierze. Do niedawna bezpieczeństwo informacji kojarzyło się z bankami i działem IT. Dziś producent rozdzielnic, firma transportowa, szpital, wodociągi i gmina muszą zarządzać ryzykiem i zgłaszać incydenty.

Firm, które muszą to zrobić, jest kilkadziesiąt tysięcy. Ludzi, którzy umieją to poukładać, jest dużo mniej. To jest Twoje okno.

I najważniejsze. Większość pracy w SZBI to procesy, ludzie i dowody, a nie konfiguracja firewalla. Wykazy informacji, ocena ryzyka, szkolenia, procedury, audyty. Jeżeli pracowałeś w jakości, administracji albo kontroli wewnętrznej, masz już połowę potrzebnych umiejętności.

‍

Role w branży: gdzie możesz wejść?

• Specjalista ds. bezpieczeństwa informacji. Prowadzi wykazy informacji i aktywów, szkoli pracowników, pilnuje procedur, zbiera dowody do audytu. Najłatwiej wejść z działu jakości, administracji biura albo z roli inspektora ochrony danych.
• Pełnomocnik SZBI. Koordynuje cały system, raportuje zarządowi, prowadzi przegląd zarządzania, przygotowuje firmę do certyfikacji. Naturalny krok dla pełnomocnika ISO 9001 lub ISO 14001.
• Analityk ryzyka. Prowadzi ocenę ryzyka, dobiera zabezpieczenia, pilnuje planu postępowania z ryzykiem. Dobre wejście dla osób z inżynierii jakości (FMEA), controllingu i audytu.
• Audytor wewnętrzny ISO 27001. Sprawdza, czy system działa w praktyce, a nie tylko na papierze. Pisze niezgodności i weryfikuje działania. Najprościej wejść z roli audytora ISO 9001. Jak wygląda sama praca audytora, przeczytasz w artykule Audyt wewnętrzny: co to jest.
• Specjalista ds. zgodności z KSC. Przekłada ustawę na obowiązki, prowadzi zgłoszenia incydentów, nadzoruje dostawców i kontakt z CSIRT. Dla osób z compliance, działu prawnego i IT.

Zwróć uwagę, ile z tych ról ma korzenie w jakości. To nie przypadek. Myślenie procesowe, analiza ryzyka, praca z dowodami i audyt to dokładnie te same umiejętności.

‍

Pierwsze 30 dni: w jakiej kolejności powstaje system?

Jeżeli właśnie dostałeś temat w firmie, oto kolejność, w której powstaje SZBI według ISO 27001. Ta sama kolejność realizuje trzon obowiązków z KSC.

1. Dni 1 do 5: kontekst i zakres. Jakie procesy i lokalizacje obejmuje system. Czy firma jest podmiotem kluczowym, ważnym, czy żadnym. Kto w zarządzie jest sponsorem.
2. Dni 5 do 10: wykaz i klasyfikacja informacji. Jakie informacje ma firma i jak je chronić pod względem poufności, integralności i dostępności.
3. Dni 10 do 15: aktywa i ich właściciele. Na czym leżą informacje: sprzęt, systemy, chmura, papier, ludzie. Każda grupa ma konkretną osobę.
4. Dni 15 do 22: ocena ryzyka. Zagrożenie, podatność, skutek, prawdopodobieństwo. Wynik pokazuje, gdzie wydać pierwsze pieniądze.
5. Dni 22 do 27: deklaracja stosowania (SoA). Które z 93 zabezpieczeń normy stosujesz, które nie i dlaczego. To dokument, od którego zaczyna audytor.
6. Dni 27 do 30: ścieżka incydentu. Kto zauważa, komu zgłasza, kto decyduje o zgłoszeniu do CSIRT w 24 godziny. Jedna strona, numer telefonu, zastępstwo.

Zauważ, że polityka bezpieczeństwa nie jest na początku listy. Złą praktyką jest zaczynanie od pisania polityki z szablonu. Polityka ma sens wtedy, kiedy wiesz, co chronisz i przed czym.

‍

Trzy pytania o każdą informację

Krok 2 brzmi technicznie, ale za skrótami C, I, A stoją trzy proste pytania:

• Poufność (C): co się stanie, gdy zobaczy to ktoś niepowołany?
• Integralność (I): co się stanie, gdy ktoś to zmieni albo pojawi się błąd?
• Dostępność (A): co się stanie, gdy tego nie będzie przez cały dzień?

Weźmy listę płac. Gdy zobaczy ją niepowołana osoba, wyciekają dane osobowe chronione przez RODO, więc poufność wysoka. Gdy ktoś podmieni numer konta, pensja trafia do oszusta, więc integralność wysoka. Gdy lista nie będzie dostępna przez dzień, wypłata opóźni się o dzień, więc dostępność średnia. Klasę informacji wyznacza najwyższa z trzech ocen, a nie średnia. Jedno „wysoko” wystarczy, żeby informacja była poufna.

‍

7 błędów początkujących w bezpieczeństwie informacji

1. Mylenie normy z prawem. Certyfikat ISO 27001 nie zwalnia z obowiązków KSC, a samo spełnienie KSC nie daje certyfikatu.
2. Traktowanie tematu jako sprawy działu IT. W KSC odpowiedzialność ma kierownictwo, a informacje leżą też w szafach i w głowach ludzi.
3. Zaczynanie od polityki z szablonu. Najpierw wykaz informacji i ryzyko, potem polityka.
4. Wykaz za szczegółowy albo za ogólny. Nie „faktura nr 15”, ale też nie „dokumenty firmy”. Rodzaje informacji: „faktury”, „oferty”, „dane pracowników”.
5. Właściciel „wszyscy” albo „IT”. Jeżeli odpowiadają wszyscy, nie odpowiada nikt. Właściciel to jedna osoba z imienia i nazwiska.
6. Ocena ryzyka na 400 wierszy, której nikt nie czyta. Lepiej 20 dobrze ocenionych ryzyk z planem działań niż arkusz, który leży w szufladzie.
7. Brak ścieżki incydentu. 24 godziny to bardzo mało czasu, jeżeli nikt nie wie, kto podejmuje decyzję o zgłoszeniu.

‍

Pakiet startowy: bezpieczeństwo informacji od zera

Jeżeli chcesz przejść kroki 2, 3 i 4 na prawdziwym narzędziu, a nie tylko o nich czytać, Daniel przygotował bezpłatny Pakiet startowy. W środku są 4 pliki:

• Mapa wejścia do branży (PDF): ISO 27001, NIS2 i KSC na jednej stronie, role, pierwsze 30 dni i błędy początkujących.
• Słowniczek 60 pojęć (PDF): każde hasło prostym językiem i zdanie, które usłyszysz na spotkaniu w firmie.
• Wykaz informacji i ocena ryzyka (Excel): pierwsze narzędzie do pracy, z wypełnionymi przykładami.
• Instrukcja krok po kroku z ćwiczeniem (PDF): 4 kroki z pytaniami pomocniczymi, przykładem i typowymi błędami, a na końcu ćwiczenie z kluczem.

Wystarczy jeden wieczór, żeby w poniedziałek pokazać szefowi konkretny wykaz, a nie kolejną prezentację.

🚨 Pobierz bezpłatnie ➡️ Pakiet startowy: bezpieczeństwo informacji od zera

‍

FAQ, czyli najczęstsze pytania o ISO 27001, NIS2 i KSC

Czy ISO 27001 jest obowiązkowe?

Nie. ISO 27001 to norma dobrowolna. Obowiązkowe są wymagania ustawy o KSC dla podmiotów kluczowych i ważnych. Wdrożenie ISO 27001 to jednak najprostsza droga, żeby te wymagania uporządkować i spełnić.

‍

Czy NIS2 dotyczy mojej firmy?

Sprawdź dwie rzeczy: sektor, w którym działasz (czy jest na liście sektorów w ustawie o KSC), i wielkość firmy. Zwykle próg to 50 pracowników lub 10 mln euro obrotu, ale niektóre podmioty są objęte niezależnie od wielkości.

‍

Czy muszę znać się na IT, żeby pracować w bezpieczeństwie informacji?

Nie. Podstawowa wiedza o tym, gdzie firma przechowuje dane, bardzo pomaga, ale większość pracy w SZBI to procesy, ludzie, ryzyko i dowody. Dlatego do branży często przechodzą osoby z jakości, administracji i audytu.

‍

Co to jest SZBI?

System zarządzania bezpieczeństwem informacji. To zestaw zasad, procesów, ról i zabezpieczeń, dzięki którym firma świadomie chroni poufność, integralność i dostępność swoich informacji. ISO 27001 opisuje, jak taki system zbudować.

‍

Co to jest deklaracja stosowania (SoA)?

Dokument, w którym firma wskazuje, które z 93 zabezpieczeń z załącznika A normy ISO 27001 stosuje, które wyłącza i dlaczego. Od niego zaczyna się audyt certyfikujący.

‍

Ile czasu trwa wdrożenie ISO 27001?

Zależy od wielkości firmy i stanu wyjściowego. W małej i średniej firmie zwykle liczy się to w miesiącach, a nie tygodniach. Pierwsze 30 dni z tego artykułu to fundament, na którym buduje się resztę.

‍

Czym jest CSIRT?

Zespół reagowania na incydenty bezpieczeństwa komputerowego. W polskim systemie działają trzy krajowe zespoły: CSIRT GOV, CSIRT MON i CSIRT NASK. To do właściwego zespołu podmiot zgłasza incydent poważny.

‍

Chcesz wejść do bezpieczeństwa informacji z certyfikatem?

Jeżeli chcesz zmienić branżę albo właśnie odpowiadasz za ISO 27001 lub KSC w swojej firmie, mam dla Ciebie konkretne rozwiązanie.

W Szkole Jakości przygotowaliśmy szkolenie Certyfikowany Ekspert Bezpieczeństwa Informacji: Pełnomocnik ISO 27001, NIS2 i KSC, prowadzone przez Daniela Lamparta. To 9 modułów i 58 lekcji, w tym 10 lekcji poświęconych KSC i NIS2. Dowiesz się z niego między innymi:

• jak zbudować SZBI krok po kroku według ISO 27001,
• jak przeprowadzić ocenę ryzyka i dobrać zabezpieczenia,
• jak przygotować deklarację stosowania,
• jak przełożyć wymagania ustawy o KSC na konkretne obowiązki w firmie,
• jak przygotować firmę do audytu certyfikującego.

Wybierając szkolenie w Szkole Jakości:

• dostęp otrzymujesz natychmiast,
• uczysz się w swoim tempie, w krótkich lekcjach,
• przez 365 dni możesz konsultować się w grupie,
• otrzymujesz certyfikat w dwóch językach wydawany przez instytucję szkoleniową o numerze 2.18/00117/2020.

🚨 Sprawdź szczegóły szkolenia ➡️ Pełnomocnik ISO 27001, NIS2 i KSC

‍

Podsumowanie

ISO 27001 to norma, NIS2 to dyrektywa, a KSC to polska ustawa, która od 3 kwietnia 2026 roku wdraża NIS2. Ustawa mówi, co trzeba mieć. Norma podpowiada, jak to zbudować. Firm, które muszą to zrobić, jest kilkadziesiąt tysięcy, a ludzi, którzy umieją to poukładać, wciąż brakuje.

Jeżeli zaczynasz, nie zaczynaj od polityki z szablonu. Zacznij od wykazu informacji, prostych trzech pytań i pierwszej oceny ryzyka. A jeżeli masz pytania o wejście do branży albo o KSC w swojej firmie, zostaw je w komentarzu.