Pakiet startowy NIS2 od sekuraka. Pierwsza pomoc dla firm i instytucji

Terminy związane z wdrożeniem przepisów KSC2 i dyrektywą NIS2 zbliżają się wielkimi krokami. Pierwsza ważna data to już 3 października; do tego czasu firmy pod rygorem kar powinny złożyć wniosek o wpis do Wykazu Podmiotów Kluczowych i Ważnych w ramach Krajowego Systemu Cyberbezpieczeństwa (KSC).

Dla wielu organizacji presja czasu i brak znajomości nowych rozwiązań prawnych oznacza jedno: zamieszanie, widmo kosztownych wdrożeń i chaos organizacyjny.

Nie musisz jednak przepalać budżetu ani działać po omacku. Mamy dla Ciebie starannie wyselekcjonowany pakiet wiedzy na start, przygotowany przez specjalistów z zakresu prawa i cyberbezpieczeństwa, od którego warto zacząć dostosowywać organizację do nowych regulacji. Szkolenia są przeznaczone dla każdego, kto odpowiada w firmie za ten proces (zarówno osób technicznych, jak i nietechnicznych). Jak się zapisać? Kliknij link w ramce.

NIS2 w pigułce na start!

Podczas serii trzech szkoleń przejdziemy od twardych wymogów prawnych, konkretnej, praktycznej realizacji – krok po kroku – aż po odpowiedź na pytania, co robić w sytuacji wystąpienia incydentu (lub podejrzenia incydentu), jakich błędów unikać, aby nie zatrzeć śladów i sprostać obowiązkom raportowania do odpowiednich organów.

Czy moja firma/instytucja podlega pod NIS2/KSC2? 

Pierwsza sesja odbędzie się już 30 września o godz. 10:00. Poprowadzą ją Marcin Serafin i Wojciech Piszewski, Partnerzy w kancelarii Sterberg. Ta sesja pomoże odpowiedzieć wielu podmiotom na kluczowe pytanie, od którego wszystko się zaczyna – czy nowe przepisy dotyczą w ogóle Twojej firmy? Jeśli tak, to w jakim zakresie – i co z tego wynika? Błędna klasyfikacja może pociągać za sobą istotne skutki w postaci wysokich kar finansowych i poważnych sankcji operacyjnych oraz administracyjnych. Warto więc zadbać o to, aby nie popełnić błędu na samym początku procesu.

Agenda 

✅Jak liczyć pracowników oraz przychody w kontekście NIS2/KSC2? 

• Czy „pracownik” to tylko umowa o pracę, pełny etat, czy każdy, kto pracuje w firmie?
• Które przychody uwzględniać w progu – i czy tylko własne, czy także spółek z grupy? 

✅ Sektor po sektorze: jak naprawdę sprawdzić, czy jesteś na liście?

• Kwalifikacja przedmiotu działalności i miejsca, w których czyha pułapka: czy szukamy do pierwszego „trafienia”, czy czytamy załączniki do końca?
• Czy decyduje kod PKD i wpis w KRS, czy raczej rzeczywisty zakres działania, oraz o czym jeszcze warto pamiętać?

✅ Najczęstsze zdziwienia i nieoczywistości.

• Czy bycie w łańcuchu dostaw oznacza obowiązek rejestracji?
• Jak policzyć się w grupie kapitałowej (spółki powiązane i partnerskie)? 
• Jak traktować usługi zarządzane?
• Kiedy w grę wchodzą usługi chmurowe?
• Czym różni się serwerownia od data center?

✅ Formularz zgłoszeniowy: co wpisać i jak go uzupełnić.

• Co podaje się w zgłoszeniu do Wykazu KSC?
• Jak udokumentować, że jednak nie podlegamy pod KSC2?

UKSC bez korporacyjnego budżetu – co wdrożyć najpierw, co może poczekać i kto ma za to odpowiadać? 

Drugie szkolenie odbędzie się 5 października (również o godz. 10:00). Ta sesja w praktyczny sposób odpowie na pytanie, jak sprawnie wdrożyć wymogi UKSC (ustawy o krajowym systemie cyberbezpieczeństwa) w warunkach ograniczonych budżetów i zasobów. Pokaże, od czego rozpocząć proces, jak wyznaczyć realne priorytety i jak ustalić odpowiedzialność w zespole, by uniknąć paraliżu operacyjnego. Próba wdrożenia „wszystkiego naraz” lub bezmyślny zakup drogich narzędzi to częsty błąd – warto dowiedzieć się, jak zidentyfikować niezbędne minimum, stworzyć działające procedury i bezpiecznie rozłożyć prace w czasie. 

Agenda

✅ Ograniczone zasoby to norma, nie wyjątek.

• Krótka ankieta na start: Na jakim etapie wdrożenia jest Twoja organizacja?
• Dlaczego próba wdrożenia „wszystkiego naraz” kończy się klęską i jak uniknąć sparaliżowania firmy?

✅ Określenie zakresu i pierwsza analiza luk (bez wydawania fortuny).

• Złota zasada – najpierw zakres i analiza ryzyka, na samym końcu narzędzia.
• Jak sprawnie zinwentaryzować kluczowe usługi i systemy, nie gubiąc się w szczegółach.
• Szybka analiza luk (gap analysis) – jak zidentyfikować to, co już macie w firmie, a co wymaga naprawy.

✅ Pakiet minimum – wdrożenie warstwy prawnej i operacyjnej.

• Obowiązkowa dokumentacja vs. „półkowniki” – jak stworzyć polityki i procedury, które naprawdę działają, zamiast kupować szablony.
• Środki zarządzania ryzykiem w wersji MSP – co musisz mieć od pierwszego dnia, a co może poczekać?

✅ Kto za co odpowiada? Zarząd, IT, HR i dostawcy.

• Rola i odpowiedzialność Zarządu (i dlaczego delegowanie wszystkiego na IT to pułapka).
• Wewnętrzny podział ról – jak przypisać odpowiedzialność w małym lub średnim zespole.
• Bezpieczeństwo łańcucha dostaw – jak rozmawiać z dostawcami IT/z zewnętrznymi partnerami bez budżetu wielkiej korporacji.

✅ Najczęstsze błędy i harmonogram na kolejne miesiące.

• Top 5 grzechów wdrożeniowych (np. zakup drogiego oprogramowania przed analizą ryzyka, bezrefleksyjne polityki z Internetu).
• Realistyczny plan działania krok po kroku – rozplanowanie prac w czasie.

✅ Q&A – pytania i odpowiedzi.

Obsługa incydentu bezpieczeństwa na żywo: jak nie spalić firmy, dowodów i obowiązków NIS2/KSC2 w pierwszej godzinie ataku?

Nowe przepisy NIS2/KSC2 wprowadzają rygorystyczne zasady raportowania incydentów bezpieczeństwa przez określone instytucje. Podczas tej sesji (odbędzie się 7 października o godz. 10:00) uzyskasz odpowiedź na ważne pytania: co robić w sytuacji wystąpienia incydentu (lub podejrzenia incydentu), jakich błędów unikać, aby nie zatrzeć śladów i sprostać obowiązkom raportowania do właściwych organów. Wszystko to warto wiedzieć i odpowiednio przygotować wcześniej organizację. Tę sesję poprowadzi Tomek Turba, etyczny hacker z ekipy Securitum.

Agenda

✅ Pokaz ataku na organizację na żywo – szybki rekonesans, uzbrojenie hackera, atak.

✅ Reagowanie na incydent na żywo.

• Określenie triage’u incydentu.
• Klasyfikacja incydentu pod kątem KSC2.
• Podejmowanie decyzji technicznych/organizacyjnych.
• Dobre praktyki – czego NIE robić w pierwszej godzinie.

✅ Zbieranie dowodów.

• Proaktywne monitorowanie systemów IT.
• Logi, hosty, procesy, połączenia, pliki, wywiad.
• Automatyzacja reakcji.

✅ KSC2 w reagowaniu na incydenty.

• Obowiązki zgłoszeniowe KSC2.
• Rola zarządu.
• Pułapki automatyzacji.

NIS2 nie należy się bać

Powtarzamy to do znudzenia, ale… taka jest prawda. Nowe przepisy wydają się przytłaczające tylko do momentu, w którym nie postawimy na sprawdzonego i doświadczonego partnera, który nam może w tym pomóc i doradzić 😀

Zarezerwuj sobie zatem trzy dni w kalendarzu i przekonaj się, że nie taki diabeł straszny, jak go malują.

Pozdrawiamy i do zobaczenia, 

Ekipa sekurak.pl