Jeśli Twoja organizacja podlega dyrektywie NIS2 i ustawie o Systemie Cyberbezpieczeństwa, temat zarządzanie incydentami bezpieczeństwa stał się częścią odpowiedzialności.
Ponadto stał się elementem odpowiedzialności zarządczej, compliance i realnego zarządzania ryzykiem operacyjnym.
Zarządzanie incydentami bezpieczeństwa w prawie
Przeobrażenia architektury cyfrowej wymusiły rewizję europejskiego i krajowego prawa. Asymetryczny charakter zagrożeń wpływa na ochronę zasobów informacyjnych.
Przyjęcie dyrektywy NIS2 i jej implementacja zakończyły etap traktowania bezpieczeństwa teleinformatycznego jako domeny IT. Nowe ramy normatywne rozszerzają zakres podmiotowy do dziesiątek tysięcy podmiotów.
Wprowadzają również odpowiedzialność finansową członków kadry zarządzającej do 300% miesięcznego wynagrodzenia. Kary administracyjne dla organizacji sięgają 10 mln EUR lub 2% światowego obrotu.
Ponadto, w tym rygorystycznym środowisku regulacyjnym centralnym miernikiem dojrzałości operacyjnej staje się ustrukturyzowane zarządzanie incydentami bezpieczeństwa.
Dodatkowo, wdrożenie skutecznych mechanizmów prewencji, detekcji i neutralizacji anomalii nie stanowi już wyłącznie postulatu dobrych praktyk inżynierskich.
Lecz jest bezwzględnym wymogiem prawnym, którego niespełnienie rodzi bezpośrednie konsekwencje sankcyjne.
W związku z tym prawidłowe zgłaszanie incydentów KSC wymaga wdrożenia wieloetapowego aparatu analitycznego.
W tym kontekście kluczową rolę odgrywa zintegrowana platforma do incydentów, pozwalająca na zachowanie pełnej wartości dowodowej procesu decyzyjnego.
Skala i wektory cyberzagrożeń w Polsce: co mówią dane?
Zaostrzenie kryteriów prawnych stanowi bezpośrednią odpowiedź na dynamicznie rosnącą liczbę wrogich operacji w polskiej przestrzeni cyfrowej. Raporty publikowane przez zespół CERT Polska (działający w strukturze CSIRT NASK) dokumentują lawinowy przyrost wolumenu rejestrowanych naruszeń.
W 2024 roku zespół ten zarejestrował 103 449 potwierdzonych incydentów. To oznaczało 29-procentowy wzrost w porównaniu z rokiem ubiegłym.
Zjawisko to uległo dalszej eskalacji w roku 2025. Ponadto CERT Polska obsłużył 260 783 unikalne incydenty bezpieczeństwa (zarządzanie incydentami bezpieczeństwa) przy łącznej liczbie ponad 658 tysięcy zgłoszeń, odnotowując skokowy wzrost liczby zdarzeń o ponad 150% w skali jednego roku.
Dominującą kategorię stanowiły oszustwa komputerowe, odpowiadające za 97% obsłużonych spraw, z wyraźną przewagą kampanii phishingowych ukierunkowanych na pozyskanie poświadczeń uwierzytelniających do kluczowych systemów biznesowych i paneli administracyjnych.
Równolegle ujawniły się zjawiska o charakterze zaawansowanych zagrożeń ukierunkowanych (APT), których celem stała się infrastruktura komunalna oraz organy administracji publicznej. Odnotowano uderzenia w systemy sterowania procesami technologicznymi (OT/SCADA) w przedsiębiorstwach wodociągowo-kanalizacyjnych, czego przykładem były incydenty polegające na nieuprawnionej modyfikacji parametrów pracy pomp na stacjach uzdatniania wody, prowadzące do fizycznego wyczerpania zapasów i przerw w dostawie wody dla odbiorców. Poważne wyzwanie stanowiło również złośliwe oprogramowanie typu ransomware, odpowiedzialne za 179 zweryfikowanych, paraliżujących uderzeń w 2025 roku, wymierzonych w ciągłość działania podmiotów logistycznych, produkcyjnych i medycznych.
| Raport / Instytucja badawcza | Skala ilościowa / Odnotowany parametr | Charakterystyka zagrożenia i wpływ operacyjny |
|---|---|---|
| CERT Polska (CSIRT NASK) | 103 449 incydentów w 2024 r.; 260 783 incydenty w 2025 r. (+152% r/r) | Dominacja phishingu (97% oszustw), 179 kampanii ransomware, przełamywanie perymetru sieciowego. |
| KPMG („Barometr Cyberbezpieczeństwa”) | 83% badanych przedsiębiorstw odnotowało incydent w skali roku | Wzrost o 16 p.p. względem roku ubiegłego; jedynie 17% firm nie zarejestrowało prób naruszenia bezpieczeństwa. |
| CSIRT NASK (Sektor Publiczny) | Ponad 1,9 tys. incydentów w administracji (+58% r/r) | Skupienie wrogiej aktywności na urzędach, jednostkach samorządowych oraz spółkach komunalnych. |
| Analiza wektorów ataku CERT Polska | Wykradzione poświadczenia VPN, ekspozycja portów RDP, podatności urządzeń brzegowych | Wykorzystywanie błędów konfiguracyjnych i braku uwierzytelniania wieloskładnikowego do penetracji sieci. |
Wymiar powszechności cyberataków potwierdzają analizy rynkowe. Badanie KPMG „Barometr Cyberbezpieczeństwa” wskazuje, że aż 83% funkcjonujących w Polsce przedsiębiorstw zmagało się w badanym okresie z co najmniej jednym cyberincydentem, przy czym 4% podmiotów doświadczyło ponad 30 incydentów w ciągu roku.
Zestawienie tych danych z faktem, że administracja samorządowa i przedsiębiorstwa średniej wielkości dysponują często ograniczonymi zasobami kadrowymi w pionach technicznych, uwypukla konieczność automatyzacji procesów reagowania. Pasywna obrona perymetryczna bez wdrożonych mechanizmów ciągłej detekcji, audytowalności logów oraz gotowości raportowej w reżimie 24/7 stwarza bezpośrednie ryzyko niekontrolowanej kompromitacji środowiska i sankcji administracyjnych.
Obligatoryjne elementy procedury zarządzania incydentami według NIS2 i KSC
Artykuł 21 ust. 2 lit. b Dyrektywy NIS2 oraz znowelizowany art. 11 ustawy o KSC nakładają na organizacje obowiązek wdrożenia formalnej, operacyjnej procedury reagowania. W nowoczesnym ujęciu prawno-technicznym dokument ten nie może stanowić czysto deklaratywnego zbioru intencji, lecz musi precyzyjnie definiować mechanizmy działania, które personel jest w stanie zrealizować w warunkach stresu operacyjnego.
Fundamentem procedury jest jednoznaczne rozróżnienie zdarzenia bezpieczeństwa od incydentu oraz incydentu poważnego (znaczny incydent). Ustawowemu raportowaniu podlegają wyłącznie incydenty poważne, definiowane w polskim porządku prawnym jako anomalie wywołujące lub mogące wywołać poważne zakłócenia operacyjne w świadczeniu usług, dotkliwe straty finansowe dla organizacji lub znaczne szkody materialne bądź niematerialne dla innych podmiotów. Istotnym elementem konstrukcji prawnej jest przesłanka potencjalności, ujęta w sformułowaniu może wywołać”, co uniemożliwia podmiotom wstrzymywanie kwalifikacji zdarzenia do czasu ostatecznego oszacowania strat biznesowych.
Dla podmiotów sektora infrastruktury cyfrowej oraz wybranych usługodawców cyfrowych szczegółowe, zharmonizowane kryteria kwalifikacyjne ustanawia bezpośrednio Rozporządzenie wykonawcze Komisji (UE) 2024/2690 z dnia 17 października 2024 r., określające twarde progi liczbowe dotyczące czasu niedostępności usług, poziomu utraty integralności oraz wpływu transgranicznego na terytorium Unii Europejskiej.
Ponadto skuteczna procedura zarządzania incydentami bezpieczeństwa w warstwie konstrukcyjnej musi integrować następujące mechanizmy. Następnie w skład tych mechanizmów wchodzą monitorowanie, raportowanie i procesy naprawcze.
- Matryca ról i odpowiedzialności (RACI) określa precyzyjne ścieżki decyzyjne z zachowaniem zasady podziału obowiązków (Segregacja of Duties), alokując zadania dla analityków poziomu pierwszego (L1 – wstępna rejestracja i triage), poziomu drugiego i trzeciego (L2/L3 – analiza śledcza, izolacja, reverse-engineering), Koordynatora Incydentu (odpowiedzialnego za koordynację działań biznesowych i prawnych) oraz Kierownika Jednostki, który podejmuje strategiczne decyzje o alokacji zasobów.
- Punkt rozpoczęcia biegu terminów prawnych musi być powiązany z momentem formalnego stwierdzenia zaistnienia incydentu poważnego przez uprawniony personel techniczny lub operatora SOC. Procedura musi wykluczać możliwość celowego opóźniania otwarcia incydentu poprzez przedłużające się konsultacje wewnątrzkorporacyjne.
- Izolacja środowiska i zachowanie śladów śledczych definiuje techniczne wytyczne dotyczące odcinania skompromitowanych hostów lub segmentów sieci od zasobów krytycznych bez niszczenia ulotnego materiału dowodowego zawartego w pamięci operacyjnej RAM, tabelach routingu czy aktywnych połączeniach sieciowych.
- Dwutorowość ścieżek kwalifikacyjnych rozdziela analizę techniczną od kwalifikacji prawno-regulacyjnej. Równolegle z działaniami naprawczymi zespół prawno-finansowy weryfikuje, czy zaistniałe zdarzenie stanowi incydent poważny w rozumieniu art. 11 KSC oraz czy wyczerpuje znamiona naruszenia ochrony danych osobowych podlegającego art. 33 RODO, co wymaga uruchomienia odrębnego postępowania przed Prezesem UODO.
- Komunikacja kryzysowa określa procedury kontaktu z właściwym terytorialnie i sektorowym zespołem CSIRT szczebla krajowego (CSIRT NASK, CSIRT GOV lub CSIRT MON), partnerami z łańcucha dostaw oraz poszkodowanymi odbiorcami usług, z wykorzystaniem niezależnych, odseparowanych od infrastruktury głównej kanałów komunikacji (out-of-band).
Terminy raportowania: 24 h, 72 h, 1 miesiąc
| Poziom raportowania | Termin zawity | Zakres merytoryczny zgłoszenia | Właściwy organ i interfejs |
|---|---|---|---|
| Wczesne ostrzeżenie (Early warning) | Do 24 godzin od wykrycia | Identyfikacja podmiotu i zgłaszającego, czas detekcji, wskazanie czy incydent wywołano działaniem bezprawnym, wstępna ocena prawdopodobieństwa skutków transgranicznych w UE. | Właściwy CSIRT; System S46 / platforma incydent.cert.pl. |
| Zgłoszenie incydentu (Incident notification) | Do 72 godzin od wykrycia | Aktualizacja wczesnego ostrzeżenia, oszacowanie powagi i dotkliwości zakłócenia, znany wektor ataku, techniczne wskaźniki kompromitacji (IoC), zaimplementowane środki zaradcze. | Właściwy CSIRT szczebla krajowego za pośrednictwem bezpiecznych kanałów teleinformatycznych. |
| Raport z postępów (Progress report) | Na żądanie CSIRT lub przy statusie otwartym | Zaktualizowany status operacyjny zwalczania zagrożenia, dynamika zakłóceń w infrastrukturze, modyfikacja oceny skali incydentu. | Formularze aktualizacyjne właściwego CSIRT. |
| Sprawozdanie końcowe (Final report) | Do 1 miesiąca od zgłoszenia (lub zamknięcia) | Precyzyjna analiza przyczyn źródłowych (root cause), finalny bilans strat, długofalowe działania korygujące, wnioski poincydentalne (lessons learned). | Właściwy CSIRT sektorowy / krajowy w ramach systemu S46. |
Harmonogram ten wymaga stałej gotowości operacyjnej. Naruszenie wskazanych terminów stanowi delikt administracyjny, zagrożony karami finansowymi, niezależnie od faktu, czy podmiot zdołał skutecznie odeprzeć sam cyberatak.
Architektura logowania i zabezpieczenia telemetrii w świetle NIS2 i KRI
Weryfikacja wektora ataku, ustalenie punktu wejścia intruza oraz dotrzymanie 72-godzinnego terminu na szczegółowe zgłoszenie incydentu do CSIRT są niemożliwe bez spójnej, scentralizowanej telemetrii. Artykuł 21 dyrektywy NIS2 obliguje organizacje do posiadania środków zarządzania ryzykiem opartych na monitorowaniu środowiska teleinformatycznego. W polskim porządku prawnym kluczowym punktem odniesienia dla standardu prowadzenia dzienników systemowych jest Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności (Dz.U. 2024 poz. 773).
Zgodnie z § 20 ust. 1 i 2 Rozporządzenia KRI, rozliczalność działań w systemach teleinformatycznych wymaga wiarygodnego dokumentowania.
Elektroniczne zapisy w dziennikach systemów (logach) potwierdzają te działania oraz wspierają zarządzanie incydentami bezpieczeństwa.
Katalog zdarzeń podlegających bezwzględnej rejestracji obejmuje wszystkie przypadki dostępu do systemu z uprawnieniami administracyjnymi.
Obejmuje również zmiany w konfiguracji sprzętowej i programowej, w tym modyfikacje parametrów reguł bezpieczeństwa i zapór sieciowych.
A także każdą operację przetwarzania danych podlegających prawnej ochronie.
Równocześnie niezbędne jest logowanie zdarzeń tożsamościowych.
W tym obejmuje próby uwierzytelniania, odmowy dostępu, resetowanie poświadczeń oraz anomalie w sesjach zdalnych.
Pod względem technicznym pojedynczy wpis w dzienniku zdarzeń musi zawierać zharmonizowany zestaw metadanych gwarantujących jego przydatność dowodową:
- Znacznik czasu o wysokiej precyzji, sformatowany zgodnie ze standardem ISO 8601/RFC 3339, oparty na synchronizacji wszystkich węzłów infrastruktury ze źródłem czasu za pośrednictwem protokołu NTP.
- Jednoznaczny identyfikator tożsamości wskazujący na konkretnego użytkownika, usługę systemową lub konto serwisowe, z wyłączeniem stosowania kont anonimowych i współdzielonych.
- Adresację sieciową poziomu źródłowego i docelowego, obejmującą adresy IP (IPv4/IPv6), porty komunikacyjne oraz identyfikatory sesji.
- Taksonomię zdarzenia określającą rodzaj podjętej akcji (odczyt, modyfikacja, usunięcie, transfer danych, eskalacja przywilejów).
- Wynik operacji wraz ze statusem wykonania oraz kodem błędu zwróconym przez system lub aplikację.
W kwestii retencji danych § 20 ust. 4 Rozporządzenia KRI wprowadza regułę nakazującą przechowywanie informacji w dziennikach systemów przez okres co najmniej dwóch lat od dnia ich zapisu, o ile przepisy odrębne nie wyznaczają dłuższego okresu.
Aby logi zachowały integralność i moc dowodową w sporach prawnych i postępowaniach regulacyjnych, infrastruktura telemetryczna musi realizować model ciągłego strumieniowania danych w czasie rzeczywistym do centralnego repozytorium (SIEM/Syslog), uniemożliwiając intruzowi wyczyszczenie śladów na lokalnej maszynie źródłowej. Repozytoria te powinny pracować w architekturze uniemożliwiającej modyfikację danych (WORM – Write Once, Read Many) oraz stosować kryptograficzne mechanizmy haszowania (np. SHA-256) całych bloków logów, co poświadcza nienaruszalność materiału od chwili rejestracji.
Architektura i wdrożenie platformy Certivo w procesie zarządzania incydentami
Ręczna koordynacja działań naprawczych przy użyciu rozproszonej dokumentacji, komunikatorów korporacyjnych i arkuszy kalkulacyjnych rodzi krytyczne ryzyko błędu operacyjnego i uchybienia terminom ustawowym. Wymogi NIS2 i nowelizacji KSC wymuszają wdrożenie wyspecjalizowanych narzędzi informatycznych. Narzędziem bezpośrednio adresującym ten obszar jest zintegrowana platforma do incydentów Certivo, łącząca obszary zarządzania ciągłością działania (BCM), analizy ryzyka i audytowalności dowodowej.
Platforma opiera się na autorskiej metodyce wdrożeniowej CN2ME (Certivo NIS2 Methodology Engine), opracowanej przez certyfikowanych audytorów CISA. Koncepcja ta przekłada wymogi normatywne dyrektywy NIS2, ustawy o KSC oraz normy ISO/IEC 27001 na ustrukturyzowane etapy wdrożeniowe, weryfikowane przez mechanizmy tzw. bramek etapowych. W platformie Certivo niemożliwe jest zamknięcie fazy wdrożenia bez zdeponowania twardych dowodów operacyjnych, takich jak zrealizowane testy planów odtworzeniowych czy zatwierdzone analizy włamaniowe.
Cykl życia incydentu w module operacyjnym Certivo
Moduł zarządzania incydentami i ciągłością działania platformy Certivo prowadzi organizację przez pełen łańcuch zdarzeń, zapewniając automatyzację procesów analitycznych i raportowych:
- Proces rozpoczyna się od odbioru sygnału o incydencie, który może pochodzić z bezpośrednich konektorów systemów klasy SIEM/SOC lub z wewnętrznego formularza zgłoszeniowego obsługiwanego przez personel organizacji.
- Na etapie triage następuje wstępna ocena zdarzenia, w ramach której system wymusza rozdzielenie kwalifikacji technicznej od formalnoprawnej oceny dotkliwości, co zapobiega paraliżowi decyzyjnemu i pochopnemu klasyfikowaniu zdarzeń.
- Po potwierdzeniu powagi zdarzenia system umożliwia przydział ról zgodnie z matrycą RACI dla poziomów L1–L3 oraz Koordynatora Incydentu.
- Z chwilą oznaczenia incydentu jako potencjalnie poważnego aktywowany zostaje zegar raportowy, który wizualnie odlicza czas do upływu okien 24- oraz 72-godzinnych, wysyłając automatyczne powiadomienia do osób wyznaczonych do kontaktu z organami nadzorczymi.
- Wszystkie czynności podejmowane przez zespoły reagowania, decyzje zarządcze, wyniki analizy próbek złośliwego oprogramowania oraz komunikaty wewnętrzne są rejestrowane na nienaruszalnej osi czasu (audyt trail).
- Mechanizm kryptograficznego haszowania gwarantuje, że zarejestrowane wpisy nie mogą zostać zmodyfikowane ani usunięte wstecznie, co zabezpiecza wartość dowodową zebranych faktów na potrzeby postępowań powłamaniowych i audytów nadzorczych.
- Jedną z kluczowych funkcjonalności platformy jest automatyczna generacja tzw. paczki zgłoszeniowej dla zespołów CSIRT (NASK, GOV, MON) oraz systemu teleinformatycznego S46.
- Zamiast ręcznego wypełniania formularzy, Certivo dynamicznie kompiluje dane podmiotu, wykaz zaatakowanych usług i zasobów powiązanych w ramach bazy CMDB, wstępne wskaźniki IoC oraz ustrukturyzowane logi działań mitygujących w sformatowany pakiet zgłoszeniowy gotowy do natychmiastowej transmisji.
- W fazie stabilizacji incydent przechodzi przez procedury odtworzeniowe i analizę post-incydent review (lekcje learned), prowadzącą do przygotowania sprawozdania końcowego w terminie 1 miesiąca.
- Luki zidentyfikowane podczas obsługi zdarzenia są automatycznie przekształcane w zadania naprawcze w ramach rejestru Action Plan, wymagające realizacji i formalnego retestu technicznego przed ich zamknięciem.
Jak Certivo odpowiada na wymogi NIS2 i KSC?
| Wymóg NIS2 / KSC | Wyzwanie operacyjne organizacji | Implementacja funkcjonalna w Certivo |
|---|---|---|
| Wczesne ostrzeżenie (24h) | Ryzyko opóźnień decyzyjnych i błędu w identyfikacji organu właściwego. | Zintegrowany zegar raportowy, predefiniowane formularze urzędowe, dynamiczny generator paczki zgłoszeniowej dla CSIRT i systemu S46. |
| Rozliczalność i ślad audytowy | Zacieranie śladów, chaotyczna komunikacja na zewnętrznych komunikatorach. | Nierozrywalny łańcuch audytowy na chronologicznej osi czasu z hashowaniem wpisów i załączników. |
| Korelacja z ciągłością działania (BCM) | Trudność w oszacowaniu rzeczywistego wpływu incydentu na dopuszczalne czasy przestoju. | Powiązanie modułu incydentów z planami BCP, automatyczne zestawianie parametrów RTO/RPO/MTPD z realnym czasem odzyskiwania. |
| Ciągłe szacowanie ryzyka | Statyczne, nieaktualizowane rejestry ryzyk w arkuszach kalkulacyjnych. | Dynamiczne przeliczanie ryzyka rezydualnego powiązanych procesów i zasobów pod wpływem otwartego incydentu. |
| Nadzór nad łańcuchem dostaw | Wektory ataków przenikające przez zewnętrznych dostawców usług cyfrowych. | Integracja z modułem TPRM, badanie statusu bezpieczeństwa kontrahentów oraz ich powiązań z krytycznymi usługami organizacji. |
Wzajemna integracja modułów platformy Certivo eliminuje powstawanie silosów informacyjnych w organizacji. Funkcjonalność Health check CMDB automatycznie monitoruje bazę procesów i zasobów, natychmiast wykrywając usługi pozbawione planów awaryjnych BCP, zasoby niepowiązane z właścicielami biznesowymi czy aktywa IT podlegające podatnościom nieuwzględnionym w bieżącym szacowaniu ryzyka.
Wnioski i rekomendacje wdrożeniowe
Wdrożenie wymogów dyrektywy NIS2 oraz nowelizacji ustawy o KSC stanowi strategiczne wyzwanie transformacyjne, które trwale przekształca strukturę zarządzania ryzykiem operacyjnym. Organizacje objęte nowym reżimem prawnym muszą zrezygnować z formalistycznego podejścia do dokumentacji na rzecz budowy mierzalnej i sprawdzalnej odporności cyfrowej.
W pierwszej kolejności niezbędne jest przeprowadzenie precyzyjnej samoidentyfikacji prawnej, która jednoznacznie określi status organizacji jako podmiotu kluczowego lub ważnego w oparciu o wskaźniki zatrudnienia, bilansu finansowego oraz powiązań kapitałowych i łańcucha dostaw. Dokument ten stanowi punkt wyjścia dla określenia profilu nadzorczego i zakresu obowiązków sprawozdawczych.
Równolegle konieczna jest gruntowna rewizja wewnętrznych procedur operacyjnych pod kątem wymogów art. 11 KSC. W procedurach należy bezwzględnie wdrożyć trzyetapowy schemat raportowania (wczesne ostrzeżenie w 24 godziny, zgłoszenie właściwe w 72 godziny, sprawozdanie końcowe w 1 miesiąc) oraz zaimplementować jasne kryteria klasyfikacji zdarzeń, w tym kryteria rozporządzenia wykonawczego Komisji (UE) 2024/2690 dla sektora cyfrowego. Procedury muszą jasno rozdzielać ścieżki reagowania technicznego od procesów zgłaszania naruszeń ochrony danych do Prezesa UODO na gruncie RODO.
W warstwie infrastrukturalnej priorytetem jest dostosowanie systemów zbierania telemetrii do rygorów Rozporządzenia o Krajowych Ramach Interoperacyjności. Wymaga to zapewnienia centralizacji logów tożsamościowych i administracyjnych, wdrożenia synchronizacji czasu poprzez bezpieczne serwery NTP, zagwarantowania dwuletniego okresu retencji oraz ochrony spójności dzienników za pomocą mechanizmów WORM i haszowania kryptograficznego.
Wreszcie, sprostanie reżimom sprawozdawczym oraz ochrona członków organów zarządzających przed osobistą odpowiedzialnością finansową i prawną wymagają odejścia od zarządzania incydentami w środowiskach rozproszonych na rzecz wdrożenia zintegrowanych systemów klasy GRC, takich jak platforma Certivo. Zautomatyzowanie przepływu informacji między modułami CMDB, BCM, Rejestrem Ryzyk i silnikiem raportowym dla CSIRT pozwala nie tylko zminimalizować ryzyko nałożenia dotkliwych sankcji administracyjnych, ale przede wszystkim gwarantuje ciągłość funkcjonowania procesów biznesowych organizacji w obliczu eskalujących cyberzagrożeń.
