poprzedni krok 
Wdrożenie
ustawy o KSC
Sprawdzimy, czy Twoja firma jest podmiotem kluczowym lub ważnym, wskażemy luki i wdrożymy system zarządzania bezpieczeństwem informacji - od dokumentacji po zabezpieczenia techniczne. Jeden partner, bez przerzucania odpowiedzialności między doradcą a działem IT.
od 3 kwietnia 2026 - nowelizacja ustawy o KSC obowiązuje- do 3 kwietnia 2027 - termin wdrożenia systemu zarządzania bezpieczeństwem informacji
Czy KSC dotyczy Twojej firmy?
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa wdraża dyrektywę NIS2 i znacząco poszerza krąg firm objętych obowiązkami. Odpowiedz na trzy pytania.
01
Działasz w sektorze objętym ustawą?
Ustawa wymienia sektory o wysokiej krytyczności i inne sektory krytyczne - od energetyki i ochrony zdrowia po produkcję, żywność, logistykę i usługi cyfrowe.
02
Jesteś co najmniej średnią firmą?
Co do zasady obowiązki dotyczą firm zatrudniających co najmniej 50 osób albo osiągających roczny obrót i sumę bilansową powyżej 10 mln euro.
03
A może wielkość nie ma znaczenia?
Część podmiotów jest objęta ustawą niezależnie od wielkości, np. dostawcy usług DNS, usług zaufania, sieci łączności elektronicznej czy jedyni dostawcy usługi kluczowej.
Sektory o wysokiej krytyczności
Duże firmy z tych sektorów to co do zasady podmioty kluczowe, a średnie - podmioty ważne.
- energetyka
- transport
- bankowość i infrastruktura rynków finansowych
- ochrona zdrowia
- woda pitna i ścieki
- infrastruktura cyfrowa i zarządzanie usługami ICT
- administracja publiczna
- przestrzeń kosmiczna
Inne sektory krytyczne
Średnie i duże firmy z tych sektorów to co do zasady podmioty ważne.
- usługi pocztowe i kurierskie
- gospodarowanie odpadami
- chemikalia
- produkcja i dystrybucja żywności
- produkcja, m.in. elektroniki, maszyn, pojazdów i wyrobów medycznych
- dostawcy usług cyfrowych
- badania naukowe
Nie podlegasz ustawie, ale obsługujesz firmy, które jej podlegają? Podmioty kluczowe i ważne muszą zarządzać ryzykiem w łańcuchu dostaw, więc wymagania bezpieczeństwa trafią do Twoich umów i ankiet.
Dlaczego nie warto odkładać KSC na później?
KSC to nie kolejny dokument do szuflady. Ustawa przenosi odpowiedzialność za cyberbezpieczeństwo na zarząd i daje organom nadzoru realne narzędzia egzekwowania obowiązków.
kontrole i audyty prowadzone przez organy nadzoru- obowiązkowe zgłaszanie poważnych incydentów
- wymagania przenoszone na dostawców w umowach
10 mln €
Wysokie kary finansowe
Podmiotom kluczowym grozi kara do 10 mln euro lub 2% rocznego obrotu, a ważnym do 7 mln euro lub 1,4% obrotu.
Zarząd
Osobista odpowiedzialność kierownictwa
Kierownik podmiotu odpowiada za wykonywanie obowiązków z ustawy i może zostać ukarany finansowo osobiście.
24 h
Szybkie zgłaszanie incydentów
Wczesne ostrzeżenie o poważnym incydencie trzeba przekazać do CSIRT w ciągu 24 godzin, a pełne zgłoszenie w ciągu 72 godzin.
2027
Mało czasu na wdrożenie
System zarządzania bezpieczeństwem informacji trzeba wdrożyć do 3 kwietnia 2027 r. Wniosek o wpis do wykazu należało złożyć do 3 października 2026 r.
Co konkretnie zrobimy dla Twojej firmy?
Prowadzimy firmę przez cały proces - od ustalenia, czy ustawa jej dotyczy,
po utrzymanie zgodności i przygotowanie do audytu
Zakres wsparcia
Możesz powierzyć nam całość wdrożenia KSC albo wybrane obszary, w których brakuje kompetencji lub czasu w Twoim zespole.
Dokumentacja SZBI
- polityka bezpieczeństwa informacji
- procedury i instrukcje operacyjne
- rejestr aktywów i analiza ryzyka
- role i odpowiedzialności
Zabezpieczenia techniczne
- MFA i kontrola dostępu
- ochrona stacji roboczych i serwerów
- segmentacja i zabezpieczenie sieci
- bezpieczeństwo Microsoft 365
Obsługa incydentów
- procedura obsługi incydentów
- zgłoszenia do CSIRT w terminach
- monitoring i wykrywanie zagrożeń
- analiza po incydencie
Ciągłość działania
- backup i testy odtwarzania
- plany ciągłości działania
- scenariusze awaryjne
- zarządzanie podatnościami i aktualizacjami
Łańcuch dostaw
- ocena dostawców ICT
- wymagania bezpieczeństwa w umowach
- odpowiedzi na ankiety kontrahentów
- rejestr dostawców
Ludzie i nadzór
- szkolenia zarządu z obowiązków KSC
- szkolenia i testy phishingowe pracowników
- wsparcie vCISO
- przygotowanie do audytu
Dlaczego wdrożenie KSC z Inprox?
Kancelaria przygotuje dokumenty, ale ktoś musi je jeszcze wdrożyć w sieci, na serwerach i komputerach. My robimy jedno i drugie - te same osoby, które piszą procedury, odpowiadają za ich wdrożenie w infrastrukturze.
Na co dzień utrzymujemy środowiska IT naszych Klientów, dlatego wiemy, jak wdrożyć wymagania ustawy bez paraliżowania pracy zespołu.
Audytorzy wiodący ISO 27001
W zespole mamy akredytowanych audytorów wiodących ISO 27001. Wymagania KSC w dużej mierze pokrywają się z tą normą.
Dokumenty i technika w jednym miejscu
Dokumentacja opisuje to, co faktycznie działa w firmie, a nie stan idealny, którego nikt nie wdrożył.
Wsparcie po wdrożeniu
Zgodność z KSC to proces ciągły. Możemy przejąć utrzymanie zabezpieczeń, obsługę incydentów i okresowe przeglądy w ramach stałej współpracy.
Szkolenia na platformie Secrab
Szkolenia pracowników, kampanie phishingowe i potwierdzanie zapoznania się z politykami prowadzimy na platformie Secrab.
Proaktywny monitoring
Monitorujemy infrastrukturę Klientów, aby wykrywać zagrożenia i incydenty, zanim wpłyną na działanie firmy.
Lokalnie w Trójmieście
Biuro w Gdańsku i zespół, który przyjedzie na miejsce. Wspieramy firmy z Gdańska, Gdyni, Sopotu i całego Pomorza - także zdalnie.
Certyfikat ISO 27001
Jesteśmy dumnymi posiadaczami certyfikatu ISO 27001 - wydawanej przez niezależne organizacje, międzynarodowej normy określającej standardy bezpieczeństwa systemów, infrastruktury i danych.
Najczęściej zadawane pytania o KSC
Odpowiedzi na pytania, które najczęściej słyszymy od firm przygotowujących się do nowych obowiązków.
Ustawa o krajowym systemie cyberbezpieczeństwa (KSC) to polskie prawo określające obowiązki firm i instytucji w zakresie cyberbezpieczeństwa. Jej nowelizacja z 23 stycznia 2026 r. wdraża unijną dyrektywę NIS2 i obowiązuje od 3 kwietnia 2026 r.
Decydują sektor działalności, wielkość firmy oraz rodzaj świadczonych usług. Podmiot kluczowy lub ważny musi sam ustalić swój status i złożyć wniosek o wpis do wykazu. Podczas bezpłatnej konsultacji pomożemy to ocenić.
Nowelizacja weszła w życie 3 kwietnia 2026 r. Wniosek o wpis do wykazu podmiotów kluczowych i ważnych należało złożyć do 3 października 2026 r., a system zarządzania bezpieczeństwem informacji trzeba wdrożyć do 3 kwietnia 2027 r. Jeżeli wniosek nie został jeszcze złożony, warto zrobić to jak najszybciej.
Podmiotom kluczowym grożą kary do 10 mln euro lub 2% rocznego obrotu, a podmiotom ważnym do 7 mln euro lub 1,4% obrotu. Ustawa przewiduje także odpowiedzialność finansową kierownika podmiotu.
Pośrednio tak. Podmioty kluczowe i ważne muszą zarządzać ryzykiem w łańcuchu dostaw, dlatego coraz częściej wymagają od dostawców potwierdzenia poziomu zabezpieczeń, wypełnienia ankiet bezpieczeństwa i wpisują wymagania do umów.
Zależy od wielkości firmy i stanu wyjściowego. Analiza luk zajmuje zwykle kilka tygodni, a pełne wdrożenie systemu zarządzania bezpieczeństwem informacji - kilka miesięcy. Dlatego warto zacząć z odpowiednim zapasem przed terminem 3 kwietnia 2027 r.
Tak. INPROX posiada certyfikat ISO 27001, a w zespole mamy akredytowanych audytorów wiodących. Wymagania KSC w dużej mierze pokrywają się z ISO 27001, dlatego wiemy, jak zbudować system, który spełni oba standardy bez dublowania pracy.
Tak i to najczęstszy model współpracy. Bezpieczeństwo jest wtedy elementem codziennego utrzymania środowiska IT, a nie jednorazowym projektem, który po kilku miesiącach przestaje odpowiadać rzeczywistości.
Umów bezpłatną konsultację KSC
Ustalimy, czy ustawa dotyczy Twojej firmy, wskażemy najważniejsze luki i zaproponujemy plan działań z orientacyjnym kosztem wdrożenia.
Termin wdrożenia mija 3 kwietnia 2027 r.
Nie czekaj na kontrolę ani incydent. Pierwszy krok nic nie kosztuje - w trakcie konsultacji ustalimy, czy ustawa Cię dotyczy i od czego zacząć.
