NIS2/KSC2: Jak przeprowadzić ćwiczenie cyberataku dla zarządu? Przykładowy scenariusz

W skrócieĆwiczenie cyberataku dla zarządu przeprowadzasz przy stole: moderator podaje kolejne zdarzenia fikcyjnego ataku, a zarząd podejmuje decyzje jak w prawdziwym incydencie. Wcześniej ustalasz cele, role i 6-8 takich zdarzeń z pytaniami. Systemów nikt nie dotyka. Na koniec omówienie zamienia luki w rolach, procedurach i komunikacji w plan usprawnień z właścicielem, terminem i dowodem wykonania.

Plan reagowania na incydenty leży w segregatorze, procedura zgłoszeń wisi w intranecie, a zarząd nigdy nie sprawdził, czy w sytuacji ataku wie, kto decyduje o odłączeniu zakładu od sieci, kto wysyła zgłoszenie i kto rozmawia z dziennikarzem. Ćwiczenie przy stole odpowiada na te pytania w dwie, trzy godziny, bez ryzyka dla produkcji i bez dotykania systemów.

Ustawa o krajowym systemie cyberbezpieczeństwa (KSC) nie nakazuje wprost ćwiczeń zarządu, ale wymaga testowania planów ciągłości działania i oceny skuteczności środków bezpieczeństwa, a decyzje w tym obszarze przypisuje kierownikowi podmiotu. Podstawy, czyli kto podlega ustawie, jakie są kary i terminy, zebraliśmy w przewodniku po NIS2 i ustawie o KSC. Tutaj dajemy gotowy scenariusz: cele, role, przygotowanie, osiem wstrzyknięć (kolejnych zdarzeń, które moderator wprowadza w trakcie ćwiczenia) z pytaniami do zarządu i oczekiwanymi decyzjami, a na końcu omówienie i plan usprawnień.

Scenariusz dotyczy ataku ransomware, czyli złośliwego oprogramowania, które szyfruje dane i wymusza okup. Ten sam typ zdarzenia rozkładamy na godziny w artykule o tym, co powinien zrobić zarząd w pierwszych godzinach incydentu. Tam opisujemy obowiązki i decyzje, tu sposób, żeby je przećwiczyć, zanim będą potrzebne naprawdę.

Pobierz scenariusz ćwiczenia (DOCX) Plik zawiera cele, role, przygotowanie, zasady, podział czasu, opis firmy, osiem wstrzyknięć z pytaniami, oczekiwanymi decyzjami i notami dla moderatora, omówienie oraz tabelę planu usprawnień do wypełnienia.

Czym jest ćwiczenie przy stole i czym różni się od testu

Ćwiczenie sztabowe przy stole, po angielsku tabletop exercise, to moderowana dyskusja nad fikcyjnym scenariuszem. Uczestnicy siedzą przy jednym stole albo na wideokonferencji, moderator odczytuje kolejne zdarzenia, a zarząd i zespół mówią, co robią, kto decyduje i na jakiej podstawie. Nikt nie wyłącza serwerów i nie odtwarza kopii. Sprawdzamy ludzi, role, procedury i przepływ informacji, nie technikę.

To nie jest szkolenie. Szkolenie przekazuje wiedzę, a ćwiczenie sprawdza, czy organizacja potrafi jej użyć pod presją czasu. To także nie test techniczny: test odtworzenia kopii czy test penetracyjny mierzy działanie systemów, a ćwiczenie przy stole mierzy decyzje. Oba rodzaje się uzupełniają. Ćwiczenie ujawnia na przykład, że nikt w zarządzie nie zna czasu odtworzenia systemu ERP (zintegrowanego systemu do zamówień, produkcji, finansów i kadr), a test odtworzenia ten czas mierzy.

Czy ustawa o KSC wymaga ćwiczeń zarządu

Wprost nie. W ustawie nie ma przepisu, który nakazywałby zarządowi ćwiczenia. Są za to wymagania, które ćwiczenie pomaga spełnić i udokumentować. System zarządzania bezpieczeństwem informacji (SZBI) ma zapewniać „wdrażanie, dokumentowanie, testowanie i utrzymywanie planów ciągłości działania”, planów awaryjnych oraz planów odtworzenia działalności (art. 8 ust. 1 pkt 2 lit. f). Ma też obejmować polityki i procedury oceny skuteczności środków technicznych i organizacyjnych (lit. h) oraz zarządzanie incydentami (art. 8 ust. 1 pkt 4). Kierownik podmiotu, czyli w spółce członkowie zarządu, podejmuje decyzje w zakresie przygotowania, wdrażania, stosowania, przeglądu i nadzoru SZBI (art. 8d pkt 1).

Dyrektywa (UE) 2022/2555, zwana NIS2, wymienia wśród minimalnych środków obsługę incydentu, ciągłość działania z zarządzaniem kryzysowym oraz polityki i procedury oceny skuteczności środków (art. 21 ust. 2 lit. b, c i f NIS2). Dla podmiotów z art. 8b ust. 1 ustawy o KSC (m.in. dostawców usług chmurowych, centrów przetwarzania danych i usług zarządzanych), które stosują rozporządzenie wykonawcze Komisji (UE) 2024/2690, wymóg jest konkretniejszy: plan zarządzania kryzysowego testuje się „zarówno cyklicznie, jak i po wystąpieniu poważnych incydentów” (pkt 4.3.4 załącznika), a proces zarządzania kryzysowego obejmuje role personelu i dostawców oraz komunikację z organami (pkt 4.3.2). Podmiot ważny będący podmiotem publicznym ma w załączniku nr 4 do ustawy „przygotowanie i testowanie procedury w przypadku wystąpienia awarii lub incydentu” (pkt I.12).

Ćwiczenie przy stole jest więc jednym ze sposobów, by sprawdzić plan reagowania i plan ciągłości oraz pokazać, że SZBI działa w praktyce. To nasz wniosek, nie przepis. Ministerstwo Cyfryzacji przypomina, że wymagane jest udowodnienie stosowania przepisów, a nie przedstawienie formalnie poprawnych dokumentów (odpowiedź 11.6, stanowisko niewiążące), a protokół z ćwiczenia i wykonany plan usprawnień mogą być takim dowodem.

Cele ćwiczenia i role uczestników

Zanim powstanie scenariusz, zapisz cele. Bez nich omówienie zamienia się w wymianę wrażeń. Dla pierwszego ćwiczenia zarządu proponujemy pięć celów:

1. Sprawdzić, kto w zarządzie podejmuje decyzje w incydencie i czy ma do tego upoważnienie, także w weekend.
2. Sprawdzić, czy zespół zna terminy zgłoszeń (24 godziny, 72 godziny, miesiąc) i umie wysłać wczesne ostrzeżenie przez system S46.
3. Sprawdzić, czy zarząd zna czas odtworzenia kluczowych systemów i kolejność ich uruchamiania.
4. Przećwiczyć komunikację: jeden głos na zewnątrz, informacja dla pracowników, klientów i organów.
5. Wyłonić luki i przypisać każdą do właściciela w planie usprawnień.

Terminy z celu drugiego wynikają z art. 11 ust. 1 pkt 4-4c ustawy: wczesne ostrzeżenie o incydencie poważnym do zespołu reagowania na incydenty bezpieczeństwa komputerowego (CSIRT) najpóźniej w 24 godziny od wykrycia, zgłoszenie w 72 godziny, sprawozdanie końcowe w miesiąc od zgłoszenia. System S46 to nazwa, której Ministerstwo Cyfryzacji używa dla systemu teleinformatycznego z art. 46 ust. 1 ustawy, służącego m.in. do zgłaszania incydentów.

Role rozdzielamy przed ćwiczeniem. Każdy wie, czy decyduje, doradza, czy tylko obserwuje. CISO w tabeli to osoba odpowiedzialna za bezpieczeństwo informacji (od ang. chief information security officer), a RODO to ogólne rozporządzenie o ochronie danych (UE) 2016/679.

Moderatorem nie powinien być nikt z zespołu, który ćwiczy, bo trudno jednocześnie prowadzić i odpowiadać. Opcjonalnie dołącz dyrektora finansowego (koszty przestoju, polisa) i dyrektora operacyjnego (skutki izolacji). Przy pierwszym ćwiczeniu trzymaj grupę na tyle małą, żeby każdy zabrał głos.

Przygotowanie: zakres, scenariusz, wstrzyknięcia i zasady

Przygotowanie zajmuje więcej czasu niż samo ćwiczenie. Przyjmujemy jako założenie, że ćwiczenie trwa 2,5 godziny, a przygotowanie zajmuje moderatorowi i CISO około trzech tygodni. To punkt wyjścia do własnego planu, nie wymóg.

1. Zakres i cele: które procesy i systemy obejmuje scenariusz, kto uczestniczy, które cele są priorytetem. Zakres zatwierdza członek zarządu odpowiedzialny za cyberbezpieczeństwo.
2. Scenariusz dopasowany do firmy: prawdziwe nazwy systemów, realne zależności, procesy, które przynoszą przychód. Fikcyjny jest atak, nie firma.
3. Wstrzyknięcia: 6-8 zdarzeń w kolejności czasu scenariusza, każde z 2-3 pytaniami do zarządu i listą oczekiwanych decyzji, którą zna tylko moderator.
4. Materiały: plan reagowania na incydenty, procedura zgłoszeń, lista kontaktów, warunki polisy, ostatni protokół testu odtworzenia. Uczestnicy korzystają tylko z tego, co mieliby w prawdziwym incydencie.
5. Logistyka: sala lub wideokonferencja na 2-3 godziny, protokolant, obserwator i termin omówienia formalnego ustalony z góry.
6. Zasady: ogłoszone na początku ćwiczenia i powtórzone przed omówieniem.

Zasady ćwiczenia, które moderator odczytuje na otwarciu:

• Bez szukania winnych: oceniamy procedury i role, nie ludzi.
• Działamy tak, jak w prawdziwym incydencie, z wiedzą i dokumentami, które naprawdę mamy.
• Czas scenariusza płynie szybciej niż czas na sali, a moderator ogłasza każdy przeskok.
• „Nie wiem” to dobra odpowiedź, jeśli prowadzi do wniosku w planie usprawnień.
• To, co pada na sali, zostaje na sali, poza protokołem i planem usprawnień.
• Moderator może zatrzymać dyskusję, gdy zespół utknie, i wprowadzić kolejne zdarzenie.

Przykładowy podział 2,5 godziny:

Scenariusz ransomware: 8 wstrzyknięć z pytaniami do zarządu

Firma w scenariuszu to producent maszyn i urządzeń zatrudniający 450 osób, z jednym zakładem, systemem ERP, systemem planowania produkcji i zewnętrzną firmą IT, która utrzymuje serwery. Przyjmujemy, że spółka jest podmiotem ważnym: produkcja maszyn i urządzeń to podsektor sektora produkcji z załącznika nr 2 do ustawy, a podmiot z tego załącznika, który przewyższa wymogi dla średniego przedsiębiorcy, jest podmiotem ważnym (art. 5 ust. 2 pkt 2). Przyjmujemy też, że spółka stosuje już obowiązki z rozdziału 3 ustawy. Atak zaczyna się we wtorek rano. Godziny i liczby są przykładowe: zmień je na własne, a strukturę zostaw.

Wstrzyknięcie 1, wtorek 9:10

Zdarzenie: Dział wsparcia IT dostaje zgłoszenia: system ERP działa bardzo wolno, pliki na dysku sieciowym mają zmienione rozszerzenia, planiści nie mogą otworzyć harmonogramów.

Pytania do zarządu:

• Kto ocenia, czy to incydent, i kiedy informuje zarząd?
• Kto zapisuje godzinę i źródło informacji?
• Czy mamy kryteria, kiedy sprawa trafia do zarządu?

Oczekiwane decyzje:

• CISO uruchamia procedurę obsługi incydentu i otwiera dziennik decyzji.
• Zarząd dostaje informację według kryteriów eskalacji z planu reagowania.
• Godzina i źródło pierwszego zgłoszenia są zapisane.

Wstrzyknięcie 2, wtorek 9:40

Zdarzenie: Na serwerze plików i serwerze ERP pojawia się notatka z żądaniem okupu, szyfrowanie trwa. Firma IT proponuje odłączenie zakładu od sieci i internetu, co zatrzyma linie produkcyjne.

Pytania do zarządu:

• Kto decyduje o izolacji i zatrzymaniu produkcji, a kto decydowałby w weekend?
• Od kiedy liczymy terminy zgłoszeń?
• Jak rozmawia zarząd, jeśli poczta przestanie działać?

Oczekiwane decyzje:

• Wskazany członek zarządu decyduje o izolacji i akceptuje koszt przestoju, a plan wskazuje jego zastępcę na weekend.
• Moment wykrycia incydentu ustalony na 9:40 i zapisany w dzienniku.
• Zespół kryzysowy zwołany, kanał awaryjny uruchomiony, jedna osoba wyznaczona do komunikacji.

Podstawa dla moderatora: Ministerstwo Cyfryzacji wiąże moment wykrycia z chwilą, w której podmiot może stwierdzić, że zdarzenie jest incydentem (odpowiedź 6.5, stanowisko niewiążące). Jeśli zespół uzna, że nastąpiło to już o 9:10, wszystkie terminy w scenariuszu przesuwają się o 30 minut wcześniej.

Wstrzyknięcie 3, wtorek 11:40

Zdarzenie: Firma IT informuje, że kopie zapasowe z ostatniej nocy wyglądają na nietknięte, ale odtworzenie ERP może potrwać około trzech dni. Kopie konfiguracji były na zaszyfrowanym serwerze.

Pytania do zarządu:

• Które procesy odtwarzamy najpierw?
• Czy zamawiamy zewnętrzną firmę reagowania na incydenty i do jakiej kwoty?
• Co zabezpieczamy, zanim zaczniemy odtwarzać?

Oczekiwane decyzje:

• Kolejność odtwarzania według procesów, które przynoszą przychód.
• Zgoda na wsparcie zewnętrzne z limitem kwoty.
• Zabezpieczenie logów i obrazów dysków przed rozpoczęciem odtwarzania.

Wstrzyknięcie 4, wtorek 13:40

Zdarzenie: Inspektor ochrony danych ustala, że w zaszyfrowanym katalogu są dane kadrowe i płacowe 450 pracowników. Nie wiadomo, czy przestępcy je wynieśli.

Pytania do zarządu:

• Czy to naruszenie ochrony danych osobowych?
• Od kiedy biegnie termin 72 godzin z RODO?
• Kto i kiedy informuje pracowników?

Oczekiwane decyzje:

• Ocena naruszenia z inspektorem ochrony danych i decyzja o zgłoszeniu do Prezesa Urzędu Ochrony Danych Osobowych (UODO) albo udokumentowanie, dlaczego zgłoszenia nie ma.
• Ustalenie i zapis momentu stwierdzenia naruszenia.
• Plan informacji dla pracowników.

Podstawa dla moderatora: administrator zgłasza naruszenie ochrony danych osobowych organowi nadzorczemu, w Polsce Prezesowi UODO, bez zbędnej zwłoki, w miarę możliwości nie później niż w 72 godziny po stwierdzeniu naruszenia, chyba że ryzyko dla praw lub wolności osób jest mało prawdopodobne (art. 33 ust. 1 RODO, art. 34 ust. 2 ustawy o ochronie danych osobowych).

Wstrzyknięcie 5, wtorek 15:40

Zdarzenie: CISO przedstawia ocenę: produkcja stoi, 12 klientów nie dostanie maszyn w terminie, straty rosną z każdą godziną. Pada pytanie o klasyfikację incydentu.

Pytania do zarządu:

• Czy to incydent poważny?
• Kto wysyła wczesne ostrzeżenie, do kiedy i czy mamy dostęp do S46 spoza sieci firmowej?
• Kto będzie osobą uprawnioną do składania wyjaśnień dla CSIRT?

Oczekiwane decyzje:

• Decyzja: incydent poważny, z uzasadnieniem w dzienniku.
• Wczesne ostrzeżenie w S46 najpóźniej w środę o 9:40.
• Wskazana osoba do wyjaśnień dla CSIRT.

Podstawa dla moderatora: incydent poważny to m.in. incydent, który powoduje lub może spowodować poważne obniżenie jakości lub przerwanie ciągłości świadczenia usługi albo straty finansowe dla podmiotu (art. 2 pkt 7 ustawy o KSC). Dopóki organ właściwy do spraw cyberbezpieczeństwa nie ogłosi, że CSIRT sektorowy osiągnął zdolność operacyjną, zgłoszenia trafiają do właściwego CSIRT MON, CSIRT NASK lub CSIRT GOV (art. 44 ust. 1 ustawy nowelizującej z 23 stycznia 2026 r.).

Wstrzyknięcie 6, środa 7:30

Zdarzenie: Lokalny portal informacyjny pisze o przestoju i cytuje anonimowego pracownika. Dzwonią klienci i dziennikarz.

Pytania do zarządu:

• Co mówimy, kto mówi i w jakiej kolejności: pracownicy, klienci, media?
• Czy informujemy klientów jako odbiorców usług?
• Kiedy podamy kolejną informację?

Oczekiwane decyzje:

• Jeden zatwierdzony komunikat, najpierw dla pracowników, potem dla klientów i mediów.
• Decyzja o informacji dla odbiorców usług (art. 11 ust. 2b ustawy o KSC).
• Stała pora kolejnych aktualizacji.

Wstrzyknięcie 7, środa 15:00

Zdarzenie: Przestępcy przysyłają na adres prezesa wiadomość: 48 godzin na zapłatę, inaczej opublikują dane pracowników. Ubezpieczyciel prosi o kontakt przed jakąkolwiek decyzją.

Pytania do zarządu:

• Kto decyduje o okupie i na podstawie jakich informacji?
• Czy ktokolwiek odpowiada przestępcom?
• Co wiemy o kopiach i o wycieku danych?

Oczekiwane decyzje:

• Nikt nie odpowiada przestępcom bez decyzji zarządu.
• Decyzja zarządu z prawnikiem i ubezpieczycielem, zapisana w dzienniku.
• Ocena, ile potrwa odtworzenie z kopii, jako część decyzji.

Podstawa dla moderatora: ustawa o KSC nie zawiera przepisu o okupie. Ćwiczenie nie ma rozstrzygać, czy płacić, tylko sprawdzić, czy zarząd wie, kto decyduje, jakie informacje są potrzebne i jak decyzję udokumentować.

Wstrzyknięcie 8, piątek 6:00

Zdarzenie: Do terminu zgłoszenia incydentu poważnego (piątek 9:40) zostały niecałe 4 godziny. Przyczyna ataku nie jest pewna, część danych jest niepełna.

Pytania do zarządu:

• Co wpisujemy do zgłoszenia, a co oznaczamy jako do uzupełnienia?
• Kto zatwierdza treść zgłoszenia?
• Kiedy składamy sprawozdanie końcowe?

Oczekiwane decyzje:

• Zgłoszenie z informacjami znanymi w chwili zgłoszenia, uzupełniane później (art. 12 ust. 5 ustawy o KSC).
• Oznaczenie informacji stanowiących tajemnicę przedsiębiorstwa.
• Termin sprawozdania końcowego: miesiąc od dnia zgłoszenia.

Komunikacja: jak ją przećwiczyć, a nie tylko omówić

W ćwiczeniu łatwo skupić się na technice i zostawić komunikację na koniec. Dlatego decyzje komunikacyjne wymuszają zwłaszcza trzy wstrzyknięcia: drugie (jedna osoba do komunikacji i kanał awaryjny), szóste (pracownicy, klienci, media) i siódme (wiadomość od przestępców). Moderator nie pyta „co byście powiedzieli”, tylko dzwoni jako dziennikarz albo kluczowy klient i oczekuje odpowiedzi na żywo.

Ćwiczenie powinno zostawić gotowe teksty. Zespół pisze w trakcie pierwszy komunikat dla pracowników, wiadomość dla klientów i krótkie stanowisko dla mediów: co się stało, co robimy, kiedy podamy kolejną informację. Po omówieniu te teksty trafiają jako szablony do planu reagowania.

Osobny wątek to komunikacja z organami: kto loguje się do S46 i wysyła wczesne ostrzeżenie, kto rozmawia z CSIRT jako osoba uprawniona do składania wyjaśnień (art. 12 ust. 1 pkt 3 ustawy o KSC), kto przygotowuje zgłoszenie do Prezesa UODO, kto kontaktuje się z policją, jeżeli zarząd tak zdecyduje. Kanał awaryjny warto sprawdzić w praktyce: moderator ogłasza, że poczta nie działa, i patrzy, czy zarząd zbierze się w kwadrans.

Omówienie na gorąco, omówienie formalne i plan usprawnień

Ćwiczenie bez omówienia to tylko ciekawa rozmowa. Omówienie ma dwa etapy, a jego wynikiem jest plan usprawnień, który zarząd zatwierdza jak każdą decyzję w zakresie SZBI i którego wykonanie nadzoruje (art. 8d pkt 1 i 3 ustawy o KSC).

• Omówienie na gorąco zaraz po ćwiczeniu, 20-25 minut: każdy uczestnik mówi, co zadziałało, co nie zadziałało i jedną rzecz, którą zmieniłby od jutra.
• Moderator zbiera odpowiedzi bez dyskusji o winie i zapisuje je razem z protokolantem.
• Omówienie formalne w ciągu dwóch tygodni (założenie): raport moderatora i CISO z porównaniem celów i wyników, osią decyzji z protokołu i listą luk.
• Raport trafia na posiedzenie zarządu, który zatwierdza plan usprawnień i wyznacza właścicieli.
• Po terminach z planu: przegląd wykonania i decyzja o kolejnym ćwiczeniu.

Plan usprawnień ma pięć kolumn. Przykładowe wiersze pochodzą z naszego scenariusza:

Ćwiczenie i jego skutki dokumentujemy jak każdą czynność w SZBI: lista uczestników z rolami, scenariusz, protokół decyzji, raport z omówienia, zatwierdzony plan usprawnień i dowody wykonania działań. Dokumentację operacyjną stanowią zapisy poświadczające wykonywanie czynności wymaganych przez dokumentację normatywną (art. 10 ust. 4 ustawy o KSC), więc jeśli plan reagowania przewiduje ćwiczenia, takie zapisy mogą być ich dowodem. Jak prowadzić rejestr szkoleń i ćwiczeń, opisujemy w artykule o tym, jak udokumentować szkolenia i budowanie świadomości pracowników.

Od czego zacząć: pierwsze ćwiczenie w czterech krokach

1. Decyzja zarządu. Termin, moderator, cele i zakres. Przy pierwszym ćwiczeniu wystarczy jeden scenariusz i 2-3 godziny.
2. Scenariusz. Pobierz plik DOCX, zmień nazwy systemów, godziny i liczby na własne i dopisz pytania, które dotyczą Twojej firmy.
3. Materiały. Plan reagowania, procedura zgłoszeń, lista kontaktów, warunki polisy i protokół ostatniego testu odtworzenia. Jeśli takiego protokołu nie ma, to pierwszy wniosek z ćwiczenia. Jak testować odtwarzanie i co zapisać w protokole, opisujemy w artykule o tym, dlaczego sam backup nie wystarcza do ciągłości działania.
4. Po ćwiczeniu. Omówienie, plan usprawnień, przegląd wykonania i termin kolejnego ćwiczenia.

Jak często ćwiczyć? Ustawa nie podaje częstotliwości. Rozporządzenie 2024/2690 wymaga od podmiotów z art. 8b ust. 1 ustawy testowania planu zarządzania kryzysowego cyklicznie i po poważnych incydentach (pkt 4.3.4 załącznika). Pozostałym firmom proponujemy, jako dobrą praktykę, co najmniej jedno ćwiczenie zarządu w roku i dodatkowe po poważnym incydencie, zmianie składu zarządu albo dużej zmianie w systemach. To nasza propozycja, nie wymóg.

Podstawa prawna i źródła

• art. 2 pkt 7 ustawy o KSC - definicja incydentu poważnego
• art. 5 ust. 2 pkt 2 i załącznik nr 2 ustawy o KSC - podmiot ważny, sektor produkcji
• art. 8 ust. 1 pkt 2 lit. f i h oraz pkt 4 ustawy o KSC - testowanie planów ciągłości, ocena skuteczności środków, zarządzanie incydentami
• art. 8d pkt 1 i 3 ustawy o KSC - decyzje i nadzór kierownika podmiotu
• art. 8e ustawy o KSC - szkolenie kierownika podmiotu
• art. 10 ust. 4 ustawy o KSC - dokumentacja operacyjna
• art. 11 ust. 1 pkt 4-4c, art. 11 ust. 2b, art. 12 ust. 1 pkt 3 i ust. 5 ustawy o KSC - terminy i treść zgłoszeń, informowanie użytkowników
• załącznik nr 4 pkt I.12 ustawy o KSC - testowanie procedury w podmiocie ważnym będącym podmiotem publicznym
• art. 44 ust. 1 ustawy nowelizującej (Dz.U. 2026 poz. 252) - zgłoszenia do CSIRT MON, NASK lub GOV do czasu CSIRT sektorowych
• art. 21 ust. 2 lit. b, c i f dyrektywy NIS2 - obsługa incydentu, ciągłość działania, ocena skuteczności środków
• rozporządzenie wykonawcze Komisji (UE) 2024/2690, załącznik pkt 4.3.2 i 4.3.4 - zarządzanie kryzysowe i testy planu
• art. 33 ust. 1 RODO - zgłoszenie naruszenia ochrony danych osobowych
• art. 34 ust. 2 ustawy z 10 maja 2018 r. o ochronie danych osobowych - Prezes UODO jako organ nadzorczy
• art. 8b ust. 1 ustawy o KSC - podmioty stosujące rozporządzenie wykonawcze Komisji (UE) 2024/2690
• Ministerstwo Cyfryzacji, odpowiedzi 6.5 i 11.6 (stanowisko niewiążące)
• Ustawa o krajowym systemie cyberbezpieczeństwa, tekst ujednolicony ze stanem na 8.10.2026 (Sejm, ISAP)
• Ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252)
• Dyrektywa (UE) 2022/2555 (NIS2) w EUR-Lex
• Rozporządzenie wykonawcze Komisji (UE) 2024/2690 w EUR-Lex
• Rozporządzenie (UE) 2016/679 (RODO) w EUR-Lex
• Ministerstwo Cyfryzacji, pytania i odpowiedzi do znowelizowanej ustawy o KSC, aktualizacja październik 2026