NIS2 w praktyce: co nowe przepisy oznaczają dla zarządu i jak przygotować Microsoft 365?
Dyrektywa NIS2 podniosła wymagania w zakresie cyberbezpieczeństwa i przeniosła odpowiedzialność za nie na poziom kierownictwa. W Polsce wdrożyła ją nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC), która weszła w życie 3 kwietnia 2026 roku. Dla wielu organizacji oznacza to konieczność uporządkowania bezpieczeństwa, w tym środowiska Microsoft 365, w którym na co dzień pracują ludzie i przechowywane są dane.
Czym jest NIS2?
NIS2 to unijna dyrektywa, która zastąpiła wcześniejsze przepisy i wyraźnie poszerzyła zarówno krąg objętych nimi podmiotów, jak i zakres ich obowiązków. Ma podnieść poziom cyberodporności w sektorach ważnych dla gospodarki i funkcjonowania państwa. Kładzie nacisk na zarządzanie ryzykiem, wdrożenie adekwatnych środków technicznych i organizacyjnych oraz zgłaszanie incydentów w określonych terminach.
Najważniejsza zmiana dotyczy samego podejścia. Organizacja ma zidentyfikować zagrożenia, wdrożyć proporcjonalne zabezpieczenia i stale je nadzorować, zamiast traktować cyberbezpieczeństwo jako jednorazowy projekt albo wyłącznie sprawę działu IT.
Co zmieniła nowelizacja ustawy o KSC?
W Polsce NIS2 wdrożyła nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252), obowiązująca od 3 kwietnia 2026 roku. Ustawa rozkłada nowe obowiązki w czasie:
- do 3 października 2026 roku podmioty, które nie zostały wpisane z urzędu, musiały złożyć wniosek o wpis do wykazu podmiotów kluczowych i ważnych,
- do 3 kwietnia 2027 roku trzeba wdrożyć system zarządzania bezpieczeństwem informacji,
- do 3 kwietnia 2028 roku podmioty kluczowe muszą przeprowadzić pierwszy audyt bezpieczeństwa, a kolejne co najmniej raz na trzy lata.
Część kar pieniężnych objęto okresem przejściowym, ale nie zwalnia on z samych obowiązków. Wdrożenie zabezpieczeń i zgłaszanie incydentów obowiązują niezależnie od tego, kiedy organ będzie mógł nałożyć pełne sankcje.
Organem wiodącym jest minister właściwy do spraw informatyzacji, który pełni rolę krajowego pojedynczego punktu kontaktowego. Obsługę operacyjną zapewniają zespoły CSIRT: CSIRT NASK, CSIRT GOV i CSIRT MON. Ustawa rozróżnia podmioty kluczowe i podmioty ważne, a o przypisaniu do kategorii decydują sektor działalności i wielkość organizacji.
Odpowiedzialność zarządu w NIS2
Z perspektywy biznesu największa zmiana jest ustrojowa: NIS2 przenosi odpowiedzialność za cyberbezpieczeństwo na kierownictwo organizacji. To zarząd zatwierdza środki zarządzania ryzykiem, nadzoruje ich wdrożenie i może odpowiadać za zaniedbania, także finansowo. Tej odpowiedzialności nie przenosi na nikogo innego ani umowa z zewnętrzną firmą, ani zatrudnienie specjalisty. Przepisy wymagają też, żeby członkowie kierownictwa rozumieli ryzyka i podejmowane decyzje, dlatego ważnym elementem są szkolenia dla kadry zarządzającej.
Bezpieczeństwo przestaje być tematem delegowanym „na dół” i staje się częścią odpowiedzialnego zarządzania firmą. Zarząd potrzebuje nie tylko samych zabezpieczeń, ale też dowodów, że środowisko jest chronione i nadzorowane: raportów, wyników audytów i uporządkowanej dokumentacji.
Jakie znaczenie ma tu Microsoft 365?
W większości organizacji to w Microsoft 365 pracują użytkownicy i to tam przechowywane są dane, więc jest to jeden z najważniejszych obszarów objętych wymaganiami. Dobrze skonfigurowana platforma pomaga spełnić wiele wymogów NIS2. Kontrola dostępu i tożsamości ogranicza ryzyko nieautoryzowanego dostępu, ochrona danych i DLP zabezpieczają informacje, a wykrywanie zagrożeń i stały monitoring ułatwiają obsługę i zgłaszanie incydentów. Audyt według CIS Microsoft 365 Benchmark i regularne raporty są z kolei dowodem należytej staranności.
Perspektywa z praktyki: Security Masters
Security Masters to polska firma zajmująca się wyłącznie bezpieczeństwem Microsoft 365, kierowana przez dwukrotnego Microsoft MVP Damiana Wróblewskiego. W ramach programu Microsoft 365 Assurance pomaga przygotować środowisko Microsoft 365 do wymagań NIS2: od audytu i uszczelnienia konfiguracji w modelu Zero Trust, przez codzienną opiekę, po stały monitoring SOC i dokumentację, która pomaga wykazać zgodność. Takie wsparcie ma charakter technologiczno-organizacyjny. Nie zastępuje porady prawnej ani nie zdejmuje obowiązków z samej organizacji, bo zgodność zależy również od jej procesów.
Chcesz ocenić, czy Twoje środowisko Microsoft 365 jest gotowe na NIS2? Napisz na [email protected] lub zadzwoń: +48 536 535 534.
Od czego zacząć przygotowania do NIS2?
Najpierw trzeba ustalić, czy organizacja w ogóle podlega przepisom. Decydują o tym sektor działalności i wielkość podmiotu, a w razie wątpliwości warto potwierdzić to z prawnikiem. Następnie przydaje się audyt stanu obecnego, obejmujący zarówno procesy i dokumentację, jak i konfigurację systemów IT, w tym Microsoft 365. Pokazuje on luki i pozwala przygotować plan naprawczy z priorytetami.
Kolejne kroki to wdrożenie brakujących zabezpieczeń, ustalenie zasad zgłaszania incydentów oraz stały monitoring i raportowanie. Duże znaczenie ma dokumentacja, bo to ona pozwala wykazać, że firma faktycznie zarządza ryzykiem, a nie tylko deklaruje, że jest bezpieczna.
Nawet jeśli Twoja firma nie jest podmiotem kluczowym ani ważnym, przepisy mogą ją dotknąć pośrednio. Podmioty objęte ustawą muszą kontrolować bezpieczeństwo swoich dostawców, więc klienci coraz częściej będą o nie pytać.
Podsumowanie
NIS2 i nowelizacja ustawy o KSC sprawiają, że cyberbezpieczeństwo przestaje być kwestią wyboru, a odpowiedzialność za nie trafia na poziom zarządu. Harmonogram daje czas na przygotowanie, ale termin wpisu do wykazu już minął, a na wdrożenie systemu zarządzania bezpieczeństwem informacji zostało kilka miesięcy. Dla firm korzystających z Microsoft 365 rozsądnym punktem startu jest audyt i uporządkowanie tego środowiska, bo to w nim toczy się codzienna praca i znajdują się dane, które przepisy każą chronić.
