Zgodności z NIS2 nie można wykazać samym zbiorem polityk bezpieczeństwa. Organ właściwy, audytor lub kierownictwo może potrzebować informacji nie tylko o tym, co organizacja zamierzała wdrożyć, ale również czy środki zostały zatwierdzone, uruchomione, przetestowane i udoskonalone.
To rozróżnienie sprawia, że zarządzanie dowodami jest istotną częścią gotowości do NIS2 i polskiej ustawy o krajowym systemie cyberbezpieczeństwa. Polityka opisuje oczekiwany sposób działania. Dowód pokazuje, że proces został wykonany, zabezpieczenie działało, wyjątek podlegał kontroli, a istotny problem dotarł do właściwej osoby decyzyjnej.
Dyrektywa (UE) 2022/2555, nazywana NIS2, nie ustanawia jednego uniwersalnego segregatora dokumentów dla każdego podmiotu. Określa rezultaty i minimalne obszary, które podmioty kluczowe i ważne powinny realizować za pomocą odpowiednich i proporcjonalnych środków technicznych, operacyjnych i organizacyjnych. W Polsce wymagania dyrektywy rozwija ustawa o KSC, której nowelizacja obowiązuje od 3 kwietnia 2026 r.
Zakres dokumentacji zależy od ryzyka, usług, sektora, wielkości i sytuacji prawnej organizacji. Znaczenie mają także przepisy wykonawcze, regulacje sektorowe i wymagania właściwego organu.
Ten przewodnik wyjaśnia, jak zbudować praktycznądokumentację zgodności z NIS2, jakie dowody mogą wspierać realizację art. 20, 21 i 23 dyrektywy oraz krajowych obowiązków KSC, a także jak przygotować uporządkowany pakiet dowodowy bez tworzenia zbędnej biurokracji. Nie jest to kolejny ogólny poradnik wdrożeniowy ani artykuł o najczęstszych lukach audytowych.
1. Czy NIS2 wskazuje konkretną listę wymaganych dokumentów?
NIS2 nie zawiera jednej wyczerpującej listy zatytułowanej „dokumenty wymagane od każdego podmiotu”. Ustanawia jednak obowiązki, których wykonanie i wykazanie bez wiarygodnych zapisów byłoby bardzo trudne.
Artykuł 20 wymaga zaangażowania organów zarządzających w zatwierdzanie środków zarządzania ryzykiem, nadzorowanie ich wdrożenia i odbywanie odpowiednich szkoleń. Artykuł 21 określa minimalne obszary środków zarządzania ryzykiem. Artykuł 23 wprowadza wieloetapowe zgłaszanie znaczących incydentów. Przepisy dotyczące nadzoru pozwalają właściwym organom żądać informacji, danych, dokumentów i innych dowodów potrzebnych do wykonywania ich zadań.
Polska ustawa o KSC wprowadza dodatkowo krajowe obowiązki organizacyjne i proceduralne, w tym związane z samoidentyfikacją, Wykazem KSC, systemem S46 oraz systemem zarządzania bezpieczeństwem informacji. Dla podmiotów kluczowych znaczenie ma także ustawowy audyt bezpieczeństwa, który należy odróżnić od dobrowolnej analizy gotowości.
Dokumentacja powinna umożliwiać odpowiedź na trzy podstawowe pytania:
Jakiej decyzji, kontroli lub procesu wymagało prawo albo przyjęty system zarządzania?
Kto i kiedy zatwierdził, posiadał lub wykonał dane działanie?
Jaki dowód pokazuje, że środek działał i osiągnął oczekiwany rezultat?
Podmioty działające w kilku państwach powinny prowadzić rejestr jurysdykcji. Jeden pakiet dowodowy może nie wystarczyć do obsługi różnych procedur rejestracyjnych, języków, formularzy i wymagań organów krajowych.
Określeni dostawcy usług DNS, chmury, centrów danych, usług zarządzanych, cyberbezpieczeństwa zarządzanego, platform handlowych, wyszukiwarek, sieci społecznościowych i usług zaufania podlegają również rozporządzeniu wykonawczemu Komisji (UE) 2024/2690. Pozostałe podmioty mogą korzystać z niego i z wytycznych ENISA jako źródła dobrych praktyk, ale nie powinny przedstawiać wszystkich jego postanowień jako automatycznie wiążących poza zakresem rozporządzenia.
2. Dokument, zapis i dowód – czym się różnią?
Rozdzielenie tych pojęć ułatwia kontrolę jakości materiałów.
Kategoria
Cel
Przykłady
Dokumenty zarządcze
Określają oczekiwany sposób działania i odpowiedzialność
Polityki, standardy, procedury, regulaminy i opisy kontroli
Zapisy operacyjne
Pokazują wykonanie procesu lub zabezpieczenia
Przeglądy dostępu, zgłoszenia podatności, logi kopii, oceny dostawców i szkolenia
Dowody decyzji
Pokazują sposób rozpatrzenia ryzyka, wyjątków i priorytetów
Protokoły, akceptacje ryzyka, zgody inwestycyjne i eskalacje
Dowody skuteczności
Pokazują, czy środki działają zgodnie z przeznaczeniem
Testy, odtworzenia, mierniki, audyty i zweryfikowane działania naprawcze
Dokumentacja regulacyjna
Wspiera rejestrację, zgłoszenia i kontakty z organami
Analiza zakresu, Wykaz KSC, raporty incydentów i korespondencja
Polityka nie jest dowodem, że proces działa. Zrzut ekranu nie zawsze jest wiarygodnym materiałem, jeżeli nie wiadomo, z jakiego systemu pochodzi, kiedy został wykonany i jaki zakres danych przedstawia. Raport z testu ma ograniczoną wartość, jeśli nikt nie odpowiada za ustalenia i nie weryfikuje ich zamknięcia.
Silny materiał dowodowy łączy projekt z działaniem. Powinien umożliwić prześledzenie wymagania do kontroli, kontroli do właściciela, właściciela do zapisów operacyjnych, a ewentualnej nieskuteczności do decyzji lub działania naprawczego.
3. Zbuduj mapę dowodów NIS2
Gromadzenie wszystkich dostępnych plików zwiększa koszty, utrudnia przegląd i może tworzyć dodatkowe ryzyko bezpieczeństwa. Lepszym punktem wyjścia jest mapa dowodów.
Mapa łączy każde mające zastosowanie wymaganie z kontrolą, właścicielem i źródłem zapisu. Może być prowadzona w narzędziu GRC lub kontrolowanym arkuszu, jeśli zapewnione są właściwe uprawnienia, wersjonowanie i odpowiedzialność.
Pole mapy dowodów
Co należy zapisać
Podstawa prawna lub kontrolna
Artykuł NIS2, przepis KSC, akt wykonawczy albo wymaganie wewnętrzne
Oczekiwany rezultat
Ryzyko lub rezultat dla usługi, który ma zostać osiągnięty
Opis kontroli
Sposób realizacji wymagania przez organizację
Właściciel i wykonawca
Osoba odpowiedzialna oraz osoba lub zespół wykonujący czynność
Źródło dowodu
System, repozytorium albo proces generujący zapis
Częstotliwość lub wyzwalacz
Miesięcznie, kwartalnie, po zmianie lub po incydencie
Recenzent
Osoba oceniająca kompletność i skuteczność
Retencja i ochrona
Okres przechowywania, dostęp i zabezpieczenie integralności
Status i wyjątki
Wynik, otwarte luki, zaakceptowane ryzyko i działania naprawcze
Mapa powinna odpowiadać usługom i systemom w zakresie. Szablon może przyspieszyć pracę, ale nie powinien prowadzić do nieuzasadnionych deklaracji. Jeżeli kontrola nie ma zastosowania, warto zapisać uzasadnienie zamiast pozostawiać pustą komórkę.
4. Dokumentacja zakresu i podlegania KSC
Wiarygodny pakiet dowodowy wymaga najpierw ustalenia, które podmioty i usługi są objęte regulacją. Jest to szczególnie ważne dla grup kapitałowych, działalności transgranicznej i organizacji funkcjonujących w kilku sektorach.
Dokumentacja samoidentyfikacji może obejmować:
listę właściwych podmiotów prawnych i zakładów;
usługi i działalności przyporządkowane do załączników nr 1 i 2 ustawy o KSC;
dane o zatrudnieniu i finansach wykorzystane do klasyfikacji wielkości;
analizę przedsiębiorstw partnerskich i powiązanych;
wyjątki od kryterium wielkości i ewentualne decyzje administracyjne;
wskazanie właściwego CSIRT i organu do spraw cyberbezpieczeństwa;
ocenę relacji z regulacjami sektorowymi, na przykład DORA;
opinię prawną lub interpretację wspierającą niejednoznaczny przypadek;
wyzwalacze ponownego przeglądu, takie jak przejęcie, nowa usługa lub restrukturyzacja.
Celem nie musi być obszerne memorandum prawne. Wniosek powinien być jednak możliwy do odtworzenia. Osoba przeglądająca powinna widzieć uwzględnione fakty, wersję przepisów, datę analizy i osobę zatwierdzającą rezultat.
4.1 Dowody wpisu do Wykazu KSC i podłączenia do S46
Podmiot powinien przechowywać kopię wniosku lub innego dowodu wpisu do Wykazu KSC, potwierdzenia, korespondencję oraz dane osób odpowiedzialnych za aktualizację informacji. Jeżeli wpis nastąpił z urzędu, należy zachować otrzymane zawiadomienia i zweryfikować prawidłowość danych.
W odniesieniu do systemu S46 przydatne będą zapisy dotyczące wyznaczenia użytkowników, uprawnień, testów dostępu, procedury awaryjnej i bieżącego utrzymania danych kontaktowych. Dowód technicznego podłączenia nie zastępuje przygotowania procesu zgłoszeniowego.
Dokumentacja zakresu powinna także wskazywać systemy informacyjne wspierające usługi objęte ustawą. Granice prawne nie zawsze pokrywają się z technicznymi. Jedna platforma tożsamości, środowisko chmurowe lub dostawca może obsługiwać wiele spółek i usług.
5. Dokumentacja SZBI zgodnego z KSC
Polska ustawa wymaga wdrożenia systemu zarządzania bezpieczeństwem informacji. SZBI powinien łączyć polityki, odpowiedzialności, ryzyko, środki ochrony, monitorowanie, obsługę incydentów i doskonalenie.
Dokumentacja SZBI może obejmować:
zakres systemu i usługi objęte ochroną;
zatwierdzoną politykę bezpieczeństwa informacji;
metodykę oceny i postępowania z ryzykiem;
strukturę odpowiedzialności i ścieżki eskalacji;
wykaz polityk, standardów i procedur;
cele bezpieczeństwa i mierniki;
program szkoleń i podnoszenia świadomości;
zasady zarządzania zmianą, wyjątkami i niezgodnościami;
przeglądy kierownictwa;
audyty, testy i działania korygujące;
mechanizm ciągłego doskonalenia.
Norma ISO/IEC 27001 może stanowić użyteczną podstawę, ale jej certyfikat nie jest automatycznym dowodem spełnienia całego KSC. Znaczenie mają zakres certyfikacji, wyłączenia, deklaracja stosowania i faktyczne pokrycie usług regulowanych.
6. Dowody odpowiedzialności kierownictwa
Artykuł 20 NIS2 i przepisy krajowe czynią zaangażowanie kierownictwa elementem merytorycznym, a nie formalnym dodatkiem.
6.1 Zatwierdzanie środków bezpieczeństwa
Dowodem mogą być protokoły, uchwały, materiały decyzyjne i zatwierdzone zestawy polityk. Zapis powinien wskazywać, co zatwierdzono, jaki był zakres decyzji, jakie ryzyka i ograniczenia były znane, jakie zasoby przydzielono oraz jak będzie monitorowane wykonanie.
Jeżeli zatwierdzany jest duży pakiet, kontrolowany indeks powinien wskazywać dokumenty i wersje wchodzące w jego skład. Pozwala to uniknąć wątpliwości, czy konkretna procedura była objęta decyzją.
6.2 Nadzór nad wdrożeniem
Dowody nadzoru mogą obejmować dashboardy, protokoły komitetów ryzyka, raporty programu, eskalacje opóźnionych działań i decyzje dotyczące ryzyka rezydualnego.
Przydatne mierniki łączą zabezpieczenia z usługami, na przykład:
odsetek usług krytycznych objętych przetestowanymi planami odtwarzania;
krytyczne podatności po terminie naprawy;
konta uprzywilejowane oczekujące na przegląd;
dostawcy krytyczni bez aktualnego zapewnienia bezpieczeństwa;
ustalenia wysokiego ryzyka po uzgodnionym terminie.
Liczba przetworzonych alertów lub przeszkolonych osób może być pomocna, ale sama nie pokazuje zdolności do ochrony i odtworzenia usługi.
6.3 Szkolenia kierownictwa
Dokumentacja powinna wskazywać uczestników, datę, zakres, prowadzącego i realizację szkolenia. Materiał powinien obejmować odpowiedzialność, profil ryzyka, eskalację poważnych incydentów, akceptację ryzyka i nadzór.
Lista obecności jest silniejszym dowodem, gdy towarzyszą jej cele szkolenia, agenda, ćwiczenie lub potwierdzenie zrozumienia.
6.4 Delegowanie obowiązków
Aktualny model odpowiedzialności może przyjąć formę regulaminów, opisów ról, macierzy RACI i progów akceptacji ryzyka. Delegowanie czynności do IT, zespołu bezpieczeństwa lub dostawcy nie usuwa potrzeby nadzoru i uzyskiwania zapewnienia przez kierownictwo.
7. Dokumentacja analizy ryzyka i planów postępowania
Dowody powinny pokazywać, że zarządzanie ryzykiem wpływa na decyzje i inwestycje.
Podstawowy zestaw może obejmować:
zatwierdzoną metodykę ryzyka cyberbezpieczeństwa;
kryteria wpływu, prawdopodobieństwa i akceptacji;
ewidencję usług, procesów, informacji i technologii;
oceny ryzyka i aktualny rejestr;
plany postępowania z właścicielami, budżetem i terminami;
akceptacje ryzyka i wyjątki;
ponowną ocenę po zmianie lub incydencie;
powiązania ryzyka z kontrolami, dostawcami i ciągłością.
Rejestr nie powinien być izolowanym arkuszem zespołu bezpieczeństwa. Istotne ryzyko wymaga właściciela biznesowego i ścieżki do kierownictwa. Plan powinien wskazywać, czy ryzyko jest ograniczane, unikane, przenoszone czy akceptowane.
Wyjątki wymagają szczególnej kontroli. Odroczenie poprawki, nieobsługiwany system lub niewykonany przegląd dostępu powinny mieć wskazaną usługę, uzasadnienie, zabezpieczenia kompensacyjne, zatwierdzającego, termin wygaśnięcia i datę przeglądu.
8. Dowody dla dziesięciu obszarów art. 21 NIS2
Poniższe przykłady nie stanowią uniwersalnej listy ustawowej. Pokazują jednak, jak łączyć obszar wymagania z praktycznymi zapisami.
Obszar art. 21
Przykładowe dowody
Analiza ryzyka i polityki bezpieczeństwa
Metodyka, rejestr, zatwierdzenia, historia przeglądów i wyjątki
Obsługa incydentów
Plan, kryteria istotności, zgłoszenia, komunikacja, ćwiczenia i lessons learned
Ciągłość, kopie i kryzys
BIA, cele odtworzeniowe, plany, monitoring kopii, testy odtworzenia i ćwiczenia
Łańcuch dostaw
Rejestr, klasy ryzyka, due diligence, umowy, raporty zapewniające, monitoring i plany wyjścia
Bezpieczne nabywanie, rozwój i utrzymanie
Wymagania, przeglądy architektury, testy, zmiany, podatności i aktualizacje
Ocena skuteczności
Testy kontroli, testy penetracyjne, audyty, mierniki i zweryfikowane działania naprawcze
Cyberhigiena i szkolenia
Standardy bazowe, aktualizacje, konfiguracje, szkolenia ról i symulacje
Kryptografia i szyfrowanie
Polityka, standardy, ewidencja kluczy i certyfikatów, rotacja i wyjątki
Personel, dostęp i aktywa
Procesy kadrowe, joiner-mover-leaver, przeglądy uprawnień, konta uprzywilejowane i inwentarz
MFA i bezpieczna komunikacja
Pokrycie MFA, rejestracja, odzyskanie dostępu, wyjątki i testy łączności awaryjnej
Dowody powinny być proporcjonalne. Mały podmiot ważny i duży podmiot kluczowy mogą realizować ten sam obszar innym modelem i poziomem szczegółowości. Liczy się wystarczająca wiarygodność w kontekście ryzyka i usług.
9. Dokumentacja poważnych incydentów
NIS2 przewiduje wczesne ostrzeżenie bez zbędnej zwłoki i nie później niż w ciągu 24 godzin od uzyskania wiedzy, zgłoszenie incydentu w ciągu 72 godzin oraz zasadniczo raport końcowy w ciągu miesiąca. Polska ustawa i procedury właściwego CSIRT określają krajowy sposób realizacji obowiązku.
Dokumentacja incydentu powinna wspierać działania operacyjne i decyzję zgłoszeniową. Przydatne zapisy obejmują:
czas i źródło wykrycia;
moment uzyskania wiedzy o incydencie;
ocenę techniczną i biznesową;
analizę kryteriów poważnego incydentu i osobę zatwierdzającą;
dotknięte usługi, systemy i odbiorców;
podejrzenie działania bezprawnego lub złośliwego;
wskaźniki naruszenia i skutki transgraniczne;
działania ograniczające, naprawcze i odtworzeniowe;
kopie zgłoszeń, potwierdzeń i uzupełnień;
komunikację z klientami, organami, ubezpieczycielem i dostawcami;
dziennik decyzji z rozróżnieniem faktów i niewiadomych;
analizę przyczyny, wnioski i działania korygujące.
9.1 Zachowaj oś czasu
Bieg terminu może rozpocząć się przed zakończeniem analizy. Systemy powinny korzystać ze zsynchronizowanego czasu, a lider incydentu rejestrować istotne fakty i decyzje na bieżąco.
Wczesne zgłoszenie może zawierać informacje niepełne, ale powinno jasno wskazywać, co potwierdzono, co jest hipotezą i co pozostaje przedmiotem badania.
9.2 Dokumentuj decyzje o braku zgłoszenia
Nie każde zdarzenie jest poważnym incydentem. Jeżeli organizacja uznaje, że próg nie został osiągnięty, powinna zachować proporcjonalny zapis faktów, kryteriów i decyzji. Ułatwia to zachowanie spójności i ponowną ocenę, jeżeli skutki się zmienią.
10. Dowody bezpieczeństwa dostawców
Dokumentacja powinna pokazywać, że organizacja rozumie relacje mogące wpływać na regulowane usługi i stosuje kontrolę adekwatną do ryzyka.
Zestaw może obejmować:
rejestr dostawców powiązany z usługami i aktywami;
klasyfikację ryzyka i krytyczności;
kwestionariusze oraz dokumenty źródłowe;
raporty niezależne i certyfikaty wraz z oceną zakresu;
wymagania bezpieczeństwa w umowach;
zgłaszanie incydentów i obowiązek współpracy;
informacje o podwykonawcach, lokalizacji i koncentracji;
dostępy personelu dostawcy i ich przeglądy;
monitoring jakości, podatności i incydentów;
ponowną ocenę po zmianie lub incydencie;
plany ciągłości, zastąpienia i bezpiecznego zakończenia współpracy.
Certyfikatu nie należy archiwizować bez oceny. Znaczenie mają zakres, okres, wyłączenia i związek z dostarczaną usługą. Kwestionariusz jest deklaracją dostawcy, nie niezależnym dowodem. Dla wysokiego ryzyka mogą być potrzebne wywiady, materiały techniczne, raporty zapewniające lub prawa do weryfikacji.
Braki powinny prowadzić do decyzji. Akceptacja ryzyka dostawcy bez właściciela, terminu i zabezpieczenia kompensacyjnego tworzy niezarządzany wyjątek.
11. Dowody ciągłości działania, kopii i odtwarzania
Dokumentacja ciągłości powinna łączyć priorytety biznesowe z realną zdolnością techniczną.
Łańcuch dowodowy może rozpoczynać się od analizy wpływu na działalność i mapy zależności. Powinny one uzasadniać RTO i RPO, kolejność odtwarzania, architekturę kopii, procedury alternatywne i rozwiązania dostawców.
Zapisy operacyjne mogą obejmować:
plany ciągłości, odtwarzania awaryjnego i zarządzania kryzysowego;
konfigurację i monitoring chronionych kopii;
testy wskazujące, które dane i systemy odtworzono;
rzeczywisty czas odtworzenia w porównaniu z celem;
ograniczenia testu, niepowodzenia i działania naprawcze;
uczestników, decyzje i wnioski z ćwiczeń;
kontakty awaryjne i testy eskalacji poza godzinami pracy;
udział dostawców krytycznych, jeżeli był wymagany.
Pomyślnie wykonana kopia nie jest tym samym co skuteczne odtworzenie. Dowód powinien pokazywać, że dane można przywrócić do działającej usługi w realistycznych warunkach.
12. Techniczne dowody działania zabezpieczeń
Dowodów technicznych jest często bardzo dużo, ale trudno je interpretować. Celem nie jest eksport wszystkich logów, lecz zachowanie materiału pokazującego zakres, działanie, przegląd i reakcję.
Przykłady:
zatwierdzone bazowe konfiguracje i raporty zgodności;
pokrycie skanowaniem podatności i zgłoszenia naprawcze;
status aktualizacji powiązany z krytycznością i wyjątkami;
pokrycie monitoringiem punktów końcowych, sieci i chmury;
przeglądy tożsamości i dostępów uprzywilejowanych;
pokrycie MFA i wyjątki;
zarządzanie szyfrowaniem, kluczami i certyfikatami;
zatwierdzenia zmian i testy bezpieczeństwa;
wyniki bezpiecznego rozwoju i kontroli zależności;
kontrola kompletności inwentarza;
analizy alertów i rezultat reakcji.
Zrzuty ekranu należy stosować ostrożnie. Lepsze są powtarzalne raporty lub eksporty ze wskazanym źródłem, czasem, zakresem zapytania i recenzentem. Materiał mogący wspierać dochodzenie wymaga ochrony integralności.
13. Dowody oceny skuteczności środków
Artykuł 21 obejmuje zasady i procedury oceny skuteczności środków zarządzania ryzykiem. Dokumentacja nie może więc kończyć się na statusie „wdrożono”.
Pakiet skuteczności może łączyć:
cele kontroli i kryteria sukcesu;
samooceny;
testy techniczne i niezależne przeglądy;
mierniki bezpieczeństwa i odporności;
audyty wewnętrzne i zewnętrzne;
incydenty i zdarzenia potencjalnie wypadkowe;
trendy i powtarzające się słabości;
działania naprawcze z właścicielem i terminem;
niezależne potwierdzenie zamknięcia wysokiego ryzyka.
Miernik wymaga interpretacji. Wynik „98% krytycznych systemów zaktualizowanych w terminie” powinien mieć zdefiniowaną populację, wiarygodny inwentarz, sposób obsługi wyjątków i informację o pozostałych 2%. Dobra średnia może ukrywać ekspozycję najważniejszej usługi.
Raportowanie powinno rozróżniać projekt kontroli, jej wdrożenie i skuteczność. Kontrola może być poprawnie zaprojektowana, ale wykonywana nieregularnie, albo szeroko wdrożona, lecz nieskuteczna wobec realistycznego zagrożenia.
14. Jak przygotować pakiet dowodowy NIS2?
Pakiet dowodowy jest kontrolowanym widokiem zapisów, a nie trwałą kopią każdego pliku operacyjnego.
1. Zacznij od indeksu
Indeks powinien wskazywać wymaganie, dokument, właściciela, wersję lub okres, źródło, klasyfikację dostępu i status przeglądu. Powinien także ujawniać brakujące materiały i otwarte działania.
2. Organizuj według usług
Obowiązki dotyczą podmiotów, ale skutki występują w usługach. Nawigacja oparta na usługach pomaga zrozumieć zależności, ryzyko, zabezpieczenia i priorytety odtwarzania.
3. Dobieraj reprezentatywne okresy i próbki
Dowody powinny pokazywać działanie w czasie. Jeden przegląd dostępu wykonany tuż przed audytem nie potwierdza dojrzałego procesu kwartalnego.
4. Zachowaj źródło i kontekst
Każdy materiał powinien wskazywać pochodzenie, autora lub zatwierdzającego, datę, zakres i znaczenie. Usuń niewyjaśnione zrzuty, nieopisane eksporty i projekty mogące zostać pomylone z wersją zatwierdzoną.
5. Ujawniaj luki rzetelnie
Nie twórz zapisów wstecz, aby sugerować wykonanie czynności. Jeżeli dowodu brakuje, zapisz lukę, natychmiastowe ograniczenie ryzyka, właściciela i termin naprawy.
6. Wykonaj przegląd jakości
Prawo, bezpieczeństwo, ryzyko i właściciele usług powinni sprawdzić spójność. Inwentarz musi odpowiadać pokryciu skanowaniem. Klasa dostawcy powinna determinować monitoring. Cele odtworzeniowe muszą zgadzać się z wynikami testów, a protokoły kierownictwa z ryzykiem pokazanym w raportach.
15. Siedem cech dobrego dowodu zgodności
Dobry materiał jest:
istotny: wspiera konkretne wymaganie lub kontrolę;
autentyczny: można ustalić źródło i właściciela;
kompletny: zawiera zakres i kontekst potrzebny do interpretacji;
dokładny: odzwierciedla rzeczywiste zdarzenie;
terminowy: dotyczy właściwego okresu i powstał we właściwym czasie;
chroniony: dostęp, integralność i poufność podlegają kontroli;
możliwy do odnalezienia: uprawniony zespół potrafi go szybko pobrać.
Te cechy pomagają zdecydować, czy zapis zwiększa zapewnienie, czy tylko objętość archiwum.
16. Retencja i bezpieczeństwo dokumentacji
NIS2 nie ustanawia jednego okresu retencji dla każdego dowodu. Organizacja powinna uwzględnić ustawę krajową, przepisy sektorowe, terminy przedawnienia, cykle audytowe, umowy, potrzeby dochodzeń i ryzyko.
Materiały mogą zawierać wrażliwe informacje o architekturze, podatnościach, osobach, poświadczeniach, dostawcach lub poradach prawnych. Powinny podlegać klasyfikacji i ochronie. Przygotowanie do oceny nie uzasadnia przechowywania nieograniczonych kopii w ogólnodostępnym folderze.
Należy określić:
zatwierdzone repozytoria i role dostępowe;
wersjonowanie i status zatwierdzenia;
retencję i bezpieczne usuwanie;
legalhold i procedury dochodzeń;
integralność i kopie zapasowe;
bezpieczne przekazanie audytorowi lub organowi;
obsługę danych osobowych i tajemnic;
zwrot lub usunięcie kopii po ocenie.
Minimalizacja danych pozostaje ważna. Dowód powinien być wystarczający, ale nie powinien ujawniać zbędnych danych osobowych, sekretów ani kompletnej konfiguracji zabezpieczeń.
17. Najczęstsze błędy w dokumentacji NIS2
17.1 Uznawanie polityki za dowód działania
Polityka wymaga zapisów wykonania: przeglądów, logów, testów, decyzji i działań korygujących.
17.2 Gromadzenie zrzutów bez kontekstu
Zrzut może nie wskazywać systemu, daty, populacji, filtrów ani recenzenta. W miarę możliwości stosuj kontrolowane eksporty i opisy.
17.3 Budowanie pakietu dopiero przed audytem
Zbieranie w ostatniej chwili prowadzi do luk i niespójności. Generowanie dowodów powinno wynikać z normalnego działania kontroli.
17.4 Pozostawianie wygasłych wyjątków
Wyjątek potrzebuje właściciela, zabezpieczenia kompensacyjnego i terminu wygaśnięcia. Kolejne przedłużenie wymaga odpowiedniej eskalacji.
17.5 Zbyt szeroki dostęp do wrażliwych materiałów
Centralizacja ułatwia odszukanie, ale tworzy atrakcyjny cel. Stosuj klasyfikację, najmniejsze uprawnienia, rejestrowanie dostępu i bezpieczny transfer.
17.6 Ignorowanie sprzecznych zapisów
Polityka może wymagać przeglądu kwartalnego, a zapis operacyjny pokazywać czynność roczną. Rozbieżność należy rozwiązać, a nie przedstawiać jako dwie niezależne prawdy.
17.7 Uznawanie certyfikacji za kompletny dowód KSC
ISO/IEC 27001 może dostarczyć wartościowych zapisów. Nie dowodzi automatycznie prawidłowej samoidentyfikacji, rejestracji, krajowych procedur incydentowych i wszystkich obowiązków KSC.
18. Checklista dokumentacji zgodności z NIS2
Lista wspiera planowanie i wymaga dostosowania do sytuacji podmiotu.
[ ] Analiza podlegania i właściwości organów jest zatwierdzona i aktualna.
[ ] Zachowano dowody wpisu do Wykazu KSC i aktualizacji danych.
[ ] Role oraz dostęp do S46 są przygotowane i przetestowane.
[ ] Usługi, systemy, dane, personel, lokalizacje i dostawcy są zmapowani.
[ ] SZBI ma określony zakres, właścicieli, polityki, cele i mechanizm przeglądu.
[ ] Zatwierdzenie środków przez kierownictwo pozostawia wiarygodny ślad.
[ ] Dokumentacja nadzoru i szkoleń kierownictwa jest aktualna.
[ ] Role, eskalacja i uprawnienia do akceptacji ryzyka są zdefiniowane.
[ ] Metodyka, oceny, rejestr i plany postępowania z ryzykiem są utrzymywane.
[ ] Polityki są wersjonowane, zatwierdzane i połączone z procedurami.
[ ] Zapisy incydentów zachowują czas, decyzje, działania i zgłoszenia.
[ ] Decyzje o braku zgłoszenia istotnych zdarzeń mają uzasadnienie.
[ ] Dokumentacja ciągłości odpowiada usługom krytycznym.
[ ] Testy kopii i odtwarzania pokazują rzeczywistą zdolność odzyskania usługi.
[ ] Rejestr, klasyfikacja, due diligence i monitoring dostawców są aktualne.
[ ] Umowy i plany wyjścia odpowiadają krytyczności dostawcy.
[ ] Zapisy podatności, aktualizacji, konfiguracji i zmian pokazują działanie kontroli.
[ ] Dostępy, konta uprzywilejowane i wyjątki MFA podlegają przeglądowi.
[ ] Klucze i certyfikaty kryptograficzne są ewidencjonowane oraz monitorowane.
[ ] Szkolenia są dopasowane do ról i mają mierniki skuteczności.
[ ] Testy i audyty prowadzą do działań z właścicielem i terminem.
[ ] Zamknięcie wysokiego ryzyka jest niezależnie weryfikowane.
[ ] Retencja, dostęp, integralność i transfer dowodów są zdefiniowane.
[ ] Indeks wskazuje brakujące lub nieaktualne materiały.
[ ] Pakiet jest aktualizowany po incydentach, zmianach i aktualizacji prawa.
19. Pakiet dowodowy a wdrożenie i audyt
Dokumentacja powinna wynikać z działających kontroli. Organizacje projektujące program mogą skorzystać z poradnika TTMS jak skutecznie wdrożyć dyrektywę NIS2. Ogólny katalog obowiązków omawia artykuł obowiązki przedsiębiorcy w zakresie cyberbezpieczeństwa – NIS2.
Wdrożenie tworzy i uruchamia kontrole. Program dowodowy sprawia, że można wykazać ich właścicieli, decyzje, działanie i rezultaty. Audyt lub ocena sprawdza następnie, czy środki i dowody spełniają przyjęte kryteria.
Pakiet dowodowy nie jest ustawowym audytem bezpieczeństwa z art. 15 KSC. Podmiot kluczowy powinien realizować obowiązek audytowy zgodnie z wymaganiami dotyczącymi częstotliwości, zakresu, kwalifikacji i niezależności audytorów. Dobrowolna analiza dokumentacji może przygotować organizację, ale nie zastępuje audytu, gdy ustawa go wymaga.
19. Dlaczego TTMS?
Budowa modelu dowodowego NIS2 wymaga rozumienia regulacji, zarządzania i technologii generującej zapisy operacyjne. TTMS może wspierać organizacje w mapowaniu wymagań do usług, kontroli, właścicieli i źródeł dowodów, a następnie włączaniu zapisów do codziennych procesów.
Wsparcie może obejmować ocenę gotowości dokumentacyjnej, projekt odpowiedzialności, mapowanie kontroli, ramy SZBI, zapewnienie dostawców, ćwiczenia incydentowe i odtworzeniowe, techniczną weryfikację środków oraz planowanie działań naprawczych.
Celem nie jest tworzenie dokumentów dla samego ich posiadania. Organizacja potrzebuje zapisów odzwierciedlających działające zabezpieczenia i zapewniających kierownictwu wiarygodną informację.
Zakres współpracy powinien odpowiadać sytuacji prawnej, obowiązkom KSC, ryzyku i istniejącym systemom zarządzania. Wnioski prawne powinny być potwierdzone przez właściwie wykwalifikowanych doradców, a dowody techniczne i organizacyjne rzetelnie je wspierać.
20. Przygotuj wiarygodny pakiet dowodowy NIS2
Nie warto czekać na wezwanie organu albo zapowiedź audytu. Zacznij od usług w zakresie, decyzji kierownictwa i kontroli chroniących te usługi. Następnie wskaż wiarygodne zapisy potwierdzające działanie oraz skuteczność.
Skontaktuj się z TTMS, aby omówić ocenę gotowości dokumentacji i dowodów NIS2 dopasowaną do Twojej organizacji.
Autorytatywne informacje można znaleźć w serwisie Komisji Europejskiej dotyczącym NIS2, materiałach ENISA wspierających wdrożenie NIS2 oraz oficjalnym tekście dyrektywy (UE) 2022/2555 w EUR-Lex.
21. Najczęściej zadawane pytania o dokumentację NIS2
Jakiej dokumentacji wymaga NIS2?
NIS2 nie ustanawia jednego uniwersalnego pakietu. Podmiot powinien posiadać zapisy wystarczające do wykazania zaangażowania kierownictwa, proporcjonalnych środków zarządzania ryzykiem, zgłaszania poważnych incydentów i realizacji procedur krajowych. Typowe dowody obejmują analizę zakresu, SZBI, decyzje, ryzyko, kontrole operacyjne, dostawców, ciągłość, incydenty, mierniki, audyty i działania naprawcze.
Czy sama polityka bezpieczeństwa wystarczy?
Nie. Polityka opisuje oczekiwane działanie. Potrzebne mogą być zatwierdzenia, zapisy systemowe, przeglądy, wyniki testów, wyjątki, incydenty i działania korygujące łączące dokument z realną kontrolą.
Czy polska ustawa wymaga SZBI?
Tak. Podmioty kluczowe i ważne objęte KSC powinny wdrożyć system zarządzania bezpieczeństwem informacji zgodnie z wymaganiami ustawy. Zakres i środki muszą odpowiadać usługom, ryzyku i sytuacji podmiotu.
Czy ISO 27001 wystarczy jako dowód?
Nie automatycznie. Certyfikacja może dostarczyć wartościowych dowodów, lecz znaczenie mają jej zakres, wyłączenia i deklaracja stosowania. Samoidentyfikacja, Wykaz KSC, S46, procedury krajowe i obowiązki incydentowe wymagają odrębnej weryfikacji.
Jak długo przechowywać dowody NIS2?
Nie ma jednego okresu dla każdego materiału. Retencję należy określić na podstawie prawa krajowego, wymagań sektorowych, cyklu audytowego, przedawnienia, umów, potrzeb dochodzeń i ryzyka. Po ustaniu celu wrażliwe dane trzeba bezpiecznie usunąć.
Czy wszystkie logi powinny trafić do pakietu?
Nie. Logi mogą pozostać w systemach źródłowych, a indeks powinien wskazywać właściciela, zakres, retencję i sposób pobrania. Eksportuj tylko materiał potrzebny i odpowiednio chroń szczegóły techniczne.
Jakie dowody powinno otrzymywać kierownictwo?
Kierownictwo powinno otrzymywać informacje potrzebne do zatwierdzania i nadzoru: istotne ryzyko, status środków, poważne incydenty, nieskuteczne kontrole, dostawców krytycznych, testy, opóźnione działania i decyzje wymagające inwestycji lub akceptacji.
Jak dokumentować decyzję o zgłoszeniu incydentu?
Zapisz czas uzyskania wiedzy, dotknięte usługi, wpływ, kryteria, potwierdzone i niepotwierdzone fakty, osobę decyzyjną oraz podstawę zgłoszenia albo jego braku. Zachowaj kopie zgłoszeń, potwierdzeń i aktualizacji.
Jakie dowody dotyczące dostawców są przydatne?
Przydatne są klasyfikacja krytyczności, due diligence, raporty zapewniające, klauzule umowne, przeglądy dostępu, monitoring, współpraca incydentowa, ciągłość i plan wyjścia. Szczegółowość powinna odpowiadać dostępowi dostawcy i możliwemu wpływowi na usługi.
Jak często aktualizować pakiet dowodowy?
Należy ustalić harmonogram oparty na ryzyku i aktualizować materiały w toku normalnych działań. Dodatkowy przegląd jest potrzebny po poważnym incydencie, przejęciu, istotnej zmianie systemu lub usługi, rozpoczęciu współpracy z krytycznym dostawcą i zmianie prawa.
Kto odpowiada za dokumentację zgodności?
Odpowiedzialność jest rozproszona. Prawo lub compliance może utrzymywać mapę wymagań, natomiast bezpieczeństwo, IT, właściciele usług, zakupy, HR i ciągłość odpowiadają za własne zapisy. Centralny koordynator powinien utrzymywać indeks, kontrolę jakości i eskalację, ale nie stawać się sztucznym właścicielem każdej kontroli.
Czy pakiet dowodowy zastępuje ustawowy audyt KSC?
Nie. Pakiet ułatwia przygotowanie i wykazanie zgodności, ale nie zastępuje audytu bezpieczeństwa z art. 15, gdy taki obowiązek dotyczy podmiotu. Ustawowy audyt musi spełniać wymagania dotyczące zakresu, audytorów i niezależności.
Czytaj więcej
