W skrócie
NIS2 (dyrektywa UE) – rok po wprowadzeniu obowiązków dla jednostek krytycznych JST. Statystyki incydentów, sankcje 10 mln EUR, plan wdrożenia 2026.
Pierwszy rok NIS2
Dyrektywa NIS2 (UE 2022/2555) obowiązuje w Polsce od października 2024 r. Dotyczy jednostek krytycznych w JST: gmin powyżej 100 tys. mieszkańców, szpitali publicznych, dostawców mediów (MPWiK, MPEC). Wymogi: SIEM, SOC, pentest roczny, BCP (RTO <4h), plan reagowania na incydenty z raportowaniem do CSIRT GOV w 24h. Sankcje: do 10 mln EUR lub 2% obrotu.
Kluczowe obowiązki dla JST krytycznych
- SIEM (Security Information & Event Management) — logi bezpieczeństwa
- SOC (Security Operations Center) — własny lub outsourced
- Pentest minimum raz w roku (OWASP Top 10)
- Plan ciągłości działania (BCP): RTO <4h, RPO <1h
- Plan reagowania na incydenty + raportowanie CSIRT GOV w 24h
- Szkolenia kadr minimum raz w roku
Plan wdrożenia 2026 dla JST krytycznych
- Q1 2026: audyt cyberbezpieczeństwa
- Q2 2026: wybór dostawcy SIEM + SOC
- Q3 2026: pentest + naprawy
- Q4 2026: BCP + procedury reagowania
Budżet typowy: 30-150 tys. zł rocznie. Część kwalifikuje się do FE 2021-2027.