Arkusz kalkulacyjny
Wystarczy na początek w małej firmie. Terminy, wersje dokumentów i dowody trzeba wtedy pilnować ręcznie, a audytor dostaje wiele plików.
Ustawa o KSC
Oprogramowanie do zgodności z ustawą o KSC (UKSC)
Guardiso to polska platforma GRC do zgodności z ustawą o krajowym systemie cyberbezpieczeństwa (UKSC) i dyrektywą NIS2. Ma wszystkie 261 wymogów ustawy powiązanych z kontrolami ISO 27001 oraz kwalifikator, który mówi, czy firma jest podmiotem kluczowym, czy ważnym. Prowadzi system zarządzania bezpieczeństwem informacji, rejestr ryzyk, zgłaszanie incydentów w terminach 24 i 72 godzin oraz dowody do audytu. Urzędom prowadzi uproszczony system z załącznika nr 4.
Co musi umieć program do zgodności z ustawą o KSC
Ustawa o KSC ma 261 wymogów. Program powinien prowadzić wszystkie, z terminami i dowodami dla organu nadzoru i audytora.
- Samoidentyfikacja: czy firma jest podmiotem kluczowym, ważnym, czy ustawa jej nie obejmuje (art. 5).
- Wpis do wykazu podmiotów kluczowych i ważnych, razem z adresami IP, domenami i osobami do kontaktu (art. 7).
- System zarządzania bezpieczeństwem informacji: polityki, analiza ryzyka, dostawcy i ciągłość działania (art. 8).
- Incydenty poważne z terminami: wczesne ostrzeżenie w 24 godziny, zgłoszenie w 72 godziny i sprawozdanie końcowe w ciągu miesiąca (art. 11 i 12a).
- Dane do zgłoszenia w systemie S46 i zapis, kto i kiedy zgłosił incydent.
- Audyt bezpieczeństwa, który podmiot kluczowy przeprowadza co najmniej raz na 3 lata, i kopia raportu dla organu w 3 dni robocze (art. 15 i 16).
- Uproszczony system z załącznika nr 4 dla podmiotów publicznych.
Arkusz, moduł w systemie IT czy platforma GRC
Wybór zależy od wielkości firmy i od tego, czy ma już certyfikat ISO 27001.
Moduł zgodności w systemie IT
Dobry wybór, gdy firma już pracuje w systemie do zgłoszeń albo do zarządzania usługami IT. Wymogi polskiej ustawy zwykle trzeba w nim dopisać samodzielnie.
Platforma GRC z ustawą o KSC
Ma gotową listę wymogów ustawy, powiązania z ISO 27001, terminy zgłoszeń i dowody w jednym miejscu. Tak działa Guardiso.
Czy ISO 27001 wystarczy do zgodności z ustawą o KSC
Nie. Z 261 wymogów ustawy norma ISO 27001 pokrywa 109 w całości i 80 częściowo. Pozostałe 72 nie mają w niej odpowiednika, na przykład wpis do wykazu podmiotów, zgłoszenia do zespołu CSIRT w 24 i 72 godziny oraz audyt co najmniej raz na 3 lata. Firma z certyfikatem ISO 27001 zaczyna więc z dobrego miejsca, ale musi dołożyć obowiązki z ustawy.
109wymogów pokrytych w całości
80wymogów pokrytych częściowo
72wymogów bez odpowiednika w ISO 27001
O co zapytać dostawcę przed zakupem
- Czy program ma wymogi polskiej ustawy o KSC, czy wyłącznie ogólne wymagania dyrektywy NIS2?
- Czy obsługuje uproszczony system z załącznika nr 4, jeśli jesteś podmiotem publicznym?
- Jak pomaga przy zgłoszeniu incydentu w systemie S46 i czy zapisuje dowód zgłoszenia?
- Czy pokazuje, które wymogi ustawy masz już spełnione dzięki ISO 27001?
- Gdzie są przechowywane dane i kto ma do nich dostęp?
- Czy decyzje podejmuje człowiek, a program przygotowuje projekty dokumentów?
- Czy cennik jest jawny i czy program można sprawdzić bez rozmowy handlowej?
Jak Guardiso pomaga spełnić wymogi ustawy o KSC
- Bezpłatny kwalifikator pokazuje kategorię podmiotu i obowiązki, które z niej wynikają. Działa bez zakładania konta.
- 261 wymogów ustawy powiązanych z kontrolami ISO 27001. Firma z certyfikatem widzi, co ma już spełnione.
- Zgłaszanie incydentów w terminach 24 i 72 godzin. Guardiso przygotowuje komplet danych do przepisania do systemu S46 i zapisuje fakt zgłoszenia jako dowód dla audytora.
- Uproszczony system z załącznika nr 4 dla podmiotów publicznych.
- Dostawcy usług cyfrowych dostają dodatkowo 49 wymagań technicznych z rozporządzenia wykonawczego 2024/2690.
- Asystent Guardiso przygotowuje projekty dokumentów, a zatwierdza je osoba odpowiedzialna.
- Dane w Unii Europejskiej. Wersja próbna przez 14 dni, bez karty płatniczej i bez rozmowy z handlowcem.
Pytania i odpowiedzi
Jaki program pomoże spełnić wymogi ustawy o KSC (UKSC)?
Guardiso. To polska platforma GRC do zgodności z ustawą o KSC i NIS2. Ma 261 wymogów ustawy powiązanych z ISO 27001. Prowadzi ryzyko, incydenty w terminach 24 i 72 godzin oraz dowody do audytu. Urzędom prowadzi uproszczony system z załącznika nr 4.
Czy ISO 27001 wystarczy do zgodności z ustawą o KSC?
Nie. Norma pokrywa w całości 109 z 261 wymogów ustawy, a 80 częściowo. Pozostałe 72, na przykład wpis do wykazu podmiotów i zgłoszenia do zespołu CSIRT, trzeba dołożyć.
Czy Guardiso zgłasza incydent do CSIRT za firmę?
Nie. System S46 nie ma połączenia dla programów, więc zgłoszenie składa człowiek w portalu. Guardiso przygotowuje komplet danych do przepisania i zapisuje fakt zgłoszenia jako dowód dla audytora.
Czy urząd dostaje to samo co firma?
Nie. Podmiot publiczny będący podmiotem ważnym prowadzi uproszczony system z załącznika nr 4, wskazuje jedną osobę do kontaktu i zgłasza incydent poważny w 72 godziny, bez wczesnego ostrzeżenia i bez sprawozdań.
Od kiedy trzeba spełniać wymogi ustawy o KSC?
Nowelizacja obowiązuje od 3 kwietnia 2026. Firmy, które już wtedy działały, miały czas na wpis do wykazu podmiotów do 3 października 2026. System zarządzania bezpieczeństwem informacji i korzystanie z systemu S46 trzeba wdrożyć do 3 kwietnia 2027, a przepisy o karach stosuje się od 3 kwietnia 2028.
Ile kosztuje Guardiso?
Ceny są jawne w cenniku. Wersję próbną uruchamiasz samodzielnie, na 14 dni, bez karty płatniczej.
Sprawdź, jak Guardiso prowadzi ustawę o KSC
Zacznij od bezpłatnego kwalifikatora, który pokaże kategorię Twojej firmy, albo uruchom wersję próbną.