Ćwiczenie ciągłości działania i obsługi incydentu — gotowy scenariusz na 90 minut
90-minutowe ćwiczenie ciągłości działania i obsługi incydentu w JSFP: trzy scenariusze, role, karta obserwatora i protokół w kontekście wymagań KSC.
Narzędzie wspierające pracę z wymaganiami KSC
KSC w jednostce publicznej.
Wiedza i narzędzie do pracy.
NIS2 Manager JSFP wspiera organizację pracy związanej z wymaganiami Krajowego Systemu Cyberbezpieczeństwa — zadaniami, terminami, odpowiedzialnością i dokumentacją. Obok systemu publikujemy praktyczną bazę wiedzy KSC dla JSFP.
Ważne: system jest narzędziem wspierającym. Nie zastępuje analizy prawnej, decyzji kierownictwa ani działań organizacyjnych i technicznych jednostki oraz sam w sobie nie zapewnia zgodności z KSC. NIS2 to dyrektywa unijna — w Polsce obowiązki wynikają z ustawy o KSC.
- Aktualne źródła urzędowe
- Narzędzie dla JSFP
- Wsparcie organizacji pracy
Baza wiedzy
aktualizacja: 27.09.2026
KSC
organizacja pracy
KSCobowiązki
Ryzykoocena i plan
Incydentygotowość
Roleodpowiedzialność
Baza wiedzy KSC dla JSFP
Najnowsze artykuły i praktyczne wyjaśnienia
Publikujemy konkretne materiały o wymaganiach KSC, organizacji pracy, odpowiedzialności i najważniejszych terminach.
Akt o cyberodporności: kto podlega CRA, jakie obowiązki wprowadza i jak przygotować organizację
Zakres unijnego Cyber Resilience Act, harmonogram 2026–2027, obowiązki producentów, importerów i dystrybutorów oraz praktyczne wskazówki dla zamawiających.
Playbook pierwszych 72 godzin incydentu — dyżur operacyjny w JSFP
Playbook pierwszych 72 godzin incydentu w JSFP: pierwsze czynności, karta T0, terminy KSC i RODO, S46, CSIRT, role i kontakty awaryjne.
Korzyści
Porządek w obowiązkach, terminach i dowodach
System pomaga jednostce utrzymać jeden obraz pracy związanej z KSC: kto odpowiada, co jest do zrobienia i jakie dokumenty potwierdzają wykonanie. To narzędzie wspierające — nie zastępuje analizy prawnej ani decyzji kierownictwa.
Terminy i obowiązki
Kalendarz zadań po kwalifikacji, terminy ustawowe i przypomnienia — w jednym miejscu zamiast rozproszonych arkuszy.
Kwalifikacja
Kreator kwalifikacji jako podmiot kluczowy, ważny albo poza zakresem, z zatwierdzeniem kierownika i śladem decyzji.
SZBI i dowody
Obieg dokumentów SZBI, wersje, zapoznanie oraz repozytorium dowodów środków bezpieczeństwa z art. 8 KSC.
Incydenty
Rejestr, klasyfikacja, T0 i terminy zgłoszeń do CSIRT — w tym art. 12c dla podmiotu ważnego publicznego.
Role i odpowiedzialność
Przypisanie ról KSC, rozdział uprawnień i widoczność danych zależna od stanowiska — nie każdy widzi to samo.
Audyt i ślad
Dziennik zmian, raporty kierownika i materiał do audytu zgodności — uporządkowane, a nie zbierane ad hoc.
| Rola | Co porządkuje |
|---|---|
| Kierownik | zatwierdzenie kwalifikacji, decyzje, raport jednostki |
| IOD | widok na przetwarzanie danych i dokumenty wymagające uzgodnień |
| Administrator bezpieczeństwa | SZBI, ryzyka, środki, dowody i przeglądy |
| Koordynator incydentów | rejestr incydentów, terminy CSIRT, oś czasu i działania korygujące |
| IT | aktywa ICT, dostawcy, aktualizacje i ewidencja działań operacyjnych |
Jak działa
Od kwalifikacji do dowodów — w jednym cyklu
Praca w narzędziu odzwierciedla kolejność, w jakiej jednostka publiczna zwykle porządkuje KSC. Każdy krok zostawia ślad, który można pokazać przy kontroli lub audycie.
-
01
Kwalifikacja
Ustalenie, czy jednostka jest podmiotem kluczowym, ważnym, czy poza zakresem — i zatwierdzenie tego przez kierownika.
-
02
Wykaz KSC i S46
Wsparcie wpisu do Wykazu oraz przygotowania pakietu informacji z art. 7 / S46. Wpis jest deklaratoryjny — nie tworzy obowiązku sam z siebie.
-
03
SZBI i ryzyka
Dokumentacja SZBI (art. 8 ust. 1 albo załącznik nr 4), rejestr ryzyk, środki bezpieczeństwa i repozytorium dowodów.
-
04
Incydenty
Gotowość operacyjna: rejestr, T0, terminy zgłoszeń do CSIRT i kanał zgłoszeń personelu.
-
05
Audyt i dowody
Harmonogram audytów, raporty i komplet dokumentów, które pokazują, jak jednostka prowadzi pracę — nie „załatwioną zgodność”.
Funkcje
Co system obejmuje
Skrót zakresu, który jest już w narzędziu. Pełny opis modułów jest na stronie funkcjonalności.
Kwalifikacja i obowiązki
Kreator, kalendarz po zatwierdzeniu, Wykaz KSC, pakiet S46 i raport kierownika.
Pulpit i terminy
Stan prac, zaległości, ryzyka wysokie, aktywne incydenty i powiadomienia.
Rejestry i ryzyko
Usługi, aktywa ICT, macierz ryzyk, środki z art. 8 KSC i decyzje kierownika.
Incydenty
Klasyfikacja, T0, terminy CSIRT (w tym art. 12c), oś czasu i zgłoszenia personelu.
Dokumentacja SZBI
Obieg szkic → recenzja → zatwierdzenie, wersje i matryce załącznika nr 4.
Dostawcy ICT
Oceny, umowy, dostępy, incydenty dostawcy i weryfikacja REGON / CEIDG / VAT.
Personel i ciągłość
Szkolenia, KRK, plany ciągłości, ćwiczenia i ewidencja działań operacyjnych.
Role i administracja
Role KSC, MFA, licencja stanowisk, dziennik zmian i opcjonalne integracje.
Integracje
Połączenia, które odciążają ręczną pracę
Integracje są opcjonalne. Jednostka uruchamia tylko te, których potrzebuje i na które pozwala jej polityka bezpieczeństwa.
REGON
Uzupełnianie danych podmiotów i dostawców z rejestru GUS.
CEIDG
Weryfikacja przedsiębiorców przy ocenie dostawców ICT.
Wykaz VAT
Sprawdzenie statusu podatkowego kontrahenta przy ewidencji dostawców.
S46 / art. 7
Wsparcie przygotowania pakietu informacji przekazywanych organowi.
CSIRT
Uporządkowanie terminów i treści zgłoszeń incydentów.
Poczta elektroniczna
Powiadomienia operacyjne o terminach, zadaniach i eskalacjach.
MS Active Directory
Logowanie i mapowanie kont na role w jednostce — jeśli jednostka tego chce.
Bezpieczeństwo
Rozdział uprawnień i ślad zmian
Narzędzie do KSC samo musi być prowadzone z kontrolą dostępu. System ogranicza widoczność danych i zostawia audytowalny ślad.
Role, nie wspólne konto
Kierownik, IOD, administrator bezpieczeństwa, audytor, koordynator incydentów, personel i administrator systemu widzą różne zakresy.
MFA i licencja stanowisk
Uwierzytelnianie wieloskładnikowe oraz licencjonowanie stanowisk — bez nieograniczonego udostępniania haseł.
Dziennik zmian
Kto zmienił kwalifikację, dokument SZBI, ryzyko albo zgłoszenie incydentu — z czasem i kontekstem.
FAQ
Najczęstsze pytania o KSC i narzędzie
Krótkie odpowiedzi. Szersze omówienie jest w bazie wiedzy. Materiały mają charakter informacyjny i nie stanowią porady prawnej.
Czy system zapewnia zgodność z KSC?
Nie. System porządkuje zadania, terminy, role i dokumentację związaną z KSC. Zgodność zależy od decyzji kierownictwa oraz działań organizacyjnych i technicznych jednostki. Narzędzie jej nie zapewnia. NIS2 to dyrektywa unijna — w Polsce obowiązki wynikają z ustawy o KSC.
Czym różni się KSC od NIS2?
NIS2 to dyrektywa unijna. W Polsce obowiązki wynikają z ustawy o Krajowym Systemie Cyberbezpieczeństwa i aktów wykonawczych. W jednostce publicznej pracuje się na KSC, a nie na samym tekście dyrektywy.
Czy każda JSFP podlega ustawie o KSC?
Nie. Status jednostki sektora finansów publicznych nie oznacza automatycznie, że jednostka jest podmiotem kluczowym albo ważnym. Trzeba ocenić przesłanki ustawy. Szczegóły: czy każda JSFP podlega KSC.
Czym różni się Wykaz KSC od pakietu S46?
Wykaz to ewidencja podmiotów. Wpis jest deklaratoryjny. Pakiet informacji (art. 7 / S46) to dane przekazywane organowi. Jednostka publiczna jest zwykle wpisywana z urzędu. Omówienie: wpis do Wykazu.
Co jest ważniejsze: 3 października 2026 czy 3 kwietnia 2027?
Dla typowej JSFP wpisywanej z urzędu kluczowy jest 3 kwietnia 2027 r. — wdrożenie obowiązków rozdziału 3, jeśli 3 kwietnia 2026 r. spełniała przesłanki. Termin 3 października 2026 r. dotyczy samorejestracji podmiotów, które nie są wpisywane z urzędu. Kalendarz: terminy Wykazu, S46 i wdrożenia.
Art. 8 ust. 1 czy załącznik nr 4?
Podmiot kluczowy stosuje art. 8 ust. 1. Podmiot ważny publiczny — art. 8 ust. 3 i załącznik nr 4, nie pełny reżim podmiotu kluczowego. Porównanie: SZBI art. 8 ust. 1 a ust. 3.
Czy system jest już dostępny?
Tak. NIS2 Manager JSFP jest gotowy. Na prezentacji pokazujemy działanie systemu, model udostępnienia i zakres wdrożenia. Napisz na kontakt@nis2jsfp.pl albo przejdź do kontaktu.
Najbliższy ważny termin dla JSFP
3 kwietnia 2027 r.
Dla jednostek, które 3 kwietnia 2026 r. spełniały przesłanki podmiotu kluczowego albo ważnego, to termin wdrożenia obowiązków rozdziału 3. Nie liczy się od wpisu do Wykazu KSC.
Podmioty publiczne są co do zasady wpisywane z urzędu i uzupełniają dane w ciągu 6 miesięcy od doręczenia wezwania. Termin 3 października 2026 r. dotyczy samorejestracji podmiotów, które nie są wpisywane z urzędu.
- 01Zadania i terminyrejestr oraz przypomnienia
- 02Role i odpowiedzialnośćprzypisanie właścicieli
- 03Dokumenty i dowodyuporządkowane informacje
Porozmawiajmy o NIS2 Manager JSFP
Pokażemy działanie systemu, sposób jego udostępnienia oraz funkcje wspierające organizację zadań, terminów, odpowiedzialności i dokumentacji.
O czym możemy porozmawiać
- zakres funkcjonalny systemu NIS2 Manager JSFP.
- organizacja zadań, terminów, odpowiedzialności i dokumentacji w jednym narzędziu.
- funkcje wspierające ewidencję ryzyk, incydentów, obowiązków i działań jednostki.
- model udostępnienia systemu i zakres wdrożenia w jednostce.
- prezentacja działającego systemu i omówienie kolejnych kroków.
Kontakt
Dane firmy
Piotr Działa Public Systems
NIP: 1180266868
REGON: 015608017
Adres: 05-850 Ożarów Mazowiecki, ul. J. Piłsudskiego 14a, m. 19
Telefon
532 481 519Zakres kontaktu: informacje o systemie NIS2 Manager JSFP oraz możliwościach wdrożenia w Państwa organizacji. Nie świadczymy usług doradczych w zakresie KSC.
Piotr Działa Public Systems