Bezpieczeństwo IT i NIS2 dla firm z Wrocławia i Dolnego Śląska
Zdasz ją, czy kontrakt weźmie ktoś inny?
NIS2 obowiązuje w Polsce od kwietnia 2026, a termin wpisu do wykazu KSC minął 3 października. Firmy objęte ustawą muszą pilnować także swoich dostawców. Pomożemy Ci nadrobić rejestrację, zabezpieczyć dane Twoich klientów i infrastrukturę, i mieć na to dokumenty, które obronią się przed klientem i urzędem.
Rozmowa bez zobowiązań. Zaczynamy od podstaw, nie od sprzedaży narzędzi.
Incydent
24 h
na wstępne zgłoszenie incydentu w NIS2
Wyciek danych osobowych
72 h
na zgłoszenie do organu nadzorczego (RODO)
Kara dla podmiotu kluczowego
10 mln €
albo 2% globalnego obrotu, wyższa z kwot
O tym się nie mówi głośno
To przepisy, w których odpowiada zarząd, termin już minął, a pierwsi, którzy o wszystko zapytają, to nie urzędnicy, tylko Twoi klienci.
Polski model to samoidentyfikacja. Firma sama ustala, czy podlega ustawie, i sama składa wniosek. Brak wpisu jest naruszeniem niezależnie od tego, jak dobrze jesteś zabezpieczony.
Termin samorejestracji: 3 października 2026. Minął.
Za wdrożenie obowiązków odpowiada kierownik podmiotu. Pytanie po incydencie nie brzmi „kto zaatakował”, tylko „czy podjęto adekwatne środki”. Bez dokumentów tego nie udowodnisz.
„Nie wiedziałem” nie jest środkiem adekwatnym.
Masz 72 godziny na zgłoszenie. Bez inwentaryzacji i logów nie ustalisz w tym czasie, co wyciekło i komu. Klienci dowiedzą się o tym przed Tobą.
Utracone zaufanie kosztuje więcej niż kara.
Firma objęta NIS2 musi zarządzać ryzykiem w łańcuchu dostaw. Dostajesz kwestionariusz, klauzule do umowy i prawo do audytu. Na pytanie o MFA czy backup offline odpowiadasz „nie”.
Kontrakt bierze dostawca, który odpowiada „tak”.
Atakujący nie wchodzi do dużej firmy przez jej firewall. Wchodzi przez podwykonawcę z niezałataną usługą wystawioną do internetu. Właśnie dlatego klienci zaczynają pytać.
Twoja luka staje się ich incydentem.
Do 3 kwietnia 2027 trzeba wdrożyć zarządzanie ryzykiem: analizę, procedury, ciągłość działania, bezpieczeństwo dostawców. To miesiące pracy, nie formularz.
Do terminu zostało mniej niż pół roku.
Rejestracja w wykazie KSC
Większość firm, które powinny się zarejestrować, wciąż tego nie zrobiła. Zwykle nie z lenistwa, tylko dlatego, że już pierwszy krok rodzi pytania bez oczywistej odpowiedzi.
Liczy się faktycznie prowadzona działalność, nie tylko kod PKD w rejestrze. Produkcja, transport, usługi cyfrowe, gospodarka odpadami, żywność.
Pułapka: działalność poboczna też może wciągnąć firmę pod ustawę.
Zatrudnienie i obrót lub suma bilansowa, a przy grupach kapitałowych z uwzględnieniem podmiotów powiązanych i partnerskich.
Pułapka: „mamy 40 osób” po zsumowaniu z grupą bywa 120.
Od tego zależą obowiązki, nadzór i wysokość kar.
Przez system teleinformatyczny ministerstwa, z danymi firmy, zakresem usług i osobami do kontaktu w sprawach cyberbezpieczeństwa.
Pułapka: dane trzeba potem aktualizować przy każdej istotnej zmianie.
System zarządzania bezpieczeństwem, analiza ryzyka, procedury zgłaszania incydentów, ciągłość działania, bezpieczeństwo łańcucha dostaw, szkolenia kierownictwa.
Przychodzisz do nas z pytaniem „czy to nas dotyczy?”. Wychodzisz z odpowiedzią, złożonym wnioskiem i planem na kolejne miesiące.
Nie podlegasz NIS2?
Firma objęta ustawą odpowiada za ryzyko, które wnoszą jej dostawcy. W praktyce oznacza to ankiety bezpieczeństwa, nowe klauzule w umowach, prawo do audytu i obowiązek zgłaszania incydentów w ciągu godzin.
Szczególnie wysoko poprzeczka wisi u podwykonawców sektora obronnego, energetycznego, transportowego i administracji. Tam atakujący wchodzi przez słabsze ogniwo łańcucha dostaw, i wszyscy o tym wiedzą.
Nie masz takich zabezpieczeń? Kontrakty weźmie ktoś, kto je ma.
Odpowiedz uczciwie. Nikt poza Tobą tego nie widzi.
Uwierzytelnianie dwuskładnikowe (MFA) na poczcie, VPN i wszystkich kontach administratorów
Kopia zapasowa offline, a jej odtworzenie sprawdzone w ostatnich 6 miesiącach
Aktualizacje systemów oraz firmware routerów i firewalli w ustalonym cyklu
Pulpit zdalny (RDP) niedostępny bezpośrednio z internetu
Aktualna inwentaryzacja urządzeń, systemów i danych klientów
Spisana procedura incydentu, z powiadomieniem klienta w ciągu 24 godzin
Monitoring zdarzeń i logi, z których da się ustalić, co wyciekło
Dostępy odbierane w dniu odejścia pracownika lub podwykonawcy
Zaszyfrowane dyski wszystkich laptopów
Analiza ryzyka i polityka bezpieczeństwa przejrzane w ostatnim roku
0 / 10
Zaznacz odpowiedzi Wynik pokaże, jak wypadłbyś dziś w oczach klienta objętego NIS2.
Z tu do tam
| Sytuacja | Bez przygotowania | Z Dragonfly |
|---|---|---|
| Wpis do wykazu KSC | niewiadoma nikt nie sprawdził, czy firma podlega | samoocena i wniosek z uzasadnieniem, które zostaje w dokumentacji |
| Ankieta od klienta | tydzień nerwowych maili odpowiedzi „w trakcie wdrażania” | odpowiedzi z dowodami polityka, analiza ryzyka, raporty z przeglądów |
| Dane klientów | rozsiane po dyskach i skrzynkach nie wiadomo, kto ma do czego dostęp | zinwentaryzowane i chronione uprawnienia, szyfrowanie, kopia offline |
| Infrastruktura | usługi wystawione do internetu stary firmware, pulpit zdalny na świecie | zmniejszona ekspozycja aktualizacje, MFA, monitoring zdarzeń |
| Incydent | szukanie osoby, która „wie” zgłoszenie po terminie albo zgadywanie | procedura i logi wiemy, co się stało, w czasie na zgłoszenie |
| Odpowiedzialność zarządu | trudno wykazać staranność brak śladu podjętych działań | udokumentowane środki każdy przegląd jest dowodem, nie tylko czynnością |
Co dokładnie robimy
Wiesz, gdzie są dane klientów, kto ma do nich dostęp i jak je odzyskać, a w razie incydentu w 72 godziny wiesz, co mogło wyciec.
Zamykamy drogi, którymi naprawdę wchodzą atakujący do małych i średnich firm, a potem pilnujemy, żeby nie otworzyły się ponownie.
Na ankietę klienta i pytanie organu nadzoru odpowiadasz dokumentem, a nie zapewnieniem.
Nie robimy testów penetracyjnych, dopóki podstawy nie są zrobione. Test wykaże to samo co przegląd, tylko drożej. Nie wdrażamy SIEM w firmie, w której nikt nie będzie czytał alertów.
Kolejność jest zawsze ta sama: najpierw zmniejszenie ekspozycji, potem procedury i kopie zapasowe, na końcu monitoring. Zwykle kilka pierwszych pozycji z analizy ryzyka jest darmowych albo prawie darmowych.
Wdrożenie NIS2 to doprowadzenie firmy do zgodności z ustawą o krajowym systemie cyberbezpieczeństwa: od rejestracji w wykazie, przez analizę ryzyka i zmiany w infrastrukturze, po procedury i dokumentację, którą pokażesz klientowi albo organowi nadzoru. Odpowiadamy za techniczną i organizacyjną stronę tych obowiązków, a po wdrożeniu prowadzimy monitoring i regularne przeglądy w stałym abonamencie.
Jak to wygląda
Ustalamy, czy firma podlega KSC, czy wymaga tego od Ciebie klient, i co jest najpilniejsze.
Jeśli trzeba, przygotowujemy dane do rejestracji NIS2 i pomagamy złożyć wniosek bez dalszej zwłoki.
Inwentaryzacja, przegląd ekspozycji i uprawnień. Wychodzi konkretna lista priorytetów.
MFA, aktualizacje, backup offline, procedury i polityka bezpieczeństwa.
Wazuh, Suricata i regularne przeglądy w abonamencie. Każdy zostawia ślad w dokumentacji.
„Szczególnie cenimy fakt, że w momentach, gdy stawką było ciągłość naszej działalności, zawsze mogliśmy liczyć na szybką reakcję i pełne zaangażowanie zespołu. Z przekonaniem rekomendujemy Dragonfly.pl jako rzetelnego i sprawdzonego partnera IT.”
„Współpracujemy już ponad 10 lat na zasadzie outsourcingu. W IT nastąpiła specjalizacja i do obsługi i rozwiązywania problemów potrzeby jest zespół specjalistów. Kiedy firma nie może samodzielnie zatrudnić zespołu to jest to dobre rozwiązanie.”
Zaufali nam także m.in. Agromat, Brookvent, Capitaltax, Centrum TMT, Comes, Inwestrol, Sente i Wrobud.
Ustalimy, czy NIS2 Cię dotyczy wprost, przez klientów, czy wcale. Uczciwie, nawet jeśli odpowiedź brzmi „nie”.
Lista priorytetów zaczyna się od rzeczy darmowych lub prawie darmowych. Budżet wydajesz tam, gdzie realnie zmniejsza ryzyko.
Dobieramy zabezpieczenia do zidentyfikowanego ryzyka, nie do katalogu. Nie każda firma potrzebuje SIEM, każda potrzebuje aktualnego routera.
Bezpieczeństwo to proces, nie projekt. Jedna miesięczna kwota zamiast faktur za każdy przegląd.
Do terminu wdrożenia środków zarządzania ryzykiem zostało
mniej niż 180dni
3 kwietnia 2027 r. dla podmiotów, które spełniały kryteria w dniu wejścia ustawy w życie.
Dlaczego teraz
Możliwe, jeśli działacie m.in. w produkcji, transporcie, usługach cyfrowych, gospodarce odpadami lub branży spożywczej i przekraczacie progi średniego przedsiębiorstwa. Część podmiotów podlega niezależnie od wielkości. Ustalimy to razem w pierwszej rozmowie.
Zaczynamy od przeglądu zgodności: sprawdzamy, które wymagania NIS2 firma już spełnia, a których brakuje, i układamy z tego listę działań. Formalny audyt, który podmioty kluczowe muszą przejść do kwietnia 2028, przeprowadza niezależny audytor z wymaganymi uprawnieniami. Przygotowujemy do niego infrastrukturę i dokumentację.
Bo Twoi klienci mogą podlegać. Muszą zarządzać ryzykiem w łańcuchu dostaw, więc zapytają Cię o zabezpieczenia, zapiszą wymagania w umowie albo wybiorą dostawcę, który je spełnia. Do tego dochodzi RODO i dane Twoich własnych klientów.
Nie. Jeśli firma podlega ustawie, wniosek i tak trzeba złożyć, a im szybciej to nastąpi, tym krócej trwa naruszenie. Równolegle warto zacząć przygotowania do kwietnia 2027.
W NIS2 24 godziny na zgłoszenie wstępne i 72 godziny na pełniejsze zgłoszenie. Przy wycieku danych osobowych 72 godziny na zgłoszenie do organu nadzorczego. Bez inwentaryzacji i logów nie da się w tym czasie ustalić, co wyciekło.
Nie. Odpowiadamy za techniczną i organizacyjną stronę bezpieczeństwa oraz dokumentację tych działań. W nietypowych przypadkach kwalifikacji prawnej podpowiemy, kiedy warto skonsultować się z kancelarią.
Informacje o NIS2 i ustawie o krajowym systemie cyberbezpieczeństwa mają charakter ogólny i nie stanowią porady prawnej. Stan prawny: październik 2026. Więcej o naszej ofercie: bezpieczeństwo IT.
Powiedz, z czym przychodzisz: rejestracja, ankieta od klienta czy porządek w zabezpieczeniach. Oddzwonimy w ciągu jednego dnia roboczego i powiemy, od czego zacząć.
Incydent trwa teraz? Nie czekaj na oddzwonienie. Zadzwoń: 71 716 52 69.
Umów kontakt
