Słownik NIS2 i KSC. Pojęcia, skróty i definicje od A do Z.

Formalna decyzja, że określony poziom ryzyka może pozostać w organizacji przez ustalony czas. Nie oznacza rezygnacji z bezpieczeństwa: decyzja powinna wskazywać właściciela, uzasadnienie, warunki graniczne i datę ponownej oceny. Akceptować można wyłącznie ryzyko dobrze opisane i mieszczące się w mandacie osoby podejmującej decyzję. Jeżeli przekracza ono apetyt organizacji na ryzyko albo ustawowe minimum bezpieczeństwa, potrzebna jest eskalacja lub dodatkowe zabezpieczenie, a nie administracyjne „zamknięcie” tematu.

Zasób mający wartość dla organizacji albo potrzebny do świadczenia usługi. Aktywem może być informacja, aplikacja, infrastruktura, urządzenie OT (Operational Technology, technologia operacyjna), kompetencja pracownika, dostawca, lokalizacja lub reputacja. Znaczenie aktywa wynika z jego roli w procesie, a nie wyłącznie z ceny zakupu. Ten sam serwer może być mało ważny jako urządzenie, ale krytyczny jako jedyne miejsce przetwarzania danych potrzebnych do wykonania usługi.

Uporządkowane porównanie obecnych sposobów działania z wymaganiami NIS2 (Network and Information Security Directive 2) i KSC (Krajowy System Cyberbezpieczeństwa). Dobra analiza obejmuje nie tylko deklaracje, lecz także istniejące dowody, luki, wpływ na ryzyko oraz rekomendowaną kolejność działań. Analiza luk nie rozstrzyga sama w sobie, czy firma podlega przepisom; wcześniej trzeba potwierdzić zakres prawny i organizacyjny. Jej celem jest pokazanie różnicy między wymaganym rezultatem a aktualną, potwierdzoną zdolnością organizacji.

Proces rozpoznawania zagrożeń i podatności oraz szacowania ich możliwego wpływu na usługi i organizację. Łączy wiedzę biznesową z techniczną i stanowi podstawę wyboru proporcjonalnych środków bezpieczeństwa. Rezultatem jest rejestr ryzyk pokazujący scenariusz, narażone aktywa i usługi, istniejące zabezpieczenia, poziom ryzyka pierwotnego oraz rezydualnego. Metoda może być jakościowa lub ilościowa, ale musi dawać porównywalne i zrozumiałe decyzje.

Niezależna, udokumentowana ocena bezpieczeństwa systemu informacyjnego oraz zgodności sposobu działania z wymaganiami. W polskiej ustawie o KSC (Krajowym Systemie Cyberbezpieczeństwa) cykliczny audyt ustawowy dotyczy podmiotów kluczowych; pierwszy jest co do zasady wymagany w ciągu 24 miesięcy od spełnienia przesłanek, a kolejne co najmniej raz na trzy lata. Audyt obejmuje ustalony zakres, kryteria, próbki i niezależną ocenę tego, czy środki są zaprojektowane poprawnie oraz działają w czasie. Raport powinien odróżniać niezgodności, obserwacje i rekomendacje, aby organizacja mogła właściwie ustalić działania naprawcze.

Plan utrzymania lub wznowienia kluczowych procesów podczas zakłócenia. Obejmuje priorytety biznesowe, role, komunikację, tryby zastępcze, zasoby oraz moment przejścia do normalnej pracy. Plan uwzględnia scenariusze, w których część ludzi, lokalizacji, technologii lub dostawców jest niedostępna. Łączy wymagania ciągłości z kolejnością procesów i opisuje dopuszczalny tryb ograniczony, zanim możliwy będzie pełny powrót do działania.

Zarządzanie ryzykiem wynikającym z produktów, usług i podmiotów zewnętrznych mających wpływ na systemy lub usługi organizacji. Obejmuje wybór dostawcy, wymagania umowne, dostęp zewnętrzny, podatności produktu, podwykonawców, monitoring i bezpieczne zakończenie współpracy. Ryzyko nie kończy się na bezpośrednim kontrahencie: znaczenie mogą mieć jego podwykonawcy, lokalizacja przetwarzania, zależność od jednego producenta i możliwość bezpiecznego wyjścia z usługi. Wymagania powinny obejmować cały cykl współpracy, od kwalifikacji do zwrotu lub usunięcia danych.

Analiza skutków niedostępności procesów i usług w czasie. Pozwala ustalić, co jest naprawdę krytyczne, jakie zależności trzeba odtworzyć najpierw i po jakim czasie strata staje się nieakceptowalna. Analiza bada, jak skutki finansowe, prawne, operacyjne, reputacyjne i dotyczące bezpieczeństwa rosną wraz z czasem przerwy. Uwzględnia także okresy szczytowe, terminy regulacyjne, ręczne obejścia oraz zależności od ludzi, danych, systemów i dostawców.

Bezpośrednio stosowany akt UE (Unii Europejskiej) doprecyzowujący techniczne i metodologiczne wymagania NIS2 (Network and Information Security Directive 2) dla wskazanych rodzajów podmiotów cyfrowych, m.in. dostawców DNS (Domain Name System), chmury, centrów danych, CDN (Content Delivery Network), platform internetowych, wyszukiwarek oraz usług zarządzanych. Rozporządzenie opisuje szczegółowe wymagania m.in. dla polityk, obsługi incydentów, ciągłości, bezpieczeństwa łańcucha dostaw, kontroli dostępu i oceny skuteczności. Jako rozporządzenie wykonawcze działa bez krajowej transpozycji, lecz tylko wobec podmiotów wskazanych w jego zakresie.

Zespół reagowania na incydenty bezpieczeństwa komputerowego. W Polsce na poziomie krajowym działają zespoły CSIRT (Computer Security Incident Response Team): CSIRT NASK (zespół prowadzony przez Naukową i Akademicką Sieć Komputerową), CSIRT GOV (rządowy zespół reagowania) i CSIRT MON (zespół resortu obrony narodowej), a właściwość zespołu zależy od rodzaju podmiotu i sektora. Zespół przyjmuje zgłoszenia, analizuje informacje, może przekazywać ostrzeżenia i wspierać koordynację reakcji. Nie przejmuje jednak odpowiedzialności organizacji za ograniczenie skutków, komunikację z odbiorcami, zachowanie dowodów ani decyzje dotyczące ciągłości usługi.

Zestaw podstawowych, regularnych zachowań ograniczających najczęstsze ryzyka: aktualizowanie systemów, bezpieczna praca z pocztą, MFA (Multi-Factor Authentication, uwierzytelnianie wieloskładnikowe), kopie zapasowe, kontrola dostępów oraz reagowanie na podejrzane zdarzenia. Obejmuje zarówno zachowania użytkowników, jak i podstawową dyscyplinę administracyjną: aktualne oprogramowanie, bezpieczne konfiguracje, rozdzielanie kont, ochronę poczty i weryfikację kopii. Zakres szkolenia powinien zależeć od roli oraz dostępu danej osoby.

Procesy i narzędzia pomagające wykrywać oraz ograniczać nieuprawniony przepływ informacji. DLP (Data Loss Prevention, zapobieganie utracie danych) może kontrolować dane w poczcie, chmurze, na urządzeniach końcowych i nośnikach, ale jego zakres powinien wynikać z klasyfikacji informacji i ryzyka. Mechanizmy te opierają się na regułach rozpoznających typ informacji, odbiorcę, kanał i kontekst użycia. Zbyt szerokie wdrożenie może powodować liczne fałszywe alarmy lub blokować legalną pracę, dlatego wymaga właścicieli danych i jasno opisanych wyjątków.

Spójny zestaw zasad, rejestrów i zapisów pokazujących, jak organizacja zarządza bezpieczeństwem informacji. Obejmuje m.in. zakres SZBI (Systemu Zarządzania Bezpieczeństwem Informacji), polityki, role, ocenę ryzyka, plan postępowania z ryzykiem, procedury, wyniki kontroli, incydenty, wyjątki i przeglądy zarządcze. Trzeba odróżnić dokumenty sterujące, takie jak polityki i procedury, od zapisów potwierdzających wykonanie, takich jak protokoły testów, wyniki przeglądów i decyzje. Obie grupy są potrzebne, aby wykazać zarówno zaprojektowanie systemu, jak i jego rzeczywiste działanie.

Dostawca produktów, usług lub procesów ICT (Information and Communication Technology, technologii informacyjno-komunikacyjnych) uznany w decyzji właściwego organu za stwarzającego poważne zagrożenie dla bezpieczeństwa. Taki status uruchamia ograniczenia dotyczące pozyskiwania i używania wskazanych produktów lub usług. Decyzja może odnosić się do określonych produktów, usług, procesów lub ich zastosowania, dlatego nie należy automatycznie rozciągać jej na wszystko, co oferuje dostawca. Skutki i terminy postępowania wynikają z treści decyzji oraz właściwych przepisów.

Zdolność organizacji do odtworzenia środowiska technologicznego po poważnej awarii, cyberataku lub utracie lokalizacji. Obejmuje dane, infrastrukturę, sieć, tożsamości, kolejność uruchamiania i dostępność odpowiednich osób. Zdolność odtworzeniowa obejmuje nie tylko dostępność kopii, ale także zapasową infrastrukturę, konfiguracje, klucze, łącza, instrukcje i kompetencje. Musi odpowiadać kolejności zależności: zwykle nie da się uruchomić aplikacji bez tożsamości, sieci, danych i usług bazowych.

Udokumentowany plan przywrócenia systemów, danych i infrastruktury po zakłóceniu. Określa scenariusze, role, sekwencję działań, wymagane zasoby, sposób komunikacji oraz parametry odtworzenia. Plan zawiera kroki techniczne i decyzyjne, kryteria uruchomienia, listę kontaktów, zależności, lokalizację kopii oraz sposób powrotu ze środowiska awaryjnego. Powinien także wskazywać, kto może zaakceptować utratę danych lub dłuższą niedostępność.

Unijny akt ustanawiający wspólny, wysoki poziom cyberbezpieczeństwa w UE (Unii Europejskiej). Określa m.in. grupy podmiotów, obowiązki zarządcze, środki zarządzania ryzykiem, zgłaszanie incydentów oraz ramy nadzoru i kar. Dyrektywa wyznacza minimalny rezultat, który państwa członkowskie muszą osiągnąć w prawie krajowym, pozostawiając im część decyzji wdrożeniowych. Dlatego szczegółowe obowiązki, właściwe organy, tryb rejestracji i sankcje mogą różnić się między państwami.

Technologia monitorowania stacji roboczych i serwerów, wykrywania podejrzanych zachowań oraz wspierania reakcji. Może umożliwiać izolację urządzenia, analizę procesu i zebranie materiału do dochodzenia. Rozwiązanie zbiera telemetrię z urządzeń końcowych, porównuje zachowania i umożliwia działania takie jak zatrzymanie procesu, izolacja hosta czy pobranie artefaktów. Jego skuteczność zależy od pokrycia urządzeń, jakości konfiguracji i dostępności osoby obsługującej alert.

Agencja UE (Unii Europejskiej) wspierająca państwa członkowskie, instytucje i rynek w budowaniu cyberbezpieczeństwa. Publikuje wytyczne, analizy zagrożeń i materiały wdrożeniowe, a także wspiera współpracę przewidzianą w NIS2 (Network and Information Security Directive 2). Agencja tworzy wspólne metody, dobre praktyki i analizy wspierające spójne podejście w państwach członkowskich. Nie jest jednak polskim organem nadzorczym i nie wydaje indywidualnej decyzji o tym, czy konkretna spółka podlega krajowym przepisom.

Oficjalna baza prawa Unii Europejskiej. Zawiera treść dyrektywy NIS2 (Network and Information Security Directive 2), jej wersje językowe, sprostowania, historię dokumentu i powiązane akty wykonawcze. Baza pozwala odróżnić tekst pierwotny od wersji skonsolidowanej oraz sprawdzić daty, podstawę prawną i relacje z innymi aktami. Jest właściwym miejscem do cytowania prawa unijnego zamiast polegania na nieoficjalnych omówieniach.

Sposób łączenia ładu organizacyjnego, zarządzania ryzykiem i zgodności w jednym modelu odpowiedzialności. Określenie GRC (Governance, Risk and Compliance, ład organizacyjny, ryzyko i zgodność) odnosi się zarówno do procesów, jak i do systemów wspierających rejestry, kontrole, dowody, wyjątki i raportowanie. Dojrzały model łączy wymagania z ryzykami, właścicielami, kontrolami, dowodami i decyzjami, dzięki czemu ta sama kontrola może wspierać kilka regulacji. Pozwala też oddzielić odpowiedzialność za rezultat od osoby wykonującej pojedyncze zadanie.

Zarządzanie całym cyklem życia tożsamości i uprawnień: od utworzenia konta, przez zmianę roli, po odebranie dostępu. Obejmuje uwierzytelnianie, autoryzację, przeglądy dostępów i zasadę minimalnych uprawnień. Zakres obejmuje pracowników, współpracowników, konta techniczne, roboty i tożsamości dostawców. Kluczowe są procesy dołączania, zmiany roli i odejścia oraz rozdział obowiązków zapobiegający nadmiernemu skupieniu uprawnień.

Zdarzenie, które narusza dostępność, autentyczność, integralność lub poufność przechowywanych, przekazywanych albo przetwarzanych danych lub usług oferowanych przez systemy informacyjne. Definicja obejmuje zarówno udany atak, jak i awarię lub inne zdarzenie naruszające bezpieczeństwo usługi. Wewnętrzna klasyfikacja może wyróżniać poziomy dotkliwości, lecz musi pozostawać spójna z ustawowymi kryteriami zgłaszania.

Incydent o skutkach wykraczających poza pojedynczą organizację, mogący powodować poważne zakłócenia funkcjonowania państwa, gospodarki lub życia społecznego. Jego obsługa wymaga koordynacji na poziomie krajowym. Ocenia się nie tylko bezpośrednią stratę podmiotu, ale także efekt kaskadowy, liczbę odbiorców, znaczenie usługi i wpływ na bezpieczeństwo publiczne. Takie zdarzenie może uruchamiać nadzwyczajne mechanizmy koordynacji i polecenia organów państwa.

Incydent, który powoduje lub może spowodować poważne zakłócenie świadczenia usług, istotną stratę finansową albo znaczną szkodę dla innych osób lub podmiotów. W NIS2 (Network and Information Security Directive 2) uruchamia etapowe raportowanie, w tym wczesne ostrzeżenie w 24 godziny i zgłoszenie w 72 godziny. Ocena opiera się na rzeczywistym lub możliwym wpływie, a nie wyłącznie na technicznej nazwie ataku. Raportowanie jest kaskadowe: kolejne etapy uzupełniają informacje wraz z postępem analizy i nie wymagają pełnej wiedzy już przy pierwszym ostrzeżeniu.

Międzynarodowa norma ISO/IEC (International Organization for Standardization / International Electrotechnical Commission) 27001 określająca wymagania dla systemu zarządzania bezpieczeństwem informacji. Pomaga ułożyć SZBI (System Zarządzania Bezpieczeństwem Informacji) w cykl planowania, wykonywania, oceny i doskonalenia, ale zakres normy i polskich obowiązków ustawowych nie jest identyczny. Norma opisuje wymagania dla systemu zarządzania, natomiast katalog zabezpieczeń w jej załączniku wspiera dobór kontroli do ryzyka. Organizacja może stosować ten model bez certyfikacji albo poddać określony zakres niezależnej ocenie certyfikacyjnej.

Osoba albo organ zarządzający podmiotem kluczowym lub ważnym; w spółce kapitałowej będzie to co do zasady zarząd. Kierownik zatwierdza rozwiązania organizacyjne, nadzoruje wykonanie obowiązków i odpowiada za właściwe decyzje zarządcze. Odpowiedzialność dotyczy ustanowienia właściwych warunków organizacyjnych, zatwierdzania kluczowych rozwiązań i kontroli postępu. Kierownik nie musi sam wykonywać czynności technicznych, ale powinien rozumieć ryzyka i podejmować udokumentowane decyzje.

PKD (Polska Klasyfikacja Działalności) i NACE (Nomenclature statistique des Activités économiques dans la Communauté européenne) klasyfikują rodzaje działalności gospodarczej i są używane pomocniczo przy ustalaniu, czy organizacja działa w sektorze objętym NIS2 (Network and Information Security Directive 2) lub KSC (Krajowym Systemem Cyberbezpieczeństwa). Sam kod rejestrowy nie przesądza jednak statusu - liczy się faktycznie wykonywana działalność lub świadczona usługa. Klasyfikacje porządkują działalności, ale wpis może być nieaktualny, zbyt ogólny albo nie odzwierciedlać wszystkich usług spółki. W kwalifikacji znaczenie mają także załączniki sektorowe, progi wielkości, podmioty powiązane i wyjątki niezależne od skali.

Wskaźnik pokazujący, czy proces osiąga zamierzony wynik. W SZBI (Systemie Zarządzania Bezpieczeństwem Informacji) może mierzyć np. terminowość usuwania podatności, wykonanie testów odtworzeniowych albo odsetek zamkniętych działań naprawczych. Wskaźnik wykonania odpowiada na pytanie, czy zaplanowany proces działa sprawnie i osiąga cel. Nie powinien być mylony ze wskaźnikiem ryzyka: wysoka terminowość działań może współistnieć z nadal wysoką ekspozycją organizacji.

Wskaźnik sygnalizujący wzrost ekspozycji na ryzyko, zanim wystąpi szkoda. Przykładem może być liczba krytycznych podatności po terminie, kont uprzywilejowanych bez MFA (Multi-Factor Authentication, uwierzytelniania wieloskładnikowego) albo dostawców bez aktualnej oceny. Dobry wskaźnik ryzyka reaguje wcześniej niż wynik finansowy lub incydent i pokazuje kierunek zmiany ekspozycji. Jego próg powinien wynikać z apetytu na ryzyko, historii zdarzeń i zdolności organizacji do podjęcia reakcji.

Polskie ramy prawne i instytucjonalne cyberbezpieczeństwa, oparte na ustawie z 5 lipca 2018 r. znowelizowanej w 2026 r. w celu wdrożenia NIS2 (Network and Information Security Directive 2). Ustawa określa m.in. podmioty kluczowe i ważne, ich obowiązki, organy właściwe, zespoły CSIRT (Computer Security Incident Response Team), nadzór oraz kary. System obejmuje nie tylko obowiązki firm, lecz także organy właściwe, zespoły reagowania, mechanizmy współpracy, nadzór i wymianę informacji. Nowelizacja rozszerzyła zakres sektorów i przeniosła ciężar rozpoznania statusu w dużej mierze na same organizacje.

Najniższy akceptowalny poziom świadczenia procesu lub usługi podczas zakłócenia. Wskazuje, co organizacja musi utrzymać nawet wtedy, gdy pełna wydajność jest czasowo niemożliwa. Parametr opisuje minimalny rezultat biznesowy, a nie minimalną liczbę działających serwerów. Może być wyrażony np. liczbą obsłużonych klientów, przepustowością, zakresem funkcji albo bezpiecznym trybem ręcznym.

Zewnętrzna usługa monitorowania, wykrywania i wspierania reakcji na zagrożenia. Zwykle łączy technologię telemetryczną z zespołem analityków pracującym w rozszerzonym lub całodobowym trybie. Zakres usług rynkowych jest różny: niektóre kończą się na przekazaniu alertu, inne obejmują dochodzenie, izolację urządzeń i udział w reagowaniu. Dlatego nazwę usługi trzeba przełożyć na dokładne role, godziny dostępności i odpowiedzialność.

Uwierzytelnianie wykorzystujące co najmniej dwa niezależne rodzaje składników, np. hasło oraz klucz sprzętowy lub aplikację. Istotnie ogranicza ryzyko przejęcia konta po ujawnieniu samego hasła. Składniki powinny pochodzić z różnych kategorii: wiedzy, posiadania lub cechy użytkownika. Największą odporność na phishing zapewniają metody kryptograficznie związane z właściwą usługą, np. klucze sprzętowe i nowoczesne klucze dostępu.

Najdłuższy czas, przez jaki proces lub usługa mogą pozostawać zakłócone, zanim konsekwencje staną się nieakceptowalne. Parametr uwzględnia m.in. klientów, bezpieczeństwo, prawo, finanse i reputację. Jest to granica nieakceptowalnego wpływu, a nie planowany czas powrotu. Powinna uwzględniać także czas potrzebny po technicznym odtworzeniu na usunięcie zaległości, weryfikację danych i przywrócenie normalnej jakości usługi.

Monitorowanie ruchu sieciowego w celu wykrywania anomalii, podejrzanej komunikacji i zachowań wskazujących na atak. Uzupełnia widoczność z urządzeń końcowych, zwłaszcza w środowiskach bez agentów. Analiza może wykorzystywać metadane, wzorce komunikacji i zachowania protokołów, także gdy treść jest szyfrowana. Rozwiązanie pomaga zauważyć ruch boczny i urządzenia, których nie można objąć oprogramowaniem końcowym.

Powszechna nazwa dyrektywy UE (Unii Europejskiej) 2022/2555 w sprawie bezpieczeństwa sieci i informacji, czyli NIS2 (Network and Information Security Directive 2), która rozszerzyła wymagania cyberbezpieczeństwa na większą liczbę sektorów i organizacji. Dyrektywa mocniej akcentuje odpowiedzialność kierownictwa, zarządzanie ryzykiem, łańcuch dostaw, obsługę incydentów i nadzór. Nie jest certyfikatem, normą ani produktem technologicznym. Dyrektywa określa rezultat zarządzania cyberbezpieczeństwem, a państwa członkowskie przenoszą go do prawa krajowego i ustanawiają konkretne mechanizmy nadzoru.

Obowiązek aktywnego zatwierdzania i nadzorowania środków zarządzania ryzykiem cyberbezpieczeństwa przez osoby kierujące organizacją. NIS2 (Network and Information Security Directive 2) i KSC (Krajowy System Cyberbezpieczeństwa) traktują bezpieczeństwo jako odpowiedzialność zarządczą, a nie wyłącznie techniczne zadanie IT (Information Technology, technologii informacyjnej). Kierownictwo powinno mieć wystarczającą wiedzę, aby rozumieć ryzyka, zatwierdzać adekwatne środki i oceniać ich wykonanie. Odpowiedzialności nie realizuje samo podpisanie polityki ani powołanie osoby do spraw bezpieczeństwa.

Organ administracji odpowiedzialny za nadzór nad cyberbezpieczeństwem w określonym sektorze. Może żądać informacji i dowodów, prowadzić kontrole, wydawać zalecenia lub nakazy oraz stosować środki przewidziane w ustawie. Właściwość wynika z sektora i rodzaju działalności określonych w ustawie. Organ współpracuje z innymi uczestnikami systemu, a jego uprawnienia i model nadzoru zależą m.in. od statusu podmiotu oraz podstawy prawnej działania.

Kontrole i narzędzia chroniące konta administracyjne oraz inne wysokie uprawnienia. Obejmują m.in. sejf poświadczeń, zatwierdzanie dostępu, rotację haseł, rejestrowanie sesji i dostęp awaryjny. Podejście ogranicza stałe uprawnienia i pozwala przyznawać dostęp na żądanie, na określony czas i do konkretnego celu. Obejmuje również konta awaryjne, konta techniczne, dostęp dostawców oraz kontrolę poleceń wykonywanych w sesji.

Zestaw uzgodnionych decyzji i działań dotyczących ryzyk: ograniczenia, unikania, przeniesienia albo akceptacji. Łączy każde istotne ryzyko ze środkiem bezpieczeństwa, właścicielem, terminem, zasobami i oczekiwanym wynikiem. Działanie może polegać na wdrożeniu nowej kontroli, poprawie istniejącej, zmianie procesu, ubezpieczeniu albo świadomej akceptacji. Plan powinien wskazywać oczekiwaną zmianę poziomu ryzyka, aby nie zamienić się w listę projektów bez mierzalnego celu.

Słabość zasobu, konfiguracji, procesu lub sposobu organizacji, którą może wykorzystać zagrożenie. Podatności mogą być techniczne, ale również proceduralne, kompetencyjne i kontraktowe. Sama obecność podatności nie opisuje jeszcze ryzyka; znaczenie zależy od możliwości wykorzystania, ekspozycji, wartości zasobu i istniejących zabezpieczeń. Podatnością może być również brak zastępstwa, niejasna procedura albo słaby zapis umowny.

Jedna z dwóch głównych kategorii organizacji objętych KSC (Krajowym Systemem Cyberbezpieczeństwa). Obejmuje co do zasady duże podmioty z sektorów o wysokiej krytyczności oraz niektóre podmioty wskazane niezależnie od wielkości. Podlega pełnemu zakresowi obowiązków i proaktywnemu nadzorowi. Status wynika z połączenia rodzaju działalności, wielkości oraz szczególnych reguł wskazanych w ustawie. Nie jest uzależniony wyłącznie od otrzymania zawiadomienia lub wpisu do wykazu, dlatego organizacja musi przeprowadzić własną ocenę.

Druga główna kategoria organizacji objętych KSC (Krajowym Systemem Cyberbezpieczeństwa). Zwykle obejmuje średnie podmioty z sektorów o wysokiej krytyczności oraz średnie i duże podmioty z pozostałych sektorów krytycznych, z uwzględnieniem ustawowych wyjątków. Nazwa „ważny” nie oznacza niższego standardu podstawowych środków zarządzania ryzykiem. Różnica dotyczy przede wszystkim sposobu nadzoru i niektórych konsekwencji prawnych, a wymagany poziom ochrony nadal wynika z ryzyka oraz znaczenia usług.

Nadzwyczajny, czasowy środek prawny pozwalający nakazać określonym podmiotom konkretne działania w celu ograniczenia skutków incydentu krytycznego lub poważnego zagrożenia. Może dotyczyć np. konfiguracji, aktualizacji albo ograniczenia komunikacji. Treść polecenia określa adresatów, wymagane zachowanie, zakres i okres obowiązywania. Jego celem jest szybkie ograniczenie wspólnego zagrożenia, nawet jeżeli standardowy proces zmian lub zakupów trwałby znacznie dłużej.

Dokument nadrzędny SZBI (Systemu Zarządzania Bezpieczeństwem Informacji) opisujący cele, zasady, zakres i odpowiedzialność za bezpieczeństwo informacji. Powinien wynikać z kontekstu organizacji, być zatwierdzony przez kierownictwo i wskazywać, jak zarządza się ryzykiem oraz odstępstwami. Polityka powinna być na tyle zwięzła, aby kierownictwo i pracownicy rozumieli kierunek, a szczegółowe instrukcje przenosić do dokumentów niższego poziomu. Musi być spójna z profilem ryzyka, obowiązkami prawnymi i rzeczywistą strukturą odpowiedzialności.

Maksymalny akceptowalny zakres utraty danych mierzony czasem. RPO (Recovery Point Objective, docelowy punkt odtworzenia) równe czterem godzinom oznacza, że po odtworzeniu organizacja dopuszcza powrót do danych sprzed nie więcej niż czterech godzin. Parametr nie określa częstotliwości wykonywania kopii wprost, ponieważ liczy się osiągalny punkt odtworzenia całej usługi. Replikacja również nie gwarantuje właściwego wyniku, jeśli błąd lub szyfrowanie zostaną natychmiast skopiowane do środowiska zapasowego.

Docelowy czas przywrócenia procesu, usługi albo systemu po zakłóceniu. RTO (Recovery Time Objective, docelowy czas odtworzenia) jest wymaganiem biznesowym, które wpływa na architekturę, procedury awaryjne, umowy i priorytety odtwarzania. Pomiar powinien obejmować pełną gotowość usługi do użycia, nie moment uruchomienia pojedynczego komponentu. Na czas wpływają wykrycie awarii, decyzja, dostępność ludzi, odtworzenie zależności, testy oraz przekazanie usługi użytkownikom.

Poziom ryzyka pozostający po uwzględnieniu istniejących albo planowanych zabezpieczeń. Pokazuje, czy organizacja może ryzyko zaakceptować, czy potrzebuje kolejnych działań. Powinno uwzględniać rzeczywistą skuteczność zabezpieczeń, a nie tylko fakt ich formalnego istnienia. Jeżeli kontrola nie została przetestowana, ocena pozostałego ryzyka musi odzwierciedlać tę niepewność.

System teleinformatyczny S46 wspierający komunikację i wymianę informacji w KSC (Krajowym Systemie Cyberbezpieczeństwa). Jest powiązany z Wykazem KSC (wykazem podmiotów kluczowych i ważnych) i służy podmiotom m.in. do realizacji obowiązków operacyjnych oraz kontaktu z właściwymi uczestnikami systemu. W praktyce składa się z funkcji związanych z wykazem oraz z przestrzeni służącej podmiotom do współpracy i realizacji obowiązków. Dostęp, harmonogram uruchomienia funkcji i wymagane dane należy sprawdzać w aktualnych komunikatach urzędowych.

Platforma gromadząca i analizująca logi oraz zdarzenia z wielu systemów. Wspiera korelację sygnałów, wykrywanie incydentów, dochodzenie i zachowanie historii potrzebnej do analizy. Platforma może przechowywać dane dla różnych celów: bieżącej detekcji, dochodzenia, wymagań prawnych i analizy trendów. Potrzebuje katalogu źródeł, przypadków użycia, reguł, czasu retencji oraz kontroli dostępu do wrażliwych logów.

Rozwiązanie automatyzujące powtarzalne etapy obsługi alertów i incydentów, takie jak zebranie kontekstu, utworzenie sprawy czy blokada wskaźnika ataku. Łączy narzędzia bezpieczeństwa z ustalonymi scenariuszami reakcji. Scenariusz automatyzacji może łączyć wzbogacenie alertu, komunikację, zmianę konfiguracji i dokumentowanie sprawy. Ponieważ część działań wpływa na dostępność usług, potrzebne są warunki bezpieczeństwa, zatwierdzenia i możliwość ręcznego zatrzymania.

Zorganizowana zdolność ludzi, procesów i technologii do ciągłego monitorowania, analizowania i obsługi zagrożeń. SOC (Security Operations Center, centrum operacji bezpieczeństwa) może działać wewnętrznie, usługowo albo w modelu mieszanym. Zdolność operacyjna wymaga określenia godzin pokrycia, źródeł danych, poziomów analizy, zasad eskalacji i współpracy podczas incydentu. Może być rozproszona między zespoły oraz dostawców, jeżeli odpowiedzialność i przekazanie spraw są jednoznaczne.

Zorganizowany układ zasobów technicznych i organizacyjnych służący do przetwarzania, przechowywania lub przekazywania informacji. Obejmuje nie tylko aplikacje, lecz także sieci, urządzenia, dane, procedury i osoby potrzebne do działania usługi. Granice systemu wyznacza zdolność świadczenia usługi, dlatego mogą obejmować elementy pozostające u dostawcy oraz procesy ręczne. Pominięcie tożsamości, łączy, integracji lub danych prowadzi do zaniżenia ryzyka i nierealnych planów odtworzenia.

Całościowy sposób zarządzania bezpieczeństwem informacji: cele, role, ocena ryzyka, polityki, procesy, zabezpieczenia, dowody, pomiary i doskonalenie. SZBI (System Zarządzania Bezpieczeństwem Informacji) łączy decyzje zarządcze z codziennym wykonaniem i pozwala wykazać, że środki bezpieczeństwa rzeczywiście działają. System działa w cyklu: ustala kontekst i cele, ocenia ryzyko, wdraża środki, mierzy skuteczność oraz koryguje niezgodności. Powinien obejmować zarówno bezpieczeństwo technologii, jak i ludzi, dostawców, ciągłość, dokumentację oraz decyzje kierownictwa.

Chronologiczny zapis działań i decyzji pozwalający odtworzyć, kto, kiedy i na jakiej podstawie wykonał lub zatwierdził daną czynność. Łączy wymaganie z właścicielem, zadaniem, dowodem, wynikiem kontroli i zmianą statusu. Zapis powinien być kompletny, chroniony przed nieuprawnioną zmianą i przechowywany przez uzasadniony okres. Musi pozwalać połączyć decyzję z obowiązującą wersją wymagania i materiałem, na którym osoba decyzyjna się opierała.

Organizacyjne, operacyjne i techniczne rozwiązania ograniczające ryzyko cyberbezpieczeństwa. NIS2 (Network and Information Security Directive 2) obejmuje nimi m.in. analizę ryzyka, incydenty, ciągłość działania, łańcuch dostaw, bezpieczny rozwój, ocenę skuteczności, cyberhigienę, kryptografię i kontrolę dostępu. Nie istnieje jedna poprawna lista zabezpieczeń dla wszystkich podmiotów. Dobór bierze pod uwagę aktualny stan wiedzy, koszt, prawdopodobieństwo, możliwy skutek oraz charakter i skalę usługi, a skuteczność trzeba później oceniać.

Osoba biznesowo odpowiedzialna za wynik procesu, jego wymagania, krytyczność i zależności. Podejmuje lub przygotowuje decyzje dotyczące priorytetów, ciągłości działania oraz akceptowalnego poziomu usługi. Odpowiada za biznesową definicję procesu i uzgodnienie wymagań z zespołami wspierającymi. Może delegować wykonanie zadań, lecz pozostaje źródłem decyzji o krytyczności, dopuszczalnym przestoju i priorytecie naprawy.

Osoba mająca mandat do decydowania o sposobie postępowania z konkretnym ryzykiem i do zatwierdzenia ryzyka rezydualnego w granicach swoich uprawnień. Nie musi być osobą, która wykonuje działania naprawcze; odpowiada za decyzję i zapewnienie właściwego kierunku postępowania. Jego poziom w organizacji powinien odpowiadać skali możliwych skutków i potrzebnym zasobom.

Wykaz KSC (wykaz podmiotów kluczowych i podmiotów ważnych) prowadzony przez ministra właściwego do spraw informatyzacji. Wpis potwierdza status wynikający z ustawowych przesłanek; nie zwalnia podmiotu z samodzielnej oceny zakresu działalności. Wpis ma charakter potwierdzający status wynikający z przepisów, a brak wpisu nie zawsze oznacza brak obowiązków. Wykaz gromadzi dane identyfikacyjne, klasyfikację, działalności regulowane i osoby kontaktowe potrzebne do działania systemu.

Podejście do detekcji i reakcji łączące sygnały z kilku warstw środowiska, np. urządzeń końcowych, poczty, sieci, tożsamości i chmury. Ma ułatwiać korelację zdarzeń oraz skrócić analizę incydentu. Rozwiązanie może łączyć dane pochodzące od jednego producenta albo integrować wiele źródeł, dlatego zakres tej nazwy różni się rynkowo. Wartością jest wspólny kontekst incydentu i możliwość skoordynowanej reakcji w kilku warstwach.

Potencjalna przyczyna niepożądanego zdarzenia, np. działalność przestępcza, błąd człowieka, awaria techniczna, przerwa w dostawie lub zjawisko naturalne. Zagrożenie może wykorzystać podatność i spowodować szkodę dla aktywa albo usługi. Należy odróżnić je od podatności, która jest słabością, oraz od ryzyka, które opisuje prawdopodobieństwo i skutek konkretnego scenariusza. To samo zagrożenie może tworzyć zupełnie inne ryzyko dla różnych usług.

Katalogi sektorów i rodzajów działalności wykorzystywane do ustalania zakresu polskiej ustawy o KSC (Krajowym Systemie Cyberbezpieczeństwa). Załącznik nr 1 obejmuje sektory o wysokiej krytyczności, a załącznik nr 2 pozostałe sektory krytyczne. Załączniki posługują się precyzyjnymi opisami działalności i usług, które nie zawsze pokrywają się z potoczną nazwą branży. Klasyfikację uzupełniają przepisy dotyczące wielkości, podmiotów publicznych, wyjątków i wskazania niezależnego od progu.

Model bezpieczeństwa zakładający ciągłą weryfikację tożsamości, urządzenia i kontekstu oraz przyznawanie tylko niezbędnych uprawnień. Zaufanie nie wynika automatycznie z obecności użytkownika wewnątrz sieci. Model łączy zarządzanie tożsamością, stan urządzeń, segmentację, ochronę aplikacji i danych oraz ciągłe monitorowanie. Decyzja o dostępie jest podejmowana na podstawie aktualnego kontekstu i może zostać ponownie oceniona w trakcie sesji.