NIS2 dla MŚP: samoidentyfikacja i plan działania po nowelizacji KSC

Nie każde MŚP automatycznie podlega KSC

Skrót „NIS2 dla MŚP” bywa mylący. Zakres zależy między innymi od sektora, rodzaju świadczonych usług, wielkości organizacji, powiązań kapitałowych oraz wyjątków przewidzianych w przepisach. Pierwszym zadaniem nie jest kupno narzędzia ani skopiowanie checklisty, lecz udokumentowana samoidentyfikacja.

Ten materiał porządkuje pracę operacyjną. Nie rozstrzyga statusu prawnego konkretnej organizacji. Jeżeli wynik jest niejednoznaczny, potrzebna jest ocena osoby uprawnionej do interpretacji przepisów.

1. Zbuduj kartę organizacji

Zbierz dane, od których zależy kwalifikacja:

• pełną nazwę i identyfikatory podmiotu,
• świadczone usługi i obsługiwane sektory,
• liczbę pracowników oraz dane finansowe według właściwych zasad,
• relacje z podmiotami partnerskimi i powiązanymi,
• terytorium świadczenia usług,
• szczególne role, takie jak dostawca usług cyfrowych lub podmiot publiczny,
• osobę odpowiedzialną za zatwierdzenie wyniku.

Zapisz źródło, datę i właściciela każdej informacji. Sama wartość bez pochodzenia szybko traci przydatność podczas przeglądu.

2. Sprawdź sektor, wielkość i wyjątki

Przejdź oficjalną ścieżkę samoidentyfikacji Ministerstwa Cyfryzacji. Nie kończ na jednym kryterium. Organizacja poniżej typowego progu wielkości może nadal wymagać analizy wyjątku, a firma średnia nie staje się podmiotem objętym wyłącznie z powodu rozmiaru.

Wynik zapisz w formie krótkiej notatki decyzyjnej:

1. jakie kryteria sprawdzono,
2. na podstawie jakich danych,
3. które kryteria spełniono lub odrzucono,
4. jakie wątpliwości pozostały,
5. kto i kiedy zaakceptował wniosek,
6. kiedy nastąpi ponowny przegląd.

3. Nie czekaj z kontrolami na formalną kwalifikację

Nawet gdy status wymaga konsultacji, można zinwentaryzować procesy i dowody, które poprawiają odporność operacyjną niezależnie od kwalifikacji. Zacznij od:

• właścicieli ryzyk i zasobów krytycznych,
• zarządzania incydentami oraz kanałów eskalacji,
• ciągłości działania i odtwarzania,
• bezpieczeństwa dostawców,
• kontroli dostępu i MFA,
• zarządzania podatnościami i aktualizacjami,
• szkoleń oraz potwierdzeń świadomości,
• dowodów wykonania i okresowych przeglądów.

4. Zrób analizę luk opartą na dowodach

Każdy obowiązek lub kontrolę połącz z właścicielem, częstotliwością i dowodem. Status „wdrożone” bez wskazania aktualnego dowodu nie powinien przechodzić przeglądu.

Praktyczny rejestr luki zawiera:

• wymaganie lub źródło,
• aktualny mechanizm kontroli,
• dowód i datę ostatniego sprawdzenia,
• lukę lub ryzyko,
• działanie, właściciela i termin,
• kryterium zamknięcia,
• osobę zatwierdzającą.

Najpierw priorytetyzuj luki wpływające na wykrycie, ograniczenie i zgłoszenie incydentu oraz na odtworzenie kluczowej usługi.

5. Utrzymuj decyzję w czasie

Samoidentyfikacja nie jest jednorazowym dokumentem. Powtórz ją po zmianie usług, sektora, struktury grupy, skali działalności albo przepisów. W kalendarzu kontroli zapisz właściciela i częstotliwość przeglądu.

Pulsar GRC może utrzymywać powiązanie między źródłem, wymaganiem, kontrolą, ryzykiem, działaniem i dowodem. Ostateczna kwalifikacja prawna i akceptacja ryzyka pozostają po stronie organizacji.

Checklista pierwszych 30 dni

• Wyznacz właściciela samoidentyfikacji i zastępcę.
• Zatwierdź kartę organizacji i źródła danych.
• Przejdź oficjalne kryteria sektora, wielkości i wyjątków.
• Zapisz wynik, niepewności i potrzebę konsultacji.
• Zbuduj rejestr kluczowych usług, dostawców, ryzyk i kontroli.
• Wskaż dowody dla kontroli istniejących i luki dla brakujących.
• Ustal plan działań oraz termin ponownego przeglądu.

Jeżeli analiza ujawni brak kontroli, prowadź zmianę przez CAPA z weryfikacją skuteczności. Gotowość do kontroli udokumentuj jako pakiet dowodowy, bez mieszania własnych dokumentów z treścią norm lub ustaw.