Platforma Cyberbezpieczeństwa

07/09/2026

RODO, NIS2 i zamówienia publiczne coraz trudniej traktować jako trzy odrębne obszary.

18 września będę miał przyjemność wystąpić w Warszawie podczas konferencji „Ochrona danych w zamówieniach publicznych”.

Temat mojego wystąpienia to:

„Od RODO do NIS2, jak skutecznie zarządzać bezpieczeństwem danych w zamówieniach publicznych”.

Chcę spojrzeć na ten temat przede wszystkim od strony praktycznej.

Bo dziś bezpieczeństwo w zamówieniach publicznych nie kończy się na podpisaniu umowy powierzenia danych, dodaniu kilku zapisów do SWZ czy odebraniu od wykonawcy deklaracji zgodności.

Coraz większe znaczenie mają między innymi:
👉 rzeczywista ocena ryzyka związanego z dostawcą,
👉 wymagania dotyczące bezpieczeństwa systemów i usług,
👉 zarządzanie dostępem do danych i informacji,
👉 reagowanie na incydenty,
👉 ciągłość działania,
👉 bezpieczeństwo łańcucha dostaw,
👉 oraz weryfikacja tego, czy wymagania postawione wykonawcy faktycznie są realizowane.

NIS2 i nowe podejście do cyberbezpieczeństwa jeszcze mocniej przesuwają ciężar z samej dokumentacji na rzeczywiste zarządzanie ryzykiem.

📍 Warszawa
📅 18 września 2026 r.
🕐 13:30–14:15

Jeżeli będziecie na konferencji, zapraszam na moje wystąpienie. A po nim oczywiście również do rozmowy. Chętnie wymienię się doświadczeniami z osobami, które na co dzień mierzą się z tymi zagadnieniami po stronie zamawiających, wykonawców i dostawców technologii.

Do zobaczenia w Warszawie 👋

01/09/2026

KSC to nie tylko procedury. To także personel.

Nowy wpis z serii CAB porządkuje szkolenia pracowników, roczne szkolenie kierownika oraz weryfikację niekaralności osób realizujących zadania z art. 8 lub art. 11 ustawy.

12/08/2026

Audyt KSC nie dotyczy wszystkich tak samo.

Podmioty kluczowe mają audyt cykliczny, podmioty ważne mogą mieć audyt na żądanie organu.

Nowy wpis z serii CAB porządkuje audyt, nadzór i kary w KSC — bez paniki, ale konkretnie. 👇

Audyt KSC, nadzór i kary: sprawdź, kiedy podmiot kluczowy musi przeprowadzić audyt, czym różni się nadzór nad podmiotami kluczowymi i ważnymi oraz jakie sankcje przewiduje ustawa.

31/07/2026

Incydenty w KSC: sprawdź, kiedy zdarzenie staje się incydentem poważnym, kiedy obowiązuje 24 h i 72 h oraz jaką rolę pełni S46.

08/07/2026

❌ Teczka NIS 2 nie wystarczy.

Dokumentacja SZBI powinna być adekwatna do statusu podmiotu, jego systemów informacyjnych i rzeczywistych obowiązków.

Nowy wpis z serii CAB „KSC po nowelizacji w praktyce” już na blogu. 👇

❌ Teczka NIS 2 nie wystarczy.

➡️ W kolejnym wpisie z serii „KSC po nowelizacji w praktyce” omawiamy dokumentację SZBI, ale bez sprowadzania jej do samego zestawu gotowych procedur.

➡️ Ustawa o KSC i FAQ Ministerstwa Cyfryzacji pokazują, że dokumentacja powinna być powiązana z rzeczywistym działaniem organizacji, jej systemami informacyjnymi i zakresem obowiązków.

➡️ Ważne jest też rozróżnienie statusu podmiotu. Inaczej wygląda pełny zakres obowiązków z art. 8 ustawy, a inaczej uproszczony model wymagań dla podmiotów ważnych będących podmiotami publicznymi, stosujących załącznik nr 4.

➡️ W nowym wpisie porządkujemy, czym jest dokumentacja normatywna i operacyjna, dlaczego gotowy pakiet dokumentów nie oznacza automatycznej zgodności oraz jak patrzeć na dokumentację w sposób adekwatny do danego podmiotu.

👇 👇 👇 👇👇 👇 👇 👇👇 👇 👇 👇👇 👇 👇 👇
https://cab.com.pl/2026/07/08/dokumentacja-szbi-w-ksc-dlaczego-sama-teczka-dokumentow-nie-wystarczy/

23/06/2026

📖 Wpis do Wykazu KSC to nie koniec tematu.

Trzeba jeszcze zadbać o kompletność danych, dostęp do S46, aktualizację wpisu i prawidłowe wskazanie osób do kontaktu.

👇 Nowy wpis z serii CAB „KSC po nowelizacji w praktyce” już na blogu. 👇

📖 Wykaz KSC i S46: wpis to nie tylko formalność.

W drugim wpisie z serii „KSC po nowelizacji w praktyce” omawiamy jeden z pierwszych praktycznych kroków dla podmiotów kluczowych i ważnych: wpis do Wykazu KSC oraz dostęp do Systemu S46 Cyber Hub.

Na podstawie ustawy o KSC i FAQ Ministerstwa Cyfryzacji wyjaśniamy, kiedy złożyć wniosek o wpis, jakie dane trzeba przygotować, co oznacza wpis z urzędu, jak korygować błędne dane, kiedy aktualizować wpis, kiedy podmiot uzyskuje dostęp do S46 i dlaczego sama forma prawna nie decyduje o objęciu ustawą.

Wykaz KSC ma służyć identyfikacji podmiotów, wymianie informacji o cyberbezpieczeństwie oraz prowadzeniu czynności nadzorczych. Dlatego warto potraktować go nie jako administracyjną listę, ale jako realny element wejścia do krajowego systemu cyberbezpieczeństwa.

👉https://cab.com.pl/2026/06/23/wykaz-ksc-i-s46-wpis-dane-terminy-i-aktualizacja/

, , , , , , , , ,

11/06/2026

📌 KSC po nowelizacji to nie tylko „temat dla IT”.

Pierwszy krok to ustalenie, czy organizacja spełnia przesłanki uznania za podmiot kluczowy albo ważny.

Nowy wpis otwiera serię CAB: KSC po nowelizacji w praktyce.

📌 KSC po nowelizacji: od czego organizacja powinna zacząć?

Po zakończeniu serii o wytycznych ENISA przechodzimy do polskiej ustawy o krajowym systemie cyberbezpieczeństwa po nowelizacji oraz FAQ Ministerstwa Cyfryzacji.

I zaczynamy od podstawowego pytania:
czy organizacja spełnia przesłanki uznania za podmiot kluczowy albo podmiot ważny?

To właśnie od tej odpowiedzi zależy:
➡️ obowiązek wpisu do Wykazu KSC,
➡️ terminy realizacji obowiązków,
➡️ wdrożenie SZBI,
➡️ korzystanie z S46,
➡️ obowiązki dotyczące incydentów,
➡️ a w przypadku podmiotów kluczowych także audyt.

W nowym wpisie otwieramy serię „KSC po nowelizacji w praktyce”.

Na początek: samoidentyfikacja, status podmiotu, Wykaz KSC i najważniejsze terminy.
👉https://cab.com.pl/2026/06/11/ksc-po-nowelizacji-od-czego-organizacja-powinna-zaczac/

27/05/2026

🔒 Cyberbezpieczeństwo to nie tylko systemy.

To także zasilanie, chłodzenie, łączność, kontrola wejść, serwerownie i fizyczna ochrona aktywów.

Nowy wpis z serii NIS 2: bezpieczeństwo fizyczne i środowiskowe według ENISA już dziś na CAB! 👇🏻

🔒 Cyberbezpieczeństwo ma też drzwi, zasilanie i temperaturę.

W ostatnim wpisie naszej serii o wytycznych ENISA do NIS 2 przechodzimy do bezpieczeństwa fizycznego i środowiskowego.

Bo systemy informacyjne nie działają w próżni. Potrzebują zasilania, chłodzenia, łączności, zabezpieczonych pomieszczeń i kontroli dostępu fizycznego.

ENISA pokazuje, że organizacja powinna uwzględniać w ocenie ryzyka m.in.:
➡️ awarie zasilania, łączności, klimatyzacji i innych usług wspierających,
➡️ zagrożenia fizyczne i środowiskowe,
➡️ ochronę serwerowni, biur i pomieszczeń technicznych,
➡️ fizyczną kontrolę dostępu,
➡️ monitoring wejść, gości i dostawców,
➡️ testowanie zabezpieczeń fizycznych.

To dobre domknięcie całej serii, bo przypomina, że odporność organizacji nie kończy się na firewallu, MFA i procedurach.

Kończy się dopiero tam, gdzie kończy się realna zdolność do utrzymania działania usług.

👉 Tekst już dziś dostępny na CAB! 👉https://cab.com.pl/2026/05/27/bezpieczenstwo-fizyczne-i-srodowiskowe-w-nis-2/

21/05/2026

Nowy wpis z serii NIS 2: zarządzanie aktywami według ENISA, czyli klasyfikacja, inwentaryzacja, nośniki wymienne i kontrola zasobów w całym cyklu życia już dziś na CAB!

📊 Nie zabezpieczysz tego, czego nie znasz.

W NIS 2 zarządzanie aktywami nie oznacza tylko ewidencji sprzętu.

ENISA pokazuje ten obszar znacznie szerzej: jako fundament zarządzania ryzykiem, kontroli dostępu, ciągłości działania i ochrony informacji.

Organizacja powinna wiedzieć:
➡️ jakie aktywa posiada,
➡️ gdzie się znajdują,
➡️ kto za nie odpowiada,
➡️ jaką mają klasyfikację,
➡️ jakie dane przetwarzają,
➡️ jak są obsługiwane, przenoszone i usuwane,
➡️ co dzieje się z nimi po zakończeniu współpracy z pracownikiem lub dostawcą.

Bez aktualnej klasyfikacji i inwentaryzacji aktywów organizacja nie wie, co naprawdę chroni.

W nowym wpisie na blogu Centrum Audytu Bezpieczeństwa omawiamy zarządzanie aktywami według wytycznych ENISA do NIS 2: od klasyfikacji informacji, przez nośniki wymienne, po rejestr aktywów i zwrot zasobów po zakończeniu współpracy.

👉https://cab.com.pl/2026/05/21/zarzadzanie-aktywami-w-nis-2/