Wdrożenie NIS2. System, który działa, a nie teczka dokumentów Wdrożenie SZBI zgodnego z ustawą o krajowym systemie cyberbezpieczeństwa (NIS2) i ISO/IEC 27001: ryzyko, role, procedury, ciągłość działania i przeszkolony personel.
- 4–10 tygodni
- od 10 000 zł
- Warsztatowo, zdalnie i w siedzibie
- SZBI prowadzony na platformie
Dokumenty to za mało
Ustawa wymaga, żeby bezpieczeństwo działało naprawdę. Dlatego wdrażamy obie części dokumentacji SZBI: to, co opisuje system, i dowody, że działa.
Dokumentacja normatywna: jak ma działać
Polityki i procedury pisane pod realia Waszej organizacji, nie pod szablon.
- polityka bezpieczeństwa informacji i polityki tematyczne
- procedury: dostępy, incydenty, kopie i ciągłość, zmiany, dostawcy
- metodyka szacowania ryzyka i plany ciągłości działania
Dokumentacja operacyjna: dowód, że działa
Potwierdzenie wykonania tego, co opisują dokumenty — prowadzone na platformie, a nie w segregatorze.
- rejestry ryzyk, incydentów i aktywów z historią zmian
- zadania z właścicielami, terminami i potwierdzeniem wykonania
- wyniki szkoleń, przeglądów i testów
Kupiona dokumentacja nie wystarczy. Organizacja musi znać swoje aktywa i ryzyka oraz stosować procedury w praktyce, a dokumentacja SZBI obejmuje część normatywną i operacyjną.
Kiedy wdrożyć SZBI
Najczęstsze sytuacje, w których zaczynamy wdrożenie.
- Po audycie
Macie listę luk i plan działań. Teraz trzeba je zamknąć i przełożyć na codzienną pracę.
Audyt NIS2 - Przed certyfikacją ISO 27001
Certyfikat jest efektem działającego systemu. Zaczynamy od systemu.
Poradnik: od czego zacząć - Po kontroli z zaleceniami
Zalecenia zamieniamy w zadania z terminami i dowody ich wykonania.
Poradnik po kontroli - Dokumenty są, ale martwe
Polityka sprzed lat, rejestr ryzyk z jednym wpisem. Ożywiamy system, zamiast pisać kolejny.
Poradnik: martwa dokumentacja - Nikt nie odpowiada za bezpieczeństwo
Przypisujemy role, a prowadzenie systemu możecie potem powierzyć nam.
Poradnik: brak osoby
Co wdrażamy
SZBI łączy ludzi, procesy i technologię. Proces prowadzimy tak, żeby nie paraliżować codziennej pracy organizacji.
Ocena i ryzyko
- ocena dojrzałości i gotowości na NIS2 i ISO 27001
- analiza ryzyka: zagrożenia, wpływ na działalność, priorytety
- plan postępowania z ryzykiem
Zasady i dokumentacja
- polityka bezpieczeństwa informacji: cele, zasady, odpowiedzialności
- procedury: dostępy, incydenty, kopie i ciągłość, zmiany, dostawcy
- rejestry ryzyk, incydentów i aktywów, plany ciągłości działania
Uruchomienie
- zarządzenia wykonawcze i przydzielone role
- procedury wdrożone w życie i proces utrzymania SZBI
- wsparcie przy wpisie do wykazu, w Systemie S46 i w kanałach zgłoszeń do CSIRT
Przeszkoleni pracownicy i kierownictwo to część systemu, a nie dodatek.
- Cyber Course: 12 modułów szkoleniowych i test wiedzy
- 2 kontrolowane kampanie phishingowe
- dashboard postępów i certyfikaty ukończenia
- coroczne szkolenie kierownictwa wymagane ustawą
Obowiązki ustawy i to, co wdrażamy
Co trzeba zrobić według ustawy o KSC, jak to realizujemy i gdzie widać to na platformie.
| Obowiązek | Co wdrażamy | Na platformie |
|---|---|---|
| Szacowanie ryzyka i zarządzanie nim | metodyka, analiza ryzyka, plan postępowania z ryzykiem | rejestr ryzyk z właścicielami i decyzjami |
| Polityki bezpieczeństwa | polityka bezpieczeństwa informacji i polityki tematyczne | dokumenty z wersjami i terminami przeglądu |
| Role i odpowiedzialności | przydział ról, zarządzenia, upoważnienia | role i zadania przypisane do osób |
| Środki techniczne i organizacyjne | procedury: dostępy, aktualizacje, aktywa, zmiany | polityki techniczne z wynikami z urządzeń |
| Incydenty i kontakt z CSIRT | procedura reagowania, kanały zgłoszeń, rejestr incydentów | obsługa incydentu i terminy zgłoszeń |
| Ciągłość działania | plany ciągłości i odtwarzania, zasady kopii zapasowych | testy i przeglądy w rocznym planie SZBI |
| Łańcuch dostaw | zasady wobec dostawców, przegląd umów | zadania przeglądu dostawców |
| Szkolenia personelu i kierownika | Cyber Course, szkolenie kierownictwa | wyniki szkoleń i certyfikaty |
| Wpis do wykazu i System S46 | wsparcie przy wniosku i ustaleniu dyżurów | zadania z terminami |
Jak przebiega wdrożenie
Od 4 do 10 tygodni, zależnie od wielkości organizacji i tego, co już macie.
- Rozmowa wstępnabezpłatnie
Co już macie, czego brakuje, zakres i wycena z góry.
- Ocena dojrzałości
Stan organizacji i gotowość na NIS2. Po audycie przechodzimy od razu do analizy ryzyka.
- Analiza ryzyka
Co naprawdę ma znaczenie, a co jest tylko formalnością.
- Polityki i procedury
Warsztaty z osobami odpowiedzialnymi za procesy.
- Wdrożenie i szkolenia
Zarządzenia, role, procedury w życiu, przeszkolony zespół.
- Uruchomienie utrzymania
System prowadzony na platformie, przez Was albo przez nas.
Co otrzymujesz
Dobrze zaprojektowany SZBI to system zarządzania ryzykiem, który wspiera decyzje zarządu i realnie chroni organizację.
Checklista elementów systemu i dokumentacji (PDF). Wyślemy ją na podany adres.
Dziękujemy, checklista jest w drodze.
- Zgodność z wymogami
Prawa, NIS2 i ISO/IEC 27001.
- Uporządkowana odpowiedzialność
Wiadomo, kto za co odpowiada i kto podejmuje decyzje.
- Działające procedury
Zasady, które ludzie znają i stosują, a nie tylko podpisali.
- Gotowość na audyt i certyfikację
System gotowy do audytu, certyfikacji i dalszego utrzymania.
- SZBI na platformie
Rejestr ryzyk i plan postępowania, deklaracja stosowania, roczny plan SZBI, role i polityki techniczne.
Co zostaje po stronie kierownictwa
Ustawa przypisuje odpowiedzialność za system kierownikowi podmiotu. Pomagamy ją wykonywać.
Obowiązki kierownika
- decyzje o przygotowaniu, wdrożeniu, przeglądzie i nadzorze SZBI
- adekwatne środki finansowe na cyberbezpieczeństwo
- przydział zadań i nadzór nad ich wykonaniem
- świadomość personelu i znajomość wewnętrznych zasad
- coroczne szkolenie z cyberbezpieczeństwa
Jak pomagamy
- rekomendacje do akceptacji czekają w panelu zarządzania
- raporty o stanie systemu generujesz na platformie w każdej chwili
- role i zadania mają właścicieli i terminy, więc nadzór jest prosty
- szkolenie kierownictwa „Cyberbezpieczeństwo w decyzjach kierownika”
Cena
Cena zależy od wielkości organizacji, zakresu i stopnia złożoności. Wycenę podajemy z góry, po rozmowie wstępnej.
4–10 tygodni, warsztatowo, komplet dokumentacji i uruchomienie systemu.
90-dniowa kampania szkoleń i testów, według liczby użytkowników.
Pytania o wdrożenie
Nie ma tu Twojego pytania?Zadzwoń: +48 699 587 011 albo umów spotkanie.
Mamy ISO 27001. Czy zaczynamy od zera?
Nie. Wykorzystujemy istniejącą dokumentację i uzupełniamy ją o to, czego wymaga ustawa o KSC.
Czy wystarczy kupić gotową dokumentację?
Nie. Ustawa wymaga, żeby system działał w praktyce: żeby organizacja znała swoje ryzyka i stosowała procedury. Dokumenty bez wdrożenia tego nie zapewnią.
Ile czasu zajmie to mojemu zespołowi?
Zaangażowanie jest zaplanowane i ograniczone: warsztaty z osobami odpowiedzialnymi za procesy i przegląd dokumentów. Terminy ustalamy na starcie.
Czy system będzie gotowy do certyfikacji?
Tak. Wdrożony SZBI jest gotowy do audytu, certyfikacji ISO 27001 i dalszego utrzymania.
Kto prowadzi SZBI po wdrożeniu?
Wasz zespół albo my, w ramach Outsourcingu. Ustawa pozwala powierzyć część zadań zewnętrznemu dostawcy usług zarządzanych.
Czy musimy mieć SOC?
Ustawa nie narzuca konkretnych rozwiązań. Całodobowy monitoring z zespołem SOC oferujemy w rozszerzeniu Outsourcingu Odporność 24/7, jeśli Wasza sytuacja tego wymaga.
Zanim zdecydujesz
Poradniki i nagranie webinaru z naszej bazy wiedzy.
Zapytaj o wdrożenie
Albo zacznij od rozmowy. Ustalimy:
- co z Waszej dokumentacji da się wykorzystać
- czego wymaga od Was ustawa o KSC
- ile potrwa wdrożenie i kto musi w nim uczestniczyć
- zakres i wycenę z góry
Rozmowę prowadzi konsultant FortCyber z doświadczeniem CISO i audytora SZBI.
Trwa incydent? Zadzwoń: +48 699 587 010
Odezwiemy się w ciągu jednego dnia roboczego.