Ransomware, awaria zasilania, zalane serwerownia albo magazyn. Pytanie nie brzmi, czy to się zdarzy, tylko ile potrwa i kto będzie wiedział, co robić. Budujemy plan ciągłości działania, piszemy procedury na incydent i sprawdzamy je ćwiczeniem — a przy okazji porządkujemy obowiązki z ustawy o KSC.
Wodociągi, ciepłownia czy przedsiębiorstwo gospodarki komunalnej dostarczają usługi, bez których miasto staje — a jednocześnie mają kilkuosobowy dział IT i jednego człowieka, który „zna te systemy”. Gdy on jest na urlopie, a o drugiej w nocy pojawia się żądanie okupu, plan istnieje albo nie istnieje. Trzeciej możliwości nie ma.
Gmina i jej spółka komunalna to dwa odrębne podmioty z odrębnymi obowiązkami. Spółka często trafia pod ustawę własną ścieżką — przez sektor zaopatrzenia w wodę pitną, ścieków albo energii — i bywa, że nikt tego nie sprawdził, bo „urząd się tym zajmuje”.
Dokument napisany pod audyt, którego nikt nie czytał od trzech lat i który nie przewiduje, że awaria wypadnie w sobotę. Sprawdzamy plany tak, jak sprawdza je rzeczywistość — ćwiczeniem, nie przeglądem zapisów.
Backup „się robi” i świeci na zielono. Pytanie brzmi, ile trwa odtworzenie i czy w ogóle się udaje — bo to pierwsza rzecz, którą sprawdza się po ataku, i najgorszy moment na odkrycie, że nie działa.
Zgłoszenie do CSIRT w ciągu 24 godzin to decyzja zarządu, nie administratora. Jeśli nikt poza informatykiem nie wie, że taki obowiązek istnieje, termin minie, zanim ktokolwiek zdąży o nim pomyśleć.
Nowelizacja wdrażająca dyrektywę NIS2 obowiązuje od 3 kwietnia 2026 r. Zamiast operatorów usług kluczowych pojawiają się podmioty kluczowe i podmioty ważne, a katalog objętych sektorów jest znacznie szerszy niż wcześniej.
Firma podlega ustawie, jeśli działa w sektorze z załącznika nr 1 lub 2 i jest co najmniej średnim przedsiębiorstwem — co najmniej 50 osób albo obrót lub suma bilansowa powyżej 10 mln euro. Rozstrzyga art. 5 ustawy, a diabeł siedzi w definicjach sektorowych.
Podmiot sam ocenia swój status i składa wniosek o wpis. Brak wpisu jest odrębnym naruszeniem — niezależnym od tego, jak dobrze firma jest zabezpieczona technicznie.
Wczesne ostrzeżenie do 24 godzin od wykrycia, pełne zgłoszenie do 72 godzin, sprawozdanie końcowe do miesiąca. Terminy biegną od wykrycia — niezależnie od dnia tygodnia i pory.
Analiza ryzyka, kontrola dostępu, ciągłość działania, bezpieczeństwo łańcucha dostaw, monitoring i testowanie zabezpieczeń. To tu jest właściwa praca i to ona wymaga miesięcy, nie tygodni.
Pracujemy tak samo jak z gminami i organizacjami: od oceny realnego ryzyka, przez procedury, po przećwiczenie ich z ludźmi. Zgodność z przepisami jest efektem ubocznym dobrze zrobionej ciągłości działania, a nie celem samym w sobie.
Ustalamy, czy i jako jaki podmiot firma podlega ustawie, i dokumentujemy tok rozumowania — bo przy kontroli liczy się uzasadnienie, nie sama odpowiedź. Do tego rejestr ryzyk z priorytetami dla Waszych realnych procesów. Rezultat: raport i decyzja co do wpisu. 2–3 tygodnie.
Które procesy muszą działać i w jakim czasie trzeba je odtworzyć. Role, zastępstwa, procedury awaryjne, obieg dokumentów bez systemów. Dokument na kilkanaście stron, którego da się użyć pod presją. Rezultat: plan gotowy do zatwierdzenia przez zarząd. 2–4 tygodnie.
Kto zgłasza, do kogo i w jakim czasie — z kartą, która działa o drugiej w nocy. A potem najkonkretniejsza rzecz w całej ofercie: odtwarzamy kopię zapasową i mierzymy czas. Nie pytamy, czy backup jest. Sprawdzamy, czy działa.
Scenariusz utraty systemów rozgrywany z Waszym zespołem, pierwsza pomoc dla pracowników wyznaczonych zgodnie z Kodeksem pracy, ewakuacja obiektu. Ćwiczymy, nie wykładamy. 1–3 dni.
Jeden dzień, scenariusz utraty systemów informatycznych: obieg dokumentów, obsługa klienta, decyzje, komunikacja. Procedury awaryjne powstają na miejscu, z Waszym zespołem. Kończy się raportem z luk — najtańszy sposób, żeby sprawdzić, ile naprawdę wart jest obecny plan.
Pracodawca ma obowiązek wyznaczyć i przeszkolić pracowników do udzielania pierwszej pomocy. Prowadzimy to u Was, na manekinach i w realiach Waszego obiektu — z blokiem przy zgaszonym świetle, bo awaria nie wybiera pory dnia.
Przegląd planu raz w roku, test odtworzenia kopii co kwartał, jedno ćwiczenie weryfikacyjne rocznie. Stała pozycja w budżecie zamiast dużego projektu raz na kilka lat, gdy dokumenty się zestarzeją.
Radiowe sieci mesh i łącze satelitarne dla zakładów rozproszonych na dużym terenie albo działających tam, gdzie zasięg bywa zawodny — ujęcia wody, przepompownie, place składowe. Instalacja, testy i przekazanie obsługi.
Bo to nie jest zadanie działu IT. Wasi administratorzy wiedzą o systemach więcej niż my — ale ciągłość działania to decyzje zarządu, role poza godzinami pracy i procedury dla ludzi spoza informatyki. Do tego jest zasada, którą warto znać: nikt nie testuje własnej pracy obiektywnie. Ćwiczenie prowadzone z zewnątrz pokazuje rzeczy, które dla zespołu są niewidoczne, bo „przecież wszyscy wiedzą, jak to działa”.
To najczęstszy punkt wyjścia i osobna, zamknięta usługa. Przechodzimy przez art. 5 i załączniki, sprawdzamy definicję sektorową i progi wielkości, a wynik dostajecie z uzasadnieniem — bo przy kontroli liczy się tok rozumowania, nie samo „uznaliśmy, że nie”. Jeśli okaże się, że nie podlegacie, powiemy to wprost i na tym skończymy.
Nie — i to nie jest wykręt, tylko przepis. Ustawowy audyt wykonuje jednostka oceniająca zgodność albo audytorzy z odpowiednimi uprawnieniami, a ustawa wymaga ich niezależności: audytu nie może przeprowadzić ten, kto realizował u Was zadania z cyberbezpieczeństwa. Jesteśmy po stronie wdrożenia i ćwiczeń. Chętnie wskażemy, czego audytor będzie szukał, żebyście podeszli do niego przygotowani.
Odwrotnie niż się wydaje. Forpost prowadzi jedna osoba: 23 lata w IT — od administrowania klastrami wysokiej dostępności, przez DevOps, po zarządzanie ryzykiem i bezpieczeństwo systemów — plus praktyka terenowa. Ciągłość działania to dokładnie ten punkt, w którym te dwa światy się spotykają. Nie robimy pentestów ani wdrożeń SOC; robimy to, co dzieje się zanim i po.
Powiemy wprost, czy ustawa Was dotyczy, od czego zacząć i co da się zrobić własnymi siłami, a co wymaga wsparcia. Bez zobowiązań — a jeśli potrzebujesz materiału na posiedzenie zarządu, przygotujemy krótkie podsumowanie z rozmowy.