lista pytań pyta, czy kierownictwo jest zaangażowane w cyberbezpieczeństwo

Zaangażowanie organów zarządzających jest oddzielnym obowiązkiem wynikającym z NIS2, niezależnie od dziesięciu środków

To pytanie nie dotyczy techniki, ale ładu korporacyjnego: czy kierownictwo samo jest zaangażowane w cyberbezpieczeństwo, czy też zostało to całkowicie oddelegowane IT. Artykuł 21 ust. 2 dyrektywy NIS2 zawiera same dziesięć środków, ale artykuł 20 dyrektywy dodatkowo zobowiązuje organy zarządzające do zatwierdzenia środków zarządzania ryzykiem i nadzorowania ich wdrożenia, a członków zarządu do szkolenia w celu oceny zagrożeń cybernetycznych. Jest to zatem oddzielny punkt ankiety: nie "jakie środki pan/pani wdrażaja", ale "czy kierownictwo wie o tym i zatwierdza to".

Jako dowód najczęściej uznaje się fragment protokołu z posiedzenia, w którym kierownictwo ustaliło lub oceniło politykę bezpieczeństwa, schemat organizacyjny pokazujący linie raportowania do kierownictwa lub punkt porządku obrad z okresowego spotkania kierownictwa dotyczącego ryzyka cybernetycznego. Jeśli tego brakuje, "nie" jest tu uczciwą odpowiedzią — dostawca, który to uzupełni bez dokumentu, ryzykuje, że jego klient wróci do tego później. To pytanie często wiąże się z pytaniem czy skuteczność środków bezpieczeństwa jest okresowo testowana, gdyż testowanie bez działań kierownictwa jest dla klienta odpowiedzią połowiczną. Istotne jest również, czy pana/pani przedsiębiorstwo samo podlega dyrektywie NIS2, ponieważ wtedy to nie tylko pytanie od pana/pani klienta, ale wytycznym obowiązek prawny od 15 sierpnia 2026 r., kiedy wejdzie w życie Ustawa o cyberbezpieczeństwie.

Skąd to pochodzi: artykuł 20 obok artykułu 21 NIS2

Artykuł 20 Dyrektywy (UE) 2022/2555 reguluje odpowiedzialność i zaangażowanie organów zarządzających, niezależnie od dziesięciu merytorycznych środków zawartych w artykule 21 ust. 2; ISO/IEC 27001 nie ma w Załączniku A dosłownego odpowiednika, ale wymaga poprzez zasady podstawowe normy (klauzula 5, przywództwo) wykazalnego zaangażowania kierownictwa, które często jest dostarczane jako oddzielny dowód obok środków Załącznika A.

Na czym to się opiera

Sama rozporządzenie znajduje się na EUR-Lex. Powołujemy się na każde stwierdzenie; nie musisz nam wierzyć.

Co konkretnie musisz zrobić

Szczegóły dla każdego obowiązku, wraz z mającymi zastosowanie terminami i szablonami do ich dokumentacji, znajdują się w subskrypcji.

Zapoznaj się z subskrypcją Najpierw bezpłatny szybki przegląd

To nie jest porada prawna. Ta strona zawiera ogólne informacje o przepisach, których dotyczy ta platforma. Nie znamy Twojej sytuacji. W razie wątpliwości co do Twojego konkretnego przypadku skonsultuj się z prawnikiem lub właściwym organem nadzoru.

Napisane za pomocą AI na podstawie powyższych źródeł, sprawdzane przez człowieka w dniu 2026-09-05. Coś się nie zgadza? Daj nam znać — poprawki mają priorytet.