Słownik NIS2 i cyberbezpieczeństwa

48 pojęć

A

Akceptacja ryzyka

Akceptacja ryzyka to świadoma decyzja uprawnionego właściciela, że pozostałe ryzyko jest tolerowane przez określony czas i na określonych warunkach. Powinna być udokumentowana i cyklicznie przeglądana — wraz z żywą analizą ryzyka stanowi dowód działania systemu zarządzania.

Aktywo

Aktywo to wszystko, co ma wartość dla organizacji lub wspiera świadczenie usługi: dane, system, urządzenie, człowiek, lokalizacja, dostawca czy reputacja. Aktualna inwentaryzacja aktywów jest fundamentem analizy ryzyka i jednym z obowiązkowych obszarów SZBI według ustawy KSC.

Analiza GAP

Analiza GAP to porównanie stanu obecnego organizacji ze stanem wymaganym, wraz z dowodami, lukami, oceną ryzyka i planem działań. W programach NIS2/KSC wykonuje się ją na starcie, aby z realnych luk wyprowadzić priorytety i budżet, zamiast kupować zabezpieczenia w ciemno.

Analiza ryzyka

Analiza ryzyka to proces identyfikacji zagrożeń i podatności oraz oceny prawdopodobieństwa i skutków incydentów dla organizacji. Jest fundamentem SZBI: z niej wynikają proporcjonalne środki bezpieczeństwa i plan postępowania z ryzykiem. W kontroli broni się analiza żywa — z datami przeglądów i decyzjami — a nie jednorazowy dokument sprzed dwóch lat.

Audyt bezpieczeństwa

Audyt bezpieczeństwa to obowiązkowe dla podmiotów kluczowych badanie systemu informacyjnego, wykonywane przez akredytowaną jednostkę oceniającą lub audytorów o kwalifikacjach określonych w przepisach. Pierwszy audyt przypada w ciągu 24 miesięcy od spełnienia przesłanek (dla podmiotów istniejących w dniu wejścia ustawy — do 3 kwietnia 2028 r.), kolejne co najmniej raz na 3 lata. Raport przekazuje się organowi właściwemu.

B

BCP

BCP (Business Continuity Plan) to plan utrzymania lub wznowienia działalności biznesowej podczas zakłócenia. Obejmuje m.in. procedury ręczne, zmianę lokalizacji, pracę w trybie ograniczonym i komunikację — w odróżnieniu od DRP, który opisuje odtworzenie technologii.

BIA

BIA (Business Impact Analysis) to analiza skutków przerwy w działaniu procesów biznesowych oraz ich wzajemnych zależności. Z BIA wynikają parametry ciągłości działania (m.in. RTO i RPO) i priorytety odtwarzania — ustalane przez właścicieli procesów, nie przez IT.

C

CSIRT

CSIRT to zespół reagowania na incydenty bezpieczeństwa komputerowego, do którego podmioty KSC zgłaszają incydenty poważne. W Polsce działają trzy CSIRT-y poziomu krajowego: CSIRT NASK (sektor prywatny i większość podmiotów — domyślny adres dla typowej firmy), CSIRT GOV (administracja i infrastruktura krytyczna) oraz CSIRT MON (obszar obronny).

Cyberhigiena

Cyberhigiena to podstawowe, regularne praktyki zmniejszające ryzyko: aktualizacje, MFA, bezpieczne hasła, czujność na phishing i kopie zapasowe. Ustawa KSC wymienia cyberhigienę i szkolenia wśród obowiązkowych obszarów systemu zarządzania bezpieczeństwem informacji.

D

DLP

DLP to technologia i proces ograniczające niekontrolowany przepływ określonych informacji poza organizację. Wdraża się je adekwatnie do ryzyka — na przykład dla danych objętych tajemnicą przedsiębiorstwa lub danych osobowych — a nie jako obowiązkowy produkt z katalogu.

Dostawca wysokiego ryzyka

Dostawca wysokiego ryzyka (DWR) to dostawca sprzętu lub usług ICT uznany decyzją Ministra Cyfryzacji — po opinii Kolegium do Spraw Cyberbezpieczeństwa — za zagrożenie m.in. dla bezpieczeństwa państwa. Podmioty objęte ustawą nie mogą wprowadzać jego produktów i usług do wskazanych systemów, a posiadane muszą wycofać w ciągu 7 lat. Dostawcy przysługuje skarga do sądu administracyjnego.

DR

DR (Disaster Recovery) to zdolność odtworzenia usług technologicznych po poważnym zakłóceniu. Sam backup to tylko źródło danych — DR obejmuje także środowisko odtworzenia, kolejność systemów, sieć, tożsamość, ludzi i przetestowane procedury.

DRP

DRP (Disaster Recovery Plan) to plan odtworzenia systemów, danych i infrastruktury po awarii lub ataku. Powinien mieć określone parametry odtworzenia (RTO/RPO), właścicieli oraz raportowane testy — plan nietestowany jest deklaracją, nie zabezpieczeniem.

E

EDR

EDR to ochrona, monitoring i reakcja na stacjach roboczych oraz serwerach. Daje widoczność zachowań, możliwość izolacji urządzenia i analizy zdarzeń. Ustawa KSC go nie nakazuje — jest technologicznie neutralna — ale dla wielu organizacji to rozsądny sposób realizacji wymogu wykrywania i reagowania.

G

GRC

GRC to narzędzia i procesy wspierające ład organizacyjny, zarządzanie ryzykiem i zgodność. Platforma GRC ma sens, gdy skala, liczba jednostek i kontroli uzasadnia jej koszt; mniejsze organizacje mogą utrzymywać rejestry, odpowiedzialności i cykl przeglądów w prostych narzędziach.

I

IAM

IAM to zarządzanie cyklem życia tożsamości i uprawnień: nadawaniem, zmianą i odbieraniem dostępów. Wspiera zasadę minimalnych uprawnień i porządek w offboardingu — procesy wprost wymagane w katalogu SZBI ustawy KSC.

Incydent

Incydent to każde zdarzenie naruszające lub mogące naruszyć bezpieczeństwo, dostępność, integralność, poufność lub autentyczność systemu informacyjnego. Każdy incydent obsługuje się i rejestruje wewnętrznie; obowiązek zgłoszenia do CSIRT uruchamia dopiero incydent poważny.

Incydent krytyczny

Incydent krytyczny to incydent o skutkach dla bezpieczeństwa państwa lub znacznej części społeczeństwa. Jest obsługiwany na poziomie krajowym i może uruchomić nadzwyczajne instrumenty państwa, w tym polecenie zabezpieczające ministra.

Incydent poważny

Incydent poważny to incydent, który powoduje lub może spowodować poważne zakłócenie świadczenia usług albo istotne straty finansowe bądź dotyka innych podmiotów lub osób. Uruchamia zegar zgłoszeń do właściwego CSIRT: wczesne ostrzeżenie w 24 godziny od wykrycia, zgłoszenie w 72 godziny i raport końcowy zasadniczo w ciągu miesiąca. Progi i kryteria doprecyzowują przepisy.

K

Kierownik podmiotu

Kierownik podmiotu kluczowego lub ważnego to w spółkach co do zasady cały zarząd — adresat osobistej odpowiedzialności za realizację obowiązków KSC. Zatwierdza SZBI i dokumentację, nadzoruje wdrożenie, przechodzi coroczne szkolenie i podlega karze pieniężnej do 300% własnego wynagrodzenia. Zadania można delegować — odpowiedzialności nie.

KPI

KPI (Key Performance Indicator) to miernik wykonania lub skuteczności procesu. W SZBI wskaźniki KPI pozwalają zarządowi ocenić, czy system działa — np. odsetek przetestowanych planów odtworzenia albo terminowość przeglądów ryzyka.

KRI

KRI (Key Risk Indicator) to wskaźnik ostrzegający o zmianie poziomu ryzyka, zanim zmaterializuje się incydent. Przykłady: liczba niezałatanych podatności krytycznych czy kont uprzywilejowanych bez MFA.

M

MBCO

MBCO to minimalny akceptowalny poziom działania procesu podczas zakłócenia. Określa go właściciel procesu w ramach BIA — wyznacza, co organizacja musi utrzymać nawet w trybie awaryjnym.

MDR

MDR to usługa zarządzanej detekcji i reakcji, zwykle obejmująca całodobowy monitoring oraz wsparcie reakcji na incydenty. Dla wielu średnich firm to praktyczny sposób spełnienia wymogu wykrywania i zgłaszania w terminach 24/72 godziny bez budowy własnego SOC.

MFA

MFA to uwierzytelnianie wieloskładnikowe, wymagające więcej niż jednego niezależnego czynnika (np. hasło plus aplikacja lub klucz sprzętowy). Katalog SZBI wymienia je wprost; absolutne minimum to dostępy zdalne i uprzywilejowane.

MTPD

MTPD to maksymalny tolerowany okres zakłócenia, po którym skutki dla organizacji stają się nieakceptowalne. Wyznacza go biznes w ramach BIA; z MTPD wynika, jak ambitne musi być RTO.

N

NDR

NDR to wykrywanie i analiza zagrożeń na podstawie ruchu sieciowego. Uzupełnia EDR o widoczność zdarzeń między systemami — także tam, gdzie nie da się zainstalować agenta, np. w części środowisk OT.

NIS2

NIS2 to dyrektywa UE 2022/2555 w sprawie wspólnego wysokiego poziomu cyberbezpieczeństwa w Unii. Zamiast wyznaczać pojedyncze firmy decyzjami, definiuje całe sektory i progi wielkości, a obowiązek ustalenia podlegania przenosi na przedsiębiorstwa. W Polsce wdrożona nowelizacją ustawy o KSC, obowiązującą od 3 kwietnia 2026 r.

O

Organ właściwy

Organ właściwy do spraw cyberbezpieczeństwa to minister nadzorujący dany sektor — np. zdrowie nadzoruje minister zdrowia, a energię minister właściwy ds. energii. Kontroluje podmioty (kluczowe także planowo), żąda informacji, wydaje zalecenia i nakazy oraz nakłada kary pieniężne.

P

PAM

PAM to zarządzanie i ochrona kont oraz sesji uprzywilejowanych: sejf haseł, rotacja, rejestrowanie sesji i kontrola dostępu awaryjnego. Konta administratorów i zdalny dostęp serwisowy to najczęstszy cel ataków — dlatego PAM należy do priorytetów wdrożeń KSC.

Podatność

Podatność to słabość systemu, procesu lub organizacji, która może zostać wykorzystana przez zagrożenie. Zarządzanie podatnościami — identyfikowanie i łatanie luk w rozsądnych terminach — jest wprost wymienione w katalogu SZBI ustawy KSC.

Podmiot kluczowy

Podmiot kluczowy to kategoria z ustawy KSC obejmująca co do zasady duże przedsiębiorstwa z sektorów załącznika nr 1. Podlega nadzorowi proaktywnemu (kontrole planowe, bez szczególnego powodu) i obowiązkowemu audytowi co najmniej raz na 3 lata, a maksymalna kara to 10 mln EUR lub 2% rocznego obrotu. Katalog zabezpieczeń jest niemal identyczny jak dla podmiotu ważnego — różni się ciśnienie nadzorcze.

Podmiot ważny

Podmiot ważny to druga kategoria z ustawy KSC — co do zasady średnie firmy z załącznika nr 1 oraz średnie i duże z załącznika nr 2. Nadzór jest reaktywny (kontrola po sygnale, skardze lub incydencie), audyt wykonuje się na żądanie organu, a pułap kar to 7 mln EUR lub 1,4% obrotu. Standard samych zabezpieczeń powinien być porównywalny z podmiotem kluczowym.

Polecenie zabezpieczające

Polecenie zabezpieczające to nadzwyczajny instrument ministra stosowany przy incydencie krytycznym: decyzja nakazująca określonym podmiotom konkretne zachowanie na czas oznaczony, np. instalację poprawki, szczególną konfigurację lub odcięcie komunikacji ze wskazanymi adresami. Pozwala państwu wymusić skoordynowaną reakcję całych sektorów w godzinach, nie tygodniach.

R

RPO

RPO (Recovery Point Objective) to maksymalna akceptowalna utrata danych wyrażona jako czas od ostatniego możliwego punktu odtworzenia. RPO równe jednej godzinie oznacza, że po awarii dane mogą być starsze najwyżej o godzinę. Parametr ustala właściciel procesu na podstawie BIA.

RTO

RTO (Recovery Time Objective) to docelowy czas przywrócenia procesu, usługi lub systemu po zakłóceniu. System z RTO równym osiem godzin ma wrócić do działania w ciągu ośmiu godzin. RTO ustala biznes, nie IT — bo to właściciel procesu zna koszt godziny przestoju.

Ryzyko rezydualne

Ryzyko rezydualne to ryzyko pozostające po uwzględnieniu istniejących lub planowanych zabezpieczeń. Powinno zostać ocenione i formalnie zaakceptowane przez właściciela ryzyka — świadoma akceptacja to decyzja zarządcza, nie brak działania.

S

S46

S46 to rządowa platforma, przez którą biegnie komunikacja w krajowym systemie cyberbezpieczeństwa: rejestracja, zgłoszenia incydentów i wymiana informacji. Dla nowych podmiotów system uruchomiono 12 czerwca 2026 r.; prowadzi go Minister Cyfryzacji. W praktyce to operacyjny kanał kontaktu podmiotu z jego CSIRT-em.

SIEM

SIEM to platforma centralizująca logi i wspierająca korelację zdarzeń oraz analizę bezpieczeństwa. Nie każda organizacja objęta KSC musi mieć własny SIEM — liczy się adekwatne do skali monitorowanie, wykrywanie i reakcja, także w modelu usługowym.

SOAR

SOAR to automatyzacja i orkiestracja powtarzalnych działań bezpieczeństwa, np. wzbogacania alertów czy blokowania wskaźników ataku. Ma sens tam, gdzie procesy reagowania już działają i są powtarzalne — automatyzacja chaosu utrwala chaos.

SOC

SOC to zdolność ludzi, procesów i technologii do monitorowania i reagowania na zagrożenia. Ustawa KSC nie wymaga wprost korporacyjnego SOC 24/7 — wymaga zdolności wykrycia i zgłoszenia incydentu w terminach 24/72 godziny, skrojonej do skali firmy (model własny, usługowy lub hybrydowy).

SZBI

SZBI to system zarządzania bezpieczeństwem informacji — serce ustawy KSC. Obejmuje governance, analizę ryzyka, procesy, ludzi, technologię, dokumentację, pomiary i doskonalenie jako całość, a nie pojedynczą politykę czy produkt. Ma być przemyślany, udokumentowany, wdrożony, mierzony i zatwierdzony przez zarząd, ze środkami proporcjonalnymi do ryzyka.

W

Właściciel procesu

Właściciel procesu to osoba biznesowo odpowiedzialna za wynik procesu, jego krytyczność, wymagania i decyzje. To on — nie IT — ustala parametry ciągłości działania (RTO, RPO, priorytety odtwarzania), bo zna koszt przestoju i wymagania klientów.

Właściciel ryzyka

Właściciel ryzyka to osoba uprawniona do decydowania o sposobie postępowania z ryzykiem i o jego akceptacji. Przypisanie ryzyk do właścicieli jest warunkiem działania SZBI — ryzyko bez właściciela nie jest zarządzane.

Wykaz KSC

Wykaz KSC to rejestr podmiotów kluczowych i ważnych prowadzony przez Ministra Cyfryzacji. Wpis ma charakter deklaratoryjny — potwierdza obowiązki, których nie tworzy — i może nastąpić z urzędu. Samorejestracja odbywa się na portalu wykaz-ksc.gov.pl; termin samoidentyfikacji dla podmiotów spełniających przesłanki w dniu wejścia ustawy upływa 3 października 2026 r.

X

XDR

XDR to rozszerzona detekcja i reakcja, łącząca sygnały z kilku warstw środowiska: stacji, sieci, tożsamości i chmury. Zmniejsza liczbę osobnych konsol i skraca analizę — o wyborze powinno decydować ryzyko i model operacyjny, nie moda.

Z

Zagrożenie

Zagrożenie to potencjalna przyczyna niepożądanego zdarzenia: atakujący, awaria, błąd ludzki lub katastrofa naturalna. W analizie ryzyka zagrożenia zestawia się z podatnościami i wartością aktywów, aby ocenić prawdopodobieństwo i skutki.

Zero Trust

Zero Trust to podejście zakładające ciągłą weryfikację tożsamości, urządzenia, kontekstu i minimalnych uprawnień — zamiast zaufania wynikającego z lokalizacji w sieci. Wspiera wymagania KSC dotyczące kontroli dostępu i segmentacji, ale jest kierunkiem architektury, nie pojedynczym produktem.

Materiały mają charakter edukacyjny i nie stanowią opinii prawnej ani gwarancji zgodności. Zakres obowiązków zależy od indywidualnej sytuacji organizacji, aktualnych przepisów, aktów wykonawczych i stanowisk właściwych organów. Przed podjęciem decyzji wymagającej interpretacji prawa należy przeprowadzić analizę odpowiednią dla danego podmiotu.