Obowiązki dotyczą wskazanych sektorów i tylko od pewnej wielkości firmy — handel, kancelarie i biura rachunkowe są poza nimi. Termin też nie jest wspólny: wniosek o wpis do wykazu składa się w ciągu sześciu miesięcy od dnia, w którym firma spełni przesłanki. Sprawdzenie, czy to Twój przypadek, jest pierwszą częścią bezpłatnego przeglądu.
Firmy 50-250 osób · wynik od razu na stronie, bez zostawiania kontaktu
itDesk działa od 1996 roku i sam jest podmiotem, który przechodzi te same obowiązki — prowadzimy własny rejestr wdrożenia, obowiązek po obowiązku. Mówimy „jesteśmy w trakcie", nie „mamy wdrożone".
Opole, cała Polska. Zewnętrzny dział IT i CTO dla firm 50-250 osób.Cztery pytania o firmę, sześć o stan bezpieczeństwa. Wynik zobaczysz od razu na stronie, bez zostawiania kontaktu.
Cztery rzeczy z podanym źródłem. W tym temacie krąży dużo liczb bez pokrycia i nie zamierzamy do nich dokładać swojej.
Dyrektywa NIS2 wiąże państwa członkowskie. Dla polskiej firmy obowiązki wynikają z ustawy o krajowym systemie cyberbezpieczeństwa w wersji po nowelizacji. Dlatego nie mówimy „NIS2 obowiązuje Twoją firmę" — mówimy „ustawa o KSC, która wdraża NIS2".
Źródło: Memorandum Legal Check IT z 08.06.2026, sekcja III pkt 1.Podmiot kluczowy albo ważny składa wniosek o wpis do wykazu w terminie sześciu miesięcy od dnia spełnienia przesłanek uznania go za taki podmiot. Nie ma jednej daty dla wszystkich: firma, która przesłanki spełni później — bo przekroczy próg zatrudnienia albo wejdzie w nowy rodzaj działalności — ma własny, późniejszy termin.
Dla podmiotów, które spełniały przesłanki już w dniu wejścia nowelizacji, sześć miesięcy upływa w październiku 2026 roku.
Źródło: Memorandum Legal Check IT z 08.06.2026, sekcja IV pkt 8 oraz sekcja VI pkt 2.Podmiot objęty ustawą musi zadbać o bezpieczeństwo łańcucha dostaw: ocenić podatności i praktyki cyberbezpieczeństwa każdego swojego bezpośredniego dostawcy. W praktyce przenosi te wymagania na dostawcę umową i ankietą bezpieczeństwa.
To znaczy, że firma formalnie poza zakresem ustawy może dostać te same pytania — od odbiorcy, który sam jest objęty. Jej ryzyko jest wtedy handlowe: utrata kontraktu albo wypadnięcie z przetargu, nie kara administracyjna.
Źródło: art. 21 ust. 2 lit. d oraz art. 21 ust. 3 dyrektywy (UE) 2022/2555.Sam wpis do wykazu jest czynnością administracyjną: wypełnieniem wniosku. Kosztowna jest druga część — analiza ryzyka, procedury, kopie z testem odtworzenia, kontrola dostępu, obsługa incydentów, szkolenia kierownictwa. Tego nie da się zrobić w tygodniu.
Dlatego pierwszym krokiem nie jest zakup narzędzi, a ustalenie, gdzie jesteś i co robić w jakiej kolejności. Od tego jest Audyt ZERO.
Źródło: metodyka wdrożenia itDesk (10 filarów art. 21) oraz przewodnik STM Cyber, rozdz. 6.Nie podajemy wysokości kar ani nie twierdzimy, kiedy zaczną być nakładane. Nie mamy w rękach tekstu nowelizacji, a w tym temacie krąży wiele sprzecznych liczb — wolimy nie dokładać do nich swojej. Nie napiszemy też, że obowiązek Cię dotyczy obowiązkiem, dopóki tego nie sprawdzimy: to kwalifikacja prawna, zależna od sektora i wielkości podmiotu.
Jeśli potrzebujesz stanowiska prawnego, a nie technicznego — powiemy to wprost i wskażemy, o co zapytać prawnika.Zanim wpuścisz kogokolwiek do swojej sieci, warto wiedzieć, kim jest. Poniżej rzeczy, które da się sprawdzić.
Przegląd to jedno spotkanie i lista priorytetów: wychodzisz z niego wiedząc, czy masz się czym zajmować. Audyt ZERO kończy się raportem, który kładziesz na stole przed zarządem, ubezpieczycielem albo kontrahentem, który przysłał ankietę bezpieczeństwa. Większość firm robi jedno po drugim.
Antywirus zatrzymuje to, co zna. Ransomware, który dziś działa, najczęściej wchodzi kradzionym hasłem administratora — a tego antywirus nie widzi. Dlatego patrzymy na osiem obszarów, nie na jeden.
Robimy go razem z osobą, która odpowiada u Ciebie za IT, nie o niej. Raport dostaje w tym samym momencie co zarząd i w tej samej wersji. W praktyce dla informatyka wewnętrznego to często pierwszy dokument, którym może uzasadnić budżet — on zwykle wie, czego brakuje, ale nie ma jak pokazać tego w liczbach.
Najczęściej po to, żeby potwierdzić, że jest dobrze — i mieć to na piśmie. Trzy rzeczy, których sam antywirus i sama kopia nie rozstrzygają: czy kopia była kiedykolwiek odtworzona (nie „wykonana" — odtworzona, z protokołem i datą), kto ma dziś uprawnienia administratora i czy któreś z tych kont nie należy do osoby, która odeszła rok temu, oraz co z Twojej sieci widać z internetu. To trzy najczęstsze drogi wejścia ransomware'u i trzy rzeczy, których nie widać z konsoli antywirusa. Jeśli wyjdzie, że masz porządek — powiemy to wprost i na tym skończymy; wtedy masz argument dla zarządu, że pieniądze na IT są wydawane sensownie.
Tego nie da się odpowiedzieć z zewnątrz i nie będziemy zgadywać. Objęcie obowiązkiem wymaga dwóch warunków jednocześnie: Twój rodzaj działalności musi być wymieniony w załącznikach, a podmiot musi spełniać kryterium wielkości. Sporo branż jest poza zakresem — na przykład handel detaliczny, kancelarie, biura rachunkowe czy budownictwo. Dlatego sprawdzenie statusu jest pierwszą częścią bezpłatnego przeglądu, a nie płatną usługą. Warto to wiedzieć również wtedy, gdy okaże się, że obowiązek Cię nie dotyczy: Twoi kontrahenci, którzy są, będą pytać o bezpieczeństwo swoich dostawców.
Wniosek o wpis do wykazu składa się w terminie sześciu miesięcy od dnia, w którym podmiot spełnił przesłanki uznania go za kluczowy albo ważny. Nie ma jednej daty dla wszystkich firm. Dla tych, które spełniały przesłanki już w dniu wejścia nowelizacji, sześć miesięcy upływa w październiku 2026 roku. Sam wniosek jest czynnością administracyjną — podpisuje go kierownik podmiotu albo osoba przez niego upoważniona, wraz z oświadczeniem składanym pod odpowiedzialnością karną, więc itDesk nie może złożyć go za Ciebie. Możemy przygotować i sprawdzić dane, które do niego wchodzą.
Dokument decyzyjny zamiast listy priorytetów. Audyt ZERO to ocena dojrzałości w skali 0-100, heatmapa w ośmiu domenach bezpieczeństwa, Top 5 ryzyk z wyliczoną ekspozycją finansową — czyli ile konkretnie kosztowałaby Cię materializacja każdego z nich — i roadmapa na 12 miesięcy z kolejnością prac. Bezpłatny przegląd mówi, czy jest problem. Audyt mówi, ile kosztuje, co robić najpierw i za ile. Kwotę zaliczamy na abonament, jeśli zdecydujesz się na współpracę, a sam dokument zostaje u Ciebie niezależnie od tego, co postanowisz dalej. Wyżej na tej stronie jest też lista tego, czego w audycie nie ma — warto ją przeczytać przed rozmową.
Bezpłatny przegląd: jedno spotkanie online, do godziny, z osobą, która zna Twoje IT — w mniejszych firmach to zwykle prezes albo dyrektor finansowy z informatykiem obok. Audyt ZERO wymaga dostępu do środowiska w trybie odczytu oraz kilku rozmów z osobami odpowiadającymi za IT, finanse i procesy krytyczne. Nie prosimy o wypełnianie ankiet na czterdzieści stron — pytania zadajemy sami i sami je zapisujemy. Dokładny czas realizacji i objętość raportu podajemy przed rozpoczęciem, wraz z ustalonym zakresem.
Dlatego w raporcie jest kolejność, nie lista życzeń. Roadmapa na 12 miesięcy zaczyna się od rzeczy, które dają najwięcej bezpieczeństwa za najmniej pieniędzy — zwykle uwierzytelnianie dwuskładnikowe, porządek w uprawnieniach administratora i realny test odtworzenia kopii. Kilka najważniejszych pozycji to nie zakupy, tylko decyzje i konfiguracja. Osobno pokazujemy, co jest do zrobienia w tym kwartale, a co może poczekać do przyszłego budżetu — i mówimy wprost, które ryzyko zostaje otwarte, jeśli poczeka.
Rozumiemy — to obiekcja szczególnie sensowna właśnie w tym temacie. Bezpłatny przegląd jest rozmową, nie skanem: nie potrzebujemy do niego żadnego dostępu. Przy Audycie ZERO pracujemy w trybie odczytu, na zakresie ustalonym z Tobą na piśmie przed rozpoczęciem, z umową o zachowaniu poufności podpisaną wcześniej. Każde konto, które dostajemy, jest kontem imiennym z terminem wygaśnięcia; po zakończeniu prosimy o jego usunięcie i potwierdzamy, że nasz dostęp został zamknięty.
Nie i nikt uczciwy tego nie obieca. Bezpieczeństwo to obniżanie prawdopodobieństwa i skracanie czasu powrotu do pracy, nie stan zerowego ryzyka. Co obiecujemy konkretnie: standard na każdym stanowisku, monitoring z reakcją, kopie z comiesięcznym testem odtworzenia i protokołem, ustalone czasy odtworzenia wpisane do umowy oraz to, że gdy coś się stanie, jest procedura i konkretna osoba, która ją prowadzi — a nie szukanie, kto ma hasło. Różnica między firmą przygotowaną i nieprzygotowaną nie polega na tym, czy incydent wystąpi. Polega na tym, czy trwa trzy godziny, czy trzy tygodnie.
Tak, i to w trybie surowszym. itDesk został w opinii prawnej kancelarii Legal Check IT z 08.06.2026 uznany za podmiot kluczowy — m.in. jako dostawca usług zarządzanych w zakresie cyberbezpieczeństwa, usług DNS, rejestracji domen i chmury. Część tych statusów obowiązuje niezależnie od wielkości firmy. Prowadzimy własny rejestr wdrożenia, obowiązek po obowiązku, i jesteśmy w trakcie tego samego procesu, przez który przechodzą nasi klienci. Mówimy „jesteśmy w trakcie", a nie „mamy wdrożone" — bo tak jest, a różnica między jednym a drugim jest dokładnie tym, co ten audyt mierzy.
Jeśli doczytałeś do tego miejsca, pytanie nie brzmi już „czy”, a „od czego zacząć”. Pierwsza rozmowa nie jest prezentacją — pytamy o Twoje środowisko i mówimy, co zrobilibyśmy najpierw. Oddzwaniamy w ciągu jednego dnia roboczego.