Cyberbezpieczeństwo w Polsce

Rozporządzenie o cyberodporności (Cyber Resilience Act, CRA) każe producentom oprogramowania i sprzętu zgłaszać aktywnie wykorzystywaną podatność oraz poważny incydent w reżimie liczonym godzinami, nie dniami roboczymi - i robi to już od 11 września 2026 r., piętnaście miesięcy przed resztą rozporządzenia. Zegar startuje w momencie, w którym o zdarzeniu dowiaduje się sam producent, a nie wtedy, gdy zauważy je ktokolwiek inny, a pomyłka w wyborze CSIRT-u koordynatora może unieważnić całe zgłoszenie i zmusić do złożenia go od nowa.

Rozkładamy artykuł 14 na to, co realnie trzeba zrobić: konto EU Login z uwierzytelnianiem wieloskładnikowym, rejestrację przedstawiciela producenta, wybór właściwego CSIRT-u oraz dwa osobne zegary dla podatności i dla incydentu. Dokładamy usterkę platformy, o której większość omówień CRA jeszcze nie pisze - licznik 72 godzin liczy inaczej niż przepis - oraz widełki kar z artykułu 64 i listę firm, które w Polsce pomogą to wdrożyć.

Samorząd, który przez ostatnie trzy lata wydawał grant na zaporę sieciową i licencje, dostaje właśnie ofertę na kolejny etap: wspólne centrum monitorowania dla kilku jednostek naraz, za pieniądze europejskie. Warunkiem wejścia jest partnerstwo, którego zwykle jeszcze nie ma i które trzeba dopiero zawiązać. Nad tą ofertą wisi jednak ustalenie kontrolerów państwowych o poprzednim rozdaniu: przy półtora miliarda złotych nikt nie potrafi dziś powiedzieć, czy urzędy stały się odporniejsze.

Zestawiamy warunki tego naboru z tym, co Najwyższa Izba Kontroli zapisała o jego poprzedniku, bo dokładnie te same pytania wrócą przy rozliczeniu. Znajdziesz tu pułap dofinansowania w zależności od liczby jednostek, rozdzielenie trzech jesiennych dat, które w rozmowach zlewają się w jedną, oraz listę rzeczy do przygotowania, o które formularz nie pyta wprost, a bez których projekt powiela błędy poprzedniej edycji.

Krakowska odsłona formuły BSides, prowadzona przez lokalną społeczność od 2022 roku. Program biegnie w trzech równoległych ścieżkach, a obok nich działają villages, czyli strefy warsztatowe prowadzone przez społeczności, oraz osobne szkolenia z własną rejestracją. Wstęp jest bezpłatny, z opcją dobrowolnej wpłaty, a pula miejsc wynosi 500. Całość toczy się po angielsku i w tym języku organizatorzy przyjmowali też zgłoszenia w naborze prelekcji, dziś już zamkniętym.

Krok po kroku po wycieku danych: najpierw zastrzeż PESEL, potem sprawdź dane w bezpiecznedane.gov.pl i rozpoznaj fałszywe strony udające ten serwis.

Lista Ostrzeżeń CSIRT NASK - wyszukaj domenę, żeby sprawdzić, czy trafiła na oficjalną listę stron wykorzystywanych do phishingu i innych oszustw online.

Zgłoś phishing bezpośrednio do CERT Polska - podejrzaną stronę internetową przez formularz na incydent.cert.pl, a fałszywą wiadomość SMS pod numer 8080.

Ustawa o krajowym systemie cyberbezpieczeństwa (KSC) - wdrożenie NIS2 po nowelizacji z 2026 r.: kogo obejmuje, jakie nakłada obowiązki i w jakich terminach.