Cyberbezpieczeństwo w Polsce

Twoja organizacja może dziś podlegać kilku przepisom o cyberbezpieczeństwie naraz - ustawie o krajowym systemie cyberbezpieczeństwa, unijnemu rozporządzeniu o cyberodporności, rozporządzeniu DORA, a samorząd dodatkowo naborowi na Lokalne Centra Cyberbezpieczeństwa. Każdy z tych reżimów ma własną podstawę prawną, własny zakres podmiotowy i własny zegar, więc ustalenie kalendarza jednej organizacji wymaga przejrzenia czterech niezależnych źródeł, z realnym ryzykiem, że najmniej nagłośniony termin akurat Twojej organizacji zostanie przeoczony, a konsekwencje przyjdą już po fakcie.

Ten tekst stawia wszystkie cztery terminy w jednej tabeli razem ze statusem na dzień publikacji, dokłada krótki test pozwalający ustalić, które z nich w ogóle Cię dotyczą, i rozkłada konkretne sytuacje, w których dwa różne reżimy nakładają się na ten sam podmiot jednocześnie. Po szczegóły pojedynczego obowiązku, procedury zgłoszeniowe i widełki kar odsyłamy do naszych osobnych, głębszych artykułów o każdym z tych aktów z osobna.

Rozporządzenie o cyberodporności (Cyber Resilience Act, CRA) każe producentom oprogramowania i sprzętu zgłaszać aktywnie wykorzystywaną podatność oraz poważny incydent w reżimie liczonym godzinami, nie dniami roboczymi - i robi to już od 11 września 2026 r., piętnaście miesięcy przed resztą rozporządzenia. Zegar startuje w momencie, w którym o zdarzeniu dowiaduje się sam producent, a nie wtedy, gdy zauważy je ktokolwiek inny, a pomyłka w wyborze CSIRT-u koordynatora może unieważnić całe zgłoszenie i zmusić do złożenia go od nowa.

Rozkładamy artykuł 14 na to, co realnie trzeba zrobić: konto EU Login z uwierzytelnianiem wieloskładnikowym, rejestrację przedstawiciela producenta, wybór właściwego CSIRT-u oraz dwa osobne zegary dla podatności i dla incydentu. Dokładamy usterkę platformy, o której większość omówień CRA jeszcze nie pisze - licznik 72 godzin liczy inaczej niż przepis - oraz widełki kar z artykułu 64 i listę firm, które w Polsce pomogą to wdrożyć.

Krakowska odsłona formuły BSides, prowadzona przez lokalną społeczność od 2022 roku. Program biegnie w trzech równoległych ścieżkach, a obok nich działają villages, czyli strefy warsztatowe prowadzone przez społeczności, oraz osobne szkolenia z własną rejestracją. Wstęp jest bezpłatny, z opcją dobrowolnej wpłaty, a pula miejsc wynosi 500. Całość toczy się po angielsku i w tym języku organizatorzy przyjmowali też zgłoszenia w naborze prelekcji, dziś już zamkniętym.

Lista Ostrzeżeń CSIRT NASK - wyszukaj domenę, żeby sprawdzić, czy trafiła na oficjalną listę stron wykorzystywanych do phishingu i innych oszustw online.

Którzy operatorzy blokują strony phishingowe z Listy Ostrzeżeń CERT Polska na mocy porozumienia z UKE, MC i NASK - i czy dotyczy to też Twojego operatora.

Zweryfikuj bezpłatnie konfigurację SPF, DKIM i DMARC swojej domeny narzędziem CERT Polska - dobre ustawienia utrudniają podszywanie się pod Twój adres e-mail.

Ustawa o krajowym systemie cyberbezpieczeństwa (KSC) - wdrożenie NIS2 po nowelizacji z 2026 r.: kogo obejmuje, jakie nakłada obowiązki i w jakich terminach.