Wdrożenie wymogów Krajowego Systemu Cyberbezpieczeństwa nie jest produktem o stałej cenie ani jednorazowym projektem dokumentacyjnym. Koszt zależy od faktycznego ryzyka, skali środowiska IT oraz tego, czy organizacja potrzebuje wyłącznie diagnozy i uporządkowania SZBI, czy także zmian technicznych, monitoringu i stałego wsparcia. Poniżej wyjaśniamy, co wpływa na wycenę, czym różnią się warianty usługi oraz jakie obowiązki pozostają po zakończeniu wdrożenia.
Co wpływa na koszt wdrożenia KSC i dlaczego ceny tak bardzo się różnią?
Cena audytu i wdrożenia KSC jest pochodną zakresu prac, a nie punktem wyjścia do ustalenia zakresu. Organizacja z kilkoma systemami, uporządkowaną dokumentacją i wdrożonymi procedurami bezpieczeństwa wymaga innego nakładu pracy niż podmiot, który musi najpierw zidentyfikować aktywa, role, zależności dostawców i krytyczne procesy.
Najważniejsze czynniki wyceny to:
- wielkość organizacji i struktura operacyjna – liczba lokalizacji, pracowników, jednostek podległych oraz podmiotów współdzielących systemy wpływa na skalę analizy;
- liczba i rodzaj systemów informacyjnych – ocenia się nie tylko serwery czy stacje robocze, lecz także usługi chmurowe, systemy branżowe, urządzenia sieciowe, kopie zapasowe, konta uprzywilejowane i połączenia zewnętrzne;
- dojrzałość cyberbezpieczeństwa – koszt rośnie, gdy trzeba od podstaw stworzyć rejestr aktywów, metodykę ryzyka, polityki, procedury incydentowe albo mechanizmy kontroli dostępu;
- status regulacyjny i sektor – wymogi dotyczące podmiotów kluczowych i ważnych obejmują m.in. zarządzanie ryzykiem, ciągłość działania, monitoring, dokumentację, obsługę incydentów i szkolenia;
- stan infrastruktury technicznej – audyt może ujawnić potrzebę segmentacji sieci, wymiany nieobsługiwanych komponentów, wdrożenia firewalli, centralnego logowania czy poprawy procesu backupu;
- model realizacji – inny zakres ma sam audyt z raportem i rekomendacjami, a inny projekt obejmujący wdrożenie zaleceń oraz późniejsze utrzymanie.
W praktyce warto rozdzielić koszt przygotowania organizacji do zgodności od kosztów stałych. „Zakres wdrożenia i cena” powinny być ustalane po rozpoznaniu środowiska, priorytetów usług i istniejących luk, a nie wyłącznie na podstawie branży lub liczby pracowników.
Do budżetu należy włączyć również koszty operacyjne: pracę zespołu po stronie organizacji, szkolenia, obsługę incydentów, odnowienia wsparcia producenta oraz koszty utrzymania i licencje narzędzi bezpieczeństwa. Ustawa wymaga stosowania środków technicznych i organizacyjnych proporcjonalnych do ryzyka, z uwzględnieniem m.in. wielkości podmiotu, kosztów wdrożenia, prawdopodobieństwa incydentu oraz jego skutków.
Podstawowy zakres audytu i wdrożenia KSC – dla kogo i co obejmuje?
Podstawowy zakres jest właściwy dla organizacji, które po raz pierwszy porządkują obowiązki KSC i potrzebują wiarygodnej oceny stanu obecnego. Najczęściej dotyczy to MŚP objętych regulacją, samorządów oraz instytucji kultury, które realizują zadania publiczne z wykorzystaniem systemów informacyjnych.
Punktem wyjścia jest ustalenie, czy organizacja ma status podmiotu kluczowego albo ważnego. Nie każdy mały lub średni podmiot podlega KSC automatycznie — znaczenie ma sektor, rodzaj działalności, wielkość podmiotu oraz szczególne przesłanki przewidziane w ustawie.
Podstawowy projekt zwykle obejmuje:
- inwentaryzację systemów, usług, urządzeń, danych i dostawców istotnych dla świadczenia usługi lub realizacji zadania publicznego;
- identyfikację osób odpowiedzialnych za bezpieczeństwo, kontakt z podmiotami KSC i podejmowanie decyzji;
- analizę luk względem obowiązków ustawowych oraz ocenę ryzyka;
- przygotowanie lub uporządkowanie dokumentacji bezpieczeństwa;
- opracowanie podstawowych zasad zarządzania aktywami, dostępami, incydentami, kopiami zapasowymi i ciągłością działania;
- rekomendacje działań technicznych oraz organizacyjnych ułożone według priorytetu.
Dokumentacja i SZBI nie mogą być wyłącznie zestawem gotowych wzorów. Powinny opisywać rzeczywiste procesy, wykorzystywane systemy oraz sposób wykonywania kontroli w danej organizacji. Ustawa wymaga, aby dokumentacja obejmowała m.in. dokumentację normatywną i operacyjną, a zapisy operacyjne potwierdzały wykonywanie wymaganych czynności.
Dla podmiotu ważnego będącego podmiotem publicznym minimalne wymogi obejmują m.in. inwentaryzację produktów, usług i procesów ICT, kontrolę uprawnień, kopie zapasowe, procedury na wypadek awarii lub incydentu, ochronę antywirusową oraz szkolenia z cyberhigieny. ICT Future może wesprzeć organizację w przejściu od oceny stanu obecnego do uporządkowania tych elementów, tak aby dokumenty były powiązane z codziennym działaniem IT.
Rozszerzony zakres wdrożenia – kiedy sama dokumentacja nie wystarczy?
Sama dokumentacja nie wystarczy, gdy analiza ryzyka wskazuje braki w zabezpieczeniach technicznych, zdolności wykrywania incydentów lub ciągłości działania. Wtedy wdrożenie musi obejmować nie tylko polityki, lecz także rzeczywistą zmianę konfiguracji i sposobu działania infrastruktury.
Wariant rozszerzony jest zwykle potrzebny szpitalom, podmiotom z sektora gospodarowania odpadami, operatorom usług o dużym znaczeniu oraz organizacjom, których systemy są rozproszone lub obsługują procesy krytyczne. W przypadku podmiotów leczniczych, które nie są przedsiębiorcami, ustawa określa status podmiotu ważnego przy zatrudnieniu od 50 do 249 osób, a status podmiotu kluczowego przy zatrudnieniu co najmniej 250 osób.
Rozszerzony zakres może obejmować:
- wdrożenie lub modernizację firewalli i reguł dostępu;
- segmentację sieci oraz rozdzielenie systemów krytycznych od środowisk biurowych i gościnnych;
- centralne zbieranie oraz analizę logów, w tym wykorzystanie platform SIEM;
- ochronę stacji roboczych i serwerów, zarządzanie aktualizacjami oraz kontrolę kont uprzywilejowanych;
- weryfikację kopii zapasowych i procedur odtworzeniowych;
- testy bezpieczeństwa, w tym identyfikację podatności;
- przygotowanie mechanizmów ciągłego monitorowania i obsługi incydentów;
- szkolenia dla pracowników, administratorów oraz kadry zarządzającej.
Wdrożenie techniczne i monitoring są konieczne wtedy, gdy organizacja nie potrafi wykazać, że wykrywa zdarzenia, ogranicza ich skutki i potrafi odtworzyć działanie usługi. Ustawa wymaga objęcia systemu informacyjnego wykorzystywanego do świadczenia usługi monitoringiem w trybie ciągłym, a także wdrażania, dokumentowania, testowania i utrzymywania planów ciągłości działania oraz planów odtworzenia działalności.
Istotne są również szkolenia i odpowiedzialność wykonawcy. Zewnętrzny dostawca może realizować część zadań lub wspierać organizację w zarządzaniu ryzykiem, ale nie przejmuje odpowiedzialności ustawowej kierownika podmiotu. ICT Future może połączyć wdrożenie zabezpieczeń sieciowych, wsparcie IT i szkolenia z cyberbezpieczeństwa, co ułatwia przełożenie wymogów organizacyjnych na działające środowisko techniczne.
Jak ICT Future realizuje wdrożenia KSC i co wyróżnia tę ofertę?
ICT Future realizuje wsparcie KSC jako połączenie audytu, rekomendacji, wdrożeń technicznych i bieżącej obsługi IT. Taki model jest przydatny, gdy organizacja nie chce rozdzielać odpowiedzialności za analizę luk, konfigurację infrastruktury oraz późniejsze utrzymanie między wielu dostawców.
Zakres współpracy można rozpocząć od przeglądu zgodności z KSC, NIS2 i wymaganiami dotyczącymi systemu zarządzania bezpieczeństwem informacji. Efektem powinien być raport opisujący stan obecny, zidentyfikowane niezgodności oraz zalecenia zmian, które można ułożyć według ryzyka i możliwości organizacyjnych.
W przypadku audytów oferta ICT Future obejmuje weryfikację m.in.:
- zarządzania ryzykiem cyberbezpieczeństwa;
- regulacji wewnętrznych, w tym polityk bezpieczeństwa, kontroli dostępu i bezpieczeństwa zasobów ludzkich;
- realizacji szkoleń dla kadry kierowniczej i pracowników;
- gotowości do zgłaszania poważnych incydentów oraz informowania odbiorców usług;
- stosowania produktów, usług i procesów ICT w kontekście wymogów bezpieczeństwa.
Po audycie ICT Future może wesprzeć wdrożenie rekomendacji w infrastrukturze, zamiast ograniczać usługę do przekazania raportu. Dotyczy to m.in. bezpieczeństwa sieci, konfiguracji LAN i Wi-Fi, usług backupu, dostawy i konfiguracji sprzętu, serwisu IT oraz outsourcingu IT.
Firma pracuje z rozwiązaniami Fortinet, Stormshield, Ubiquiti i innymi elementami infrastruktury sieciowej. Obsługuje klientów z Wrocławia i całej Polski, dlatego model współpracy może obejmować zarówno działania lokalne, jak i zdalne wsparcie środowisk IT.
Terminy, obowiązki i co się dzieje po wdrożeniu
Wdrożenie KSC nie kończy się wraz z przekazaniem dokumentacji lub zamknięciem projektu technicznego. Podmiot kluczowy albo ważny ma obowiązek stale utrzymywać system zarządzania bezpieczeństwem informacji, aktualizować dokumentację, zarządzać ryzykiem i reagować na incydenty.
Zgodnie z ustawą podmiot kluczowy lub ważny realizuje obowiązki w terminie 12 miesięcy od dnia spełnienia przesłanek uznania za taki podmiot. Podmiot kluczowy zapewnia przeprowadzenie pierwszego audytu w terminie 24 miesięcy od tego dnia, a następnie wykonuje audyt bezpieczeństwa systemu informacyjnego co najmniej raz na 3 lata.
Do kluczowych obowiązków po wdrożeniu należą:
- systematyczne szacowanie ryzyka i zarządzanie nim;
- aktualizacja polityk, procedur oraz dokumentacji operacyjnej;
- nadzór nad dostępami, aktywami, dostawcami i łańcuchem dostaw;
- monitorowanie systemów, podatności i zagrożeń;
- testowanie kopii zapasowych oraz procedur ciągłości działania;
- obsługa i zgłaszanie incydentów;
- szkolenia personelu oraz coroczne szkolenie kierownika podmiotu lub osoby, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa.
W przypadku poważnego incydentu podmiot przekazuje wczesne ostrzeżenie nie później niż w ciągu 24 godzin od wykrycia, a zgłoszenie incydentu poważnego — nie później niż w ciągu 72 godzin. Sprawozdanie końcowe należy przekazać nie później niż w ciągu miesiąca od zgłoszenia incydentu.
Odpowiedzialność za zgodność pozostaje po stronie kierownika podmiotu, nawet gdy zadania zlecono zewnętrznemu wykonawcy. Kierownik odpowiada za decyzje dotyczące przygotowania, wdrażania, stosowania, przeglądu i nadzoru nad SZBI, a także za zapewnienie odpowiednich środków finansowych.
Dlatego umowa z dostawcą powinna jasno rozdzielać zadania: kto monitoruje środowisko, kto obsługuje zgłoszenia, kto aktualizuje dokumentację, jakie są czasy reakcji oraz w jaki sposób raportowane są wykonane działania. ICT Future może zapewniać outsourcing IT, serwis i wsparcie w obszarze cyberbezpieczeństwa, jednak zakres odpowiedzialności operacyjnej powinien zostać precyzyjnie określony przed rozpoczęciem współpracy.
Należy też planować koszty utrzymania ilicencje. Obejmują one w szczególności wsparcie producentów, subskrypcje narzędzi bezpieczeństwa, odnowienia usług monitoringu, utrzymanie backupu oraz pracę zespołu wewnętrznego lub zewnętrznego. Nie są to koszty opcjonalne, jeśli od tych narzędzi i usług zależy ciągłość zabezpieczeń.
Najczęstsze pytania o wdrożenia i audyty KSC
Czy organizacja, która nie jest operatorem kluczowym, też musi wdrażać KSC?
Tak, obowiązki mogą dotyczyć także podmiotów ważnych. Ustawa obejmuje m.in. określone podmioty z sektorów ważnych, samorządowe jednostki budżetowe, samorządowe zakłady budżetowe, samorządowe instytucje kultury oraz spółki wykonujące zadania użyteczności publicznej, jeżeli realizują zadanie publiczne z wykorzystaniem systemów informacyjnych. Status należy ocenić na podstawie sektora, rodzaju działalności i kryteriów ustawowych.
Ile kosztuje utrzymanie zgodności z KSC po zakończeniu wdrożenia – jakie są typowe koszty licencji i subskrypcji?
Ustawa nie określa stawek licencji ani subskrypcji. Koszt zależy od liczby systemów i użytkowników, modelu monitoringu, narzędzi ochronnych, środowiska backupowego, wsparcia producentów oraz tego, czy zadania realizuje zespół wewnętrzny, czy dostawca usług zarządzanych w zakresie cyberbezpieczeństwa.
Kto ponosi odpowiedzialność za błędy w dokumentacji SZBI – firma czy zewnętrzny wykonawca?
Za wykonywanie obowiązków w zakresie cyberbezpieczeństwa odpowiada kierownik podmiotu kluczowego lub ważnego. Powierzenie przygotowania dokumentacji albo realizacji zadań wykonawcy zewnętrznemu nie zwalnia kierownika z tej odpowiedzialności, choć umowa z wykonawcą może regulować odpowiedzialność kontraktową za jakość dostarczonych prac.
Jak długo trwa typowe wdrożenie KSC od audytu wstępnego do uzyskania zgodności?
Nie ma jednego ustawowego czasu realizacji projektu, ponieważ zależy on od stanu organizacji i niezbędnych zmian technicznych. Ustawa przewiduje co do zasady 12 miesięcy na realizację obowiązków od dnia spełnienia przesłanek uznania za podmiot kluczowy lub ważny, a dla podmiotu kluczowego 24 miesiące na pierwszy audyt.
Czy szkolenia z cyberbezpieczeństwa są wymagane przepisami KSC, czy to tylko rekomendacja?
Szkolenia są elementem obowiązków KSC. Ustawa wskazuje edukację personelu z zakresu cyberbezpieczeństwa, a kierownik podmiotu kluczowego lub ważnego oraz osoba, której powierzono obowiązki kierownika w tym zakresie, odbywają szkolenie raz w roku kalendarzowym; udział musi być udokumentowany.