3 kwietnia 2027: co w KSC ma już działać, a nie tylko istnieć na papierze
Wpis do wykazu jest zdarzeniem. Zgodność operacyjna jest procesem. Pomylenie tych dwóch rzeczy może sprawić, że firma zdąży z formalnością, ale nie zdąży z pracą.
Ministerstwo Cyfryzacji wskazuje 3 kwietnia 2027 jako koniec okresu dostosowawczego dla obowiązków podmiotów kluczowych i ważnych. To znaczy, że nie wystarczy mieć plan wdrożenia lub folder z politykami. Trzeba być w stanie wykazać, że wymagane działania są stosowane.
Co powinno działać
Po stronie technicznej szczególnie ważne są:
- aktualna inwentaryzacja systemów, usług i ich właścicieli,
- analiza ryzyka i adekwatne środki bezpieczeństwa,
- monitorowanie zagrożeń oraz podatności,
- aktualizowanie oprogramowania z uwzględnieniem ryzyka,
- obsługa incydentów wraz z przygotowaną ścieżką zgłoszeń,
- ciągłość działania, kopie zapasowe i odtwarzanie,
- kontrola bezpieczeństwa dostawców,
- dokumentowanie działań i decyzji.
Ustawa nie narzuca jednego produktu, skanera ani konkretnej częstotliwości skanowania. Organizacja musi dobrać środki do ryzyka i umieć obronić tę decyzję.
Dokument to nie dowód stosowania
Oficjalne FAQ wyraźnie rozróżnia formalne posiadanie dokumentacji od dowodów faktycznego stosowania systemu zarządzania bezpieczeństwem informacji. Polityka może opisywać miesięczne skany, ale dopiero historia uruchomień i obsługi wyników pokazuje, czy proces działał.
Najlepszy test gotowości jest prosty: wybierz losowy system i pokaż jego właściciela, ostatnie skany, otwarte podatności, decyzje, terminy i wykonane działania. Jeśli dane trzeba rekonstruować z maili, proces nie jest jeszcze operacyjny.
Rola Secvalis
Secvalis obejmuje tylko część wymagań: inwentaryzację techniczną, podatności, terminy, decyzje i dowody. Nie zastępuje systemu zarządzania bezpieczeństwem, obsługi prawnej, ciągłości działania ani procesu dostawców.
Jeśli chcesz sprawdzić, jak wygląda działający ślad procesu podatności, zobacz publiczne demo.
Źródła
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.