Audyt NIS2 i DORA

Co dostarczam

Pisemny raport gotowości. Wypełniony rejestr dostawców zgodny z polami Artykułu 28 DORA lub strukturą ścieżki dowodowej Załącznika II NIS2. Ocenę luk w zabezpieczeniach zmapowaną na zabezpieczenia wymagane przez dyrektywę. Playbook zgłaszania incydentów z harmonogramami 24-godzinnym, 72-godzinnym i miesięcznym, wstępnie zmapowany na Twój konkretny stack. 60-minutowe omówienie dla Twojego zespołu operacyjnego.

Dlaczego infrastruktury WordPress potrzebują tego inaczej

Większość prac nad gotowością celuje w oprogramowanie szyte na miarę albo SaaS. WordPress i WooCommerce wprowadzają specyficzne powierzchnie zgodności: wtyczki z uprawnieniami administratora, motywy dotykające bazy danych, bramki płatności rozgałęziające ruch do stron trzecich oraz warstwa redakcyjna często działająca poza formalnym change managementem. Potraktowanie tych elementów jako pełnoprawnych obiektów w rejestrze dostawców to różnica między obronnym raportem a ćwiczeniem typu „odhaczone".

Dla kogo to jest

• Średnie i duże podmioty w sektorach kluczowych i ważnych NIS2 (Załącznik I, Załącznik II)
• Regulowane podmioty finansowe objęte zakresem DORA
• Krytyczni zewnętrzni dostawcy ICT obsługujący klientów objętych DORA
• Zamówienia publiczne wymagające oświadczenia o gotowości strony trzeciej przed zamknięciem postępowania na WordPressa

Certyfikacja a rzeczywistość operacyjna

Komplet papierów ISO, RODO i NIS2 nie znaczy, że w urzędzie czy średniej firmie faktycznie da się odebrać zaszyfrowanego maila. Klasyczny przypadek z terenu: jednostka ma audytora, dokumentację i certyfikat, a starsze kserokopiarki Ricoh i Nashuatec nie potrafią wynegocjować TLS z firmowym serwerem pocztowym i nie skanują do skrzynek e-mail. Skan trzeba wozić pendrivem, więc zostaje dziurę w łańcuchu dowodowym i brak rejestru, kto miał plik w ręce. Tego typu sprzęt rzadko ma wyjątek w ISO, w polityce RODO ani w wykazie KSC. Audytujemy więc zarówno dokumenty, jak i to, co realnie dzieje się przy biurku, i mapujemy każde takie urządzenie do listy aktywów i dostawców.

Polska transpozycja NIS2: Krajowy System Cyberbezpieczeństwa (KSC)

Polska transpozycja NIS2 uruchamia konkretny harmonogram wpisu do wykazu KSC. 6 maja 2026 do rejestru automatycznie trafiają podmioty publiczne, operatorzy telekomunikacyjni i dostawcy usług cyfrowych. 7 maja 2026 startuje rządowa aplikacja online dla pozostałych przedsiębiorców. Termin samodzielnego wpisu mija 3 października 2026. Cała procedura odbywa się wyłącznie online z kwalifikowanym podpisem elektronicznym. Sankcje za zignorowanie obowiązku sięgają 100 mln zł, a osoby zarządzające odpowiadają do trzykrotności miesięcznego wynagrodzenia. Co istotne, polska nowelizacja z kwietnia 2026 wyraźnie rozszerza osobistą odpowiedzialność poza członków zarządu na całą kadrę kierowniczą nadzorującą obszary objęte KSC, czyli na dyrektorów IT, bezpieczeństwa, compliance i operacji. Źródło: doniesienia mediów branżowych za Ministerstwem Cyfryzacji, maj 2026. Klasyfikacja podmiotu pod KSC jest pierwszym krokiem mapowania zakresu w naszym audycie i prowadzi wprost do rejestru dostawców i runbooka incydentów.

Model współpracy

Senioralne kontrakty B2B w jurysdykcji UE. Czterotygodniowe okno od kickoffu do raportu. Dostępny retainer na przeglądy kwartalne. Wycena indywidualna.