Test gotowości NIS2 online, 25 pytań sprawdzających compliance

Większość firm, które rozważają wdrożenie NIS2, zaczyna od pytania nieoczywistego: jak ocenić, ile pracy faktycznie nas czeka. Konsultanci oferują audyty wstępne za 15 000-40 000 zł i obietnicę “indywidualnej oceny”, która często sprowadza się do wypełnienia standardowego kwestionariusza. Można to zrobić samemu, w 30 minut, bezpłatnie, jeśli masz wiarygodne pytania i ramy interpretacyjne.

Ten tekst zawiera 25 pytań self-audit pokrywających dziesięć obszarów artykułu 21 NIS2 plus odpowiedzialność zarządu (artykuł 20) i raportowanie incydentów (artykuł 23). Pytania są celowo binarne (TAK/NIE) lub trójstopniowe (TAK/CZĘŚCIOWO/NIE), żeby uniknąć “udawania”, które jest częste w samoocenie. Każde pytanie ma punktację i interpretację. Na końcu, macierz wyników z konkretnymi rekomendacjami działań.

Ten test nie zastępuje pełnego audytu zewnętrznego, ale pozwala oszacować skalę luki między obecnym stanem a wymaganiami NIS2. Wynik powinien stanowić podstawę decyzji zarządu o budżecie i timeline wdrożenia.

Sekcja 1: Kwalifikacja podmiotu (3 pytania, 6 punktów)

Pytanie 1. Czy Twoja firma jest podmiotem kluczowym lub ważnym w sensie NIS2 (sektor z Załącznika I lub II + próg wielkościowy)?

• TAK, jesteśmy świadomi i zarejestrowani w CSIRT NASK: 2 pkt
• TAK, jesteśmy świadomi, ale jeszcze niezarejestrowani: 1 pkt
• NIE WIEMY: 0 pkt
• NIE, jesteśmy poza zakresem (zweryfikowane): nie wypełniaj testu

Pytanie 2. Czy w ostatnich 12 miesiącach przeprowadziłeś formalną analizę kwalifikacji (sektor, wielkość, klasyfikacja kluczowy/ważny) z dokumentacją wniosków?

• TAK: 2 pkt
• CZĘŚCIOWO (ad hoc, bez dokumentacji): 1 pkt
• NIE: 0 pkt

Pytanie 3. Czy znasz organ właściwy do spraw cyberbezpieczeństwa dla Twojego sektora (art. 41 ustawy o KSC) i właściwy CSIRT, do którego zgłaszasz incydenty?

• TAK, z konkretnymi kontaktami: 2 pkt
• TAK, z poziomu ogólnej wiedzy: 1 pkt
• NIE: 0 pkt

Sekcja 2: Governance i odpowiedzialność zarządu (4 pytania, 8 punktów)

Pytanie 4. Czy zarząd przyjął formalną uchwałę zatwierdzającą system zarządzania ryzykiem cybernetycznym?

• TAK, w ostatnich 12 miesiącach: 2 pkt
• TAK, starsza niż 12 miesięcy lub niepełna: 1 pkt
• NIE: 0 pkt

Pytanie 5. Czy w firmie istnieje formalnie wyznaczona osoba odpowiedzialna za cyberbezpieczeństwo (Cybersecurity Officer / CISO) z udokumentowanym zakresem obowiązków i podporządkowaniem do zarządu?

• TAK, pełen etat lub minimum 50% etatu, raportowanie bezpośrednie do zarządu: 2 pkt
• TAK, rola łączona, raportowanie pośrednie: 1 pkt
• NIE: 0 pkt

Pytanie 6. Czy każdy członek zarządu odbył w ostatnich 12 miesiącach formalne szkolenie z cyberbezpieczeństwa (minimum 4 godziny, z dokumentacją uczestnictwa)?

• TAK, wszyscy: 2 pkt
• CZĘŚCIOWO, niektórzy lub mniej niż 4 godziny: 1 pkt
• NIE: 0 pkt

Pytanie 7. Czy zarząd otrzymuje regularne (minimum kwartalne) raporty o stanie cyberbezpieczeństwa od osoby odpowiedzialnej?

• TAK, z udokumentowaniem: 2 pkt
• CZĘŚCIOWO, nieformalnie lub rzadziej: 1 pkt
• NIE: 0 pkt

Sekcja 3: Polityki i dokumentacja (4 pytania, 8 punktów)

Pytanie 8. Czy posiadasz pisemną politykę analizy ryzyka i bezpieczeństwa systemów informatycznych z aktualnym (do 12 miesięcy) rejestrem zidentyfikowanych ryzyk?

• TAK: 2 pkt
• CZĘŚCIOWO (polityka istnieje, brak aktualnego rejestru ryzyk): 1 pkt
• NIE: 0 pkt

Pytanie 9. Czy posiadasz pisemną procedurę obsługi incydentów cyberbezpieczeństwa z konkretnymi etapami, terminami i osobami odpowiedzialnymi?

• TAK, z trójstopniowym protokołem 24h/72h/30 dni: 2 pkt
• CZĘŚCIOWO (ogólna procedura bez konkretnych terminów lub bez trójstopniowego protokołu): 1 pkt
• NIE: 0 pkt

Pytanie 10. Czy posiadasz aktualny (testowany w ostatnich 12 miesiącach) plan ciągłości działania i odzyskiwania po awarii?

• TAK, z udokumentowanym testem: 2 pkt
• CZĘŚCIOWO (plan istnieje, brak udokumentowanego testu): 1 pkt
• NIE: 0 pkt

Pytanie 11. Czy posiadasz pisemną politykę bezpieczeństwa łańcucha dostaw z aktualną mapą dostawców i klasyfikacją ryzyka?

• TAK: 2 pkt
• CZĘŚCIOWO (mapa istnieje, brak klasyfikacji): 1 pkt
• NIE: 0 pkt

Sekcja 4: Kontrole techniczne (5 pytań, 10 punktów)

Pytanie 12. Czy uwierzytelnianie wieloskładnikowe (MFA) jest wdrożone dla wszystkich kont administracyjnych, kont z dostępem do systemów krytycznych i dostępu zdalnego?

• TAK, wszystkie wymienione kategorie: 2 pkt
• CZĘŚCIOWO, niektóre kategorie: 1 pkt
• NIE: 0 pkt

Pytanie 13. Czy posiadasz politykę kryptografii określającą wymagane standardy szyfrowania w tranzycie i w spoczynku, oraz czy jest faktycznie wdrożona dla danych krytycznych?

• TAK: 2 pkt
• CZĘŚCIOWO (polityka istnieje, częściowe wdrożenie): 1 pkt
• NIE: 0 pkt

Pytanie 14. Czy posiadasz formalną procedurę zarządzania patchami (patch management) z określonymi terminami reakcji na podatności krytyczne i wysokie?

• TAK, z dokumentacją realnych terminów reakcji: 2 pkt
• CZĘŚCIOWO (procedura istnieje, brak konsekwentnego stosowania): 1 pkt
• NIE: 0 pkt

Pytanie 15. Czy w ostatnich 12 miesiącach został przeprowadzony zewnętrzny test penetracyjny lub równoważny audyt techniczny?

• TAK, z udokumentowanym raportem i planem napraw: 2 pkt
• CZĘŚCIOWO (skanowanie automatyczne lub starsze niż 12 miesięcy): 1 pkt
• NIE: 0 pkt

Pytanie 16. Czy regularne kopie zapasowe wszystkich krytycznych systemów są wykonywane, przechowywane offline/immutable, i czy ich odtwarzalność została udokumentowana w ostatnich 12 miesiącach?

• TAK, wszystkie trzy warunki spełnione: 2 pkt
• CZĘŚCIOWO, kopie wykonywane, ale offline lub test odtwarzania nieudokumentowane: 1 pkt
• NIE: 0 pkt

Sekcja 5: Personel i szkolenia (3 pytania, 6 punktów)

Pytanie 17. Czy w ostatnich 12 miesiącach cały personel ze stałym dostępem do systemów IT przeszedł szkolenie cyberhigieny (phishing, hasła, social engineering)?

• TAK, z dokumentacją uczestnictwa: 2 pkt
• CZĘŚCIOWO (część personelu lub bez dokumentacji): 1 pkt
• NIE: 0 pkt

Pytanie 18. Czy posiadasz formalną procedurę nadawania i odbierania dostępów (onboarding/offboarding) z udokumentowanymi przeglądami uprawnień?

• TAK, z kwartalnymi przeglądami: 2 pkt
• CZĘŚCIOWO (procedura istnieje, przeglądy rzadsze lub niepełne): 1 pkt
• NIE: 0 pkt

Pytanie 19. Czy w ostatnim audycie kont aktywnych w głównych systemach (ERP, CRM, AD) udział kont nieaktywnych użytkowników (osoby już niezatrudnione) był poniżej 5%?

• TAK, sprawdzone w ostatnich 6 miesiącach: 2 pkt
• NIE WIADOMO, nigdy nie sprawdzone: 0 pkt
• NIE, sprawdzone, wynik powyżej 5%: 0 pkt

Sekcja 6: Łańcuch dostaw (3 pytania, 6 punktów)

Pytanie 20. Czy posiadasz aktualną mapę wszystkich dostawców IT i usług dotykających systemów krytycznych?

• TAK, z aktualizacją w ostatnich 12 miesiącach: 2 pkt
• CZĘŚCIOWO (mapa starsza lub niepełna): 1 pkt
• NIE: 0 pkt

Pytanie 21. Czy wszystkie umowy z dostawcami poziomu krytycznego zawierają klauzule cyberbezpieczeństwa (powiadomienie o incydencie, prawo do audytu, standardy bezpieczeństwa)?

• TAK, wszystkie: 2 pkt
• CZĘŚCIOWO, niektóre lub niepełne klauzule: 1 pkt
• NIE: 0 pkt

Pytanie 22. Czy każdy dostawca poziomu krytycznego wypełnił w ostatnich 18 miesiącach kwestionariusz cyberbezpieczeństwa lub przedstawił aktualny raport audytowy (SOC 2, ISO 27001)?

• TAK, wszyscy: 2 pkt
• CZĘŚCIOWO, niektórzy: 1 pkt
• NIE: 0 pkt

Sekcja 7: Compliance integration (3 pytania, 6 punktów)

Pytanie 23. Czy posiadasz wspólny rejestr incydentów obsługujący wymogi raportowania zarówno NIS2, jak i RODO?

• TAK: 2 pkt
• CZĘŚCIOWO (oddzielne rejestry): 1 pkt
• NIE (brak rejestru lub tylko nieformalny): 0 pkt

Pytanie 24. Czy w razie incydentu wiesz, do kogo zadzwonić w ciągu pierwszych 2 godzin (zewnętrzny incident response, ubezpieczyciel cyber, kancelaria prawna, organy nadzoru)?

• TAK, lista kontaktów aktualna i przetestowana: 2 pkt
• CZĘŚCIOWO (lista istnieje, nieprzetestowana): 1 pkt
• NIE: 0 pkt

Pytanie 25. Czy roczny budżet cyberbezpieczeństwa Twojej firmy stanowi minimum 5% rocznych nakładów na IT (lub minimum 0,3% rocznych przychodów dla firm o IT-stosunku poniżej średniej sektorowej)?

• TAK: 2 pkt
• CZĘŚCIOWO (3-5%): 1 pkt
• NIE (poniżej 3%): 0 pkt

Punktacja i interpretacja

Maksimum: 50 punktów. Sekcje: kwalifikacja (6), governance (8), polityki (8), kontrole techniczne (10), personel (6), łańcuch dostaw (6), compliance integration (6).

45-50 punktów: gotowość wysoka. Twoja firma ma fundamenty zgodności z NIS2. Nieliczne luki można zamknąć w 1-3 miesiące. Kontrola NIS2 prawdopodobnie przebiegnie pozytywnie. Rekomendacja: profesjonalny audyt zewnętrzny (potwierdzający stan, wyceniony 15 000-30 000 zł) i utrzymanie.

35-44 punkty: gotowość umiarkowana. Masz duży postęp, ale są obszary wymagające pracy. Wdrożenie do pełnej gotowości: 4-8 miesięcy. Nakład: 80 000-200 000 zł na korekty plus utrzymanie. Rekomendacja: gap analysis z konsultantem, plan naprawczy z konkretnymi terminami, wdrożenie sekcjami od najmniej punktowanych obszarów.

25-34 punkty: gotowość niska. Istotna luka między obecnym stanem a wymaganiami NIS2. Pierwsza kontrola prawdopodobnie ujawni poważne nieprawidłowości. Wdrożenie: 6-12 miesięcy. Nakład: 150 000-400 000 zł. Rekomendacja: pilna decyzja zarządu o priorytetowym programie zgodności, zewnętrzny konsultant na fazę wdrożenia, ewentualnie outsourcing części obsługi (MSSP).

Poniżej 25 punktów: gotowość minimalna lub brak. Krytyczne ryzyko. Każdy poważny incydent prawdopodobnie ujawni systemowe braki, które dla regulatora są podstawą do maksymalnej kary. Wdrożenie pełnego systemu: 9-18 miesięcy. Nakład: 200 000-600 000 zł. Rekomendacja: natychmiastowa decyzja zarządu o priorytetowym programie, zewnętrzny program prowadzony przez wyspecjalizowaną firmę, zatrudnienie lub outsourcing dedykowanej osoby odpowiedzialnej.

Mapowanie wyników na priorytety działań

Niezależnie od ogólnego wyniku, sprawdź sekcje z najniższą punktacją, to obszary priorytetowe.

Niski wynik w sekcji 1 (kwalifikacja): rozpocznij od formalnej analizy kwalifikacji. Złóż wniosek o wpis do wykazu podmiotów kluczowych i ważnych w aplikacji Wykaz KSC (wykaz-ksc.gov.pl), do 3 października 2026. To pierwszy krok niezależnie od pozostałych obszarów.

Niski wynik w sekcji 2 (governance): problem zarządczy, nie techniczny. Zacznij od posiedzenia zarządu z punktem cyberbezpieczeństwa, formalnej uchwały, programu szkoleniowego dla zarządu. Bez tego pozostałe inwestycje są zagrożone systemowo.

Niski wynik w sekcji 3 (polityki): opracuj brakujące polityki. Zacznij od analizy ryzyka i procedury obsługi incydentów, to fundamenty. Pozostałe można rozłożyć w czasie.

Niski wynik w sekcji 4 (kontrole techniczne): prawdopodobnie wymagają inwestycji finansowych i czasu zespołu IT. Priorytety: MFA (najszybszy efekt, niski koszt), patch management (procesowy), pen-test (ujawnia konkretne luki). Kryptografia i kopie, często już wdrożone technicznie, wymagają formalizacji.

Niski wynik w sekcji 5 (personel): szkolenia i przegląd kont. Najszybsze quick wins. Audyt kont aktywnych zwykle ujawnia 10-25% kont nieaktywnych do likwidacji.

Niski wynik w sekcji 6 (łańcuch dostaw): największa praca często ignorowana. Zacznij od mapy dostawców, klasyfikacji, renegocjacji umów z najważniejszymi.

Niski wynik w sekcji 7 (compliance integration): wymaga dojrzałości organizacyjnej. Często ostatni etap, po wdrożeniu obu reżimów osobno.

Co dalej po teście

Test daje ramy decyzji. Konkretny plan działań wymaga:

1. Przeglądu wyników z osobą odpowiedzialną za cyberbezpieczeństwo i zarządem. Test przeprowadzany solo to test marketingowy. Test omówiony w gronie decyzyjnym to początek strategii.

2. Walidacji wyniku przez próbę dokumentacji. Każde pytanie z odpowiedzią TAK powinno mieć konkretny dokument lub dowód. Jeśli nie masz, odpowiedź była CZĘŚCIOWO lub NIE.

3. Decyzji o ścieżce: wewnętrzne wdrożenie, zewnętrzny konsultant, outsourcing. Każda ma swoje koszty i ograniczenia.

4. Określenia timeline i budżetu. Realistycznie 6-12 miesięcy dla typowej firmy z wynikiem 25-40 punktów.

5. Rozpoczęcia od najszybszych i najniżej kosztowych quick wins. MFA, audyt kont aktywnych, podstawowe szkolenia, mapa dostawców. To pierwsze 30 dni, koszt 5 000-20 000 zł, znacząca poprawa wyniku przy następnym teście.

Pełen przegląd 10 obszarów z konkretnymi krokami wdrożenia, NIS2: kompletna checklista gotowości w 10 obszarach.

Bibliografia

• Komisja Europejska. (2022). Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. (NIS2), art. 20-24. https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32022L2555
• NIST. (2024). Cybersecurity Framework 2.0. National Institute of Standards and Technology. https://doi.org/10.6028/NIST.CSWP.29
• ISO. (2022). ISO/IEC 27001:2022, Załącznik A: Wykaz kontroli bezpieczeństwa informacji. International Organization for Standardization. https://www.iso.org/standard/27001
• Verizon. (2024). 2024 Data Breach Investigations Report. Verizon Business. https://www.verizon.com/business/resources/reports/dbir/

---

Test daje ramy decyzji, ale konkretny plan wymaga rozmowy. W cotygodniowym newsletterze TestNIS2.pl publikujemy interpretacje wyników podobnych testów dla różnych typów firm, plus konkretne plany 90-dniowe i wzory dokumentów. Zapisz się, bezpłatnie i wykorzystaj ten test jako pierwszy krok rocznej strategii compliance.