Test gotowości NIS2

Pytanie 1 z 25

Wiecie, czy firma podlega pod NIS2 i w której kategorii: podmiot kluczowy czy ważny?

Decyduje sektor z załączników I i II dyrektywy oraz wielkość podmiotu.

Pytanie 2 z 25

Macie pisemnie ustalone, kto w firmie odpowiada za zgodność z NIS2?

Imiennie, z zakresem obowiązków, nie ogólne „dział IT”.

Pytanie 3 z 25

Firma jest w wykazie podmiotów kluczowych i ważnych (z urzędu albo na wniosek) lub wiecie, że wniosek trzeba złożyć w aplikacji Wykaz KSC do 3 października 2026?

Obowiązek rejestracyjny dotyczy podmiotów objętych dyrektywą.

Pytanie 4 z 25

Macie aktualny wykaz systemów i usług, które są krytyczne dla działania firmy?

Inwentaryzacja zasobów: systemy, dane, zależności, właściciele.

Pytanie 5 z 25

Jest przeprowadzona i zapisana analiza ryzyka dla systemów informatycznych?

Z metodyką, listą zagrożeń, oceną i planem postępowania z ryzykiem.

Pytanie 6 z 25

Istnieje zatwierdzona polityka bezpieczeństwa systemów informatycznych?

Dokument przyjęty przez zarząd, nie szkic w dysku współdzielonym.

Pytanie 7 z 25

Analiza ryzyka jest przeglądana co najmniej raz w roku lub po istotnej zmianie?

Data ostatniego przeglądu musi być widoczna w dokumencie.

Pytanie 8 z 25

Skuteczność zabezpieczeń jest weryfikowana: testy, audyty, przeglądy?

Artykuł 21 wymaga polityk oceny skuteczności środków.

Pytanie 9 z 25

Macie politykę kontroli dostępu i regularny przegląd uprawnień?

Kto ma dostęp do czego, kiedy ostatnio to sprawdzano, co z odejściami z firmy.

Pytanie 10 z 25

Jest spisana procedura obsługi incydentu z rolami i ścieżką decyzji?

Kto klasyfikuje, kto decyduje o zgłoszeniu, kto rozmawia z klientami.

Pytanie 11 z 25

Wiecie, komu i w jakim terminie zgłaszacie incydent istotny?

Wczesne ostrzeżenie w 24 godziny, zgłoszenie w 72 godziny, raport końcowy w miesiąc.

Pytanie 12 z 25

Jest ustalony kontakt dostępny poza godzinami pracy, w weekend i w święta?

Termin 24 godzin nie zatrzymuje się w piątek po siedemnastej.

Pytanie 13 z 25

Ćwiczyliście zgłoszenie incydentu na sucho, choć raz?

Test procedury, nie tylko jej istnienie.

Pytanie 14 z 25

Macie listę dostawców krytycznych dla usług, które świadczycie?

Hosting, chmura, oprogramowanie branżowe, serwis, outsourcing IT.

Pytanie 15 z 25

Umowy z dostawcami zawierają obowiązek zgłoszenia wam incydentu?

Wraz z terminem i osobą kontaktową po stronie dostawcy.

Pytanie 16 z 25

Sprawdzacie poziom bezpieczeństwa dostawcy przed podpisaniem umowy?

Ankieta, certyfikaty, wyniki audytu, referencje techniczne.

Pytanie 17 z 25

Jest plan ciągłości działania i odtworzenia po awarii, z parametrami RTO i RPO?

Ile czasu wolno wam być offline i ile danych wolno stracić.

Pytanie 18 z 25

Kopie zapasowe są wykonywane i przechowywane poza główną infrastrukturą?

Kopia w tej samej serwerowni ginie razem z serwerownią.

Pytanie 19 z 25

Odtworzenie z kopii było testowane w ciągu ostatnich 12 miesięcy?

Z zapisem: data, zakres, czas odtworzenia, wnioski.

Pytanie 20 z 25

Zarząd zatwierdził środki zarządzania ryzykiem i jest to udokumentowane?

Uchwała, protokół, podpisany dokument polityki.

Pytanie 21 z 25

Członkowie zarządu przeszli szkolenie z cyberbezpieczeństwa?

Dyrektywa wymaga szkolenia organów zarządzających, z listą obecności.

Pytanie 22 z 25

Pracownicy przechodzą regularne szkolenia z higieny cyfrowej?

Phishing, hasła, nośniki, zgłaszanie podejrzanych zdarzeń.

Pytanie 23 z 25

Uwierzytelnianie wieloskładnikowe jest włączone dla kont uprzywilejowanych i zdalnego dostępu?

Administratorzy, VPN, poczta, panele chmurowe.

Pytanie 24 z 25

Macie proces zarządzania podatnościami i aktualizacjami?

Skanowanie, priorytety, terminy łatania, potwierdzenie wykonania.

Pytanie 25 z 25

Logi z kluczowych systemów są zbierane, przechowywane i przeglądane?

Bez logów nie odtworzycie przebiegu incydentu w raporcie końcowym.