Security Controls NIS2 i DORA: jak zbudować wielowarstwowe cyberbezpieczeństwo w firmie?

Security Controls NIS2: czym są środki bezpieczeństwa?

Security Controls to mechanizmy, procedury i działania ograniczające prawdopodobieństwo incydentu, jego zasięg albo skutki. Mogą działać przed atakiem, podczas jego trwania albo już po naruszeniu bezpieczeństwa.

Największym błędem jest utożsamienie kontroli bezpieczeństwa wyłącznie z technologią. Organizacja może posiadać zaawansowany firewall, ale pozostawać podatna, jeżeli konta byłych pracowników nie są wyłączane, kopie zapasowe nie są testowane, a nikt nie analizuje alertów.

Cztery kategorie Security Controls w architekturze firmy

Środki techniczne

Zabezpieczenia wdrożone w systemach, aplikacjach, urządzeniach i infrastrukturze sieciowej.

• firewall, WAF, IDS/IPS i segmentacja,
• MFA, IAM, PAM i kontrola dostępu,
• EDR, SIEM i centralizacja logów,
• szyfrowanie, backup i mechanizmy integralności.

Środki zarządcze i administracyjne

Polityki, role, decyzje i zasady określające, jak organizacja zarządza bezpieczeństwem.

• analiza ryzyka i klasyfikacja aktywów,
• polityki dostępu i cyberbezpieczeństwa,
• BCP, disaster recovery i zarządzanie incydentami,
• zarządzanie dostawcami ICT i łańcuchem dostaw.

Środki operacyjne

Codzienne działania ludzi i zespołów, dzięki którym zabezpieczenia faktycznie funkcjonują.

• monitorowanie alertów i obsługa incydentów,
• onboarding, offboarding i przegląd uprawnień,
• patch management i skanowanie podatności,
• szkolenia, ćwiczenia i testy phishingowe.

Środki fizyczne

Ochrona budynków, serwerowni, urządzeń oraz infrastruktury pomocniczej.

• kontrola wejść, zamki i monitoring,
• ochrona serwerowni i szaf rack,
• UPS, agregaty i zabezpieczenia środowiskowe,
• bezpieczne niszczenie nośników i dokumentów.

Nie istnieje jedna właściwa konfiguracja dla każdej firmy

Zakres zabezpieczeń zależy od wielkości organizacji, sektora, krytyczności usług, rodzaju danych, zależności od dostawców oraz skutków potencjalnego incydentu. Proporcjonalność nie oznacza minimalizmu — oznacza uzasadniony dobór środków.

Jakie funkcje pełnią mechanizmy kontrolne?

Ta sama technologia może realizować kilka funkcji. Firewall może działać prewencyjnie, logi z niego — wykrywająco, a reguła awaryjna blokująca określony ruch — korekcyjnie.

Sześć funkcji mechanizmów kontrolnych

Kliknij kategorię, aby zobaczyć jej cel, przykłady i typową pułapkę wdrożeniową.

Kontrole prewencyjne

Cel: niedopuszczenie do incydentu albo ograniczenie prawdopodobieństwa jego wystąpienia.

Przykłady: MFA, firewall, segmentacja, polityka najmniejszych uprawnień, szyfrowanie, bezpieczna konfiguracja.

Pułapka: uznanie, że pojedyncza bariera uniemożliwia atak. Każda kontrola może zostać ominięta albo błędnie skonfigurowana.

Kontrole wykrywające

Cel: rozpoznanie anomalii, naruszenia albo próby obejścia zabezpieczeń.

Przykłady: SIEM, EDR, IDS, analiza logów, alerty IAM, monitoring integralności plików.

Pułapka: generowanie tysięcy alertów, których nikt nie analizuje.

Kontrole korekcyjne

Cel: ograniczenie skutków i przywrócenie bezpiecznego działania po incydencie.

Przykłady: izolacja hosta, odtworzenie backupu, rotacja kluczy, poprawka bezpieczeństwa, odbudowa środowiska.

Pułapka: posiadanie backupu bez testów odtworzeniowych.

Kontrole odstraszające

Cel: zniechęcenie do naruszenia albo uświadomienie konsekwencji.

Przykłady: monitoring, ostrzeżenia o rejestrowaniu aktywności, polityka odpowiedzialności, widoczna kontrola dostępu.

Pułapka: zastępowanie realnej ochrony samym komunikatem ostrzegawczym.

Kontrole kompensacyjne

Cel: ograniczenie ryzyka, gdy optymalnego środka nie można wdrożyć od razu.

Przykłady: izolacja podatnego systemu, WAF, allowlista IP, dodatkowe MFA przed aplikacją legacy.

Pułapka: przekształcenie rozwiązania tymczasowego w stały substytut aktualizacji.

Kontrole dyrektywne

Cel: określenie obowiązkowego sposobu działania.

Przykłady: procedura incydentowa, polityka haseł, instrukcja klasyfikacji danych, zakaz korzystania z prywatnych nośników.

Pułapka: procedura nieznana pracownikom albo niemożliwa do wykonania w praktyce.

Defense-in-Depth: dlaczego jedna kontrola nie wystarczy?

Wielowarstwowa obrona zakłada, że pojedynczy środek może zawieść. Dlatego kolejne warstwy powinny ograniczać skutki błędu użytkownika, podatności technicznej albo przejęcia konta.

Jeżeli hasło pracownika zostanie wyłudzone, MFA może zatrzymać logowanie. Jeżeli również MFA zostanie obejściem przejęte, polityka dostępu może ograniczyć użytkownika do kilku usług. Jeżeli dojdzie do infekcji urządzenia, segmentacja może zablokować ruch boczny. Jeżeli system zostanie zaszyfrowany, testowany backup i plan odtworzenia powinny ograniczyć czas przestoju.

Triada CIA jako fundament odporności cyfrowej

Poufność

Dane są dostępne wyłącznie dla uprawnionych osób i systemów. Wspierają ją szyfrowanie, MFA, IAM, klasyfikacja informacji i kontrola dostępu.

Integralność

Dane nie są modyfikowane w sposób nieautoryzowany lub niewykrywalny. Służą temu podpisy, hasze, logi, wersjonowanie i kontrola zmian.

Dostępność

Usługi i dane pozostają dostępne wtedy, gdy są potrzebne. Wymaga to redundancji, backupu, monitoringu, ochrony DDoS i planów awaryjnych.

Nadmierne skupienie na poufności może utrudnić dostępność, a niekontrolowana redundancja może zwiększyć liczbę kopii danych. Zabezpieczenia muszą równoważyć wszystkie trzy cele.

Jak Security Controls łączą wymagania NIS2, KSC i DORA?

NIS2 oraz wdrażająca ją polska ustawa KSC obejmują podmioty kluczowe i ważne z wielu sektorów. DORA dotyczy natomiast wskazanych podmiotów finansowych i ich odporności operacyjnej ICT. Zakresy regulacji nie są identyczne, ale łączy je podejście oparte na ryzyku, odpowiedzialności kierownictwa, ciągłości działania, bezpieczeństwie dostawców i skuteczności zabezpieczeń.

Nowelizacja ustawy o KSC wdrażająca NIS2 weszła w życie 3 kwietnia 2026 r. i od tego dnia zaczęły biec przewidziane ustawą terminy dla podmiotów objętych nowymi obowiązkami. DORA jest stosowane od 17 stycznia 2025 r.

Oficjalne teksty regulacji: dyrektywa NIS2, rozporządzenie DORA oraz nowelizacja ustawy KSC.

Odpowiedzialność zarządu za cyberbezpieczeństwo

Kierownictwo nie musi samodzielnie konfigurować zapory sieciowej, ale powinno rozumieć kluczowe ryzyka, zatwierdzać środki zarządzania ryzykiem, zapewniać zasoby, nadzorować wykonanie oraz reagować na informacje o istotnych lukach.

Delegowanie zadań nie oznacza delegowania całego ryzyka

Powierzenie obsługi IT pracownikowi lub zewnętrznemu dostawcy nie zwalnia organu zarządzającego z obowiązku nadzoru. Dowodem należytej staranności nie jest sama faktura za usługę, lecz system decyzji, raportowania, kontroli i reakcji.

Nie należy również przedstawiać wdrożenia procedur jako automatycznej „tarczy” przed odpowiedzialnością. Dokumentacja może pomóc wykazać należytą staranność, ale tylko wtedy, gdy odzwierciedla rzeczywiste działania, jest aktualna i podlega regularnej weryfikacji.

Korzyści biznesowe z dojrzałego systemu Security Controls

NIS2 przewiduje minimalne maksymalne poziomy administracyjnych kar pieniężnych na poziomie UE, ale praktyczna odpowiedzialność polskiego podmiotu wynika z obowiązujących przepisów krajowych i konkretnego stanu faktycznego. Nie należy traktować kwoty 10 mln euro lub 2% obrotu jako automatycznej kary dla każdej firmy.

Security Controls NIS2 — checklista dla zarządu

Lista pomaga szybko ocenić, czy organizacja posiada nie tylko narzędzia, lecz działający system zarządzania bezpieczeństwem.

Prawo i technologia muszą tworzyć jeden system

Najlepsza polityka bezpieczeństwa nie zatrzyma ataku, jeżeli nie została przełożona na konfigurację systemów i codzienne procesy. Z kolei rozbudowany stos technologiczny nie zapewni zgodności, jeżeli nikt nie przypisał odpowiedzialności, nie analizuje alertów i nie testuje odtworzenia danych.

Dojrzały model Security Controls NIS2 łączy analizę ryzyka, decyzje kierownictwa, procedury operacyjne, środki techniczne oraz dowody ich skuteczności. Dopiero taki układ buduje realną odporność cyfrową.

Najczęstsze pytania