Kreator dokumentacji NIS2Odpowiadasz na pytania, dostajesz komplet dokumentów do podpisu.
Kreator prowadzi Cię przez wywiad o Twojej firmie i systemach, a z odpowiedzi składa dziewięć dokumentów wymaganych przez NIS2 i ustawę o KSC: politykę bezpieczeństwa, rejestr ryzyk, procedury, plan ciągłości działania i raport z listą luk. W jedno popołudnie, bez konsultanta. Kompletne pliki .docx z metryką, historią zmian i tabelą podpisów.
Czym jest NIS2 i kogo dotyczy
NIS2 to unijna dyrektywa o cyberbezpieczeństwie, wdrożona w Polsce nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa. Nakłada konkretne obowiązki: zarządzanie ryzykiem, obsługę i zgłaszanie incydentów, ciągłość działania, nadzór nad dostawcami, szkolenia. Za ich niespełnienie grożą wysokie kary, a odpowiada za nie także zarząd.
Kogo dotyczy
Średnie i duże firmy oraz instytucje z sektorów kluczowych i ważnych, a często także ich dostawców IT.
Przykładowe branże
Woda i ścieki, ochrona zdrowia, energetyka, transport, administracja, produkcja, żywność, gospodarka odpadami.
Co trzeba mieć
Udokumentowane polityki i procedury, analizę ryzyka, rejestr incydentów, plan ciągłości działania, program szkoleń i dowody, że to wszystko działa.
Tu wchodzi Kreator
Zamienia wywiad o Twojej firmie w komplet dokumentów gotowych do zatwierdzenia i pokazuje, co jeszcze trzeba naprawić.
Około 90 minut pracy osoby, która zna firmę
Pytania są klikane i napisane prostym językiem. Każda odpowiedź od razu pokazuje, czy jest luką, a odpowiedzi zapisują się na koncie, więc można przerwać i wrócić. Sterowniki przemysłowe, chmura albo dane osobowe włączają dodatkowe pytania tylko wtedy, gdy Was dotyczą.
Wywiad
Profil firmy, wykaz systemów i dziewięć modułów pytań: od polityki i ryzyk, przez incydenty i ciągłość, po dostawców, podatności i szkolenia.
Weryfikacja
Kreator sprawdza kompletność i spójność odpowiedzi, liczy gotowość w dziesięciu obszarach art. 21 NIS2 i zbiera luki do planu działań z terminami.
Dokumenty do podpisu
Zarząd wpisuje datę zatwierdzenia i osoby podpisujące, składa oświadczenie, a kreator wydaje kompletny zestaw .docx w wersji do podpisu, bez noty „szkic”.
Co roku od nowa
Przegląd polityki, testy kopii, ćwiczenia. Harmonogram przeglądów jest w raporcie, a kolejny wywiad tworzy nową wersję dokumentów z historią zmian.
Dziewięć dokumentów, które obronią się przed audytorem
Każdy ma to, o co pyta audyt: cel i zakres, definicje, role z zadaniami, procedury krok po kroku, tabele, załączniki, metrykę, historię zmian i tabelę podpisów. Treść opisuje Twoją firmę i Twoje systemy, nie „organizację” w ogóle. Jeśli czegoś jeszcze nie macie, dokument zapisuje „organizacja wprowadza” i dodaje działanie z terminem, zamiast udawać.
Polityka bezpieczeństwa informacji
Role, kontrola dostępu, hasła i MFA, urządzenia, kryptografia, bezpieczeństwo operacyjne, dostawcy, wyjątki, wykaz systemów.
Analiza ryzyka i rejestr ryzyk
Zagrożenia dla każdego ważnego systemu, ocena częstości i skutku, plan postępowania, ryzyka zaakceptowane z uzasadnieniem.
Procedura obsługi incydentów
Klasyfikacja, pierwsze kroki, kontakty awaryjne, terminy zgłoszeń do CSIRT (24 h, 72 h, miesiąc), rejestr incydentów, analiza po incydencie.
Plan ciągłości działania i odtwarzania
Systemy krytyczne z celami odtworzenia, kopie zapasowe, scenariusze awaryjne krok po kroku, zespół kryzysowy, testowanie planu.
Procedura zarządzania dostawcami
Rejestr dostawców, kryteria oceny, kwestionariusz dla dostawcy, klauzule umowne, plan wyjścia na wypadek utraty dostawcy.
Podatności i zarządzanie zmianą
Terminy łatania według wagi, systemy bez wsparcia, zgłaszanie luk z zewnątrz, zatwierdzanie zmian, rejestr zmian, wymagania przy zakupach.
Program szkoleń i instrukcja dla pracowników
Grupy, tematy, ewidencja, oraz jednostronicowa instrukcja bezpieczeństwa z miejscem na podpis każdego pracownika.
Plan działań naprawczych
Wszystkie luki z wywiadu z wagą, działaniem, osobą odpowiedzialną i terminem: 30, 90 albo 180 dni.
Raport z wywiadu
Gotowość w dziesięciu obszarach NIS2, ostrzeżenia przyjęte przez zarząd, oświadczenie, roczny harmonogram przeglądów, checklista rejestracji w wykazie KSC.
Widzisz, gdzie firma stoi, obszar po obszarze
Każda odpowiedź ma punktację, a kreator liczy wynik dla dziesięciu obszarów art. 21 ust. 2 NIS2. Otwarta luka krytyczna ogranicza wynik obszaru, a po zamknięciu działania limit znika. Zarząd dostaje liczbę, o której da się rozmawiać.
- Dziesięć obszarów od polityk po uwierzytelnianie wieloskładnikowe.
- Luki wykrywane w trakcie wywiadu, nie na końcu.
- Plan działań z terminami powstaje sam.
- Ten sam wynik rok później pokazuje postęp.
Gotowość do NIS2, firma przykładowa
41 / 100To dane firmy przykładowej z demo. Pełna lista obszarów jest w raporcie z wywiadu.
Zanim zarząd podpisze, kreator sprawdza wszystko
Blokady muszą zniknąć, ostrzeżenia trzeba świadomie przyjąć, a osoba odpowiedzialna składa oświadczenie, że treść odpowiada stanowi faktycznemu. Dopiero wtedy dokumenty tracą notę „szkic” i dostają datę obowiązywania oraz tabelę podpisów.
- Wymagane odpowiedzi, systemy bez właściciela, ryzyka bez oceny.
- Spójność między dokumentami, na przykład system krytyczny bez oceny ryzyka.
- Osoby podpisujące, wersja, miejscowość, daty.
- Uwagi audytora i plan działań trafiają do osobnego raportu, nie do polityk.
Weryfikacja przed pobraniem
Gotowe do podpisuTak wygląda krok „Weryfikacja” w demo.
Opis Twoich zabezpieczeń zostaje w Polsce
Odpowiedzi z wywiadu to informacja wrażliwa: mówią, jak chroniona jest Twoja firma. Traktujemy je tak, jak sami wymagamy tego od dostawców naszych klientów, i podpisujemy z Tobą umowę powierzenia danych już przy rejestracji.
- Serwery w Polsce, dane nie opuszczają EOG, kopie zapasowe szyfrowane.
- Logowanie hasłem i kodem z e-maila, hasła tylko jako skrót kryptograficzny.
- Dziennik zdarzeń na koncie, eksport i usunięcie danych w każdej chwili.
- Żadnych cookies analitycznych w samym kreatorze.
Umowa powierzenia, w skrócie
Pełna treść: umowa powierzenia, polityka prywatności.
Pokrywamy art. 21 ust. 2, litera po literze
Dyrektywa wymienia dziesięć obszarów środków zarządzania ryzykiem. Każdy z nich ma w kreatorze swoje pytania i swój dokument:
Do tego obowiązki z ustawy o KSC: rejestr incydentów, szkolenie zarządu, osoba kontaktowa, wpis do wykazu podmiotów i dostęp do S46, zebrane w checkliście raportu z wywiadu. Kreator nie jest audytem ani doradztwem prawnym: przygotowuje dokumenty na podstawie Twoich odpowiedzi, a za zgodność firmy odpowiada jej kierownictwo.
Dostęp roczny, płatny z góry
Dokumentacja NIS2 żyje w cyklu rocznym: przegląd polityki, testy, aktualizacja rejestru. Dlatego rozliczamy się rocznie, na fakturę z 7-dniowym terminem płatności. Zamawiasz przy zakładaniu konta, dostęp masz od razu. Ceny netto.
- Zamówienie przy zakładaniu konta, faktura elektroniczna z terminem 7 dni, płatność przelewem.
- Dostęp od razu po potwierdzeniu adresu e-mail; plan miesięczny na fakturze cyklicznej na życzenie.
- Aktualizacje szablonów przy zmianie przepisów, z informacją, które dokumenty odświeżyć.
- Wsparcie e-mailem w dzień roboczy.
Funkcje planu Pro oznaczone jako przypomnienia, wersjonowanie i wielu użytkowników są wdrażane etapami. Do ich uruchomienia klienci Pro korzystają z zakresu Start w tej samej cenie, z gwarancją dostępu do nowych funkcji bez dopłat.
Zanim zaczniesz
Czy moja firma podlega NIS2?
Zwykle tak, jeśli działa w sektorze z załączników dyrektywy i zatrudnia co najmniej 50 osób albo ma obrót powyżej 10 mln euro. Kreator wylicza status w pierwszym kroku; ostateczną kwalifikację potwierdza organ właściwy, a podmiot sam zgłasza się do wykazu.
Ile czasu zajmuje wywiad?
Około 90 minut dla osoby, która zna systemy firmy. Warto mieć listę systemów i dostawców oraz wiedzieć, kto za co odpowiada. Można przerwać i wrócić.
Czy dokumenty wystarczą na audyt?
Pokrywają dziesięć obszarów art. 21 NIS2 i obowiązki z ustawy o KSC. Audytor sprawdza też, czy zapisy mają pokrycie w praktyce, dlatego kreator nie ukrywa luk, tylko wpisuje je do planu działań z terminami.
Kto pisze te dokumenty?
Szablony i treści przygotowała osoba z uprawnieniami audytora wiodącego. Kreator składa z nich dokument dopasowany do Twoich odpowiedzi; to samo pytanie zawsze daje ten sam, sprawdzony zapis.
Co po roku?
NIS2 wymaga przeglądu dokumentacji co najmniej raz w roku. Harmonogram przeglądów jest w raporcie, a w planie Pro kreator przypomni o terminach, a kolejny wywiad utworzy nową wersję z historią zmian.
Jak wygląda wsparcie?
Pytania i zgłoszenia przyjmujemy na info@lornis.pl i odpowiadamy w dzień roboczy. Reklamacje rozpatrujemy w ciągu 14 dni zgodnie z regulaminem.
Masz pytanie przed startem?
Napisz, jeśli chcesz porozmawiać o wdrożeniu w swojej organizacji, o planie Partner dla audytorów i kancelarii albo o zamówieniu na fakturę. Odpowiadamy w jeden dzień roboczy.
Wolisz e-mail? Napisz na info@lornis.pl.