--- title: NIS2 description: Zdąż z terminami NIS2 - 24 godziny, 72 godziny i miesiąc - dzięki dokumentom zgłoszenia generowanym prosto z detekcji, mierz każdy środek z art. 21 na żywych danych tenanta i prowadź zapis obsługi incydentu, którego wymaga dyrektywa - na standardowych licencjach Microsoft 365. icon: Scale --- # Gotowość na NIS2 NIS2 zamienia reagowanie na incydenty w wyścig z ustawowymi zegarami: **wczesne ostrzeżenie w ciągu 24 godzin** od wykrycia poważnego incydentu, **zgłoszenie incydentu ze wstępną oceną w ciągu 72 godzin** i **sprawozdanie końcowe w ciągu miesiąca**. Większość organizacji nie potrafi w tym czasie odpowiedzieć na podstawowe pytania - _co się stało, kogo dotknęło, czy nadal trwa, co zrobiliśmy_ - bo dowody leżą w 90-dniowych logach i rozproszonych centrach administracyjnych. Zadaniem 1Security jest sprawić, by termin był najłatwiejszą częścią: detekcja, jej aktywność, historia przeglądu i sam dokument zgłoszenia są jednym obiektem, a obowiązki z art. 21 są mierzone, a nie deklarowane. ## Czego NIS2 naprawdę wymaga Dyrektywa (UE 2022/2555, transponowana do prawa krajowego od października 2024) obejmuje podmioty _kluczowe_ i _ważne_ w 18 sektorach i nie jest ćwiczeniem z odhaczania: - **Art. 21** nakazuje środki zarządzania ryzykiem: polityki analizy ryzyka i bezpieczeństwa systemów informatycznych, obsługę incydentów, bezpieczeństwo łańcucha dostaw, podstawową cyberhigienę i szkolenia, kontrolę dostępu i zarządzanie aktywami, uwierzytelnianie wieloskładnikowe - oraz polityki _oceny skuteczności_ tych środków. - **Art. 23** ustawia zegar zgłoszeń: wczesne ostrzeżenie w 24 godziny (w tym czy podejrzewa się działanie niezgodne z prawem lub złośliwe i czy możliwy jest skutek transgraniczny), zgłoszenie w 72 godziny ze wstępną oceną dotkliwości i skutków oraz dostępnymi wskaźnikami naruszenia, a także sprawozdanie końcowe w ciągu miesiąca od zgłoszenia - ze szczegółowym opisem, rodzajem zagrożenia lub przyczyną, zastosowanymi i trwającymi środkami zaradczymi oraz skutkami transgranicznymi. Sprawozdanie pośrednie może zostać zażądane w każdej chwili. - **Zarząd odpowiada osobiście.** Organy zarządzające muszą zatwierdzać i nadzorować środki i mogą ponosić odpowiedzialność za naruszenia - z karami do 10 mln EUR lub 2% światowego obrotu dla podmiotów kluczowych (7 mln EUR / 1,4% dla ważnych). ## Od detekcji do zgłoszenia w jednym miejscu Zegar zgłoszeń rusza w chwili, gdy dowiadujesz się o incydencie. W 1Security ta chwila ma zapis: [anomalia lub incydent](/pl/docs/screens/anomalies) otwiera się jako **epizod** - detektor zadziałał na użytkowniku, aplikacji, agencie AI, lokalizacji albo całym tenancie, z dotkliwością wynikającą z wyniku i innych otwartych detekcji tego samego podmiotu, a nie przystawioną pieczątką. Szuflada epizodu zawiera wszystko, o co zapyta regulator: - **Co się stało** - detektor, podmiot, baza wobec zaobserwowanej aktywności, szczyt, wynik względem Twojej linii alertu. - **Aktywność za tym stojąca** - zdarzenia podmiotu w oknie incydentu, każde przypisane do aktora, zasobu, aplikacji, urządzenia i lokalizacji, z adresami sieciowymi, dostawcami i krajami, które stają się wskaźnikami naruszenia. - **Historia i komentarze** - każda zmiana statusu, każdy werdykt dotkliwości, każda zlecona akcja reakcji i każdy komentarz, od najnowszych. To zapis obsługi incydentu, którego oczekuje art. 21 ust. 2 lit. b, prowadzony w trakcie pracy. - **Reaguj** - dobrane akcje powstrzymujące (wyłącz konto, cofnij zgody, poddaj agenta kwarantannie), które przechodzą przez [Centrum akcji](/pl/docs/screens/actions) i zostawiają ślad audytowy z możliwością cofnięcia. ### Dokumenty zgłoszenia Z tej samej szuflady **Raport** otwiera [kreator raportów](/pl/docs/screens/reports) dla tej jednej detekcji. Trzy gotowe szablony odpowiadają art. 23 ust. 4 punkt po punkcie: | Termin | Szablon | Co zawiera | | ------------------------------------ | ------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | **24 h** - wczesne ostrzeżenie | NIS2 wczesne ostrzeżenie | Znane dotąd fakty, Twoja ocena, czy podejrzewa się działanie niezgodne z prawem lub złośliwe i czy możliwy jest skutek transgraniczny, podmiot zgłaszający i kontakt | | **72 h** - zgłoszenie | NIS2 zgłoszenie incydentu | Aktualizuje wczesne ostrzeżenie o wstępną ocenę dotkliwości i skutków, wskaźniki naruszenia wzięte z aktywności, dotknięty podmiot i dotychczasowe akcje | | **1 miesiąc** - sprawozdanie końcowe | NIS2 sprawozdanie końcowe | Szczegółowy opis z dotkliwością i skutkami, rodzaj zagrożenia lub przyczyna, zastosowane i trwające środki zaradcze, skutki transgraniczne w stosownych przypadkach, pełna historia przeglądu i zapis aktywności | Raport z etapem ma sekcję **Obowiązek zgłoszenia**: etap, chwilę wykrycia incydentu (pierwsze wystąpienie detekcji, chyba że ją ustawisz), trzy terminy z informacją, czy zostały dotrzymane, oraz tabelę, który punkt art. 23 ust. 4 realizuje każda sekcja dokumentu - i którego dokument nie obejmuje, żeby nic nie wynikało z przemilczenia. To, czego żaden system nie wie - opis, skutki, przyczyna, środki zaradcze, ocena poważnego charakteru według art. 23 ust. 3, czy poinformowano odbiorców usług, czy zaangażowano organy ścigania - wpisujesz raz w oknie; jest zapisane dla detekcji, więc sprawozdanie końcowe miesiąc później zaczyna się od tekstu zgłoszenia. Każdy wygenerowany raport sam trafia do karty Historia i komentarze, a terminy na osi czasu kolejnego raportu czytają te wpisy: wczesne ostrzeżenie wygenerowane przed 24. godziną pokazuje _W terminie_, po niej _Po terminie_. Dwa kolejne szablony - **Zapis incydentu** i **Briefing incydentu** - nie mają etapu regulacyjnego i służą do akt wewnętrznych, dla klienta albo jako streszczenie dla zarządu. Ten sam raport, w PDF, PowerPoint, HTML, CSV lub JSON i w siedmiu językach, platforma SOC może pobrać przez [REST API lub MCP](/pl/docs/reference/api#raporty) dla detekcji, nad którą pracuje. ## Mierzenie środków z art. 21 NIS2 nie każe tylko mieć kontroli - każe _wykazać, że działają_. Ekran [Zgodność](/pl/docs/screens/compliance) czyta NIS2 jako jedne z jedenastu ram zbudowanych na wspólnym zestawie wymagań - rzeczy, które organizacja naprawdę robi - i mierzy te, które da się zmierzyć z żywych danych tenanta, ciągle, z tygodniowymi migawkami i [pakietem dowodów](/pl/docs/reference/evidence-export) na ramy. Artykuły NIS2, które obejmuje dziś, i na czym się opierają: | Artykuł | Wymaganie | Skąd pochodzi pomiar | | ----------------------------------------------------------------- | -------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | **21 ust. 2 lit. a** analiza ryzyka i bezpieczeństwo systemów | Udokumentowane zarządzanie ryzykiem i nadzór nad bezpieczeństwem | Poświadczone przez organizację, ze statusem, właścicielem i datą zapisanymi na wymaganiu | | **21 ust. 2 lit. b** obsługa incydentów | Ciągłe monitorowanie aktywności z detekcją anomalii; procedura reagowania na incydenty | [Anomalie](/pl/docs/screens/anomalies) z bazami per podmiot nad całym tenantem, [alertowanie](/pl/docs/screens/alerting) z dziennikiem powiadomień oraz raporty z incydentów opisane wyżej | | **21 ust. 2 lit. d** bezpieczeństwo łańcucha dostaw | Zasięg aplikacji zewnętrznych pod kontrolą; znane i nadzorowane organizacje zewnętrzne wymieniające dane | Każda aplikacja zewnętrzna i [agent AI](/pl/docs/screens/agents) z dostępem do tenanta, jego wydawca i kanał dostępu; [Domeny](/pl/docs/screens/domains) dla organizacji, z którymi tenant wymienia dane, z werdyktami i dryfem | | **21 ust. 2 lit. g** cyberhigiena i szkolenia | Brak włączonych uśpionych kont; urządzenia sięgające do tenanta są zarządzane i zgodne | [Użytkownicy](/pl/docs/screens/users) i [urządzenia](/pl/docs/screens/devices) - w tym urządzenia-cienie, które nigdy się nie zarejestrowały | | **21 ust. 2 lit. i** kontrola dostępu i zarządzanie aktywami | Te same dwa wymagania, czytane jako kontrola dostępu | [Graf uprawnień](/pl/docs/permission-graph) rozwiązuje dostęp efektywny przez zagnieżdżone grupy i dziedziczenie, więc najmniejsze uprawnienia są mierzone; żywe inwentarze witryn, aplikacji, urządzeń i agentów | | **21 ust. 2 lit. j** uwierzytelnianie wieloskładnikowe lub ciągłe | Logowania objęte dostępem warunkowym | [Pokrycie dostępem warunkowym](/pl/docs/conditional-access) czytane z każdego logowania - które polityki zadziałały, których logowań nie objęła żadna | | **23** obowiązki zgłaszania | Procedura reagowania na incydenty i ich zgłaszania | Poświadczone, z raportami z incydentów jako wynikiem procedury | Artykuł przyjmuje najgorszy status wymagań, na które się powołuje. Wymaganie mierzone pokazuje bieżącą liczbę i uzasadnienie; gdy organizacja wie, że pełny obraz jest inny, zapisuje własną ocenę i ten status obowiązuje, a pomiar jest widoczny obok. [Wynik bezpieczeństwa](/pl/docs/screens/security-score) pokazuje dla każdej kontroli Microsoft Secure Score i każdej kontroli 1Security, które artykuły NIS2 poruszą się po jej naprawieniu. Środek, na którym NIS2 zależy najbardziej - **art. 21 ust. 2 lit. f, ocena skuteczności** - to cel reszty platformy: [pokrycie etykietami wrażliwości](/pl/docs/screens/sensitivity-labels) mierzone wobec rzeczywistych [lokalizacji danych wrażliwych](/pl/docs/sensitivity), [Trendy](/pl/docs/screens/trends) pokazujące, jak liczba każdej kontroli zmienia się w czasie, oraz migawki zgodności, które datują każdą zmianę. ## Wiedzieć, że to prawdziwe - i skąd przyszło Wczesne ostrzeżenie zadaje dwa pytania, na które sam log nie odpowie: czy to prawdziwy atak i czy jest transgraniczny. [Lokalizacje](/pl/docs/screens/locations) odpowiadają na oba. Każde logowanie i akcja są rozwiązywane do kraju, miasta i dostawcy sieci, z oddzieleniem ruchu zaplecza Microsoft od prawdziwych aktorów, więc logowanie z nieoczekiwanego kraju czyta się jako takie, a nie jako szum. **Lista lokalizacji** zamienia decyzję w egzekwowanie - zezwól lub blokuj kraje i sieci, przyznaj zezwolenia osobowe z datą końcową - a każda decyzja ląduje w historii lokalizacji. Mapy podróży per użytkownik i per urządzenie pokazują, gdzie konto bywało, a karta dostępu warunkowego - które lokalizacje Twoje polityki już obejmują. Incydent lokalizacji jest epizodem jak każdy inny: ma szufladę, reakcję i raport. ## Alertowanie, z którego umiesz się rozliczyć Art. 21 ust. 2 lit. b dotyczy obsługi incydentów, a ta zaczyna się od wiedzy o nich. [Alertowanie](/pl/docs/screens/alerting) ma trzy warstwy: alerty natychmiastowe dla detekcji, które nie mogą czekać, zestawienia dla całej reszty i nadpisania od postawy tenanta po pojedynczy podmiot. Każdy wysłany e-mail, każde wyciszenie i każde nadpisanie jest w dzienniku **Powiadomień** - zapisie decyzji, nie tylko poczty - więc gdy regulator pyta, kiedy wiedzieliście, odpowiedź ma znacznik czasu. Dotkliwość da się wyjaśnić w każdym wierszu: poziom własny detektora, eskalacja z wyniku, podniesienie przez skorelowane detekcje tego samego podmiotu albo werdykt ręczny i kto go wydał. ## Ślad audytowy środków zaradczych Sprawozdanie końcowe pyta o zastosowane i trwające środki zaradcze. Wszystko zrobione przez [Centrum akcji](/pl/docs/screens/actions) - od reakcji uruchomionej w szufladzie po sprawę bezpieczeństwa nad zamrożonym zbiorem zasobów - ma własny wiersz: kto zlecił, kiedy wykonano, czy Microsoft potwierdził i jakie cofnięcie to odwraca. Właściciele poproszeni o przegląd propozycji i ich decyzje są w tym samym rejestrze. Sekcja **Reakcja i środki zaradcze** raportu z incydentu wypisuje każdą akcję na dotkniętym podmiocie od początku incydentu obok środków, które opisujesz słowami. ## Ćwiczenie 72 godzin Przeprowadź to jako ćwiczenie, zanim przeprowadzisz jako incydent. Otwórz anomalię na użytkowniku i w jednym posiedzeniu: (1) przeczytaj jej szufladę - bazę, aktywność, lokalizacje i urządzenia; (2) uruchom jedną akcję powstrzymującą z Reaguj i zostaw komentarz, dlaczego; (3) wygeneruj **NIS2 wczesne ostrzeżenie**, potem **NIS2 zgłoszenie incydentu**, i sprawdź, że oś czasu drugiego pokazuje pierwsze jako _W terminie_; (4) otwórz Zgodność i przeczytaj status ram NIS2 z pakietem dowodów. Jeśli ćwiczenie zajmuje godzinę, zgłoszenie w 72 godziny przestaje być straszne. ## Zakres, uczciwie 1Security dostarcza zapis śledczy, żywy pomiar kontroli, historię obsługi incydentu i dokumenty zgłoszenia, na których opierają się obowiązki NIS2. Czy dany incydent jest „poważny” według art. 23 ust. 3, który organ krajowy przyjmuje zgłoszenie, jak stosuje się transpozycja Twojego sektora i co dokument musi zawierać ponad fakty, które niesie - to pytania do Twojego doradcy ds. zgodności. Raporty oznaczają każdą ocenę, której nie dokonano, jako _Nie ustalono_, zamiast zgadywać. Przynieś doradcy dowody; 1Security dba o to, żebyś je miał.