Cyberbezpieczeństwo po ludzku

Piątek po południu. Pracownik działu sprzedaży chce szybciej przygotować ofertę dla klienta. Otwiera publiczny czat AI, wkleja fragment umowy i prosi o poprawienie tekstu.Kilka sekund później ma gotową ofertę. Nikt nie zauważa problemu.Dopiero pół roku później firma odkrywa, że poufne dane klienta trafiły do zewnętrznego narzędzia AI.Czy podobna sytuacja może wydarzyć się w Twojej organizacji? I czy zakaz korzystania z ChatGPT rzeczywiście rozwiąże problem?W tym odcinku „Cyberbezpieczeństwa po ludzku” opowiadam o ryzyku, które pojawia się wtedy, gdy pracownicy korzystają z AI bez jasnych zasad. Pokazuję też pięć praktycznych kroków, które pomagają firmom chronić dane bez rezygnowania z możliwości sztucznej inteligencji.Jeśli odpowiadasz za firmę, zespół lub bezpieczeństwo informacji, ten odcinek jest dla Ciebie.Prowadzę również roczny program AI awareness, który pomaga organizacjom uczyć pracowników bezpiecznego korzystania ze sztucznej inteligencji.👉 Więcej informacji o programie: https://joannawziatek.pl/szkolenia-dla-firm/#s1-pracownicyHistoria przedstawiona w odcinku jest rekonstrukcją kilku podobnych sytuacji i nie dotyczy jednej konkretnej firmy.

Termin na samorejestrację do Wykazu podmiotów kluczowych i ważnych — polskiego rejestru wynikającego z nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC), czyli polskiej wersji unijnej dyrektywy NIS2 — minął 3 października 2026. I to już nie jest temat tylko dla energetyki, banków i telekomów — dotyczy też producentów maszyn, zakładów chemicznych, producentów żywności, firm transportowych i kurierskich.W tym odcinku rozkładam na czynniki pierwsze:→ kto faktycznie podlega ustawie o KSC (katalog sektorów jest szerszy, niż większość firm produkcyjnych się spodziewa)→ co się dzieje, jeśli nie zdążyliście z rejestracją do 3 października→ jakie są realne kary — do 10 mln euro lub 2% obrotu dla podmiotów kluczowych, do 7 mln euro lub 1,4% obrotu dla podmiotów ważnych, oraz kara nadzwyczajna do 100 mln zł→ dlaczego odpowiedzialność za te terminy spada bezpośrednio na zarząd, nie na dział IT — łącznie z osobistą odpowiedzialnością finansową kierownika podmiotu do 300% miesięcznego wynagrodzeniaCo zrobić już teraz, nawet po terminie:1. Przeprowadźcie samoidentyfikację, nawet spóźnioną — formalnie, z dokumentacją, nie "na wyczucie".2. Jeśli podlegacie ustawie, zgłoście się do wykazu tak szybko, jak to możliwe, nawet po terminie.3. Nie czekajcie z wdrożeniem systemu zarządzania ryzykiem do ostatniego miesiąca przed kolejnym terminem.4. Ustalcie w zarządzie, kto formalnie i z jakim budżetem odpowiada za ten temat.Wszystkie daty i kwoty sprawdziłam w oficjalnych komunikatach Ministerstwa Cyfryzacji oraz w tekście znowelizowanej ustawy. Prawo w tym obszarze jest świeże — jeśli oglądacie ten odcinek długo po publikacji, zawsze zweryfikujcie aktualny stan na stronach rządowych.Jeśli po tym odcinku nie masz stuprocentowej pewności, czy Twoją firmę dotyczy ustawa o KSC — to jest pytanie na bezpłatną, 15-minutową rozmowę, nie na kolejne odkładanie tematu do następnego kwartału: https://calendly.com/kontakt-joannawziatek/30min0:00 Wstęp — kogo dotyczy termin 3 października1:12 Kim jestem i zastrzeżenie o datach i kwotach1:52 Skąd się wzięła ustawa o KSC (NIS2 po polsku)2:45 Samoidentyfikacja: kto podlega ustawie (pułapka sektorów)4:00 Co oznacza przegapienie terminu rejestracji5:54 Konkretne kary i osobista odpowiedzialność zarządu7:06 4 kroki do zrobienia teraz, nawet po terminie8:47 Podsumowanie, seria o UKSC i jak się ze mną skontaktować

Szósta rano. Automatyk widzi na panelu HMI komunikat, którego nigdy wcześniej nie widział. Ma 90 sekund, żeby zdecydować: zatrzymać całą linię produkcyjną, czy czekać na potwierdzenie.W tym odcinku pokazuję krok po kroku, jak ransomware może przejść z sieci biurowej (IT) do sieci produkcyjnej (OT) — przez zaniedbane konto serwisowe i hasło, które nie zmieniło się od lat. To historia złożona z sytuacji, które znam z pracy z firmami produkcyjnymi — nie chodzi o jedną konkretną firmę, tylko o mechanizm, który powtarza się w wielu polskich zakładach.Wyjaśniam prostym językiem, czym jest HMI, PLC, SCADA i OT — ale przede wszystkim pokazuję cztery pytania, które powinien sobie zadać każdy zarząd firmy produkcyjnej, zanim zada je kryzys:- Czy automatycy i operatorzy wiedzą, że wolno im zatrzymać produkcję, gdy widzą coś niepokojącego — i czy ktokolwiek powiedział im to wprost, na piśmie?- Czy sieć biurowa (IT) jest realnie oddzielona od sieci produkcyjnej (OT), czy to jedna płaska sieć?- Ile kont serwisowych z dostępem do produkcji istnieje w Twojej firmie i które z nich faktycznie są jeszcze potrzebne?- Czy istnieje playbook — prosty dokument opisujący pierwszą godzinę incydentu: kto dzwoni do kogo, kto ma prawo zatrzymać linię?Ten odcinek jest dla zarządów, dyrektorów produkcji, automatyków, inżynierów OT i wszystkich, którzy chcą rozumieć cyberbezpieczeństwo przemysłowe bez żargonu.Rozdziały:00:00 Intro — 6 rano, komunikat na HMI01:08 Co dzieje się, gdy fabryka staje01:46 Dlaczego to historia o mechanizmie, nie o jednej firmie02:21 Jak IT łączy się z OT w zakładzie produkcyjnym03:31 Faktura, załącznik i cichy początek ataku04:38 Konto serwisowe jako furtka do produkcji05:00 Automatyk widzi dziwny komunikat na HMI06:09 Decyzja: zatrzymać linię czy czekać06:49 Ransomware w biurze i ryzyko dla sterowników08:19 Czy pracownicy wiedzą, że wolno im zatrzymać produkcję09:05 Segmentacja IT i OT oraz konta serwisowe10:10 Playbook na pierwszą godzinę incydentu11:14 Co sprawdzić, zanim wydarzy się prawdziwy atakChcesz sprawdzić, jak to wygląda u Was? Link do bezpłatnej 15-minutowej rozmowy znajdziecie w przypiętym komentarzu pod tym odcinkiem.#cyberbezpieczeństwo #ransomware #OT #ICS #SCADA #cyberbezpieczeństwoprzemysłowe #NIS2Obserwuj mnie również tutaj:LinkedIn: https://www.linkedin.com/in/joanna-wziatek/Instagram: https://www.instagram.com/paniodcyberFacebook: https://www.facebook.com/paniodcyber

Sierpień 2022, 1:00 w nocy. Szpital pod Paryżem zostaje sparaliżowany przez ransomware — systemy gasną jeden po drugim, a personel medyczny zostaje z telefonem i kartką papieru.W tym odcinku "Cyberbezpieczeństwa po ludzku" pokazuję, krok po kroku, co naprawdę wydarzyło się tamtej nocy, jak działa grupa LockBit i model podwójnego wymuszenia — oraz dlaczego dokładnie ten sam mechanizm zagraża fabrykom i firmom produkcyjnym, nie tylko placówkom medycznym.Dowiesz się m.in.:dlaczego decyzja o odcięciu systemów od sieci to decyzja zarządu, a nie tylko działu IT,dlaczego "płacić czy nie płacić okupu" trzeba ustalić, zanim wybuchnie kryzys,co ta historia mówi o sytuacji w Polsce (ALAB, szpital MSWiA w Krakowie, dane CSIRT KZ),5 pytań, które warto zadać swojemu zespołowi OT już dziś.Chcesz sprawdzić, czy u Was jest podobna luka? 15-minutowa rozmowa: https://calendly.com/kontakt-joannawziatek/30minNewsletter dla zarządów i menadżerów OT: joannawziatek.plRozdziały:0:00 Nocna zmiana w szpitalu, która zmieniła się w koszmar2:46 O czym jest ten odcinek3:24 Skąd znam tę historię (źródła)3:50 Szpital CHSF pod Paryżem — fakty4:39 Atak zaczyna się o 1:00 w nocy5:07 Jak działa LockBit i "podwójne wymuszenie"6:38 Powrót do pracy na papierze7:18 Decyzja #1: odciąć zainfekowane systemy8:01 Żądanie okupu: 10 milionów dolarów8:24 Szpital odmawia zapłaty9:07 Miesiąc później: wyciek danych pacjentów9:26 Dwie różne szkody — fizyczna i wyciek10:35 Düsseldorf 2020: śmierć pacjentki12:28 Polska: MyDoctor, ALAB, szpital MSWiA w Krakowie13:40 CSIRT KZ: Polska na szczycie rankingów ataków ransomware14:40 Dlaczego to dotyczy też fabryk, nie tylko szpitali15:36 Dwie decyzje zarządu pod presją czasu18:39 5 lekcji dla zarządu i menadżerów OT23:03 Jak sprawdzić, czy macie tę lukę

Poniedziałek, trzecia nad ranem. W globalnej firmie przemysłowej pojawia się ransomware, komputery są zablokowane, pliki zaszyfrowane, a produkcja zaczyna tracić dostęp do systemów. To już nie jest „problem IT”. To pytanie o to, ile kosztuje jedna godzina, w której fabryka nie produkuje.W tym odcinku opowiadam historię ataku ransomware LockerGoga na Norsk Hydro, globalnego producenta aluminium. Pokazuję, dlaczego ta historia powinna interesować zarządy, dyrektorów produkcji, osoby odpowiedzialne za OT, logistykę, finanse i ciągłość działania.Mówię o pierwszych godzinach po ataku, decyzji o niezapłaceniu okupu, odbudowie środowiska, komunikacji kryzysowej i przejściu części zakładów na tryb ręczny. Wyjaśniam też, dlaczego cyberodporność fabryki nie polega wyłącznie na dobrych narzędziach bezpieczeństwa.W odcinku znajdziesz pytania, które warto zadać, zanim zrobi to kryzys: ile kosztuje godzina przestoju, które systemy muszą wrócić jako pierwsze, czy backup był naprawdę testowany i czy IT wie, czego nie wolno dotykać w OT.Chaptery:00:00:00 Intro00:00:54 Historia ataku na Norsk Hydro00:01:46 Globalna firma i systemy zablokowane w nocy00:02:32 Pierwsze godziny po ataku ransomware00:03:16 Trzy decyzje, które podjął zarząd00:04:15 Tryb ręczny i procedury awaryjne w produkcji00:05:03 Czym naprawdę jest cyberodporność fabryki00:06:02 Okup, backupy i pytania, które trzeba zadać wcześniej00:07:10 Ransomware jako test przywództwa00:07:43 3 pytania dla zarządu i produkcji00:08:20 Checklista dla prezesa i zespołu OT💬 Napisz w komentarzu: czy w Twojej firmie ktoś zna koszt jednej godziny przestoju najważniejszej linii produkcyjnej?📌 Pobierz checklistę z opisu i przejdź przez 5 pytań z osobami odpowiedzialnymi za produkcję, OT, IT i zarządzanie kryzysowe.Obserwuj mnie również tutaj:LinkedIn: https://www.linkedin.com/in/joanna-wziatek/Instagram: https://www.instagram.com/paniodcyberFacebook: https://www.facebook.com/paniodcyber

Księgowa dostaje wiadomość od prezesa. Pilne. Poufne. Przelew trzeba zrobić dzisiaj. Wszystko wygląda normalnie, ale jest jeden problem: prezes nigdy tego maila nie napisał.W tym odcinku opowiadam o BEC, czyli Business Email Compromise. Po polsku często mówi się o tym „oszustwo na prezesa”, ale ten problem jest większy niż jeden fałszywy mail. To atak na hierarchię, pośpiech, lojalność i kulturę organizacyjną, w której pracownik boi się zadać niewygodne pytanie.Wyjaśniam, dlaczego taki atak nie musi zawierać wirusa, podejrzanego linku ani załącznika. Pokazuję, jak przestępcy budują presję, izolują pracownika i wykorzystują normalne firmowe procesy. Mówię też o tym, dlaczego największe ryzyko nie zawsze leży w technologii, ale w sytuacji, w której jedna osoba zostaje sama z decyzją wartą miliony.W odcinku usłyszysz, co firma może zrobić praktycznie: ustalić progi przelewów, wprowadzić weryfikację drugim kanałem, szkolić na scenariuszach i dać pracownikom jasne prawo do powiedzenia: „Stop. Sprawdzam”.Chaptery:00:00:00 Wprowadzenie00:01:18 Czym jest BEC i dlaczego „oszustwo na prezesa” to za mało00:02:34 Zwykły dzień w firmie i mail, który wygląda normalnie00:03:38 Jak przestępca buduje presję i izoluje pracownika00:05:18 Dlaczego BEC działa na dobre cechy ludzi00:06:33 Historia FACC i przelewy na ogromne kwoty00:07:43 Kultura firmy jako luka bezpieczeństwa00:09:10 Dlaczego BEC nie musi mieć linku ani załącznika00:10:55 Jakie pytania powinien zadać pracownik00:12:31 Prawo do zatrzymania przelewu i powiedzenia „Stop. Sprawdzam”00:14:30 Co konkretnie wdrożyć w firmie00:16:19 Dlaczego jednorazowe szkolenie nie wystarczy00:18:12 Lekcja dla zarządu i program Cyber Awareness💬 Napisz w komentarzu: czy w Twojej firmie pracownik z finansów może zatrzymać nietypowy przelew, nawet jeśli prośba wygląda jak polecenie od prezesa?📌 Prześlij ten odcinek osobie z zarządu, finansów lub HR i sprawdźcie wspólnie, czy macie procedurę na sytuację: pilne, poufne, niestandardowe.

Jedno stare konto VPN. Brak MFA. Tyle wystarczyło, aby atak ransomware na Colonial Pipeline wywołał kryzys, kolejki po paliwo i ogromną presję na zarząd firmy.W tym odcinku opowiadam historię cyberataku z maja 2021 roku, ale nie po to, żeby mówić o rurociągach w Stanach Zjednoczonych. Pokazuję, dlaczego ta sytuacja dotyczy także firm, które nie są elementem infrastruktury krytycznej.Bo każda organizacja ma swój „rurociąg”. Dla sklepu internetowego może to być system zamówień. Dla firmy logistycznej system planowania tras. Dla kancelarii dostęp do dokumentów klientów. Dla fabryki linia produkcyjna.W odcinku wyjaśniam:👉dlaczego firma zdecydowała się zatrzymać część działalności,👉jak problem techniczny może szybko stać się kryzysem operacyjnym, finansowym i reputacyjnym,👉dlaczego decyzja o zapłaceniu okupu zaczyna się dużo wcześniej niż w dniu ataku,👉jak stare konta VPN, dostępy dostawców i wyjątki od zasad stają się realnym ryzykiem,👉dlaczego MFA nie jest tylko zadaniem dla działu IT,👉jakie pytania zarząd powinien zadać, zanim zrobi to kryzys.Na końcu dostaniesz 5 prostych pytań, które warto zadać w swojej firmie już dziś: o zdalne dostępy, konta VPN, MFA, backupy i plan działania po ransomware.CHAPTERY00:00:00 Intro00:01:25 Colonial Pipeline: historia jednego konta VPN00:03:16 Ransomware i decyzja o zatrzymaniu rurociągu00:05:19 Jak cyberatak wywołał kolejki po paliwo00:07:06 Czy firma powinna zapłacić okup?00:09:06 Stare konto VPN i brak MFA00:10:52 Zapomniane dostępy, wyjątki i konta dostawców00:12:28 Każda firma ma swój „rurociąg”00:13:24 3 lekcje dla zarządu po ataku ransomware00:15:18 5 pytań o odporność Twojej firmy00:16:18 Dlaczego największe kryzysy zaczynają się od drobiazgów00:17:05 Podsumowanie i zaproszenie do subskrypcji💬 Napisz w komentarzu: czy w Twojej firmie ktoś potrafi dziś pokazać pełną listę aktywnych dostępów VPN, kont dostawców i wyjątków od MFA?📌 Prześlij ten odcinek osobie z zarządu, IT lub operacji i wspólnie sprawdźcie, czy testowaliście odtwarzanie po ransomware oraz kto podejmuje decyzje w pierwszych godzinach kryzysu.

Jak przygotować firmę do NIS2 i nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa bez chaosu, przypadkowych działań i kosztownych błędów?W trzecim odcinku serii „Cyberbezpieczeństwo po ludzku” pokażę Ci 7 najczęstszych błędów popełnianych przez firmy podczas przygotowań do nowych obowiązków oraz przedstawię konkretną roadmapę wdrożenia na 30, 90 i 180 dni.Wyjaśnię, dlaczego nie wystarczy przygotować dokumentów i schować ich do szafy, czemu odpowiedzialności nie można po prostu przekazać działowi IT oraz dlaczego polityki skopiowane z innej firmy mogą bardziej zaszkodzić niż pomóc.W tym odcinku omawiam między innymi:⚠️ traktowanie NIS2 i UKSC jako zwykłej „papierologii”⚠️ brak realnego zaangażowania zarządu⚠️ kopiowanie polityk bez uwzględnienia specyfiki organizacji⚠️ jednorazową analizę ryzyka zamiast ciągłego procesu⚠️ błędne przekonanie, że certyfikat dostawcy gwarantuje bezpieczeństwo⚠️ założenie, że ISO 27001 i RODO wystarczą⚠️ brak przetestowanego planu reagowania i raportowania incydentówPrzeprowadzę Cię również przez roadmapę działań:✅ co zrobić w ciągu pierwszych 30 dni✅ jakie działania zaplanować na okres 30–90 dni✅ co musi wydarzyć się między 90. a 180. dniem✅ jak zaplanować pełne wdrożenie SZBI✅ kiedy podmioty kluczowe muszą przygotować się do audytu📅 Najważniejsze terminy omawiane w odcinku:3 października 2026 roku: termin na złożenie wniosku o wpis dla firm spełniających kryteria od 3 kwietnia 2026 roku3 kwietnia 2027 roku: termin pełnego wdrożenia obowiązków3 kwietnia 2028 roku: termin pierwszego audytu dla podmiotów kluczowychPokazuję też, gdzie szukać wiarygodnych materiałów i wytycznych, między innymi na stronach ENISA, CERT Polska, Ministerstwa Cyfryzacji oraz instytucji sektorowych.To trzeci i ostatni odcinek tej serii. Jeśli nie widziałeś poprzednich materiałów, zacznij od odcinka pierwszego, w którym wyjaśniam, kogo dotyczą nowe przepisy: https://youtu.be/xwTOG43Ydtw Następnie obejrzyj odcinek drugi o 10 obowiązkowych wymaganiach: https://youtu.be/gbnvwxYv0wkChaptery00:00:00 Wprowadzenie do trzeciego odcinka serii NIS2 i UKSC00:01:07 7 najczęstszych błędów przy wdrażaniu NIS200:02:56 Błąd 3: kopiowanie polityk z innych firm00:05:20 Błąd 5: błędna ocena bezpieczeństwa dostawców00:07:43 Błąd 7: brak gotowości na incydent00:09:25 Roadmapa NIS2: pierwsze 30 dni00:10:23 Roadmapa NIS2: działania na 30–90 dni00:11:37 Roadmapa NIS2: działania na 90–180 dni00:12:51 Pełne wdrożenie SZBI i terminy audytów00:13:52 ENISA, CERT i inne źródła wsparcia00:14:46 Podsumowanie całej serii NIS2 i UKSC📌 Jeśli chcesz być na bieżąco z tematami NIS2, UKSC, AI Act i odpowiedzialności zarządu za cyberbezpieczeństwo, zasubskrybuj kanał „Cyberbezpieczeństwo po ludzku”.💬 Napisz w komentarzu „ROADMAPA”, jeśli chcesz, żebym przygotowała praktyczną checklistę działań dla firmy na 30, 90 i 180 dni.Obserwuj mnie również tutaj:LinkedIn: https://www.linkedin.com/in/joanna-wziatek/Instagram: https://www.instagram.com/paniodcyberFacebook: https://www.facebook.com/paniodcyberJeśli potrzebujesz szkolenia, konsultacji, ćwiczeń tabletop albo wsparcia we wdrożeniu obowiązków NIS2 i UKSC, skontaktuj się ze mną bezpośrednio.

W tym odcinku przechodzę do konkretów: co firma musi realnie wdrożyć w związku z NIS2 i nową ustawą o Krajowym Systemie Cyberbezpieczeństwa?To drugi odcinek serii o NIS2 i UKSC. W pierwszym sprawdzaliśmy, kogo dotyczy nowa ustawa, jakie są terminy i kiedy trzeba złożyć wniosek o wpis do wykazu podmiotów kluczowych lub ważnych. Link do odcinka: https://youtu.be/xwTOG43Ydtw?si=9cqBO4yPRboY6URpW tym odcinku omawiam 10 obowiązkowych wymogów, które trzeba wdrożyć nie „na papierze”, ale w praktyce.Wyjaśniam bez żargonu technicznego:czym jest SZBI, czyli system zarządzania bezpieczeństwem informacji,dlaczego analiza ryzyka musi być procesem, a nie dokumentem w szafie,jak zarządzać bezpieczeństwem dostawców i łańcuchem dostaw,jak wygląda zgłaszanie incydentów w schemacie 24h / 72h / 30 dni,dlaczego MFA i kontrola dostępu to dziś absolutna podstawa,gdzie pojawiają się wyzwania związane z szyfrowaniem, zwłaszcza w OT,jakie szkolenia są obowiązkowe dla kierownictwa i pracowników,kogo dotyczy weryfikacja niekaralności,kiedy potrzebny jest audyt co 3 lata,dlaczego odpowiedzialność za cyberbezpieczeństwo trafia na poziom zarządu.W odcinku pokazuję też, dlaczego cyberbezpieczeństwo nie jest już tylko sprawą działu IT. To temat zarządczy, prawny, operacyjny i biznesowy.W kolejnym, trzecim odcinku serii przejdziemy przez najczęstsze błędy przy wdrażaniu UKSC oraz konkretną roadmapę działań: co zrobić w 30, 90 i 180 dni.Jeśli Twoja firma może podlegać pod NIS2 lub nową ustawę o KSC, ten odcinek pomoże Ci zrozumieć, od czego zacząć i jak poukładać wdrożenie krok po kroku.Chaptery:00:00:00 Start i plan odcinka00:00:54 Wymóg 1: SZBI w praktyce00:03:15 Wymóg 2: systematyczna analiza ryzyka00:04:32 Wymóg 3: bezpieczeństwo dostawców i łańcucha dostaw00:06:23 Wymóg 4: zgłaszanie incydentów 24h / 72h / 30 dni00:07:59 Wymóg 5: MFA i kontrola dostępu00:08:55 Wymóg 6: szyfrowanie, kryptografia i wyzwania OT00:10:00 Wymóg 7: szkolenia, phishing i cyberhigiena00:12:02 Wymóg 8: weryfikacja niekaralności personelu cyber00:12:31 Wymóg 9: audyty co 3 lata dla podmiotów kluczowych00:13:27 Wymóg 10: odpowiedzialność zarządu za cyberbezpieczeństwo00:14:44 Podsumowanie i zapowiedź odcinka 3Jeśli chcesz być na bieżąco z tematami cyberbezpieczeństwa, NIS2, AI Act i odpowiedzialności zarządu, zasubskrybuj kanał Cyberbezpieczeństwo po ludzku.Napisz w komentarzu „NIS2”, jeśli chcesz, żebym przygotowała checklistę pierwszych kroków dla firm.Obserwuj mnie również tutaj:LinkedIn: https://www.linkedin.com/in/joanna-wziatek/Instagram: https://www.instagram.com/paniodcyberFacebook: https://www.facebook.com/paniodcyberJeśli potrzebujesz szkolenia, konsultacji lub wsparcia w przygotowaniu firmy do nowych obowiązków, skontaktuj się ze mną bezpośrednio.

Czy Twoja firma podlega pod NIS2 i nową ustawę o Krajowym Systemie Cyberbezpieczeństwa?W tym odcinku rozpoczynam serię o NIS2 i nowelizacji ustawy o KSC. Wyjaśnię Ci, kogo dotyczą nowe przepisy, czym różni się podmiot kluczowy od podmiotu ważnego i dlaczego wiele firm powinno jak najszybciej sprawdzić swoje PKD, sektory działalności oraz progi zatrudnienia i obrotu.Od 3 kwietnia 2026 roku biegną ważne terminy dla firm, które mogą podlegać pod ustawę. Dla wielu organizacji kluczowy będzie termin 3 października 2026 roku, czyli 6 miesięcy na złożenie elektronicznego wniosku o wpis do wykazu podmiotów kluczowych lub ważnych.W tym odcinku opowiem Ci:👉 skąd wzięła się dyrektywa NIS2 i nowa ustawa o KSC,👉 kogo mogą objąć nowe obowiązki,👉 czym różnią się podmioty kluczowe i ważne,👉 dlaczego samoidentyfikacja przez PKD może być pułapką,👉 jakie terminy powinny znać firmy,👉 jakie kary i sankcje grożą za brak działania.To pierwszy odcinek serii. W kolejnych materiałach omówimy konkretne obowiązki oraz praktyczną roadmapę wdrożenia.Jeśli jesteś właścicielem firmy, członkiem zarządu, osobą odpowiedzialną za compliance, IT, bezpieczeństwo lub zarządzanie ryzykiem, ten odcinek pomoże Ci zrozumieć, czy NIS2 i UKSC mogą dotyczyć Twojej organizacji.Warto działać wcześniej, bo w przypadku nowych przepisów cyberbezpieczeństwo przestaje być tylko tematem IT. To staje się realną odpowiedzialnością biznesową i zarządczą.Dla porządku: nowelizacja ustawy o KSC wprowadza m.in. podział na podmioty kluczowe i ważne, rozszerza katalog sektorów oraz obowiązki w zakresie zarządzania ryzykiem cyberbezpieczeństwa. Informacje o nowelizacji i kierunku zmian potwierdzają m.in. gov.pl oraz ISAP.Chaptery00:00:00 Start serii NIS2 i najważniejszy deadline00:02:12 Skąd wzięło się NIS2 i jakie są terminy00:04:03 Kogo obejmuje nowa ustawa o KSC00:04:32 Podmiot kluczowy czy ważny – jak to rozróżnić00:05:41 Sektory, PKD i najczęstsze pułapki kwalifikacji00:07:29 Samoidentyfikacja i wniosek do wykazu KSC00:08:45 Kary, sankcje i odpowiedzialność zarządu00:10:50 Podsumowanie i zapowiedź kolejnych odcinkówJeśli chcesz być na bieżąco z tematami cyberbezpieczeństwa, NIS2, AI Act i odpowiedzialności zarządu, zasubskrybuj kanał Cyberbezpieczeństwo po ludzku.Napisz w komentarzu NIS2, jeśli chcesz, żebym przygotowała checklistę pierwszych kroków dla firm.Obserwuj mnie również tutaj:👉 LinkedIn: https://www.linkedin.com/in/joanna-wziatek/👉 Instagram: https://www.instagram.com/paniodcyber👉 Facebook: https://www.facebook.com/paniodcyberJeśli potrzebujesz szkolenia, konsultacji lub wsparcia w przygotowaniu firmy do nowych obowiązków, skontaktuj się ze mną bezpośrednio.