NIS2 przystępnie i w praktyce - najważniejsze informacje aby skutecznie wdrożyć NIS2/KSC w organizacji

Cel i opis szkolenia

Dyrektywa NIS2 oraz znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa (KSC) wprowadzają obowiązki dla organizacji, ich kierownictwa i osób odpowiedzialnych za cyberbezpieczeństwo. Spełnienie tych wymagań wymaga nie tylko zabezpieczeń technicznych, lecz również uporządkowania procesów zarządzania ryzykiem, odpowiedzialności, reagowania na incydenty oraz ciągłości działania. 

Celem szkolenia jest przedstawienie najważniejszych wymagań NIS2/KSC i pokazanie, jak przełożyć je na praktyczne działania organizacyjne i techniczne. Uczestnicy poznają możliwości wykorzystania istniejących standardów i frameworków, takich jak ISO/IEC 27001, ISO 22301, w procesie budowania zgodności z regulacjami.

Szkolenie łączy wiedzę prawną, organizacyjną i techniczną z ćwiczeniami opartymi na realistycznych scenariuszach zagrożeń i problemach występujących w organizacjach.

Grupa docelowa

Szkolenie jest przeznaczone dla osób uczestniczących w zarządzaniu organizacją, nadzorowaniu lub realizacji procesów związanych z cyberbezpieczeństwem, w szczególności: członków zarządów i kadry kierowniczej; dyrektorów i kierowników jednostek organizacyjnych; pracowników działów IT i bezpieczeństwa informacji; osób odpowiedzialnych za compliance, zarządzanie ryzykiem i audyt wewnętrzny; inspektorów ochrony danych i osób odpowiedzialnych za RODO; osób odpowiedzialnych za ciągłość działania, administrację i bezpieczeństwo fizyczne; pracowników odpowiedzialnych za współpracę z dostawcami i zarządzanie usługami zewnętrznymi; osób uczestniczących we wdrażaniu wymagań NIS2/KSC. Szkolenie nie wymaga specjalistycznej wiedzy technicznej. Tematy techniczne sąprzedstawiane w sposób przystępny również dla uczestników spoza działów IT. 

Harmonogram szkolenia:

Jest to orientacyjny plan szkolenia, który może ulec zmianie.

Szczegółowy plan szkolenia

MODUŁ I. NIS2/KSC - co zmienia się dla organizacji?

1. Cyberbezpieczeństwo jako element zarządzania organizacją

• Wpływ cyberincydentów na działalność biznesową, klientów, dostawców i reputację organizacji.

• Cyberbezpieczeństwo jako element zarządzania ryzykiem i ciągłością działania.

• Cyberodporność organizacji - dlaczego same zabezpieczenia techniczne nie wystarczają?

2. Dyrektywa NIS2 i ustawa o KSC - podstawy prawne

• Cele i najważniejsze założenia dyrektywy NIS2.

• Wdrożenie NIS2 do polskiego porządku prawnego przez nowelizację KSC.

• Podmioty kluczowe i podmioty ważne - zasady kwalifikacji.

• Sektory działalności i kryteria objęcia regulacją.

• Najważniejsze obowiązki organizacyjne, techniczne i sprawozdawcze.

• Relacje pomiędzy NIS2/KSC a innymi regulacjami, w szczególności RODO.

3. Podstawowe pojęcia i wymagania

MODUŁ II. Odpowiedzialność za cyberbezpieczeństwo i wykorzystanie istniejących standardów

1. Odpowiedzialność kierownictwa i pracowników

• Rola zarządu w nadzorze nad cyberbezpieczeństwem.

• Znaczenie szkoleń i świadomości cyberbezpieczeństwa kierownictwa.

• Podział odpowiedzialności między zarząd, IT, CISO, compliance, IOD, HR i właścicieli procesów.

• Nadzór nad cyberbezpieczeństwem u zewnętrznych dostawców.

2. NIS2 a istniejące standardy i frameworki - jak nie budować wszystkiego od początku?

ISO/IEC 27001 i ISO/IEC 27002

• System zarządzania bezpieczeństwem informacji (SZBI).

• Podejście oparte na ryzyku, polityki bezpieczeństwa, audyty i ciągłe doskonalenie.

• Wykorzystanie istniejących zabezpieczeń i procesów do realizacji wymagań KSC.

• Dlaczego certyfikat ISO 27001 nie oznacza automatycznej zgodności z NIS2/KSC?

ISO 22301 - zarządzanie ciągłością działania

• Zarządzanie ciągłością kluczowych procesów i usług.

3. Jak łączyć standardy w jeden spójny system?

MODUŁ III. Zarządzanie ryzykiem i praktyczne środki bezpieczeństwa

1. Zarządzanie ryzykiem jako fundament NIS2/KSC

• Identyfikacja kluczowych procesów biznesowych, usług i zasobów.

• Rozpoznawanie cyberzagrożeń i podatności.

• Ocena prawdopodobieństwa i skutków materializacji zagrożeń.

• Ryzyko inherentne i rezydualne.

• Dobór sposobów postępowania z ryzykiem.

2. Najważniejsze zagrożenia dla organizacji

• Phishing, spear phishing i socjotechnika.

• Business Email Compromise (BEC) i oszustwa finansowe.

• Ransomware i utrata dostępności systemów.

• Przejęcie kont użytkowników i administratorów.

• Wykorzystanie podatności i błędów konfiguracyjnych.

• Zagrożenia związane z dostawcami i usługami zewnętrznymi.

• Zagrożenia wewnętrzne i nieuprawniony dostęp do zasobów.

3. Praktyczne środki bezpieczeństwa - od ryzyka do zabezpieczenia

Zarządzanie tożsamością i dostępem

• Uwierzytelnianie wieloskładnikowe (MFA) i bezpieczne zarządzanie hasłami.

• Zasada najmniejszych uprawnień i zarządzanie kontami uprzywilejowanymi.

• Zarządzanie cyklem życia kont i dostępów.

Bezpieczeństwo infrastruktury i systemów

• Zarządzanie podatnościami i aktualizacjami.

• Ochrona stacji roboczych i serwerów, EDR/XDR.

• Segmentacja sieci, monitorowanie zdarzeń i analiza logów.

• Szyfrowanie i ochrona danych.

Ochrona dostępności i ciągłości usług

• Kopie zapasowe i ich separacja.

• Testowanie odtwarzania danych.

• Ochrona infrastruktury krytycznej dla działalności organizacji.

Bezpieczeństwo fizyczne i organizacyjne

• Kontrola dostępu do pomieszczeń i infrastruktury.

• Ochrona nośników informacji.

• Zasady pracy zdalnej, czystego biurka i ekranu.

• Procedury dotyczące gości, podwykonawców i serwisantów.

4. Bezpieczeństwo łańcucha dostaw

• Ocena ryzyka związanego z dostawcami IT i usługami zewnętrznymi.

MODUŁ IV. Obsługa incydentów, zarządzanie kryzysowe i ciągłość działania

1. Reagowanie na incydenty cyberbezpieczeństwa

• Czym jest incydent i kiedy podlega obowiązkowemu raportowaniu?

• Wykrywanie, analiza, kwalifikacja i eskalacja incydentów.

• Role i odpowiedzialności w zespole obsługującym incydent.

2. Obowiązki zgłaszania incydentów wynikające z KSC i RODO

• Zasady kwalifikowania incydentów poważnych.

• Wczesne ostrzeżenie, zgłoszenie incydentu i sprawozdanie końcowe.

• Terminy zgłoszeń - zasady 24 godzin, 72 godzin i jednego miesiąca oraz właściwe wyjątki.

• Współpraca z właściwymi zespołami CSIRT i wykorzystanie systemu S46.

• Incydent cyberbezpieczeństwa a naruszenie ochrony danych osobowych.

3. Zarządzanie kryzysowe i ciągłość działania

• Różnica między reagowaniem na incydent a zarządzaniem kryzysowym.

• Kluczowe procesy biznesowe i akceptowalne czasy niedostępności.

• Podstawowe założenia BCP i DRP.

MODUŁ V. Od wymagań NIS2/KSC do planu działania - ocena gotowości organizacji

1. Jak oceniać gotowość organizacji do spełnienia wymagań KSC?

• Cel i podstawowe etapy analizy luk (gap analysis).

• Identyfikacja wymagań mających zastosowanie do organizacji.

• Przegląd dokumentacji, procesów i stosowanych zabezpieczeń.

• Rozmowy z właścicielami procesów i osobami odpowiedzialnymi.

• Ocena skuteczności istniejących zabezpieczeń.

2. Planowanie działań dostosowawczych

• Przypisywanie priorytetów na podstawie ryzyka i obowiązków prawnych.

• Wskazywanie właścicieli działań i odpowiedzialności.

• Określanie wymaganych zasobów i zależności.

• Planowanie wdrożeń oraz weryfikacja ich skuteczności.

3. Warsztat grupowy: "Czy nasza organizacja jest gotowa na NIS2?"

MODUŁ VI. Praktyczne doświadczenia z wdrażania cyberbezpieczeństwa

1. Od teorii do praktyki - najczęstsze wyzwania wdrożeniowe

Wystąpienie eksperta zajmującego się wdrażaniem zabezpieczeń, zarządzaniem cyberbezpieczeństwem lub audytami organizacji.

• Jak ustalać priorytety przy ograniczonym budżecie i zasobach?

• Które zabezpieczenia przynoszą największą poprawę bezpieczeństwa?

• Jakie praktyczne narzedzia/ rozwiązania powinna wybrać organizacja.

2. Podsumowanie i sesja pytań

Rezultaty szkolenia

Po ukończeniu szkolenia uczestnik powinien potrafić:

1. Rozumieć podstawowe wymagania NIS2 i KSC oraz ich wpływ na działalność organizacji.

2. Rozpoznawać role i odpowiedzialności związane z zarządzaniem cyberbezpieczeństwem.

3. Wskazać, jak standardy i frameworki mogą wspierać realizację wymagań NIS2/KSC.

4. Rozpoznawać najważniejsze cyberzagrożenia, podatności i środki ograniczające ryzyko.

5. Uczestniczyć w uproszczonej analizie ryzyka i doborze zabezpieczeń.

6. Prawidłowo reagować na podejrzenie incydentu oraz rozumieć zasady eskalacji i raportowania.

7. Identyfikować podstawowe luki w systemie zarządzania cyberbezpieczeństwem.

8. Wskazać priorytetowe działania przygotowujące organizację do spełnienia wymagań KSC.

Materiały dla uczestników

1. Materiały szkoleniowe z podsumowaniem najważniejszych wymagań NIS2/KSC.

2. Uproszczona checklista samooceny gotowości organizacji.

3. Zestawienie powiązań NIS2/KSC z ISO 27001, ISO 22301.

4. Schemat postępowania i zgłaszania incydentów cyberbezpieczeństwa.

5. Przykładowy plan działań dostosowawczych.

Wartość szkolenia

Szkolenie pozwala zrozumieć nie tylko treść regulacji NIS2/KSC, ale przede wszystkim ich znaczenie dla codziennego funkcjonowania organizacji. Uczestnicy poznają praktyczne sposoby identyfikacji ryzyk, zarządzania odpowiedzialnością, wdrażania zabezpieczeń i reagowania na incydenty. Dowiadują się również, jak wykorzystać istniejące standardy i systemy zarządzania, aby ograniczyć koszty, unikać powielania działań i podnieść rzeczywistą odporność organizacji na cyberzagrożenia.