nis2-ksc-pl

name	nis2-ksc-pl
description	Triage zakresu i obowiązków pod NIS2 (dyrektywa (UE) 2022/2555) po polsku - nawigator zakresu: czy podmiot w ogóle podlega (sektory załącznika I i II, reguła size-cap - próg wielkości przedsiębiorstwa, wyjątki niezależne od rozmiaru), podmiot kluczowy czy ważny, mapa 10 środków zarządzania ryzykiem z art. 21 ust. 2, zegar raportowania incydentu z art. 23 (24h -> 72h -> 1 miesiąc), obowiązki organu zarządzającego z art. 20, pułapy kar. Transpozycja PL = nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC); skill NAJPIERW ustala aktualny stan transpozycji w ISAP (konektor sejm-eli-mcp), dopiero potem doradza - nie zakłada, że nowelizacja weszła w życie. Wynik: karta NIS2 do decyzji człowieka. Używaj gdy: "czy podlegamy NIS2", "podmiot kluczowy czy ważny", "KSC", "10 środków art. 21", "zgłoszenie incydentu NIS2", "obowiązki zarządu cyberbezpieczeństwo".
license	Apache-2.0
allowed-tools	["Read"]
data-residency	local
requires-human-approval	true
pii-egress	none
attribution	{"relationship":"original","note":"Brak źródła trzeciej strony. Wzorzec „scope navigator” jest utrwalony w ekosystemie compliance; treść napisana od zera na tekście dyrektywy (UE) 2022/2555.\n"}
metadata	{"author":"Wiesław Mazur / MateMatic","version":"1.0.0","companion_skills":"rodo-naruszenie-72h-pl, matematic-konstytucja-ai, sejm-eli-mcp, mcp-eu-compliance","parity":"nis2-compliance-triage-en"}

NIS2 / KSC PL - triage zakresu i obowiązków (dyrektywa (UE) 2022/2555)

Filozofia

NIS2 to najpierw pytanie o zakres, dopiero potem o środki. Większość błędów doradczych bierze się z pominięcia triage'u: firma "czuje", że podlega (albo że nie podlega), i od razu kupuje audyt. Skill prowadzi nawigator w stałej kolejności: czy w zakresie -> jaka kategoria -> jakie środki -> jakie raportowanie -> co mówi transpozycja krajowa. Każda teza ma tag pewności; numer przepisu, którego nie da się potwierdzić w sesji, dostaje [DO SPRAWDZENIA], nie zgadywany numer.

Druga zasada: dyrektywa nie działa wprost na przedsiębiorcę. Obowiązki w Polsce nakłada ustawa o KSC po nowelizacji wdrażającej NIS2. Dopóki skill nie ustali stanu transpozycji na dzień użycia, wszystko poniżej jest mapą dyrektywy, nie listą obowiązków wykonalnych "od jutra".

Kiedy używać / Czego NIE robi

Używać: wstępny triage "czy podlegamy NIS2", spór "kluczowy czy ważny", inwentaryzacja 10 środków z art. 21 ust. 2 przed audytem, ułożenie zegara raportowania na wypadek incydentu, briefing zarządu o odpowiedzialności z art. 20, przygotowanie luk do planu wdrożenia.

NIE robi:

• nie zastępuje audytu bezpieczeństwa ani testów penetracyjnych - mapa środków opiera się na deklaracjach użytkownika, skill niczego technicznie nie weryfikuje,
• nie ocenia jakości wdrożenia środka (czy backup faktycznie działa) - tylko czy istnieje i czy jest udokumentowany według wiedzy użytkownika,
• nie prowadzi obsługi żywego incydentu - przy trwającym incydencie odsyła do wewnętrznej procedury reagowania i do człowieka odpowiedzialnego (CISO / pełnomocnik / zarząd),
• nie wysyła żadnego zgłoszenia do CSIRT ani organu właściwego - składa draft i zegar,
• nie rozstrzyga ostatecznie klasyfikacji podmiotu - to decyzja prawna na tekście ustawy KSC po nowelizacji, z bramką człowieka.

Rozgraniczenie reżimów: jeśli incydent obejmuje dane osobowe, biegną RÓWNOLEGLE dwa zegary - NIS2 (24h wczesne ostrzeżenie / 72h zgłoszenie do CSIRT) i RODO (72h zgłoszenie do UODO, art. 33). Zegar RODO prowadzi rodo-naruszenie-72h-pl. Jedno zgłoszenie nie zastępuje drugiego.

Workflow

Krok 0 - stan transpozycji PL (OBOWIĄZKOWY, przed jakąkolwiek poradą)

Termin transpozycji NIS2 minął 17 października 2024 r. (art. 41 dyrektywy). Transpozycją polską jest nowelizacja ustawy z 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (KSC) - status: [DO SPRAWDZENIA w ISAP przez konektor sejm-eli-mcp na dzień użycia].

1. Sprawdź w ISAP (sejm-eli-mcp) aktualny tekst ustawy o KSC i status nowelizacji wdrażającej NIS2: uchwalona? opublikowana w Dzienniku Ustaw? jaka vacatio legis?