Nota zgodności z NIS2 / KSC

Dyrektywa NIS2 (UE) 2022/2555  ·  Ustawa o KSC (Dz.U. 2018 poz. 1560 ze zm.)  ·  Ostatnia aktualizacja: 2026-05-15  ·  Wersja: 1.0

§1. Dla kogo jest ta platforma

Platforma jest zaprojektowana z myślą o:

• Dyrektorach szkół publicznych — zobowiązanych do wyznaczenia osoby odpowiedzialnej za bezpieczeństwo informacji (ITSO) i spełnienia wymogów KSC jeśli szkoła wchodzi w zakres ustawy.
• Koordynatorach ds. cyberbezpieczeństwa JST — zarządzających compliance dla wielu podległych placówek.
• Pracownikach IT szkół i JST — realizujących zadania kontrolne i dokumentujących incydenty.

Platforma obsługuje również organizacje stosujące NIS2/KSC dobrowolnie (sposób dobrej praktyki) bez formalnego objęcia zakresem ustawy.

§2. Samoidentyfikacja (Kategoria podmiotu NIS2 / KSC)

Platforma udostępnia kreator samoidentyfikacji, który prowadzi użytkownika przez proces kwalifikacji. Jest to szczególnie ważne w sektorze edukacji, gdzie nowelizacja KSC może objąć szkoły ponadgimnazjalne i JST jako podmioty ważne.

Jak działa kreator

• Rozgałęziający kwestionariusz — pytania o typ placówki (szkoła podstawowa / ponadpodstawowa / JST), wielkość organizacji, progi usługowe KSC.
• Silnik decyzyjny — sugeruje kategorię: OUK, Podmiot ważny, IBTI/ITSO wymagany, Poza zakresem — dobrowolna zgodność.
• Ślad audytowy — każda zmiana kategorii rejestrowana z kodem nis2.identification.update.
• Plan działania — po wyborze kategorii kreator generuje priorytetyzowane zadania kontrolne z biblioteki KSC.

§3. Cykl raportowania incydentów NIS2

Art. 23 NIS2 i art. 11 KSC nakładają obowiązek raportowania poważnych incydentów w trzech etapach. Platforma obsługuje pełny cykl z wbudowanymi timerami terminów.

§4. Biblioteka obowiązków KSC dla sektora edukacji

Platforma zawiera wbudowaną bibliotekę obowiązków KSC, dostosowaną do specyfiki szkół i JST:

§5. Paczka audytowa (eksport dowodów)

Na żądanie organu nadzorczego lub podczas audytu wewnętrznego platforma generuje paczkę audytową ZIP podpisaną skrótem SHA-256:

audit-pack-{placowka}-{data}.zip
├── manifest.json          # skroty SHA-256 wszystkich plikow
├── audit-log.csv          # pelny dziennik audytu (chain-verified)
├── controls/
│   ├── controls-export.csv  # status zadan kontrolnych KSC
│   └── evidence/            # zalaczone dowody (PDF, screenshoty)
├── incidents/
│   ├── incident-list.csv    # lista incydentow z kodami KSC-INC
│   └── reports/             # raporty 24h/72h/30d jako PDF
├── risk-register.csv      # rejestr ryzyk z leczeniami
└── nis2-alignment.csv     # mapowanie art. 21 §2 (a-j) ze statusem

Paczka nie zawiera haseł ani sekretów. Weryfikacja integralności możliwa niezależnie od platformy przez sprawdzenie manifest.json.

§6. Wyznaczenie IBTI / ITSO i izolacja placówek

W strukturze JST każda szkoła może mieć własnego ITSO (Inspektora ds. bezpieczeństwa informacji). Platforma obsługuje wielopoziomową hierarchię:

• JST (poziom nadrzędny) — widzi dane wszystkich podległych placówek; może przypisywać zadania kontrolne do dowolnej szkoły.
• Dyrektor szkoły — widzi wyłącznie dane swojej placówki; izolacja przez org_unit_id + FORCE RLS.
• Koordynator IT szkoły — pełny dostęp do danych compliance w zakresie swojej placówki.

§7. Mapowanie NIS2 Art. 21 §2 (lit. a–j)

§8. Interfejs RODO

Szkoły i JST są organizacjami publicznymi i są zobowiązane do wyznaczenia IOD (art. 37 ust. 1 lit. a RODO). Platforma obsługuje jednoczesne prowadzenie procesu NIS2 i RODO:

• Incydent NIS2 obejmujący dane uczniów lub pracowników może równocześnie stanowić naruszenie RODO — platforma umożliwia powiązanie obu raportów jednym ID incydentu.
• Rejestr czynności przetwarzania (RCP) per placówka może być prowadzony wewnątrz platformy jako zadania kontrolne lub zewnętrznie — platforma obsługuje oba warianty.
• Prawa podmiotów danych (uczniów, rodziców, pracowników) — wnioski mogą być rejestrowane jako zadania kontrolne z terminem odpowiedzi (30 dni).

§9. Czego platforma nie robi

§10. Kontakt