Ocena zgodności z ustawą o krajowym systemie cyberbezpieczeństwa (KSC)
Ustawa wdraża dyrektywę (UE) 2022/2555 (NIS 2). Ocena obejmuje także rozporządzenie wykonawcze Komisji (UE) 2024/2690 oraz Prawo komunikacji elektronicznej (PKE) — w zakresie, w jakim dotyczą podmiotu.
Samoocena dla operatorów sieci, centrów danych, pozostałej infrastruktury cyfrowej oraz podmiotów publicznych.
Co to sprawdza
- czy podmiot jest kluczowy, ważny, czy poza ustawą
- który organ go nadzoruje i pod jaki zestaw wymagań podlega
- ile wynosi ustawowy pułap kary dla podmiotu i dla kierownika
- ile zostało czasu do każdego terminu ustawowego
- jak daleko jest wdrożenie — obszar po obszarze
Jak to działa
- Profil podmiotu — trzy informacje wystarczą do klasyfikacji
- sprawozdanie finansowe z KRS albo NIP wypełniają resztę automatycznie
- Raport zarządczy dostajesz zanim odpowiesz na pierwsze pytanie
- zakres pytań dobiera się do ról — bez wymagań, które nie dotyczą
- ocenę można przerwać w każdej chwili, odpowiedzi zapisują się same
Co zostaje na końcu
- raport dla zarządu z ekspozycją finansową i osobistą
- lista luk uszeregowana według priorytetu
- rejestr obowiązków niewykonanych wraz z sankcją za każdy
- eksport do XLSX, PDF i JSON
- migawki pozwalające udokumentować postęp w czasie
Podstawa prawna oceny
- ustawa z 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (KSC), w brzmieniu nadanym nowelizacją z 23 stycznia 2026 r.
- rozporządzenie wykonawcze Komisji (UE) 2024/2690
- ustawa z 12 lipca 2024 r. — Prawo komunikacji elektronicznej (PKE)
- załącznik nr 4 do ustawy o KSC — dla podmiotów publicznych o statusie podmiotu ważnego
Narzędzie służy samoocenie. Nie jest audytem w rozumieniu art. 15 ustawy o KSC ani opinią prawną.
Gdzie trafiają dane
- odpowiedzi, dowody i sprawozdania finansowe zostają w tej przeglądarce
- nic nie jest przekazywane do ITORO ani do innych serwisów
- jedyne połączenie wychodzące to odpytanie rejestrów publicznych — wysyłany jest wyłącznie numer NIP
- przycisk Online / Offline w pasku u góry wyłącza je całkowicie
Zanim zaczniesz — częste pytania
Profil podmiotu
Dane identyfikacyjne, role i wielkość podmiotu. Od nich zależy klasyfikacja i dobór kwestionariusza. Przy podmiocie publicznym wielkość odpowiada liczbie etatów: „średni” to co najmniej 50 osób.
Źródło danych podmiotu
Dostępne są dwie drogi automatycznego uzupełnienia profilu. Pola można również wypełnić ręcznie.
Sprawozdanie finansowe
Jeden plik uzupełnia komplet danych: nazwę, NIP, KRS, adres oraz przychód za rok obrotowy — a od niego zależy wysokość kary.
- nazwa, NIP, KRS, adres siedziby
- przychód za rok obrotowy
- przychód roku poprzedniego, do porównania
Wyszukanie po numerze NIP
Szybsze, ale bez przychodu. Za to potwierdza wpis do rejestru przedsiębiorców telekomunikacyjnych i podpowiada role na podstawie PKD.
- nazwa, REGON, KRS, forma prawna, adres
- sugerowane role na podstawie kodów PKD
- wpis do rejestru przedsiębiorców telekomunikacyjnych
- przychodu nie ma w żadnym rejestrze
Wielkość podmiotu *
Jedyna informacja, której nie ma w żadnym rejestrze — trzeba ją wskazać samodzielnie. Razem z rolami przesądza o klasyfikacji, a ta o zakresie obowiązków i wysokości kary.
Role podmiotu *
Zaznacz wszystkie rodzaje działalności prowadzonej faktycznie. Jeden podmiot zwykle łączy kilka ról, a każda może uruchamiać inne obowiązki i innego organu nadzoru.
Ekspozycja prawna i finansowa
Status podmiotu, organy nadzoru, pułapy kar i terminy ustawowe. Wynikają wprost z profilu — nie wymagają wypełnienia kwestionariusza.
Wybór modułów
Wybór obszarów objętych oceną w tym przebiegu. Do pozostałych można wrócić w dowolnym momencie.