Przygotowanie sieci i serwerów do NIS2 i ustawy o krajowym systemie cyberbezpieczeństwa (KSC) warto zacząć od pięciu obszarów technicznych: kopii zapasowych w odrębnej lokalizacji, planu ciągłości działania, segmentacji sieci, kontroli dostępu i monitoringu. To punkt startu, a nie komplet — pełny zakres obowiązków wskaże doradca prawny. W każdym z nich liczą się trzy rzeczy: żeby rozwiązanie działało, żeby było opisane i żeby dało się pokazać, że jest testowane. Kolejność prac jest zwykle ta sama — audyt, plan, wdrożenie, testy.
Ważne zastrzeżenie. Ten artykuł nie rozstrzyga, czy Twoja firma podlega przepisom, i nie zastępuje porady prawnej. Nie omawiamy tu zakresu ustawy, obowiązków formalnych ani konsekwencji ich niespełnienia — to pytania do doradcy prawnego. Opisujemy wyłącznie warstwę techniczną: co zrobić w sieci i na serwerach, żeby były uporządkowane i żeby dało się to wykazać. Te same działania mają sens w każdej firmie, niezależnie od przepisów.
Zanim zaczniesz: dwa pytania, dwie różne osoby
Przygotowania zwykle utykają, bo miesza się dwa tematy.
- Czy i w jakim zakresie przepisy nas dotyczą? Na to odpowiada prawnik lub doradca do spraw zgodności. On też wskaże, jakie dokumenty i procedury organizacyjne są potrzebne.
- W jakim stanie jest nasza infrastruktura i co trzeba w niej poprawić? Na to odpowiada audyt techniczny.
Drugiego pytania nie trzeba odkładać do czasu rozstrzygnięcia pierwszego. Kopia poza siedzibą, podzielona sieć i uporządkowane konta przydadzą się niezależnie od wyniku analizy prawnej.
Pięć obszarów technicznych
1. Kopie zapasowe w odrębnej lokalizacji
Co to znaczy w praktyce. Co najmniej jedna kopia danych leży poza budynkiem, w którym pracują serwery, i nie da się jej skasować z konta, którym administruje się siecią. Kopie mają historię wersji, a ich odtwarzanie jest sprawdzane.
Od czego zacząć.
- Spisz, które systemy i dane są kopiowane, jak często i dokąd.
- Sprawdź, czy kopia jest dostępna z tej samej sieci i tymi samymi hasłami, co serwery.
- Odtwórz jeden cały system z kopii i zmierz czas.
Co umieć pokazać. Opis polityki kopii (co, jak często, jak długo przechowywane, gdzie), raporty z wykonania i zapis ostatniego testu odtworzenia z datą i wynikiem.
Mechanizmy takie jak zasada 3-2-1 i blokada usuwania opisujemy osobno w artykule kopia zapasowa odporna na ransomware.
2. Plan ciągłości działania
Co to znaczy w praktyce. Firma wie, które systemy są krytyczne, jak długo może bez nich pracować i co dokładnie robi, gdy przestaną działać. Od strony sieci i serwerów plan obejmuje: miejsce, w którym systemy zostaną uruchomione po awarii, sposób dostępu dla użytkowników, łącze zapasowe oraz listę osób i kolejność działań.
Od czego zacząć.
- Zrób listę systemów i przypisz każdemu dopuszczalny czas przestoju oraz dopuszczalną utratę danych.
- Wskaż pojedyncze punkty awarii: jeden serwer, jedno łącze, jeden przełącznik w rdzeniu, jedna osoba znająca hasła.
- Zapisz procedurę na jednej–dwóch stronach i sprawdź, czy da się ją wykonać bez jej autora.
Co umieć pokazać. Aktualny plan, wyniki testu przełączenia lub odtworzenia oraz listę poprawek po teście.
Jak ustalać wartości dla poszczególnych systemów, wyjaśniamy w tekście Disaster Recovery w firmie: RTO i RPO po ludzku.
3. Segmentacja sieci
Co to znaczy w praktyce. Sieć nie jest jedną płaską przestrzenią, w której każdy komputer „widzi” każdy serwer. Jest podzielona na segmenty (VLAN-y), a ruch między nimi przechodzi przez firewall z regułami opisującymi, co wolno. Typowy podział to: stacje robocze, serwery, zarządzanie urządzeniami, goście, drukarki i urządzenia biurowe, telefonia, a w zakładach produkcyjnych — osobno sieć maszyn i automatyki.
Cel jest prosty: zainfekowany laptop w sieci biurowej nie powinien mieć drogi do serwera kopii ani do interfejsów zarządzania przełącznikami.
Od czego zacząć.
- Narysuj faktyczny schemat sieci: urządzenia, połączenia, adresacje.
- Sprawdź, ile jest dziś segmentów i co je naprawdę rozdziela.
- Wydziel najpierw to, co najprostsze i najbardziej ryzykowne: sieć gości oraz zarządzanie urządzeniami.
- Ustal reguły między segmentami według zasady „domyślnie zabronione, dozwolone to, co potrzebne”.
Co umieć pokazać. Aktualny schemat sieci, listę segmentów z opisem przeznaczenia oraz zestaw reguł firewalla z informacją, kto i kiedy je przeglądał.
4. Kontrola dostępu
Co to znaczy w praktyce. Wiadomo, kto ma dostęp do czego, a każdy dostęp da się przypisać konkretnej osobie. Dotyczy to zarówno użytkowników, jak i administratorów oraz firm zewnętrznych.
Od czego zacząć.
- Usuń konta współdzielone tam, gdzie to możliwe; każdy administrator loguje się własnym kontem.
- Oddziel konta administracyjne od kont do codziennej pracy.
- Włącz uwierzytelnianie wieloskładnikowe przy dostępie zdalnym i do paneli zarządzania.
- Zdalny dostęp do sieci prowadź przez VPN, a nie przez usługi wystawione bezpośrednio do internetu.
- Zmień domyślne hasła na przełącznikach, punktach dostępowych, drukarkach i kamerach.
- Ustal, kto i w jakim trybie odbiera uprawnienia osobom, które odchodzą z firmy.
- Zadbaj o dostęp fizyczny: szafa z urządzeniami zamknięta, lista osób z kluczem znana.
Co umieć pokazać. Listę kont uprzywilejowanych, zasady nadawania i odbierania uprawnień, zapis okresowego przeglądu dostępów.
5. Monitoring
Co to znaczy w praktyce. Ktoś dowiaduje się o problemie, zanim zgłosi go użytkownik, a po incydencie da się odtworzyć, co się działo. Monitoring ma dwie warstwy: dostępność (czy serwery, łącza i usługi działają, czy kończy się miejsce na dyskach, czy kopie się wykonały) oraz zdarzenia (logowania, zmiany konfiguracji, alarmy z firewalla).
Od czego zacząć.
- Obejmij monitoringiem serwery, urządzenia sieciowe, łącza i zadania kopii.
- Zbieraj logi w jednym miejscu, poza urządzeniami, które je wytwarzają.
- Ustaw wspólne źródło czasu, żeby wpisy z różnych urządzeń dało się zestawić.
- Ustal, kto dostaje alert i co robi, także w nocy i w weekend.
Co umieć pokazać. Listę monitorowanych elementów, zasady przechowywania logów, przykładowe alerty i zapis reakcji na nie.
Kolejność działań: audyt, plan, wdrożenie, testy
Audyt
Bez inwentaryzacji nie wiadomo, co poprawiać. Audyt opisuje stan faktyczny: urządzenia, serwery, schemat sieci, kopie, konta, zabezpieczenia. Jego wynikiem powinna być lista ryzyk ułożona według ważności. Przegląd obejmuje zarówno sieć przewodową i Wi-Fi, jak i serwery, bo słabe punkty jednego obszaru zwykle wychodzą w drugim.
Plan
Z listy ryzyk powstaje plan: co robimy najpierw, co później, kto odpowiada, co wymaga zakupu, a co tylko zmiany konfiguracji. Dobrze, żeby plan zobaczył też prawnik lub doradca do spraw zgodności i potwierdził, że odpowiada na potrzeby formalne firmy.
Wdrożenie
Zmiany wprowadza się etapami, zaczynając od tych, które dają najwięcej przy najmniejszym ryzyku: kopia poza siedzibą, uporządkowanie kont administracyjnych, wydzielenie sieci gości i zarządzania. Segmentację większej sieci planuje się na okna serwisowe, bo wymaga zmian adresacji i reguł.
Testy
Każdy obszar kończy się sprawdzeniem: odtworzeniem kopii, próbą przełączenia, weryfikacją, czy z sieci gości naprawdę nie da się dotrzeć do serwerów, kontrolą, czy alert dotarł do właściwej osoby. Wyniki zapisuje się i przechowuje — to one pokazują, że zabezpieczenie działa, a nie tylko istnieje.
Całość nie jest jednorazowym projektem. Sieć się zmienia, dochodzą systemy i ludzie, więc przegląd trzeba powtarzać.
Jak to wygląda w S-NET
Zakres pomocy
Wsparcie IT S-NET pomaga wdrożyć techniczne elementy związane z NIS2 i ustawą o KSC: kopie zapasowe w odrębnej lokalizacji, plany ciągłości działania, segmentację sieci, kontrolę dostępu i monitoring. Nie rozstrzygamy, czy firma podlega ustawie — to warto potwierdzić z doradcą prawnym.
Zaczynamy od audytu
Współpraca zaczyna się od audytu istniejącego środowiska: użytkowników, serwerów, sieci, kopii zapasowych i zabezpieczeń. S-NET audytuje sieci LAN i Wi-Fi, serwery oraz telefonię. Wynikiem jest lista ryzyk i priorytetyzowany plan naprawczy — wiesz, co poprawić najpierw.
Kopie w drugiej lokalizacji
Chmura S-NET działa w Data Center w Krakowie, a magazyn obiektowy S3 — osobna usługa — w Katowicach. Kopie mogą więc trafiać do innego miasta niż dane produkcyjne, a blokada usuwania chroni je przed ransomware. Dostępne są też Backup jako usługa (harmonogramy, monitoring, testy odtwarzania, raporty) oraz Disaster Recovery z replikacją do Data Center S-NET, ustalanymi z góry RTO i RPO oraz testami przełączenia.
Bieżąca administracja
W ramach wsparcia IT S-NET administruje serwerami Windows i Linux, urządzeniami sieciowymi, firewallami i VPN, prowadzi monitoring oraz zarządza kopiami zapasowymi z testami odtwarzania. Wsparcie działa 24/7, a czas reakcji zależy od priorytetu zgłoszenia i umowy. Zgłoszenia mają numer i priorytet, więc zostaje po nich ślad.
Sieć operatora
Część zabezpieczeń można oprzeć na usługach operatora: firewall UTM, VPN, IPS/IDS, segmentacja VLAN, ochrona przed DDoS oraz niezależne łącze zapasowe z automatycznym przełączaniem. S-NET działa od 2009 roku, ma własną sieć światłowodową i Centrum Zarządzania Siecią (NOC) pracujące 24/7.
Instytucje publiczne
Dla urzędów i jednostek publicznych przygotowaliśmy osobny opis: rozwiązania dla instytucji i placówek publicznych — łącza, chmura, kopie poza siedzibą, segmentacja i monitoring.
Najczęstsze pytania (FAQ)
Czy moja firma podlega NIS2 i ustawie o KSC?
Tego ten artykuł nie rozstrzyga. Odpowiedzi udzieli doradca prawny po analizie działalności Twojej firmy.
Od czego zacząć przygotowania techniczne?
Od audytu: inwentaryzacji urządzeń, serwerów, kopii, kont i schematu sieci. Dopiero lista ryzyk pokazuje, co wdrażać w pierwszej kolejności.
Czy S-NET przygotuje dokumentację prawną i procedury organizacyjne?
S-NET pomaga wdrożyć elementy techniczne: kopie w odrębnej lokalizacji, plany ciągłości działania, segmentację sieci, kontrolę dostępu i monitoring. Ocenę prawną i dokumenty formalne warto powierzyć doradcy prawnemu.
Czy kopia zapasowa w chmurze S-NET jest w innej lokalizacji niż dane?
Może być. Chmura działa w Krakowie, a magazyn obiektowy S3 z blokadą usuwania w Katowicach — kopie mogą tam trafiać. Oba miejsca są w Polsce.
Czy segmentacja sieci wymaga wymiany sprzętu?
Nie zawsze. Zależy to od tego, czy obecne przełączniki i firewall obsługują VLAN-y i reguły między segmentami — to jedna z rzeczy, które sprawdza audyt.
Następny krok
Jeśli nie masz aktualnego schematu sieci ani zapisu ostatniego testu odtworzenia kopii, zacznij od audytu. Porozmawiaj z inżynierem S-NET o zakresie przeglądu dla Twojej sieci i serwerów.
