'/%3E%3C/svg%3E){kind=small}
Audyt NIS2
Audyt NIS2: samoidentyfikacja podmiotu i analiza luk według art. 21 od 9 999 zł netto, pełny audyt z testami penetracyjnymi systemów krytycznych 20 000–45 000 zł netto. Raport z mapą zgodności z ustawą o KSC i planem wdrożenia dla zarządu.
- Certyfikowani pentesterzy (OSCP, OSWE, OSEP)
- Retest do 30 dni w cenie
- Wgląd w postęp testów w platformie vulnerability management
- Analiza ryzykaUwaga
- Incydenty 24h/72hLuka
- Ciągłość działaniaOK
- Łańcuch dostawLuka
- Bezpieczny rozwójUwaga
- Ocena skutecznościOK
- CyberhigienaOK
- KryptografiaOK
- Kontrola dostępuUwaga
- MFA i komunikacjaOK
- 84wymagań
- 31luk
- 10obszarów art. 21
Audyt NIS2 od 9 999 zł netto sprawdza, czy Twoja firma podlega dyrektywie NIS2 i ustawie o krajowym systemie cyberbezpieczeństwa (KSC), które z dziesięciu obszarów wymagań art. 21 spełnia, a gdzie ma luki. Pełny audyt (20 000–45 000 zł netto) dokłada testy penetracyjne systemów krytycznych i audyt konfiguracji, żeby dowody zgodności nie były tylko dokumentami. Wynikiem jest mapa luk z priorytetami, plan wdrożenia na 6–12 miesięcy i podsumowanie dla zarządu.
Zapewnij swojej organizacji realną odporność na cyberataki i spełnij wymogi dyrektywy NIS2 dzięki profesjonalnym testom penetracyjnym. Nasze testy NIS2 to nie tylko klasyczny pentest – to pełna ocena bezpieczeństwa systemów, procesów i ludzi pod kątem nowych obowiązków wynikających z europejskich regulacji w zakresie cyberbezpieczeństwa.
Dzięki audytowi NIS2 zyskasz:
- rzetelną weryfikację poziomu zabezpieczeń,
- analizę zgodności z wymaganiami NIS2,
- gotowy plan naprawczy i rekomendacje dostosowane do Twojej organizacji,
- dowód zgodności i odporności do przedstawienia audytorom lub regulatorom.
Jeśli obok NIS2 obowiązują Cię także DORA, RODO lub normy ISO, zobacz szerszy audyt zgodności. O tym, jakie obowiązki nakłada dyrektywa na polskie firmy, piszemy w artykule dyrektywa NIS2 w Polsce – obowiązki firm.
Kogo dotyczy NIS2: podmioty kluczowe i ważne
Dyrektywa obejmuje organizacje z 18 sektorów kluczowych i ważnych. Jeśli zatrudniasz ponad 50 osób lub masz obrót powyżej 10 mln euro i działasz w jednym z nich, prawdopodobnie podlegasz NIS2. Dotyczy to też dostawców podmiotów kluczowych, niezależnie od wielkości.
Podmiot kluczowy
Duże organizacje (od 250 pracowników lub powyżej 50 mln euro obrotu) z sektorów o wysokiej krytyczności: energetyka, transport, bankowość, infrastruktura rynków finansowych, zdrowie, woda pitna i ścieki, infrastruktura cyfrowa, zarządzanie usługami ICT, administracja publiczna, przestrzeń kosmiczna. Nadzór aktywny: kontrole planowe i doraźne.
Podmiot ważny
Średnie organizacje z sektorów o wysokiej krytyczności oraz średnie i duże z pozostałych sektorów ważnych: usługi pocztowe i kurierskie, gospodarka odpadami, chemikalia, żywność, produkcja przemysłowa (m.in. urządzenia medyczne, elektronika, pojazdy), dostawcy usług cyfrowych, badania naukowe. Nadzór następczy: kontrola po sygnale o naruszeniu.
Dostawcy w łańcuchu dostaw
Firmy, które same nie są podmiotem kluczowym ani ważnym, ale dostarczają im oprogramowanie, usługi ICT, utrzymanie lub dane. NIS2 nakazuje podmiotom regulowanym oceniać bezpieczeństwo dostawców, więc wymagania spływają w dół łańcucha w umowach i ankietach. Samoidentyfikację robimy w pierwszym dniu audytu.
W praktyce dyrektywa NIS2 obejmuje większość średnich i dużych firm mających znaczenie dla ciągłości usług lub bezpieczeństwa danych w UE: instytucje finansowe, firmy technologiczne, sektor zdrowia, energetykę, transport, administrację publiczną, edukację i usługi cyfrowe. Dodatkowo możliwe są sankcje administracyjne, publiczne ujawnienie niezgodności oraz odpowiedzialność osobista członków zarządu.
Zakres audytu NIS2: analiza luk, zarządzanie ryzykiem, incydenty, łańcuch dostaw
Porównujemy stan faktyczny z dziesięcioma obszarami wymagań art. 21 ust. 2 NIS2. Każdy obszar dostaje ocenę dojrzałości, listę luk i rekomendacje.
Zarządzanie ryzykiem i polityki
Polityki analizy ryzyka i bezpieczeństwa systemów informatycznych oraz procedury oceny skuteczności wdrożonych środków.
Incydenty i ciągłość działania
Obsługa incydentów, zgłaszanie do CSIRT w wymaganych terminach, kopie zapasowe, odtwarzanie po awarii i zarządzanie kryzysowe.
Łańcuch dostaw i nabywanie
Bezpieczeństwo dostawców i usługodawców, bezpieczeństwo w nabywaniu, rozwoju i utrzymaniu systemów, w tym obsługa i ujawnianie podatności.
Ludzie, dostęp i kryptografia
Cyberhigiena i szkolenia, polityki kryptografii i szyfrowania, bezpieczeństwo zasobów ludzkich, kontrola dostępu, zarządzanie aktywami, MFA i zabezpieczona komunikacja.
Testy penetracyjne NIS2: praktyczne potwierdzenie wdrożenia środków
Testy penetracyjne są praktycznym potwierdzeniem wdrożenia środków bezpieczeństwa, o których mowa w NIS2. Dyrektywa nie narzuca konkretnych narzędzi, ale wymaga, aby organizacje regularnie weryfikowały skuteczność swoich zabezpieczeń – i właśnie to zapewnia pentest. Testy penetracyjne:
- wypełniają obowiązek oceny skuteczności środków bezpieczeństwa (art. 21 ust. 2 lit. f NIS2) – weryfikują faktyczne działanie mechanizmów ochronnych, detekcji i reakcji,
- dostarczają dowodu zgodności – raport z pentestu może być załączony do audytu lub kontroli NIS2 jako potwierdzenie zarządzania ryzykiem,
- identyfikują realne luki i wektory ataku – pozwalają organizacji podjąć działania naprawcze przed incydentem,
- pomagają w zarządzaniu ryzykiem łańcucha dostaw – testując bezpieczeństwo integracji, API, chmury i zewnętrznych dostawców.
Jakie problemy rozwiązują testy NIS2?
Testy penetracyjne w ramach NIS2 pomagają organizacjom realnie ocenić i wzmocnić bezpieczeństwo zgodnie z wymogami dyrektywy. Dzięki nim możesz wcześnie wykryć ryzyka, zamiast reagować dopiero po incydencie. Najczęstsze problemy, które rozwiązują testy NIS2:
- brak wiedzy o rzeczywistych podatnościach – test ujawnia faktyczne luki w aplikacjach, infrastrukturze i konfiguracjach,
- niepełna zgodność z dyrektywą NIS2 – audyt pokazuje, które obszary wymagają wzmocnienia, aby spełnić art. 21 dyrektywy,
- nieskuteczna detekcja i reagowanie – test weryfikuje, czy Twój SOC, SIEM i procedury reagowania faktycznie działają,
- brak dowodu odporności dla regulatora lub audytora – raport z testów stanowi uznany dowód zgodności z NIS2,
- ryzyko kar i utraty zaufania – wyniki testów pozwalają naprawić słabe punkty przed kontrolą lub incydentem.
Metodyka: NIS2, ustawa o KSC i ISO 27001
Wymagania bierzemy z dyrektywy i polskiej ustawy, dojrzałość mierzymy kontrolami ISO 27001, a odporność sprawdzamy testami technicznymi. Trzy warstwy, jeden raport.
Czego wymaga dyrektywa NIS2 i ustawa o KSC
Dyrektywa NIS2 (Network and Information Systems Directive) to unijne prawo, które nakłada na organizacje z kluczowych i istotnych sektorów (m.in. finanse, zdrowie, energia, transport, usługi cyfrowe, administracja publiczna) obowiązek zapewnienia odpowiedniego poziomu bezpieczeństwa sieci i systemów informatycznych. W Polsce wdraża ją nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC).
Celem NIS2 jest zwiększenie odporności cybernetycznej firm w całej Unii Europejskiej poprzez zarządzanie ryzykiem, wczesne wykrywanie incydentów oraz ciągłe doskonalenie środków ochrony.
ISO 27001 jako fundament zgodności
ISO 27001 to dobrowolna norma z certyfikatem, NIS2 to obowiązek prawny z karami. Wymagania w dużej mierze się pokrywają, więc firma z ISO 27001 ma około 70–80% zgodności z NIS2, a audyt NIS2 pokazuje brakujące 20–30%. Firmom bez systemu zarządzania bezpieczeństwem informacji rekomendujemy wdrożenie ISO 27001 jako fundament NIS2: raz zbudowane polityki, rejestr ryzyka i procesy obsługują obie regulacje.
Testy techniczne: OWASP, PTES, ASVS
Weryfikację techniczną prowadzimy jak pełnoprawne testy penetracyjne: aplikacje według OWASP WSTG i ASVS, aplikacje mobilne według MASTG, infrastruktura i Active Directory według PTES, konfiguracja serwerów według CIS Benchmarks. Cyberhigienę i szkolenia (lit. g) sprawdzamy kampanią phishingową: testy socjotechniczne wymagane przez NIS2.
Metodologia dopasowana do wymogów EBA, KNF i NIS2, zgodna z TIBER-EU i DORA dla sektora finansowego.
Jak przebiega audyt NIS2
Samoidentyfikacja i analiza luk zajmują 4–6 dni roboczych, pełny audyt z testami penetracyjnymi systemów krytycznych 2–3 tygodnie. Raport z planem wdrożenia dostajesz w ciągu tygodnia od zakończenia prac.
- 01
Samoidentyfikacja
Ustalamy, czy i w jakiej kategorii Twoja firma podlega pod NIS2 i ustawę o KSC: podmiot kluczowy, ważny czy dostawca w łańcuchu. Od tego zależy zakres obowiązków i kar.
- 02
Analiza luk
Porównujemy stan faktyczny z 10 obszarami wymagań art. 21 NIS2: polityki, incydenty, ciągłość, łańcuch dostaw, bezpieczeństwo nabywania, ocena skuteczności, higiena, kryptografia, zasoby ludzkie, MFA.
- 03
Weryfikacja techniczna
To, czego firmy doradcze nie robią: testy penetracyjne systemów krytycznych i audyt konfiguracji, żeby dowody zgodności nie były tylko dokumentami.
- 04
Raport i plan wdrożenia
Mapa luk z priorytetami, harmonogram na 6–12 miesięcy, szacunek kosztów, wzory brakujących polityk. Podsumowanie dla zarządu w języku biznesowym.
- 05
Wsparcie po audycie
Wdrożenie z naszym audytorem ISO 27001, przygotowanie do kontroli organu nadzoru. Luki, testy i retesty prowadzimy w platformie vulnerability management.
Jak przebiega test penetracyjny NIS2?
Część techniczna audytu (krok 3) ma własny, ośmioetapowy przebieg:
- Kick-off call – omówienie celów, zakresu i harmonogramu testów,
- zakres – wspólne ustalenie systemów, aplikacji i infrastruktury objętej audytem,
- dostęp do środowisk – konfiguracja kont i środowisk testowych (DEV/TEST lub PROD),
- testowanie – wykonanie testów technicznych (OWASP, PTES, ASVS) zgodnie z NIS2,
- raport techniczny – pełna lista luk, PoC i rekomendacje naprawcze,
- podsumowanie dla zarządu – wersja executive summary w języku biznesowym,
- mapa zgodności z NIS2 + plan remediacji – zestawienie wyników z wymogami dyrektywy,
- warsztat końcowy – omówienie wniosków, priorytetów i dalszych działań.
Dlaczego VIPentest?
- Zespół z doświadczeniem w sektorze regulowanym – eksperci z certyfikatami OSCP, OSCE, eMAPT, CISSP.
- Zgodność z TIBER-EU i DORA oraz NIS2 – metodologia dopasowana do wymogów EBA, KNF i NIS2.
- Pełna poufność i kontrola ryzyka – testy prowadzone w uzgodnionych oknach serwisowych, bez zakłóceń operacyjnych.
- Partnerstwo, nie tylko raport – pomagamy wdrożyć zalecenia i weryfikujemy ich skuteczność w kolejnych cyklach.
Rekomendujemy pełne testy penetracyjne co 12 miesięcy lub po każdej istotnej zmianie w systemach IT; w organizacjach wysokiego ryzyka (finanse, energia, zdrowie) co 6 miesięcy.
Cennik audytu NIS2
Cena zależy od liczby systemów krytycznych, lokalizacji i dojrzałości dokumentacji. Dokładną wycenę podajemy po bezpłatnej rozmowie.
| Wariant | Co obejmuje | Cena netto |
|---|---|---|
| Samoidentyfikacja + analiza luk | raport zgodności z art. 21, plan wdrożenia | od 9 999 zł |
| Audyt pełny | analiza luk + testy penetracyjne systemów krytycznych + audyt konfiguracji | 20 000–45 000 zł |
| Wdrożenie | polityki, procedury, szkolenia, przygotowanie do kontroli | wycena po audycie |
Cena zależy od liczby systemów krytycznych, lokalizacji i dojrzałości dokumentacji. Dokładną wycenę podajemy po bezpłatnej rozmowie. W cenie audytu pełnego: raport techniczny i zarządczy, mapa zgodności, retest podatności do 30 dni, dostęp do platformy vulnerability management.
Co dostajesz w raporcie: plan zgodności dla zarządu
Jeden dokument, dwie warstwy: część techniczna dla IT i część zarządcza dla zarządu, który odpowiada osobiście za zgodność z NIS2.
Raport techniczny
Pełna lista luk z dowodami (PoC), oceną ryzyka CVSS i rekomendacjami naprawczymi dla każdego systemu w zakresie.
Podsumowanie dla zarządu
Executive summary w języku biznesowym: status zgodności, największe ryzyka, decyzje do podjęcia i budżet.
Mapa zgodności z NIS2 i plan remediacji
Zestawienie wyników z wymogami art. 21, mapa luk z priorytetami, harmonogram na 6–12 miesięcy, szacunek kosztów i wzory brakujących polityk.
Dowód dla regulatora i audytora
Raport z audytu i testów jest uznanym dowodem zarządzania ryzykiem: załączysz go do kontroli organu nadzoru, audytu ISO 27001 lub ankiety bezpieczeństwa od klienta.
Luki, testy i retesty w platformie vulnerability management
Każdy klient dostaje dostęp do platformy vulnerability management VIPentest na czas audytu i po nim. Luki z analizy i podatności z testów pojawiają się tam w dniu wykrycia z oceną ryzyka, dowodem i rekomendacją; po wdrożeniu poprawki zgłaszasz ją do retestu jednym kliknięciem, a raport pobierasz z tej samej platformy.
Dla NIS2 ma to dodatkową wartość: historia luk, napraw i retestów jest gotowym dowodem ciągłego doskonalenia środków bezpieczeństwa, którego wymaga dyrektywa.
Co widzisz w platformie
- postęp audytu i testów w czasie rzeczywistym,
- każdą lukę w dniu wykrycia: ryzyko, dowód, rekomendacja, obszar art. 21,
- status napraw i zgłaszanie do retestu jednym kliknięciem,
- raport techniczny, zarządczy i mapę zgodności do pobrania,
- dostęp przed startem prac, bez dodatkowych opłat.
Dla kogo są testy i audyt NIS2
Audyt i testy penetracyjne NIS2 rekomendowane są dla organizacji, które:
Podlegają NIS2 lub się do niej przygotowują
M.in. finanse, zdrowie, energia, transport, ICT, administracja, edukacja. Audyt zaczyna się od samoidentyfikacji, więc nie musisz wiedzieć, w której kategorii jesteś.
Chcą sprawdzić zabezpieczenia przed kontrolą regulatora
Lepiej znaleźć luki samemu niż podczas kontroli organu nadzoru. Raport pokazuje, co poprawić i w jakiej kolejności. Jak przygotować się do kontroli, opisujemy w poradniku przygotowanie do audytu NIS2 dla zarządów.
Planują certyfikację ISO 27001 lub wdrożenie SZBI
Analiza luk NIS2 i analiza luk ISO 27001 pokrywają się w większości. Robimy je razem, a raport służy obu celom.
Potrzebują obiektywnego dowodu odporności
Na potrzeby audytu zewnętrznego, przetargu, ankiety bezpieczeństwa od klienta korporacyjnego lub ubezpieczyciela.
Jak przygotować firmę do audytu NIS2
Nie musisz mieć gotowej dokumentacji. Im więcej jednak zbierzesz przed startem, tym szybciej przejdziemy od analizy do rekomendacji.
Co przygotować przed startem
- podstawowe dane do samoidentyfikacji: sektor, liczba pracowników, obrót, kluczowi klienci z sektorów regulowanych,
- listę systemów krytycznych dla świadczenia usług i osoby za nie odpowiedzialne,
- istniejące polityki i procedury (bezpieczeństwo informacji, incydenty, ciągłość działania, kopie zapasowe), jeśli są,
- rejestr incydentów i listę dostawców ICT z zakresem świadczonych usług,
- osobę kontaktową po stronie zarządu i po stronie IT oraz dostępy do środowisk objętych testami.
Czego się spodziewać w trakcie
Analiza luk to głównie wywiady z osobami odpowiedzialnymi za IT, bezpieczeństwo, HR i zakupy oraz przegląd dokumentów i konfiguracji. Testy techniczne prowadzimy w uzgodnionych oknach serwisowych, bez zakłóceń operacyjnych, na środowiskach testowych lub produkcyjnych, zależnie od ustaleń.
Po audycie nie zostajesz z samym raportem: pomagamy wdrożyć zalecenia z naszym audytorem ISO 27001 i weryfikujemy ich skuteczność w kolejnych cyklach. Jeśli chcesz najpierw zobaczyć, jak wygląda pojedynczy test techniczny, zacznij od testów penetracyjnych systemu, który uznajesz za najbardziej krytyczny.
Najczęściej zadawane pytania
Czym jest dyrektywa NIS2?
Dyrektywa NIS2 (Network and Information Systems Directive) to europejskie prawo, które nakłada na firmy z kluczowych i istotnych sektorów obowiązek zapewnienia wysokiego poziomu cyberbezpieczeństwa, zarządzania ryzykiem i reagowania na incydenty. W Polsce wdraża ją nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC).
Kogo dotyczy NIS2?
NIS2 obejmuje m.in. instytucje finansowe, firmy technologiczne, sektor zdrowia, energetykę, transport, administrację publiczną i usługi cyfrowe. W praktyce większość średnich i dużych organizacji z UE, które przetwarzają dane lub świadczą usługi cyfrowe, będzie musiała spełniać jej wymagania.
Czy testy penetracyjne są obowiązkowe w ramach NIS2?
Tak – dyrektywa wymaga, by organizacje regularnie weryfikowały skuteczność środków bezpieczeństwa (art. 21 NIS2). Testy penetracyjne stanowią praktyczny sposób realizacji tego obowiązku, ponieważ sprawdzają rzeczywistą odporność systemów i procesów na cyberataki oraz pozwalają udokumentować zgodność.
Jak często należy wykonywać testy penetracyjne NIS2?
Rekomenduje się przeprowadzanie pełnych testów penetracyjnych co 12 miesięcy lub po każdej istotnej zmianie w systemach IT. W przypadku organizacji wysokiego ryzyka (finanse, energia, zdrowie) testy mogą być wymagane częściej – np. co 6 miesięcy.
Jak przebiega test penetracyjny NIS2?
1. Kick-off call, 2. ustalenie zakresu, 3. dostęp do środowisk, 4. testowanie (OWASP/PTES/ASVS), 5. raport techniczny, 6. podsumowanie dla zarządu, 7. mapa zgodności z NIS2 i plan remediacji, 8. warsztat końcowy.
Jakie kary grożą za brak zgodności z NIS2?
Za niespełnienie wymogów NIS2 grożą kary do 10 mln euro lub 2% rocznego globalnego obrotu dla podmiotów kluczowych oraz 7 mln euro lub 1,4% obrotu dla podmiotów istotnych. Dodatkowo możliwe są sankcje administracyjne, publiczne ujawnienie niezgodności oraz odpowiedzialność osobista członków zarządu.
Jakie problemy rozwiązują testy NIS2?
Testy ujawniają realne podatności, błędy konfiguracyjne, nieskuteczne procedury reagowania oraz braki organizacyjne, które mogą skutkować incydentami lub karami. Pomagają też przygotować plan remediacji i dowód zgodności dla audytorów.
Ile kosztuje test NIS2?
Cena testu penetracyjnego NIS2 rozpoczyna się od 9 999 zł netto. Samoidentyfikacja z analizą luk kosztuje od 9 999 zł, pełny audyt z testami penetracyjnymi systemów krytycznych i audytem konfiguracji 20 000–45 000 zł netto. Dokładna wycena ustalana jest indywidualnie, w zależności od wielkości infrastruktury i liczby aplikacji objętych audytem.
Jakie sektory obejmuje NIS2?
Dyrektywa NIS2 obejmuje organizacje z sektorów kluczowych i istotnych, m.in. energetykę, edukację, transport, zdrowie, finanse, infrastrukturę cyfrową, wodociągi, administrację publiczną, usługi pocztowe, produkcję przemysłową, ICT oraz dostawców usług cyfrowych. W praktyce dotyczy większości średnich i dużych firm mających znaczenie dla ciągłości usług lub bezpieczeństwa danych w UE.
Czy moja firma podlega pod NIS2?
Jeśli działasz w jednym z 18 sektorów (energetyka, transport, zdrowie, bankowość, infrastruktura cyfrowa, produkcja, żywność i inne) i zatrudniasz ponad 50 osób lub masz obrót powyżej 10 mln euro, prawdopodobnie tak. Dotyczy to też dostawców podmiotów kluczowych, niezależnie od wielkości. Samoidentyfikację robimy w pierwszym dniu audytu.
Czym audyt NIS2 różni się od wdrożenia ISO 27001?
ISO 27001 to dobrowolna norma z certyfikatem, NIS2 to obowiązek prawny z karami. Wymagania w dużej mierze się pokrywają, więc firma z ISO 27001 ma około 70–80% zgodności z NIS2. Audyt NIS2 pokazuje brakujące 20–30%.
Ile trwa audyt NIS2?
Samoidentyfikacja i analiza luk zajmują 4–6 dni roboczych, pełny audyt z testami penetracyjnymi systemów krytycznych 2–3 tygodnie. Raport z planem wdrożenia dostajesz w ciągu tygodnia od zakończenia prac.
Co mówią klienci
CTOSpółka Healthcare★★★★★Zespół VIPentest przeprowadził dla nas kompleksowe testy penetracyjne w ramach przygotowań do wdrożenia dyrektywy NIS2. Proces przebiegł bardzo profesjonalnie — od kick-off calla, przez fazę testową, po szczegółowy raport techniczny i podsumowanie dla zarządu. Otrzymaliśmy nie tylko listę podatności, ale również konkretne rekomendacje i plan działań naprawczych. Dzięki VIPentest wiemy, że jesteśmy dobrze przygotowani do wymogów NIS2.
Sprawdź, ile kosztuje test w Twoim zakresie
Opisz aplikację, system lub organizację w krótkim formularzu. Oddzwonimy tego samego dnia z wyceną i planem testów. Bez zobowiązań, z NDA przed rozmową.
- Potwierdzenie zgłoszeniaOdpisujemy w ciągu 24 h w dni robocze i dopytujemy o zakres.
- Rozmowa o zakresie pod NDAUstalamy cele, środowisko, terminy i sposób dostępu.
- Wycena i plan testówZwykle tego samego dnia po rozmowie. Bez zobowiązań.
- Retest do 30 dni w cenie
- Raport gotowy dla audytora
- Platforma vulnerability management
Napisz do nas: bezpłatna wycena i konsultacja zakresu
Opisz krótko, co chcesz przetestować (aplikację, system, organizację). Odpowiadamy w ciągu jednego dnia roboczego.
