Jak przygotować ćwiczenie reakcji na incydent?

Dlaczego to pytanie w ogóle powstaje

Procedura reagowania na incydenty powstaje zwykle przy biurku. Sprawdza ją dopiero pierwsze poważne zdarzenie. Wtedy okazuje się, że lista kontaktów jest nieaktualna, a osoba decydująca o zgłoszeniu jest na urlopie.

Szkolenie zwykle tego nie wychwyci. Ćwiczenie reakcji na incydent sprawdza, czy ludzie pod presją czasu rzeczywiście stosują procedurę i czy działa ona w organizacji takiej, jaka jest. Sprawdza zwłaszcza to, czy ktoś uruchamia ocenę zdarzenia według ustawy o KSC i według RODO oraz pilnuje terminów liczonych od różnych momentów.

Do tego dochodzi kalendarz. Nowelizacja ustawy o KSC została ogłoszona 2 marca 2026 r. i weszła w życie po miesiącu, czyli 3 kwietnia 2026 r. (art. 49 ustawy z 23 stycznia 2026 r.). Podmioty spełniające wtedy przesłanki podmiotu kluczowego albo ważnego realizują obowiązki z rozdziału 3 najpóźniej od 3 kwietnia 2027 r. (art. 33 ust. 1 nowelizacji). Podmiot objęty ustawą później ma 12 miesięcy od spełnienia przesłanek (art. 16 pkt 1 ustawy o KSC). Dawni operatorzy usług kluczowych zgłaszają incydenty poważne według nowego brzmienia art. 11–12b najpóźniej od 3 października 2026 r., czyli 6 miesięcy od wejścia w życie (art. 33 ust. 4 nowelizacji).

Co trzeba ustalić przed decyzją

Czy ćwiczenie reakcji na incydent jest obowiązkowe

Ustawa o KSC nie wymienia ćwiczenia wśród obowiązków podmiotu kluczowego lub ważnego. System zarządzania bezpieczeństwem informacji takiego podmiotu obejmuje jednak trzy elementy, których bez sprawdzenia w działaniu trudno dowieść. Pierwszy to testowanie planów ciągłości działania, planów awaryjnych i planów odtworzenia działalności (art. 8 ust. 1 pkt 2 lit. f). Drugi to polityki i procedury oceny skuteczności środków technicznych i organizacyjnych (lit. h). Trzeci to zarządzanie incydentami, które obejmuje też opracowywanie wniosków z ich obsługi (pkt 4 i art. 2 pkt 18). Minister Cyfryzacji wskazuje, że organizacja musi mieć wdrożone, przetestowane i stosowane w praktyce procedury zarządzania incydentami (pyt. 3.7). W praktyce ćwiczenie jest najprostszym dowodem, że procedury przetestowano.

Testowanie procedur reagowania na incydenty wprost nakazują rozporządzenie 2024/2690 i załącznik nr 4 do ustawy o KSC. Art. 8 ust. 1 ustawy wymaga testowania planów, a RODO w stosownym przypadku testowania skuteczności środków.

Kto	Co testuje	Podstawa	Wyjątki i ograniczenia
Podmiot kluczowy lub ważny	Plany ciągłości działania, plany awaryjne i plany odtworzenia działalności; do tego polityki i procedury oceny skuteczności środków	art. 8 ust. 1 pkt 2 lit. f i h ustawy o KSC	podmiot ważny będący podmiotem publicznym albo wskazanym podmiotem systemu szkolnictwa wyższego i nauki niebędącym organizacją badawczą stosuje w zakresie zadań publicznych zamiast tego załącznik nr 4 (art. 8 ust. 3); sektor bankowości i infrastruktury rynków finansowych stosuje z art. 8 tylko ust. 1 pkt 1 i pkt 2 lit. j (art. 8i ust. 1), a testy wynikają z DORA
Dodatkowo podmioty objęte rozporządzeniem 2024/2690, między innymi dostawcy usług chmurowych i zarządzanych oraz dostawcy usług zaufania	Funkcje, obowiązki i procedury polityki obsługi incydentów, procedury reagowania na incydenty, plan ciągłości działania i plan przywrócenia normalnego działania, plan zarządzania kryzysowego oraz odzyskiwanie kopii zapasowych	rozporządzenie 2024/2690, art. 1 i załącznik, pkt 3.1.3, 3.5.5, 4.1.4, 4.2.6 i 4.3.4; art. 8b ust. 1 i 2 ustawy o KSC	według Ministra Cyfryzacji tylko w zakresie działalności objętej rozporządzeniem (pyt. 3.47); odstępy planuje podmiot; politykę i plany testuje się i poddaje przeglądowi także po poważnych incydentach i znaczących zmianach w działalności lub poziomie ryzyka
Podmiot ważny będący podmiotem publicznym i inne podmioty z art. 8 ust. 3	Procedura na wypadek wystąpienia awarii lub incydentu oraz kopie zapasowe	załącznik nr 4, cz. I pkt 11 i 12	załącznik nie określa częstotliwości testów; system przegląda się co najmniej raz w roku albo bezzwłocznie w sytuacjach z części III
Sektor bankowości i infrastruktury rynków finansowych	Plany ciągłości działania w zakresie ICT, plany reagowania i przywracania sprawności ICT oraz plany działań informacyjnych na wypadek sytuacji kryzysowej	art. 11 ust. 6 rozporządzenia DORA	plany ICT co najmniej raz w roku i po istotnych zmianach w systemach ICT wspierających krytyczne lub istotne funkcje; poza mikroprzedsiębiorstwami także scenariusze cyberataków
Administrator i podmiot przetwarzający	Skuteczność środków mających zapewnić bezpieczeństwo przetwarzania	art. 32 ust. 1 lit. d RODO	„w stosownym przypadku”; testowanie ma być regularne, ale przepis nie określa formy ani odstępów

W sektorze bankowości i infrastruktury rynków finansowych ćwiczenie sprawdza zgłoszenie poważnego incydentu związanego z ICT do właściwego organu (art. 19 ust. 1 DORA) zamiast wczesnego ostrzeżenia i zgłoszenia z ustawy o KSC. O poważnym incydencie związanym z ICT mającym wpływ na interesy finansowe klientów informuje się ich według DORA (art. 19 ust. 3). Z ustawy o KSC ćwiczenie obejmuje wtedy współdziałanie z CSIRT podczas obsługi incydentu poważnego (art. 8i ust. 1 i art. 11 ust. 1 pkt 5). DORA stosuje się od 17 stycznia 2025 r. (art. 64), więc ten sektor nie czeka z testami na 2027 r.

Co ma sprawdzić ćwiczenie reakcji na incydent

Cel ćwiczenia to jedno lub dwa pytania, na które organizacja nie zna dziś odpowiedzi. Mogą one brzmieć na przykład tak.

• Ile czasu mija od pierwszego sygnału do wykrycia incydentu, do uznania go za poważny i do decyzji o wczesnym ostrzeżeniu?
• Czy zespół zapisuje osobno godzinę wykrycia incydentu, godzinę uznania go za poważny i godzinę stwierdzenia naruszenia ochrony danych?
• Czy członek zarządu dowiaduje się o incydencie poważnym na tyle wcześnie, żeby zdecydować w terminie?

Cele bierze się z wyników szacowania ryzyka, wniosków z incydentów i naruszeń oraz z poprzedniego ćwiczenia.

Ustawa o KSC liczy terminy wczesnego ostrzeżenia (24 godziny) i zgłoszenia incydentu poważnego (72 godziny) od jego wykrycia (art. 11 ust. 1 pkt 4 i 4a). Według Ministra Cyfryzacji momentem wykrycia jest chwila, w której podmiot może stwierdzić, że zdarzenie jest incydentem (pyt. 6.5). Incydent uznaje się za poważny według progów (art. 11 ust. 1 pkt 3). Dla podmiotów objętych rozporządzeniem 2024/2690 progi określa to rozporządzenie (art. 3 rozporządzenia i art. 11 ust. 4 ustawy o KSC). Bezpieczniej liczyć terminy od wykrycia w rozumieniu ministra. Motyw 31 rozporządzenia 2024/2690 wiąże jednak początek terminu z chwilą, w której po wstępnej ocenie objęty nim podmiot ma wystarczającą pewność, że wystąpił poważny incydent. Warto więc zapisywać obie godziny. Administrator zgłasza naruszenie ochrony danych bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od jego stwierdzenia (art. 33 ust. 1 RODO). Nie zgłasza go, gdy jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych.

Kryteria oceny zapisuje się przed ćwiczeniem. Kryterium mówi, co ma się wydarzyć, do której godziny scenariusza i kto to stwierdzi. Przykładem jest decyzja o wczesnym ostrzeżeniu podjęta i zapisana przez osobę wskazaną w procedurze w czasie, który procedura przewiduje, z zapasem na przekazanie ostrzeżenia przed upływem 24 godzin. Obserwator liczy ten czas od chwili scenariusza, w której uczestnicy dostali informacje pozwalające stwierdzić incydent. Po stronie RODO kryterium może dotyczyć zapisanej oceny ryzyka i decyzji o zgłoszeniu. Do zgłoszenia przekazanego Prezesowi UODO po 72 godzinach dołącza się wyjaśnienie przyczyn opóźnienia (art. 33 ust. 1 RODO). Lepiej kilka kryteriów niż kilkanaście, a kryterium niespełnione też jest wynikiem.

Podmiot ważny będący podmiotem publicznym nie przekazuje wczesnego ostrzeżenia ani sprawozdań, tylko zgłoszenie incydentu poważnego (art. 12c i pyt. 6.12). W ćwiczeniu takiego podmiotu kryterium terminu po stronie ustawy o KSC dotyczy więc zgłoszenia w ciągu 72 godzin od wykrycia. Dostawca usług zaufania zgłasza incydent poważny w ciągu 24 godzin od wykrycia (art. 11 ust. 1a).

Jaką formę ćwiczenia wybrać

Przepisy nie określają formy ćwiczenia. W praktyce stosuje się trzy formy, które różnią się kosztem i tym, co sprawdzają.

• Ćwiczenie przy stole. Uczestnicy dostają kolejne informacje o zdarzeniu i mówią, co zrobią i kto zdecyduje. Nie dotyka systemów. Sprawdza role, eskalację, kwalifikację zdarzenia i decyzje o zgłoszeniach.
• Ćwiczenie funkcjonalne. Uczestnicy wykonują czynności tak jak przy prawdziwym zdarzeniu. Dzwonią do osób uprzedzonych o ćwiczeniu, rejestrują zdarzenie w systemie zgłoszeń serwisowych i wypełniają wzory formularzy dla CSIRT i Prezesa UODO bez ich wysyłania. Sprawdza narzędzia, dostępność ludzi i rzeczywisty czas czynności. Sprawdza też, czy osoby wskazane w procedurze mają dostęp do systemu S46, przez który przekazuje się wczesne ostrzeżenie i zgłoszenie (art. 11 ust. 2 ustawy o KSC).
• Test techniczny. Odtworzenie systemu z kopii zapasowej albo przełączenie na zasoby zapasowe. Sprawdza plan odtworzenia, kopie zapasowe i część planu ciągłości działania. Mierzy się czas do działającej usługi, a nie do zakończenia odtwarzania kopii.

Rekomenduję zaczynać od ćwiczenia przy stole. Jest tanie, a członek zarządu nie musi brać udziału w całym ćwiczeniu. Dołącza wtedy, gdy wezwie go zespół według procedury eskalacji, a obserwator zapisuje godzinę wezwania.

Kto bierze udział w ćwiczeniu

Uczestników dobiera się według ról z procedury, a nie według stanowisk. Ćwiczenie całej ścieżki obejmuje zwykle te role.

• Osoba prowadząca sprawę i pilnująca chronologii.
• Osoba decydująca o działaniach technicznych.
• Osoby przygotowujące kwalifikację i zgłoszenie do CSIRT, w tym wyznaczone do kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa (art. 9 ust. 1 pkt 1 ustawy o KSC).
• Inspektor ochrony danych, jeżeli został wyznaczony.
• Osoba, która w imieniu administratora decyduje o zgłoszeniu naruszenia Prezesowi UODO i o zawiadomieniu osób.
• Członek zarządu albo kierownik jednostki, który podejmuje decyzje zastrzeżone dla kierownictwa.
• Zewnętrzny zespół monitorowania, jeżeli to on ma wykryć zdarzenie.
• Osoba odpowiedzialna za komunikację z klientami i użytkownikami usług.

Udział zarządu uzasadniają jego zadania. Kierownik podmiotu kluczowego lub ważnego podejmuje decyzje o systemie zarządzania bezpieczeństwem informacji i nadzoruje wykonanie przydzielonych zadań (art. 8d pkt 1 i 3). Odpowiada też między innymi za obowiązki z art. 11–12b, także powierzone innej osobie za jej zgodą (art. 8c ust. 1 i 3). Jeżeli kierownikiem jest organ wieloosobowy i nie wskazano osoby odpowiedzialnej, odpowiadają wszyscy jego członkowie (art. 8c ust. 2). Scenariusz powinien wymagać od zarządu prawdziwej decyzji, na przykład o wyłączeniu usługi.

Administrator i podmiot przetwarzający zapewniają, by inspektor ochrony danych był właściwie i niezwłocznie włączany we wszystkie sprawy dotyczące ochrony danych osobowych (art. 38 ust. 1 RODO). Inspektor doradza (art. 39 ust. 1 lit. a), a o zgłoszeniu naruszenia decyduje administrator (art. 33 ust. 1).

Ćwiczenie ma też prowadzącego i obserwatora. Prowadzący podaje kolejne informacje i pilnuje czasu. Obserwator zapisuje godziny decyzji i role, które je podjęły, a przy zewnętrznym monitorowaniu osobno godzinę alertu i godzinę jego przyjęcia. Przy większym składzie potrzebna jest osoba odgrywająca strony zewnętrzne, na przykład CSIRT, dostawcę i media. Prowadzącym może być osoba z zewnątrz, która podpisuje zobowiązanie do poufności.

Jeżeli scenariusz zakłada, że informacja o zdarzeniu przyjdzie od dostawcy, warto zaprosić także dostawcę. Według Ministra Cyfryzacji w umowach z dostawcami należy zawrzeć obowiązek niezwłocznego informowania o incydencie związanym z usługą dostawcy (pyt. 6.5). Udział dostawcy w ćwiczeniu trzeba uzgodnić z wyprzedzeniem, a najlepiej zapisać w umowie. Gdy dostawca przetwarza dane osobowe w imieniu organizacji, ćwiczenie sprawdza też, czy zgłasza jej naruszenie bez zbędnej zwłoki (art. 33 ust. 2 RODO).

Jak napisać scenariusz ćwiczenia reakcji na incydent

Scenariusz opiera się na zdarzeniu, które może się wydarzyć w tej organizacji. Dobrym punktem wyjścia jest ryzyko ocenione najwyżej w ostatnim szacowaniu albo incydent, który organizacja już przeszła. Scenariusz składa się z kolejnych informacji podawanych uczestnikom w ustalonych godzinach.

Warto, żeby scenariusz zawierał pięć elementów.

1. Niejednoznaczny początek. Pierwszy sygnał to alert z monitorowania albo telefon od dostawcy, a nie gotowa diagnoza. Uczestnicy sami ustalają, kiedy zdarzenie stało się incydentem, i zapisują tę godzinę. Obserwator porównuje ją z godziną, w której uczestnicy dostali informacje pozwalające to stwierdzić.
2. Dane osobowe ujawnione później. Po kilku godzinach okazuje się, że zdarzenie objęło dane klientów albo pracowników. Zespół uruchamia wtedy ocenę naruszenia z art. 33 i 34 RODO bez przerywania obsługi incydentu. Gdy organizacja przetwarza dane jako podmiot przetwarzający, zgłasza naruszenie administratorom bez zbędnej zwłoki (art. 33 ust. 2). Ocena ryzyka i zgłoszenie do Prezesa UODO należą do nich.
3. Noc albo weekend. Część czasu scenariusza przypada na godziny poza pracą. Uczestnicy mówią, kogo i jak zastaliby o tej porze. Rzeczywistą osiągalność ludzi sprawdza osobny test poza godzinami pracy.
4. Niepełna wiedza w chwili zgłoszenia. Uczestnicy przygotowują zgłoszenie z informacjami dostępnymi w danej chwili. Ustawa o KSC wymaga przekazania informacji znanych w chwili zgłoszenia incydentu poważnego i uzupełniania ich w trakcie jego obsługi (art. 12 ust. 5). RODO pozwala udzielać informacji sukcesywnie i bez zbędnej zwłoki, jeżeli i w zakresie, w jakim nie da się ich udzielić w tym samym czasie (art. 33 ust. 4).
5. Utrata podstawowego kanału. W pewnym momencie poczta i komunikator przestają działać. Zespół korzysta z kanału zastępczego, wydruku procedury i listy kontaktów.

Niezależnie od danych osobowych zespół ocenia, czy incydent poważny niekorzystnie wpływa na świadczenie usług. Jeżeli tak, informuje o nim użytkowników usług (art. 11 ust. 2b ustawy o KSC).

Zegar scenariusza zwykle biegnie szybciej niż rzeczywisty, więc doba zdarzenia mieści się w kilku godzinach ćwiczenia. Prowadzący ogłasza godzinę scenariusza, a obserwator zapisuje decyzje według niej.

Punktem odniesienia przy ocenie decyzji jest procedura organizacji. Kolejność działań w pierwszej dobie i terminy w obu reżimach opisuje materiał Co zrobić po wykryciu incydentu?.

Jak zaplanować przygotowania

Zarząd zatwierdza cel, termin i listę ról z kilkutygodniowym wyprzedzeniem. Uczestnicy blokują kalendarz od razu, a na nieobecność wyznacza się zastępcę z procedury. Uczestnicy nie znają scenariusza.

Prowadzący przygotowuje plan przebiegu. Łączy on godziny scenariusza, kolejne informacje, oczekiwane decyzje i kryteria oceny. Obserwator dostaje kartę z tymi samymi kryteriami. Uczestnicy mają przy sobie to, czego użyliby naprawdę. Są to procedura, lista kontaktów i wzory formularzy zgłoszeń przygotowane poza systemami produkcyjnymi. Kilka dni wcześniej prowadzący robi z obserwatorem próbę scenariusza.

Jak przeprowadzić ćwiczenie bezpiecznie

Każdy dokument i każda wiadomość z ćwiczenia mają oznaczenie „ĆWICZENIE”. Przed startem informuje się osoby, które mogą odebrać wiadomość z ćwiczenia, w tym zewnętrzny zespół monitorowania. Dyżur pełni w tym czasie osoba spoza ćwiczenia. Prawdziwe zdarzenie ma pierwszeństwo, a o przerwaniu ćwiczenia decyduje prowadzący hasłem ustalonym na starcie.

Wczesnego ostrzeżenia, zgłoszenia incydentu poważnego ani zgłoszenia naruszenia nie wysyła się do CSIRT ani do Prezesa UODO. Nie wysyła się też komunikatów do użytkowników usług ani zawiadomień osób, których dane dotyczą. Uczestnicy wypełniają wzory formularzy poza systemem S46 i poza formularzem UODO. Procedura powinna wskazywać, którym kanałem organizacja zgłasza naruszenie. Podmiot kluczowy lub ważny będący administratorem może zgłosić naruszenie także przez S46, jeżeli już z niego korzysta (art. 46 ust. 1 pkt 7). Według Ministra Cyfryzacji ta droga jest fakultatywna (pyt. 7.7).

Scenariusz nie potrzebuje prawdziwych danych osobowych. Wystarczy opis kategorii danych i liczby osób. Test techniczny prowadzi się w oknie serwisowym, w sieci odizolowanej albo w środowisku testowym, z planem powrotu na wypadek nieudanego odtworzenia. Odtworzona kopia zwykle zawiera prawdziwe dane osobowe, więc środowisko testowe zabezpiecza się odpowiednio do ich ryzyka (art. 32 ust. 1 RODO). Zapisy z ćwiczenia warto oznaczyć tak, żeby nie trafiły do rejestru naruszeń ani do ewidencji incydentów. Wyjątkiem jest skutek rzeczywisty, na przykład utrata dostępności danych przy nieudanym odtworzeniu. Prowadzący przerywa wtedy ćwiczenie, a zdarzenie obsługuje się i dokumentuje jak każde inne.

Co zapisać po ćwiczeniu reakcji na incydent

Omówienie odbywa się zaraz po ćwiczeniu. Ustala, co zadziałało, co nie zadziałało i co się zmienia. Raport powstaje w ciągu kilku dni i zawiera stałe elementy.

• Cel i kryteria oceny przyjęte przed ćwiczeniem.
• Datę, formę ćwiczenia i sprawdzany plan.
• Scenariusz i uczestników według ról.
• Chronologię decyzji w czasie scenariusza.
• Ocenę każdego kryterium.
• Działania naprawcze z właścicielem i terminem.
• Termin ponownego sprawdzenia.

Do raportu dołącza się plan przebiegu z datą sporządzenia, kartę obserwatora i listę obecności.

Wnioski zmieniają zwykle procedurę, listę kontaktów albo umowy z dostawcami. Zmienioną procedurę oznacza się nową wersją (art. 10 ust. 6 pkt 3). Rozporządzenie 2024/2690 wymaga od objętych nim podmiotów, żeby plan ciągłości działania i plan przywrócenia normalnego działania uwzględniały wnioski z testów (pkt 4.1.4). Wyniki testów odzyskiwania kopii zapasowych podmioty te dokumentują i w razie potrzeby podejmują działania naprawcze (pkt 4.2.6). Działania naprawcze trafiają do rejestru działań, który organizacja już prowadzi. Kolejne ćwiczenie zaczyna się od sprawdzenia, czy je wykonano i czy usunęły przyczynę. Raport warto przedstawić zarządowi do zatwierdzenia działań i terminów.

Gdy plan albo procedura obsługi incydentów przewiduje test, raport z niego jest dokumentacją operacyjną (art. 10 ust. 1, 3 i 4), także w podmiocie ważnym będącym podmiotem publicznym. Taki podmiot dokumentuje ponadto działania według załącznika nr 4 (cz. IV). W mojej ocenie art. 10 nie stosuje się w sektorze bankowości i infrastruktury rynków finansowych (art. 8i ust. 1 i pyt. 14.2). Wyniki testów uwzględnia się tam w przeglądach planów (art. 11 ust. 6 DORA). Po stronie RODO raport pomaga wykazać testowanie skuteczności środków (art. 24 ust. 1 i art. 32 ust. 1 lit. d).

Imienne oceny uczestników są danymi osobowymi pracowników i do wniosków zwykle nie są potrzebne.

Jak często ćwiczyć i czy ćwiczenie zastępuje szkolenie

Odstępy między testami wyznacza wprost tylko rozporządzenie DORA (art. 11 ust. 6). Rozporządzenie 2024/2690 wymaga od objętych nim podmiotów testowania procedur reagowania na incydenty w zaplanowanych odstępach czasu (pkt 3.5.5). Dla średniej i dużej organizacji rekomenduję co najmniej jedno ćwiczenie reakcji na incydent w roku, obejmujące całą ścieżkę. Dodatkowe ćwiczenie warto przeprowadzić po poważnym incydencie, zmianie procedury albo reorganizacji. U podmiotów objętych rozporządzeniem 2024/2690 test po poważnym incydencie albo znaczącej zmianie w działalności lub poziomie ryzyka jest obowiązkiem. Obejmuje funkcje, obowiązki i procedury z polityki obsługi incydentów, plan ciągłości działania i plan przywrócenia normalnego działania oraz plan zarządzania kryzysowego (pkt 3.1.3, 4.1.4 i 4.3.4).

Kierownik i osoba, której powierzono jego obowiązki w zakresie cyberbezpieczeństwa, przechodzą szkolenie raz w roku kalendarzowym (art. 8e ust. 1). Ćwiczenie reakcji na incydent może być częścią tego szkolenia. Lista obecności z raportu może wtedy dokumentować udział w szkoleniu (art. 8e ust. 3). Ćwiczenie ograniczone do obsługi incydentu nie wypełni jednak zakresu z art. 8e ust. 2, który obejmuje między innymi art. 8, art. 14 i art. 15. Ćwiczenie decyzyjne jako element programu szkolenia zarządu opisuje materiał Co powinno obejmować szkolenie NIS2 dla zarządu?.

Ćwiczenie nie zastępuje też edukacji całego personelu (art. 8 ust. 1 pkt 2 lit. i), a w podmiocie ważnym będącym podmiotem publicznym szkoleń z załącznika nr 4 (cz. I pkt 17).

Najczęstsze błędy

• Ćwiczą najlepsi, a nie zastępcy. Ćwiczenie nie sprawdza wtedy urlopu ani nocy.
• Prowadzącym jest autor procedury. Autor łatwo wtedy broni procedury, zamiast ją sprawdzać.

Wnioski i dalsze kroki

W podmiocie spoza sektora bankowości i infrastruktury rynków finansowych, który spełniał przesłanki 3 kwietnia 2026 r. i nie był operatorem usługi kluczowej, pierwsze ćwiczenie ścieżki z ustawy o KSC warto przeprowadzić na początku 2027 r. Wnioski zdążą wtedy zmienić procedurę przed 3 kwietnia 2027 r., a przygotowania warto zacząć jeszcze w 2026 r. Dawny operator usługi kluczowej spoza tego sektora zgłasza incydenty poważne według nowych zasad, więc ćwiczenie warto przeprowadzić od razu. Ścieżkę z RODO można ćwiczyć już teraz.

1. Wybierz procedurę i decyzje, które ćwiczenie ma sprawdzić, i zapisz kryteria oceny. Przedstaw je zarządowi razem z terminem i listą ról.
2. Wyznacz prowadzącego i obserwatora, a następnie napisz scenariusz z pięcioma elementami i plan przebiegu.
3. Uzgodnij zasady bezpieczeństwa ćwiczenia, w tym dyżur poza ćwiczeniem i wzory formularzy zamiast wysyłki.
4. Po ćwiczeniu przedstaw zarządowi raport z działaniami, właścicielami i terminami.
5. Wpisz termin ponownego sprawdzenia i kolejne ćwiczenie do planu na przyszły rok.

Materiały powiązane

• Co zrobić po wykryciu incydentu? — kolejność działań w pierwszej dobie i równoległe terminy.
• Co zawiera zgłoszenie incydentu poważnego do CSIRT? — treść wczesnego ostrzeżenia, zgłoszenia i sprawozdań.
• Jak zbudować roczny plan szkoleń z RODO i NIS2? — miejsce ćwiczenia w kalendarzu roku.
• Po czym poznać, że szkolenie przyniosło rzeczywisty efekt? — wskaźniki efektu zamiast wskaźników aktywności.

Źródła

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) — art. 24 ust. 1, art. 32 ust. 1, art. 33 ust. 1, 2 i 4, art. 34, art. 38 ust. 1 i art. 39 ust. 1 lit. a — eur-lex.europa.eu.
• Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, tekst ujednolicony ze stanem na 18 sierpnia 2026 r. — art. 2 pkt 18, art. 8 ust. 1 i 3, art. 8b ust. 1 i 2, art. 8c, art. 8d, art. 8e, art. 8i ust. 1, art. 9 ust. 1, art. 10 ust. 1, 3, 4 i 6, art. 11–12c, art. 14, art. 15, art. 16, art. 46 ust. 1 i załącznik nr 4 — isap.sejm.gov.pl.
• Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, Dz.U. 2026 poz. 252 — art. 33 ust. 1 i 4 oraz art. 49 — isap.sejm.gov.pl.
• Rozporządzenie wykonawcze Komisji (UE) 2024/2690 z dnia 17 października 2024 r. — motyw 31, art. 1, art. 3 i załącznik, pkt 3.1.3, 3.5.5, 4.1.4, 4.2.6 i 4.3.4 — eur-lex.europa.eu.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 (DORA) — art. 11 ust. 6, art. 19 ust. 1 i 3 oraz art. 64, z uwzględnieniem sprostowania z 12 marca 2024 r — tekst ogłoszony (eur-lex.europa.eu), sprostowanie (eur-lex.europa.eu).
• Minister Cyfryzacji, Krajowy system cyberbezpieczeństwa — pytania i odpowiedzi do nowelizacji ustawy o KSC, aktualizacja z października 2026 r. — pyt. 3.7, 3.47, 6.5, 6.12, 7.7 i 14.2 — cyber.gov.pl.