Co powinien zawierać wynik analizy luk NIS2?

Dlaczego to pytanie w ogóle powstaje

Analiza luk jest zwykle pierwszą pracą, którą zarząd zleca na zewnątrz po ustaleniu, że organizacja podlega ustawie. Kilka tygodni później na posiedzenie trafia obszerne opracowanie z oceną punktową i deklaracją zgodności na poziomie kilkudziesięciu procent. Zarząd nie potrafi na jego podstawie zatwierdzić ani zakresu prac, ani budżetu, a osoba prowadząca temat nie potrafi rozdzielić zadań, bo nie wie, kto miałby je wykonać.

Powód jest prosty. Ustawa nie zna pojęcia analizy luk, nie opisuje jej metody ani wyniku. Powstała więc luka definicyjna, którą każdy dostawca wypełnia po swojemu — jedni mierzą organizację wobec katalogu obowiązków ustawowych, inni wobec normy branżowej, jeszcze inni wobec własnej listy kontrolnej. Wyniki tych trzech prac wyglądają podobnie i znaczą co innego.

Ustawa mówi natomiast wprost o co organizacja może zostać zapytana. Organ właściwy do spraw cyberbezpieczeństwa może wystąpić o przedstawienie dowodów realizacji wymogów o których mowa w art. 8 ust. 1, a wobec podmiotów kluczowych prowadzi nadzór o charakterze prewencyjnym nie tylko następczym. To przesądza co w wyniku analizy luk jest naprawdę potrzebne. Nie ocena punktowa, tylko wiedza o tym, czym organizacja dysponuje dziś i czego jej brakuje, żeby taką prośbę obsłużyć.

Do tego dochodzi kalendarz. Podmioty, które spełniały przesłanki kwalifikacji 3 kwietnia 2026 r., realizują obowiązki z rozdziału 3 ustawy w ciągu dwunastu miesięcy, a pierwszy audyt podmiotu kluczowego przypada w ciągu dwudziestu czterech miesięcy od tej daty. Podmiot, który przesłanki spełni później, ma te same dwanaście i dwadzieścia cztery miesiące, liczone od dnia ich spełnienia. Analiza luk ma ten kalendarz przełożyć na zadania. Jeżeli tego nie robi, zostaje opisem stanu organizacji.

Co trzeba ustalić przed decyzją

Wobec jakiego stanu odniesienia mierzono organizację

To pierwsze pytanie, jakie warto zadać po otrzymaniu wyniku, i jedyne, które unieważnia całą resztę. Analiza luk odniesiona do normy branżowej pokazuje dojrzałość systemu zarządzania bezpieczeństwem informacji, ale nie odpowiada na pytanie, czy organizacja wykonuje obowiązki ustawowe. Te dwa zbiory mają część wspólną ale nie są tożsame.

Granice właściwego stanu odniesienia wyznacza sama ustawa. Przepis o odpowiedzialności kierownika podmiotu (art. 8c ust. 1) wymienia obowiązki, za których wykonanie ta osoba odpowiada, i ta lista jest najbliższym ustawowym odpowiednikiem zakresu analizy. Poza systemem zarządzania bezpieczeństwem informacji obejmuje ona obowiązki rejestrowe, obsługę i zgłaszanie incydentów oraz dokumentację bezpieczeństwa. Mieszczą się w niej także trzy rzeczy, o których pamięta się najrzadziej. Wyznaczenie osób do kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa, weryfikacja niekaralności personelu dopuszczanego do zadań oraz audyt. Analiza, która objęła wyłącznie środki techniczne z art. 8, opisuje jeden przepis a nie zakres obowiązków podmiotu.

Drugi wymiar jest jeszcze łatwiejszy do pominięcia. Stan odniesienia nie jest ten sam dla wszystkich podmiotów objętych ustawą, a rozstrzygają o nim kryteria kwalifikacji podmiotu.

Rodzaj podmiotu	Wobec czego mierzy się środki zarządzania ryzykiem
Podmiot kluczowy lub ważny, do którego stosuje się art. 8 ust. 1	Katalog z art. 8 ust. 1, w tym środki techniczne i organizacyjne wymienione w pkt 2 lit. a–n
Podmiot ważny będący podmiotem publicznym oraz uczelnie wskazane w art. 8 ust. 3 w zakresie zadań publicznych	Art. 8 ust. 1 nie ma zastosowania; obowiązuje uproszczony system z załącznika nr 4 do ustawy, wraz z przeglądem co najmniej raz w roku i dokumentowaniem realizacji działań
Podmioty cyfrowe wymienione w art. 8b ust. 1, m.in. dostawcy usług chmurowych, centrów przetwarzania danych i usług zarządzanych	Dodatkowo środki z rozporządzenia wykonawczego (UE) 2024/2690, stosowanego bezpośrednio
Podmioty podsektora energii elektrycznej zidentyfikowane jako podmioty o dużym albo krytycznym wpływie	Identyfikacji dokonuje minister właściwy do spraw energii (art. 52a ust. 2), nie sam podmiot. Dodatkowo obowiązują środki z rozporządzenia delegowanego (UE) 2024/1366 — kodeksu sieci dotyczącego cyberbezpieczeństwa w transgranicznych przepływach energii elektrycznej
Sektor bankowości i infrastruktury rynków finansowych	Art. 8i wyłącza przepisy o systemie zarządzania bezpieczeństwem informacji i o zgłaszaniu incydentów poważnych. Pozostają m.in. kwalifikacja i wpis do wykazu, szacowanie ryzyka wraz z podstawowymi zasadami cyberhigieny oraz odpowiedzialność kierownika z art. 8c–8f

Jeżeli wynik analizy nie zaczyna się od rozstrzygnięcia, który z tych układów dotyczy organizacji, dalsze strony opisują cudze obowiązki.

Co objęto zakresem a co z niego wypadło

Ustawa wiąże obowiązki z systemem informacyjnym wykorzystywanym w procesach wpływających na świadczenie usługi. To sformułowanie wymaga decyzji a decyzja powinna być w dokumencie widoczna, które usługi uznano za objęte, które systemy do nich przypisano i na jakiej podstawie. W grupie kapitałowej dochodzi drugie rozstrzygnięcie, bo kwalifikację i obowiązki ustala się osobno dla każdej spółki — analiza obejmująca „grupę” pozostawia poszczególne podmioty bez własnego wyniku.

Równie istotne jest to, czego nie objęto. Wyłączenie części systemów, oddziałów albo procesów bywa uzasadnione ale musi zostać nazwane. Wynik w którym nie widać granicy badania przy pierwszym pytaniu organu albo audytora zmienia się z dokumentu w domysł.

Jak opisana jest pojedyncza luka

Użyteczny opis luki ma trzy warstwy i rozdziela je wyraźnie. Pierwsza to stan wymagany wraz z odesłaniem do przepisu, z którego wynika. Druga to stan stwierdzony wraz z podstawą ustalenia, który dokument przejrzano, jaki zapis albo jaką konfigurację sprawdzono i z kim rozmawiano. Trzecia to różnica i jej skutek dla organizacji, czyli co się stanie albo czego nie da się wykazać, dopóki luka pozostaje otwarta.

Warstwa druga jest tą, której najczęściej brakuje. Zdanie „procedura zgłaszania incydentów jest niekompletna” bez wskazania, którą wersję dokumentu przejrzano i czego w niej nie znaleziono, jest oceną, a nie ustaleniem. Po pół roku nikt jej nie zweryfikuje ani nie obroni, a osoba, której zadanie przypadnie, zacznie od powtórzenia pracy.

Do każdej luki należy jeszcze przypisać właściciela. Nie dział, tylko rolę, która może podjąć decyzję i odpowiedzieć za jej skutek. Luka wpisana na konto „IT” w organizacji, w której o priorytetach rozstrzygają linie biznesowe, nie zostanie zamknięta, ponieważ jej właściciel nie ma mandatu do zmiany procesu.

Skąd bierze się kolejność działań

Priorytety są miejscem, w którym analiza luk najbardziej różni się od listy braków. Sensowna kolejność wynika z ryzyka dla świadczenia usługi, terminu ustawowego przypadającego na dany obowiązek i zależności między działaniami. Kolejność artykułów w ustawie ani łatwość wykonania przesłanką nie są, choć w praktyce układają plany najczęściej.

Terminy wchodzą tu na dwa sposoby. Obowiązki z rozdziału 3 ustawy podmioty istniejące realizują do 3 kwietnia 2027 r., a pierwszy audyt podmiotu kluczowego przypada do 3 kwietnia 2028 r. Osobno biegnie termin złożenia wniosku o wpis do wykazu podmiotów kluczowych i ważnych, który dla podmiotów istniejących Minister Cyfryzacji wyznaczył komunikatem do 3 października 2026 r. Kary pieniężne mogą zostać nałożone po raz pierwszy po upływie dwóch lat od wejścia w życie nowelizacji, ale odroczone są kary, nie obowiązki. Nadzór prewencyjny nad podmiotami kluczowymi nie został odroczony wcale.

Zależności między działaniami rozstrzygają resztę. Nie da się sensownie opisać ciągłości działania przed inwentaryzacją systemów ani wymagać od dostawców poziomu bezpieczeństwa, którego organizacja nie potrafi zdefiniować u siebie. Wynik analizy, który tego nie porządkuje, zostawia porządkowanie zarządowi na posiedzeniu.

Czym organizacja wykaże zamknięcie luki

Ostatnia kolumna dobrego wyniku analizy odpowiada na pytanie, po czym poznać, że luka jest zamknięta. Ustawa dzieli dokumentację bezpieczeństwa na normatywną i operacyjną, przy czym operacyjną stanowią zapisy poświadczające wykonywanie czynności wymaganych przez dokumentację normatywną, w tym automatycznie generowane zapisy w dziennikach systemów. Ten podział warto przenieść wprost do wyniku analizy, bo rozstrzyga o tym, co ma powstać.

Praktyczna konsekwencja jest taka, że dowodem zamknięcia luki rzadko jest sam dokument. Polityka bez zapisów z jej stosowania pokazuje zamiar a nie działanie i przy nadzorze pracuje przeciwko organizacji tak samo jak jej brak. Jeżeli więc analiza wskazuje lukę w obszarze kopii zapasowych, dowodem docelowym jest procedura wraz z zapisami z testów odtworzenia a nie procedura sama w sobie.

Czym wynik analizy luk nie jest

Trzy rozgraniczenia oszczędzają najwięcej nieporozumień.

Analiza luk nie jest audytem, o którym mowa w art. 15. Audyt podmiot kluczowy przeprowadza na własny koszt co najmniej raz na trzy lata, a wykonać go może jednostka akredytowana albo co najmniej dwóch audytorów spełniających ustawowe wymagania. Ustawa dodaje warunek niezależności. Audytu nie przeprowadzi osoba, która realizuje w tym podmiocie zadania z art. 8 oraz art. 9–13. Kopia raportu trafia do organu właściwego w terminie trzech dni roboczych od jej otrzymania. Analiza luk żadnego z tych warunków nie musi spełniać i obowiązku audytu nie wypełnia.

Analiza luk nie zastępuje też szacowania ryzyka. Systematyczne szacowanie ryzyka wystąpienia incydentu i zarządzanie tym ryzykiem są odrębnym, ciągłym obowiązkiem z art. 8 ust. 1 pkt 1. Analiza luk może wykazać, że tego procesu nie ma — sama go nie tworzy.

Wynik analizy nie rozstrzyga wreszcie kwestii, które pozostają otwarte poza organizacją a najważniejsza z nich dotyczy progów uznania incydentu za poważny. Określa je Rada Ministrów w rozporządzeniu (art. 11 ust. 4), tyle że obowiązujące rozporządzenie pochodzi z 31 października 2018 r., wdraża poprzednią dyrektywę i opisuje progi dla sześciu sektorów w układzie sprzed nowelizacji, w odniesieniu do usługi kluczowej. Zachowuje moc do wejścia w życie nowych przepisów wykonawczych, najdłużej przez dwanaście miesięcy od wejścia w życie nowelizacji. Organizacja spoza tego zakresu nie ma dziś progu, do którego mogłaby się odnieść, a analiza luk może to jedynie odnotować. Podobnie otwarte pozostają środki zarządzania ryzykiem dla rodzajów podmiotów innych niż cyfrowe — mają je dopiero określić akty wykonawcze Komisji Europejskiej (art. 8b ust. 2). Uczciwy dokument te punkty wymienia zamiast opisywać stan docelowy jako pewny.

Najczęstsze błędy

• Ocena punktowa zamiast wniosku. Deklaracja zgodności na poziomie kilkudziesięciu procent nie mówi, co zrobić najpierw, a przy nadzorze nie znaczy nic.
• Pomiar wobec normy zamiast wobec ustawy. Wynik bywa merytorycznie wartościowy, ale nie odpowiada na pytanie o wykonanie obowiązków ustawowych.
• Pominięcie obowiązków spoza art. 8. Obowiązki rejestrowe, wyznaczenie co najmniej dwóch osób do kontaktów, dokumentacja i sprawozdawczość incydentowa wypadają z analizy najczęściej, a to one mają najbliższe terminy.
• Traktowanie analizy luk jak audytu z art. 15. Podmiot kluczowy, który uzna sprawę za zamkniętą, odkrywa błąd dopiero przy terminie audytu.
• Luki bez właściciela. Dokument opisuje wtedy stan organizacji, ale nie uruchamia żadnego działania.
• Odkładanie prac z powodu odroczenia kar. Terminy realizacji obowiązków biegną niezależnie od terminu, od którego kary mogą być nakładane.

Wnioski i dalsze kroki

Wartość analizy luk mierzy się tym ile decyzji da się na jej podstawie podjąć bez dodatkowej pracy. Dokument w którym każda luka ma podstawę prawną, ustalony stan faktyczny, właściciela i dowód docelowy, zamienia się w plan wdrożenia bez przepisywania. Dokument z oceną punktową wymaga wykonania tej pracy jeszcze raz, zwykle wewnętrznie i bez budżetu.

Kolejność po odbiorze wyniku jest krótka. Najpierw zarząd rozstrzyga to, czego analiza rozstrzygnąć nie mogła, akceptowany poziom ryzyka, podział prac między zespół własny a dostawcę oraz środki. Potem trzeba pogrupować luki w zadania z terminami odniesionymi do 3 kwietnia 2027 r., a osobno wydzielić te, które warunkują pozostałe — inwentaryzację systemów, wskazanie właścicieli procesów i drogę eskalacji incydentu. Na końcu ustala się rytm przeglądu, ponieważ analiza luk opisuje stan na dzień badania, a organizacja zmienia się dalej.

Jeżeli po lekturze wyniku nie da się odpowiedzieć na pytanie, co organizacja pokaże organowi w odpowiedzi na wystąpienie o dowody realizacji wymogów, analizę trzeba uzupełnić, zanim ruszy wdrożenie.

Materiały powiązane

• Czy każda organizacja podlega NIS2? — kryteria kwalifikacji, progi wielkości i podział na podmioty kluczowe oraz ważne; ustalenie, od którego zależy stan odniesienia w analizie luk.
• Od czego zarząd powinien rozpocząć przygotowanie do NIS2? — decyzje, które muszą zapaść, zanim analiza luk ma sens.
• Co powinno obejmować szkolenie NIS2 dla zarządu? — zakres odpowiedzialności kierownika podmiotu i sposób jego udokumentowania.
• Kiedy i jak złożyć wniosek o wpis do wykazu podmiotów kluczowych i ważnych? — terminy, dane do wniosku i oświadczenie kierownika podmiotu.

Źródła

• Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, tekst ujednolicony (stan na 7 lipca 2026 r.) — ISAP, Kancelaria Sejmu: isap.sejm.gov.pl (dostęp: 19.08.2026)
• Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252) — przepisy przejściowe, Dziennik Ustaw: dziennikustaw.gov.pl (dostęp: 19.08.2026)
• Rozporządzenie Rady Ministrów z dnia 31 października 2018 r. w sprawie progów uznania incydentu za poważny (Dz.U. 2018 poz. 2180) — ISAP: isap.sejm.gov.pl (dostęp: 19.08.2026)
• Rozporządzenie wykonawcze Komisji (UE) 2024/2690 z dnia 17 października 2024 r. — EUR-Lex: eur-lex.europa.eu (dostęp: 19.08.2026)
• Rozporządzenie delegowane Komisji (UE) 2024/1366 z dnia 11 marca 2024 r. ustanawiające kodeks sieci dotyczący aspektów cyberbezpieczeństwa w transgranicznych przepływach energii elektrycznej — EUR-Lex: eur-lex.europa.eu (dostęp: 19.08.2026)
• Komunikat Ministra Cyfryzacji z dnia 8 kwietnia 2026 r. w sprawie harmonogramu złożenia wniosków o wpis do wykazu podmiotów kluczowych i podmiotów ważnych (Dz. Urz. Min. Cyfr. poz. 7) — Ministerstwo Cyfryzacji: gov.pl (dostęp: 19.08.2026)