Cyberbezpieczeństwo na starcie w 2025 r.: minimalny pakiet i co z NIS2 wynika

„Jestem mikrofirmą, NIS2 mnie nie dotyczy” — to tylko część prawdy. Formalnie dyrektywa obejmuje podmioty ważne i kluczowe z wybranych sektorów, ale realnie duzi klienci i łańcuchy dostaw już przenoszą wymagania na mniejszych dostawców. Oto praktyczny, „lekki” standard cyberhigieny, który zadziała niezależnie od branży.

Dwuskładnik i hasła to fundament

Włącz uwierzytelnianie wieloskładnikowe (MFA) wszędzie, gdzie się da: poczta, księgowość online, bankowość, narzędzia chmurowe. Do haseł używaj menedżera i zasad: unikatowe, długie, nieudostępniane między pracownikami.

Kopie zapasowe według 3-2-1

Trzy kopie danych, na dwóch różnych nośnikach, jedna poza firmą (np. w chmurze w innym regionie). Testuj odtwarzanie — kopia nieprzetestowana to kopia iluzoryczna.

Aktualizacje i minimalizacja uprawnień

Automatyczne aktualizacje systemów, przeglądarek, wtyczek i aplikacji. Model uprawnień „least privilege”: każdy ma tylko to, czego potrzebuje, a konta administracyjne używane są wyłącznie do zadań administracyjnych.

Phishing: szkolenia krótkie, ale regularne

Raz na kwartał 30–40 minut edukacji: jak wygląda podejrzany e-mail, czym są załączniki .zip/.exe, dlaczego nie klikamy linków do „aktualizacji płatności”. Udostępnij prostą procedurę zgłaszania incydentów.

Szyfrowanie i ochrona urządzeń

Zaszyfruj dyski laptopów i smartfonów służbowych, włącz zdalne wymazywanie, wymuś PIN/biometrię. W sieci firmowej rozdziel gości od zasobów biznesowych.

Co z NIS2 dla małych

Nawet jeśli nie podlegasz przepisom jako „podmiot ważny/kluczowy”, kontrahenci mogą żądać polityk bezpieczeństwa, planu reakcji na incydenty czy dowodów szkoleń. Wdrożenie mini-ISMS (rejestr aktywów, matryca ryzyk, polityka haseł, procedura kopii) ułatwia te rozmowy i buduje przewagę w przetargach.

Plan ciągłości działania

Spisz krytyczne procesy (sprzedaż, rozliczenia, obsługa klienta), określ czasy odtworzenia, przygotuj wariant pracy awaryjnej (np. alternatywny internet, offline’owe szablony faktur). Raz w roku ćwiczenie „na sucho”.

Podsumowanie

Cyberbezpieczeństwo nie musi być drogie. Najważniejsze to konsekwencja i kilka dobrze dobranych praktyk. Dzięki temu spełnisz oczekiwania większych klientów i zminimalizujesz ryzyko paraliżu firmy.

Źródła i materiały

• Dyrektywa NIS2 (EU 2022/2555) – oficjalny tekst.
• Biznes.gov.pl: NIS2 — obowiązki firm – przegląd wymogów i klasyfikacji podmiotów.