Szkoły i placówki oświatowe prowadzone przez jednostki samorządu terytorialnego są jednostkami organizacyjnymi podmiotu publicznego, więc obowiązki wynikające z krajowego systemu cyberbezpieczeństwa realizuje się w ramach struktury organu prowadzącego. Niezależnie od kwalifikacji pod NIS2, każda szkoła publiczna podlega rozporządzeniu KRI, które wymaga wdrożonego Systemu Zarządzania Bezpieczeństwem Informacji i corocznego audytu.

NIS2 nie obejmuje każdego podmiotu w ten sam sposób. Podczas bezpłatnej konsultacji ustalamy, jaki zakres obowiązków faktycznie dotyczy Państwa jednostki.

KRI to rozporządzenie Rady Ministrów z 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności. Dotyczy wszystkich podmiotów realizujących zadania publiczne i wymaga wdrożenia SZBI, analizy ryzyka oraz audytu bezpieczeństwa informacji nie rzadziej niż raz w roku.

NIS2 to dyrektywa unijna wdrożona do polskiego prawa nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa. Wprowadza podział na podmioty kluczowe i ważne, obowiązek rejestracji, środki zarządzania ryzykiem, zgłaszanie incydentów przez system S46 oraz kary — w tym osobistą odpowiedzialność kierownika podmiotu. Obowiązki obu regulacji w dużej mierze się pokrywają, dlatego wdrażamy je jako jeden spójny system.

Audyt wewnętrzny w zakresie bezpieczeństwa informacji należy przeprowadzać nie rzadziej niż raz w roku. Przygotowujemy jednostkę do audytu, kompletujemy dokumentację i wspieramy podczas jego przeprowadzenia, a wnioski przekładamy na konkretny plan działań na kolejny rok.

Podmioty, które nie zostały wpisane do wykazu z urzędu, powinny zarejestrować się do 3 października 2026 r. Obowiązki związane z systemem zarządzania bezpieczeństwem informacji i zgłaszaniem incydentów przez system S46 mają być wdrożone do 3 kwietnia 2027 r., a stosowanie kar pieniężnych rozpoczyna się od 3 kwietnia 2028 r.

Odpowiada kierownik podmiotu — dyrektor szkoły, kierownik urzędu lub jednostki budżetowej. Odpowiedzialności tej nie da się w całości przenieść na dostawcę IT, ale można ją realnie ograniczyć: wdrożoną dokumentacją, udokumentowanymi zabezpieczeniami i partnerem, który bierze na siebie utrzymanie oraz reakcję. Kierownik ma też obowiązek odbycia dedykowanego szkolenia raz w roku kalendarzowym.

Dla podmiotów kluczowych kary sięgają 10 mln euro lub 2% rocznego obrotu, dla podmiotów ważnych — 7 mln euro lub 1,4% obrotu. Kierownikowi podmiotu publicznego grozi kara pieniężna do 100% otrzymywanego wynagrodzenia. Niezależnie od kar finansowych realnym kosztem pozostaje przerwa w pracy jednostki, utrata danych i obowiązki informacyjne wobec rodziców oraz organu prowadzącego.

Incydent poważny zgłasza się trzystopniowo: wczesne ostrzeżenie w ciągu 24 godzin od wykrycia, pełne zgłoszenie w ciągu 72 godzin oraz sprawozdanie końcowe po zakończeniu obsługi, nie później niż w ciągu miesiąca. Zgłoszenia realizowane są przez system S46. Prowadzimy ten proces za jednostkę i przygotowujemy wymaganą dokumentację.

Nie. Wymagania mają być proporcjonalne do skali i ryzyka jednostki. Nie oferujemy obsadzonego całodobowo centrum operacji bezpieczeństwa — zapewniamy całodobowy monitoring z automatycznym alertowaniem i zdefiniowaną ścieżką reakcji, z czasami odpowiedzi zapisanymi w umowie. Dla szkoły czy urzędu gminy jest to rozwiązanie adekwatne i realne kosztowo.

Nie — to odrębna usługa. Zgodność, monitoring i reakcja na incydenty wiążą się ze stałą odpowiedzialnością po naszej stronie i są rozliczane osobno od bieżącego wsparcia użytkowników. Jeśli obsługujemy jednostkę również w zakresie bieżącego IT, obie usługi łączymy w jedną umowę z jednym punktem kontaktu.

Koszt zależy od wielkości jednostki, liczby stanowisk i serwerów oraz stanu wyjściowego dokumentacji i infrastruktury. Model jest dwuczęściowy: jednorazowe wdrożenie oraz miesięczny abonament za monitoring i utrzymanie. Wycenę przygotowujemy po bezpłatnej konsultacji, w której ustalamy realny zakres — bez zbędnych elementów.