Checklista

Sprawdź wstępnie, czy KSC/NIS2/DORA może dotyczyć Twojej organizacji

Odpowiedz na kilka pytań i zobacz, które obszary wymagają dalszej weryfikacji. Wynik nie jest poradą prawną ani ostateczną kwalifikacją. Pomaga ustalić, czy warto wykonać diagnostykę regulacyjno-techniczną. Czas wypełnienia ok. 4–6 minut.

Umów rozmowę

Krok 1 z 3

Postęp: 0%

Podstawowe informacje o organizacji

Trzy pytania wspólne dla wszystkich. Na ich podstawie checklista dobiera dalsze pytania właściwe dla Twojej organizacji.

Czy organizacja ma siedzibę w Polsce, świadczy usługi klientom w Polsce lub działa na rynku UE?

Tak Nie wiem / trudno powiedzieć Nie

Jaka jest orientacyjna skala organizacji?

1–9 pracowników 10–49 pracowników 50–249 pracowników 250 lub więcej pracowników Nie wiem / trudno powiedzieć

Który opis najlepiej pasuje do organizacji?

Co oznacza podmiot finansowy?

Przykładowe podmioty finansowe: bank, instytucja płatnicza lub pieniądza elektronicznego, firma inwestycyjna, ubezpieczyciel, pośrednik ubezpieczeniowy, TFI/ZAFI/fundusz, dostawca usług kryptoaktywów, platforma crowdfundingowa lub inny regulowany podmiot rynku finansowego. Lista ma charakter przykładowy.

Jesteśmy podmiotem finansowym Nie jesteśmy podmiotem finansowym, ale świadczymy usługi ICT dla podmiotów finansowych Świadczymy usługi ICT / MSP / cyberbezpieczeństwa dla innych organizacji Nie dotyczy / inny rodzaj działalności Nie wiem

Podmiot finansowy — wymagania DORA

Pytania pomagają zorientować się, które obszary DORA mogą wymagać dalszej weryfikacji w organizacji.

Który typ podmiotu finansowego najlepiej opisuje organizację?

Możesz wybrać więcej niż jedną odpowiedź.

Bank / instytucja kredytowa Instytucja płatnicza Instytucja pieniądza elektronicznego Firma inwestycyjna Zakład ubezpieczeń lub reasekuracji Pośrednik ubezpieczeniowy Dostawca usług kryptoaktywów Platforma crowdfundingowa Inny podmiot finansowy Nie wiem

Czy usługi lub procesy organizacji, zwłaszcza istotne dla świadczenia usług finansowych, zależą od systemów ICT?

Pytanie wychwytuje zależność działalności od ICT bez konieczności szczegółowej analizy technicznej. Przykłady: bankowość elektroniczna, płatności, systemy polisowe, transakcyjne, scoring, aplikacje klienta, back-office.

Tak, w istotnym zakresie Częściowo Raczej nie Nie Nie wiem

Czy zarząd lub kadra kierownicza mają formalnie przypisaną odpowiedzialność za ryzyko ICT i odporność cyfrową?

Tak, formalnie i cyklicznie nadzorowane Częściowo Nie Nie wiem

Czy organizacja posiada aktualny wykaz systemów, zasobów ICT, procesów i zależności od dostawców ICT?

Tak, aktualizowany regularnie Tak, ale niepełny lub nieaktualny Częściowo Nie Nie wiem

Czy organizacja prowadzi rejestr usług ICT świadczonych przez zewnętrznych dostawców wraz z podwykonawcami i lokalizacją danych?

Tak Częściowo Nie Nie wiem

Czy umowy z dostawcami ICT obejmują audyt, incydenty, ciągłość działania, lokalizację danych, podwykonawców i zakończenie współpracy?

Tak, dla kluczowych usług Częściowo Nie Nie wiem

Czy organizacja ma procedury obsługi incydentów ICT, w tym klasyfikacji i zgłaszania poważnych incydentów?

Tak, wdrożone i testowane Tak, ale nietestowane Częściowo Nie Nie wiem

Czy organizacja testuje odporność cyfrową, kopie zapasowe oraz plany ciągłości działania i odtworzenia po awarii?

Tak, regularnie Tak, ale nieregularnie Częściowo Nie Nie wiem

Dostawca ICT dla sektora finansowego

Pytania dotyczą organizacji, które nie są podmiotami finansowymi, ale świadczą usługi ICT dla banków, ubezpieczycieli, instytucji płatniczych, fintechów lub innych podmiotów finansowych.

Jakie usługi ICT organizacja świadczy dla podmiotów finansowych?

Odpowiedzi dotyczą usług cyfrowych i usług w zakresie danych świadczonych stale przez systemy ICT. Nie obejmują tradycyjnej telefonii analogowej.

Możesz wybrać więcej niż jedną odpowiedź.

Chmura / hosting / data center SaaS Utrzymanie systemów, aplikacji lub infrastruktury ICT Cyberbezpieczeństwo / SOC / monitoring Backup / disaster recovery Helpdesk lub wsparcie techniczne ICT Przetwarzanie / przechowywanie danych Sprzęt jako usługa lub wsparcie sprzętu z aktualizacjami oprogramowania lub firmware Inne usługi ICT Nie wiem

Czy te usługi wspierają krytyczne lub istotne funkcje klienta finansowego?

Krytyczna lub istotna funkcja to taka, której zakłócenie mogłoby istotnie naruszyć wyniki finansowe, ciągłość albo bezpieczeństwo usług klienta finansowego.

Tak Raczej tak Raczej nie Nie Nie wiem

Czy klienci finansowi pytają o zgodność z DORA, ryzyko ICT, audyt, incydenty lub ciągłość działania?

Tak, często Tak, pojedynczo Nie Nie wiem

Czy organizacja jest w stanie przygotować dla klienta finansowego listę usług ICT wraz z systemami, lokalizacją danych i podwykonawcami?

Nie jest to bezpośredni obowiązek ustawowy każdego dostawcy ICT. Pytanie sprawdza gotowość do wymagań informacyjnych, umownych lub audytowych klienta finansowego.

Tak Częściowo Nie Nie wiem

Czy umowy z klientami finansowymi regulują incydenty, audyt, podwykonawców, lokalizację danych, ciągłość działania i exit plan?

Tak, w większości umów Częściowo Nie Nie wiem

Czy organizacja korzysta z dalszych podwykonawców ICT przy świadczeniu usług dla podmiotów finansowych?

Tak, w istotnym zakresie Tak, incydentalnie Nie Nie wiem

Czy organizacja ma procedury bezpieczeństwa, incydentów, ciągłości działania, backupów i testów możliwe do okazania klientom finansowym?

Tak, kompletne i aktualne Częściowo Nie Nie wiem

Czy organizacja obsługuje wielu klientów finansowych albo usługi o wysokim znaczeniu dla sektora finansowego?

Tak Częściowo / trudno ocenić Nie Nie wiem

KSC/NIS2 — sektory, znaczenie usług, gotowość

Pytania pomagają wstępnie ocenić, czy organizacja może być uznana za podmiot kluczowy lub ważny albo za istotnego dostawcę ICT z perspektywy KSC/NIS2.

Czy organizacja działa w którymkolwiek z poniższych obszarów?

Możesz wybrać więcej niż jedną odpowiedź.

Energia Transport Ochrona zdrowia Produkcja lub dystrybucja żywności Woda pitna lub ścieki Gospodarka odpadami Chemikalia Produkcja wyrobów medycznych Produkcja komputerów, elektroniki, urządzeń elektrycznych, maszyn lub pojazdów Usługi pocztowe lub kurierskie Administracja publiczna Badania naukowe Infrastruktura cyfrowa Usługi cyfrowe / platformy Żaden z powyższych Nie wiem

Czy organizacja świadczy usługi IT, hostingu, chmury, utrzymania systemów, MSP albo cyberbezpieczeństwa dla innych organizacji?

Tak, to główny obszar działalności Tak, ale jako usługa dodatkowa Nie Nie wiem

Czy przerwanie usług organizacji mogłoby poważnie obniżyć jakość lub ciągłość usług albo spowodować istotną szkodę dla klientów, pacjentów, obywateli lub innych firm?

Pytanie sygnalizuje możliwe skutki incydentu poważnego w KSC i nie wymaga formalnej klasyfikacji prawnej.

Tak Raczej tak Raczej nie Nie Nie wiem

Czy organizacja obsługuje klientów z sektorów regulowanych lub infrastrukturalnych?

Możesz wybrać więcej niż jedną odpowiedź.

Ochrona zdrowia Finanse Energetyka Transport Administracja publiczna Wodociągi / ścieki Produkcja Infrastruktura cyfrowa Nie Nie wiem

Czy organizacja otrzymała decyzję, wezwanie, pytania od organu albo pytania klientów o KSC/NIS2 lub cyberbezpieczeństwo?

Tak, od organu Tak, od klientów / kontrahentów Nie Nie wiem

Czy organizacja ma pisemną analizę, czy może być podmiotem kluczowym lub ważnym?

Tak, aktualną Tak, ale roboczą lub nieaktualną Nie Nie wiem

Czy wyznaczono osobę, funkcję lub zespół odpowiedzialny za cyberbezpieczeństwo i raportowanie do zarządu?

Tak, formalnie Tak, nieformalnie Nie Nie wiem

Czy organizacja posiada aktualny rejestr aktywów informacyjnych, kluczowych systemów i ryzyk cyberbezpieczeństwa?

Tak, aktualizowany Częściowo Nie Nie wiem

Czy organizacja ma procedury incydentowe, testowane backupy, plan ciągłości działania oraz podstawowe zasady kontroli dostępu, np. MFA?

Pytanie obejmuje wybrane obszary gotowości KSC: obsługę incydentów, ciągłość działania, odtwarzanie danych i kontrolę dostępu. Nie jest to pełny audyt SZBI.

Tak, wdrożone i testowane Częściowo Nie Nie wiem

AI compliance

Pytanie pomocnicze. Nie wpływa na kwalifikację KSC/NIS2 lub DORA, ale może uruchomić dodatkową kartę wyniku, jeżeli organizacja korzysta z narzędzi AI.

Czy organizacja korzysta z narzędzi AI w procesach biznesowych, np. HR, sprzedaży, obsłudze klienta, analizie danych lub automatyzacji decyzji?

Tak, formalnie wdrożone Tak, pracownicy korzystają samodzielnie Nie Nie wiem

Zaznacz odpowiedź na każde pytanie, aby przejść dalej.

Wynik orientacyjny

Wstępna kwalifikacja

Następny krok

Rekomendujemy krótką diagnostykę KSC/NIS2/DORA.

W jej ramach możemy ustalić status organizacji, najważniejsze luki oraz priorytety działań.

Umów krótką rozmowę z Normatiq Zobacz diagnostykę

Zastrzeżenie

Wynik ma charakter wstępnej kwalifikacji na podstawie udzielonych odpowiedzi. Nie stanowi porady prawnej, opinii regulacyjnej ani ostatecznej decyzji o podleganiu konkretnym obowiązkom.

Następny krok

Wynik to dopiero początek rozmowy

Niezależnie od typu wyniku, warto omówić go w kontekście organizacji. Krótka rozmowa wystarczy, by ustalić sensowny zakres dalszych działań.

Umów rozmowę Zobacz diagnostykę