NIS2 to jeden z tych tematów, przy których większość działów IT robi dobrą minę do złej gry. Dyrektywa formalnie obowiązuje, przepisy krajowe wdrażające ją w Polsce wciąż się precyzują, a firmy i tak muszą już dziś podejmować decyzje o inwestycjach w bezpieczeństwo. Krzysztof Młynarski z Security.pl podczas ostatnich konferencji GigaCon wracał w swoich wykładach do jednej ważnej inicjatywy: audytu zerowego, czyli sprawdzenia stanu faktycznego, zanim zrobi to za nas regulator albo — gorzej — atakujący.
Różnica między audytem zerowym a klasycznym audytem zgodności jest w praktyce spora. Klasyczny audyt sprawdza dokumentację: czy polityki bezpieczeństwa istnieją, czy są podpisane, czy ktoś je czytał. Audyt zerowy sprawdza rzeczywistość: czy hasła administratorów są rotowane, czy backupy faktycznie się odtwarzają, czy ktoś zauważyłby nietypowy ruch w sieci w środku nocy. To dwa różne pytania i tylko jedno z nich naprawdę chroni firmę.
Skąd bierze się największe ryzyko
Ciekawy wątek pojawił się też przy okazji tematu zarządzania dostępem uprzywilejowanym (PAM). Wówczas wracaliśmy uwagę, że coraz więcej organizacji łączy systemy PAM z mechanizmami AI do wykrywania nietypowych wzorców logowania — bo klasyczne reguły (np. „zablokuj po pięciu nieudanych próbach”) dawno przestały wystarczać wobec zautomatyzowanych ataków. W tym samym nurcie mieściły się rozmowy o roli sztucznej inteligencji po stronie bezpieczeństwa: wykrywanie anomalii, automatyczna izolacja zainfekowanych systemów, korelacja zdarzeń z wielu źródeł jednocześnie.
Z drugiej strony padały też przykłady zagrożeń, które w 2025 roku przestały być teoretyczne — ataki typu living-off-the-land, phishing generowany przez AI oraz podszywanie się pod głos w atakach vishingowych. Karol Wodecki, który na co dzień zajmuje się bezpieczeństwem w Standard Chartered Bank, opowiadał wprost o tym, jak wyglądają dziś oszustwa w Darknecie i na Telegramie — i że skala automatyzacji po stronie przestępców rośnie szybciej niż świadomość po stronie ofiar.
Co zrobić w tym tygodniu, a nie za rok
Jeśli macie w planach wdrożenie NIS2 „kiedyś”, dobra wiadomość jest taka, że pierwszy krok nie wymaga budżetu — wymaga tylko szczerej odpowiedzi na pytanie, kto w firmie ma dziś dostęp do czego i dlaczego. Ta odpowiedź sama w sobie potrafi ujawnić więcej luk niż niejeden drogi audyt zewnętrzny.
Więcej takich konkretnych case study usłyszycie na wrześniowej edycji konferencji BIN poświęconej bezpieczeństwu sieci — GigaCon organizuje ją cyklicznie, za każdym razem z innym zestawem praktyków z branży. Zarejestruj się na konferencję BIN i zobacz, jak temat NIS2 wygląda z perspektywy ludzi, którzy wdrażają go na co dzień.