https://innovix.pl/wiedza/ Artykuły o ustawie o KSC i NIS2, testach penetracyjnych, DORA, oprogramowaniu dla firm i AI - z przepisami, źródłami i datą stanu prawnego. pl-PL Thu, 08 Oct 2026 00:00:00 GMT https://innovix.pl/wiedza/audyt-bezpieczenstwa-systemu-informacyjnego/ https://innovix.pl/wiedza/audyt-bezpieczenstwa-systemu-informacyjnego/ Thu, 08 Oct 2026 00:00:00 GMT NIS2 i KSC Audyt bezpieczeństwa systemu informacyjnego z art. 15 ustawy o KSC to obowiązek podmiotów kluczowych: podmioty istniejące w dniu wejścia nowelizacji w życie przeprowadzają pierwszy audyt do 3 kwietnia 2028 r., a kolejne co najmniej raz na 3 lata. Audyt może przeprowadzić akredytowana jednostka, co najmniej dwóch audytorów z certyfikatami lub praktyką określoną w ustawie albo CSIRT sektorowy - ale nikt, kto w ciągu roku przed audytem realizował w firmie zadania z zakresu cyberbezpieczeństwa. Kopię raportu podmiot przekazuje organowi w ciągu 3 dni roboczych. https://innovix.pl/wiedza/dokumentacja-ksc/ https://innovix.pl/wiedza/dokumentacja-ksc/ Thu, 08 Oct 2026 00:00:00 GMT NIS2 i KSC Dokumentacja KSC to dokumentacja bezpieczeństwa systemu informacyjnego, którą podmiot kluczowy lub ważny opracowuje, stosuje i aktualizuje (art. 10 ustawy): normatywna - m.in. dokumenty systemu zarządzania bezpieczeństwem informacji, ochrony infrastruktury, ciągłości działania i dokumentacja techniczna - oraz operacyjna, czyli zapisy potwierdzające, że procedury działają. Przed audytem zerowym nie potrzebujesz kompletu: wystarczy zebrać to, co już istnieje, i wskazać właścicieli obszarów. https://innovix.pl/wiedza/jak-porownac-oferty-testow-penetracyjnych/ https://innovix.pl/wiedza/jak-porownac-oferty-testow-penetracyjnych/ Thu, 08 Oct 2026 00:00:00 GMT Testy penetracyjne Oferty na testy penetracyjne da się porównać dopiero wtedy, gdy opisują ten sam zakres: te same cele, role użytkowników, podejście, metodykę, raport i retest. Wyślij wszystkim dostawcom jedno zapytanie według checklisty, poproś o odpowiedź w tej samej strukturze, a potem oceniaj zakres, raport i zasady testów - cenę na końcu. https://innovix.pl/wiedza/jak-wybrac-software-house/ https://innovix.pl/wiedza/jak-wybrac-software-house/ Thu, 08 Oct 2026 00:00:00 GMT Oprogramowanie Jak wybrać software house? Zacznij od zapytania ofertowego, które opisuje cel, zakres, integracje, dane, wymagania bezpieczeństwa i oczekiwaną formę odpowiedzi - dopiero wtedy oferty dadzą się porównać. Potem oceniaj sposób pracy, bezpieczeństwo w cyklu wytwórczym, prawa do kodu i utrzymanie, a cenę zestawiaj na końcu, przy wyrównanym zakresie. https://innovix.pl/wiedza/nowelizacja-ksc-harmonogram/ https://innovix.pl/wiedza/nowelizacja-ksc-harmonogram/ Thu, 08 Oct 2026 00:00:00 GMT NIS2 i KSC Nowelizacja KSC obowiązuje od 3 kwietnia 2026 r. Firmy, które były podmiotami kluczowymi lub ważnymi już tego dnia, miały złożyć wniosek o wpis do wykazu do 3 października 2026 r., muszą wdrożyć obowiązki do 3 kwietnia 2027 r., a podmioty kluczowe - przeprowadzić pierwszy audyt do 3 kwietnia 2028 r. Kto spełni przesłanki później, ma na te same kroki 6, 12 i 24 miesiące od tego dnia. https://innovix.pl/wiedza/odpowiedzialnosc-zarzadu-nis2-ksc/ https://innovix.pl/wiedza/odpowiedzialnosc-zarzadu-nis2-ksc/ Thu, 08 Oct 2026 00:00:00 GMT NIS2 i KSC Odpowiedzialność zarządu w NIS2 i ustawie o KSC jest osobista: kierownik podmiotu kluczowego lub ważnego - w spółce zwykle zarząd - odpowiada za wykonywanie przez firmę obowiązków z zakresu cyberbezpieczeństwa, także wtedy, gdy powierzył je innej osobie. Podejmuje decyzje o systemie zarządzania bezpieczeństwem, planuje budżet, nadzoruje zadania i raz w roku przechodzi szkolenie. Za zaniedbania grozi mu kara do 300% wynagrodzenia, a w podmiocie kluczowym, który nie wykonuje decyzji organu - nawet czasowy zakaz pełnienia funkcji. https://innovix.pl/wiedza/pentest-skan-podatnosci-audyt/ https://innovix.pl/wiedza/pentest-skan-podatnosci-audyt/ Thu, 08 Oct 2026 00:00:00 GMT Testy penetracyjne Skan podatności a pentest to dwa różne narzędzia: skaner automatycznie szuka znanych błędów w wielu systemach naraz i można go powtarzać co tydzień, a test penetracyjny to ręczna praca testera, który potwierdza podatności, sprawdza uprawnienia i logikę biznesową oraz pokazuje, co atakujący naprawdę może zrobić. Audyt bezpieczeństwa nie atakuje systemu, tylko ocenia na podstawie dokumentów i dowodów, czy zabezpieczenia i procesy spełniają wymagania. W dojrzałej organizacji te trzy elementy się uzupełniają. https://innovix.pl/wiedza/podmiot-kluczowy-a-podmiot-wazny/ https://innovix.pl/wiedza/podmiot-kluczowy-a-podmiot-wazny/ Thu, 08 Oct 2026 00:00:00 GMT NIS2 i KSC Status w ustawie o KSC wynika z trzech rzeczy: sektora z załącznika nr 1 lub 2, wyjątków niezależnych od wielkości i wielkości firmy liczonej razem ze spółkami powiązanymi i partnerskimi. Duża firma z sektora kluczowego to co do zasady podmiot kluczowy, średnia - podmiot ważny, a w sektorach ważnych obie są podmiotami ważnymi. Obowiązki różnią się głównie audytem bezpieczeństwa (dla podmiotów kluczowych co najmniej raz na 3 lata), rodzajem nadzoru i wysokością kar. https://innovix.pl/wiedza/raport-naglowki-bezpieczenstwa-2026/ https://innovix.pl/wiedza/raport-naglowki-bezpieczenstwa-2026/ Thu, 08 Oct 2026 00:00:00 GMT Testy penetracyjne Sprawdziliśmy strony główne 140 spółek z indeksów WIG20, mWIG40 i sWIG80 - wyłącznie tak, jak robi to przeglądarka. Szyfrowane połączenie jest standardem (95% przekierowuje na HTTPS, 96% negocjuje TLS 1.3), ale podstawowe nagłówki bezpieczeństwa już nie: HSTS wysyła połowa stron, politykę CSP - 35%, a co trzecia strona nie ma żadnego z sześciu podstawowych nagłówków. https://innovix.pl/wiedza/testy-penetracyjne-a-tlpt/ https://innovix.pl/wiedza/testy-penetracyjne-a-tlpt/ Thu, 08 Oct 2026 00:00:00 GMT DORA Testy penetracyjne a TLPT to dwa poziomy testowania w DORA. Testy penetracyjne są jednym z testów w programie testowania odporności cyfrowej, który prowadzi każdy podmiot finansowy poza mikroprzedsiębiorstwami - systemy wspierające krytyczne lub istotne funkcje sprawdza co najmniej raz w roku. TLPT, czyli testy penetracyjne ukierunkowane przez analizę zagrożeń, to wielotygodniowy test red team na systemach produkcyjnych, który nie rzadziej niż co trzy lata przeprowadzają tylko podmioty wskazane przez organ nadzoru - w Polsce przez KNF. https://innovix.pl/wiedza/testy-penetracyjne-krok-po-kroku/ https://innovix.pl/wiedza/testy-penetracyjne-krok-po-kroku/ Thu, 08 Oct 2026 00:00:00 GMT Testy penetracyjne Testy penetracyjne krok po kroku wyglądają podobnie u każdego rzetelnego dostawcy: najpierw pisemna zgoda, zakres i konta testowe, potem rozpoznanie aplikacji i testy według kategorii OWASP WSTG - od konfiguracji, przez uwierzytelnianie i uprawnienia, po logikę biznesową - a na końcu raport z dowodami, prezentacja wyników i retest poprawek. Opisujemy każdy etap na przykładzie aplikacji webowej, z przykładową podatnością i listą rzeczy do przygotowania po Twojej stronie. https://innovix.pl/wiedza/wlasny-llm-czy-api/ https://innovix.pl/wiedza/wlasny-llm-czy-api/ Thu, 08 Oct 2026 00:00:00 GMT AI w firmie Własny LLM - model językowy uruchomiony w infrastrukturze firmy albo w jej prywatnej chmurze - opłaca się, gdy przetwarzasz dane objęte tajemnicą, masz dużą i przewidywalną liczbę zapytań albo potrzebujesz modelu dopasowanego do specjalistycznego języka. Model dostawcy przez API wygrywa na starcie: nie wymaga sprzętu, daje dostęp do największych modeli i rozlicza się za faktyczne użycie. "Własny" nie znaczy trenowany od zera - w firmie chodzi zwykle o gotowy model z otwartymi wagami, połączony z dokumentami firmy. https://innovix.pl/wiedza/wpis-do-wykazu-ksc-po-terminie/ https://innovix.pl/wiedza/wpis-do-wykazu-ksc-po-terminie/ Thu, 08 Oct 2026 00:00:00 GMT NIS2 i KSC Jeśli Twoja firma była podmiotem kluczowym lub ważnym już 3 kwietnia 2026 r., termin na wniosek o wpis do wykazu minął 3 października 2026 r. Ustawa nie zakazuje złożenia wniosku po terminie, a wpis ma charakter deklaratoryjny - złóż go jak najszybciej w systemie S46 i równolegle wdrażaj obowiązki, na które masz czas do 3 kwietnia 2027 r. Kara za spóźnienie jest możliwa, ale nie automatyczna, a organ może ją nałożyć dopiero po 3.04.2028.