# Monitoring sieci pod NIS2: lista kontrolna

> Praktyczna lista kontrolna monitoringu sieci pod NIS2 dla działów IT średnich firm: czego wymagają art. 21 i 23, co monitorować i jakie dowody zachować.

Source page: https://netsenx.com/pl/blog/2026-09-24_nis2-network-monitoring-checklist · NetSenX Team · 2026-11-06

NIS2 nie wskazuje konkretnego narzędzia do monitoringu, ale wymaga od podmiotów kluczowych i ważnych obsługi incydentów (art. 21) oraz zgłaszania poważnych incydentów w ciągu 24 godzin, 72 godzin i miesiąca (art. 23). W praktyce trzeba więc widzieć, co dzieje się w sieci, i zachowywać na to dowody. Ta lista zamienia oba artykuły w jedenaście konkretnych kroków dla działu IT średniej firmy.

## Kogo to dotyczy

NIS2, czyli dyrektywa (UE) 2022/2555, obejmuje średnie i duże organizacje z sektorów wymienionych w jej załącznikach I i II (energetyka, transport, ochrona zdrowia, infrastruktura cyfrowa, produkcja wybranych wyrobów, żywność, gospodarka odpadami i inne), a niektóre podmioty niezależnie od wielkości. Średnie przedsiębiorstwo w rozumieniu UE zatrudnia co najmniej 50 osób albo ma roczny obrót lub sumę bilansową powyżej 10 mln euro.

Każde państwo członkowskie stosuje NIS2 przez własne prawo — na przykład przez Cyberbeveiligingswet w Holandii i znowelizowaną ustawę o krajowym systemie cyberbezpieczeństwa (KSC) w Polsce — dlatego zakres, rejestrację i właściwy CSIRT sprawdź u krajowego organu.

## Czego dyrektywa naprawdę wymaga

- **Art. 21** wymaga „odpowiednich i proporcjonalnych środków technicznych, operacyjnych i organizacyjnych”. Na liście są m.in. obsługa incydentów, ciągłość działania, bezpieczeństwo łańcucha dostaw oraz polityki oceny skuteczności tych środków.
- **Art. 23** wymaga **wczesnego ostrzeżenia w ciągu 24 godzin** od powzięcia wiedzy o poważnym incydencie, **zgłoszenia incydentu w ciągu 72 godzin** i **raportu końcowego w ciągu miesiąca** od zgłoszenia.

Nie da się dotrzymać 24-godzinnego terminu dla incydentu, którego się nie wykryło. Tu wchodzi monitoring sieci.

## Lista kontrolna

1. **Potwierdź swój status.** Ustal, czy jesteś podmiotem kluczowym czy ważnym, który organ krajowy sprawuje nadzór i który CSIRT przyjmuje zgłoszenia.
2. **Opisz, co musisz chronić.** Wypisz segmenty sieci i zasoby, na których opierają się usługi objęte zakresem — także OT, systemy budynkowe i oddziały, nie tylko biurowy LAN.
3. **Zapewnij widoczność w każdym segmencie.** Port SPAN lub TAP albo sensor na hoście w każdym segmencie. Obserwuj ruch wschód–zachód między hostami wewnętrznymi, a nie tylko na brzegu sieci: większość ataków po pierwszym przyczółku przesuwa się lateralnie.
4. **Wypatruj zachowań, które poprzedzają incydent.** Beaconing C2, skanowanie wewnętrzne, ruch lateralny i nietypowy wolumen danych wychodzących to kroki widoczne w ruchu, zanim dane wyciekną.
5. **Obejmij ruch szyfrowany, nie łamiąc szyfrowania.** Czas, wolumen, cele połączeń i handshake TLS ujawniają beaconing i eksfiltrację bez odszyfrowywania czegokolwiek — dzięki temu sam monitoring łatwiej uzasadnić na gruncie RODO.
6. **Monitoruj OT pasywnie.** Odczytuj protokoły przemysłowe z portu lustrzanego; nigdy aktywnie nie odpytuj sterowników PLC ani urządzeń SCADA.
7. **Ustal, kto i kiedy patrzy na alerty.** Spisz procedurę obsługi incydentów: kto robi triaż, w jakim czasie i kto może uznać incydent za poważny. Alert, który wyjaśnia, dlaczego się pojawił, jest obsługiwany szybciej niż taki, który tego nie robi.
8. **Zachowuj dowody.** Dla każdego incydentu: alerty, decyzje analityków, oś czasu i podjęte działania — w dzienniku audytu, który można przekazać audytorowi albo CSIRT-owi.
9. **Pilnuj terminów zgłoszeń.** Uruchamiaj liczniki z art. 23 w chwili powzięcia wiedzy o poważnym incydencie i przećwicz 24-godzinne wczesne ostrzeżenie co najmniej raz, zanim będzie potrzebne.
10. **Chroń dane z monitoringu.** Metadane sieciowe zawierają adresy IP, które mogą być danymi osobowymi. Wiedz, gdzie dostawca monitoringu je przechowuje, podpisz umowę powierzenia z art. 28 RODO i oceń dostawcę w ramach łańcucha dostaw.
11. **Sprawdzaj, czy to działa.** Okresowo testuj wykrywanie i zgłaszanie, a wynik zapisuj: art. 21 wymaga polityk oceny skuteczności środków.

## Gdzie pasuje NetSenX

NetSenX to platforma Network Detection and Response (NDR) dla średnich organizacji w UE, która wykrywa ataki na podstawie zachowania sieci, wyjaśnia każdy alert prostym językiem i przechowuje dane klientów w UE. Z tej listy obejmuje kroki od 3 do 9: jeden agent na porcie SPAN lub TAP obserwuje cały segment, każdy alert wymienia cechy sieciowe, które zdecydowały o jego ocenie, protokoły OT są odczytywane pasywnie od planu Pro, a każdy incydent jest śledzony względem terminów z art. 23. Obowiązki z NIS2 pozostają po stronie Twojej organizacji — narzędzie je wspiera, ale ich nie wypełnia.

Plan Free monitoruje do 3 urządzeń bez opłat; plan Business za 249 € miesięcznie obejmuje do 100. Zobacz [plany i ceny NetSenX](/pl/pricing), stronę o [monitoringu sieci pod NIS2](/pl/nis2-network-monitoring) albo [porównanie NetSenX z innymi dostawcami NDR](/pl/compare).

## Źródła

- [Dyrektywa (UE) 2022/2555 (NIS2), EUR-Lex](https://eur-lex.europa.eu/eli/dir/2022/2555/oj) — art. 2, 21 i 23, załączniki I i II
- [Zalecenie Komisji 2003/361/WE w sprawie definicji MŚP, EUR-Lex](https://eur-lex.europa.eu/eli/reco/2003/361/oj)
- [Komisja Europejska — stan transpozycji NIS2](https://digital-strategy.ec.europa.eu/en/policies/nis-transposition)
- [NCSC Holandia — Cyberbeveiligingswet (NIS2)](https://www.ncsc.nl/cyberbeveiligingswet-nis2)
- [Biznes.gov.pl — NIS2 w Polsce i ustawa o KSC](https://www.biznes.gov.pl/pl/portal/005120)

---

*Autor: zespół NetSenX w TriStiX S.L. Artykuł ma charakter ogólnoinformacyjny i nie jest poradą prawną. Pytania: [info@netsenx.com](mailto:info@netsenx.com).*