NIS2/UoKSC Post-test — Walidacja efektów

Część I — Zakres podmiotowy, size-cap, terminy, S46

Klasyfikacja podmiotów kluczowych i ważnych, terminy ustawowe, system S46 (pytania 1–5)

Pytanie 1 / 20 ↑

Od kiedy obowiązuje znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa i jaka jest jej sygnatura publikacyjna?

Od 7 maja 2026 r., Dz.U. 2026 poz. 20

Od 3 kwietnia 2026 r., Dz.U. 2026 poz. 252

Od 3 kwietnia 2027 r., Dz.U. 2026 poz. 252

Od 2 marca 2026 r. (dzień ogłoszenia), Dz.U. 2026 poz. 252

Pytanie 2 / 20 ↑

Co decyduje o zakwalifikowaniu podmiotu jako kluczowy lub ważny w rozumieniu UoKSC?

Wyłącznie fakt posiadania certyfikatu ISO/IEC 27001

Wyłącznie liczba pracowników działu IT

Wyłącznie decyzja właściwego CSIRT wydana na wniosek podmiotu

Przynależność sektorowa (Załącznik nr 1 lub 2) oraz wielkość przedsiębiorstwa wg reguły size-cap, liczona łącznie z podmiotami powiązanymi

Pytanie 3 / 20 ↑

Do kiedy otwarte jest okno składania wniosku o wpis do wykazu podmiotów kluczowych i ważnych?

Do 3 października 2026 r.

Do 3 kwietnia 2026 r.

Do 7 maja 2026 r.

Do 3 kwietnia 2027 r.

Pytanie 4 / 20 ↑

Do czego służy system S46 (wykaz-ksc.gov.pl)?

Wyłącznie do publikowania komunikatów Ministra Cyfryzacji

Wyłącznie do zamawiania audytu z art. 15 UoKSC

Do rejestracji w wykazie PK/PW, zgłaszania poważnych incydentów (24 h / 72 h / raport końcowy) oraz korespondencji formalnej z organami KSC

Wyłącznie do zgłaszania podatności technicznych przez użytkowników usługi

Pytanie 5 / 20

Ile sektorów obejmuje regulacja UoKSC/NIS2 łącznie (Załącznik nr 1 i nr 2)?

14 (9 + 5)

18 (11 + 7)

20 (12 + 8)

16 (10 + 6)

Część II — 10 obszarów art. 8, odpowiedzialność i nadzór

Obowiązkowe środki bezpieczeństwa, odpowiedzialność kierownictwa, kary i różnice PK/PW (pytania 6–9)

Pytanie 6 / 20 ↑

Ile obszarów obowiązkowych środków bezpieczeństwa wymienia art. 8 UoKSC / art. 21 NIS2?

Pytanie 7 / 20 ↑

Jaka jest maksymalna kara pieniężna nakładana osobiście na kierownika podmiotu prywatnego za niewykonanie obowiązków ustawowych?

Do 300% jego miesięcznego wynagrodzenia

Do 100% jego miesięcznego wynagrodzenia

Do 10 mln EUR

Do 2% rocznego przychodu podmiotu

Pytanie 8 / 20

Jaka jest maksymalna kara administracyjna dla podmiotu kluczowego z art. 73 UoKSC?

7 mln EUR lub 1,4% przychodu

5 mln EUR lub 1% przychodu

10 mln EUR lub 2% przychodu — kara wyższa z dwóch wartości

15 mln EUR lub 3% przychodu

Pytanie 9 / 20

Czym różni się nadzór nad podmiotem ważnym od nadzoru nad podmiotem kluczowym?

Podmiot ważny nie ma obowiązków merytorycznych z art. 8

Podmiot ważny jest zwolniony z obowiązku zgłaszania incydentów

Podmiot ważny nie podlega żadnym karom administracyjnym

Podmiot ważny podlega nadzorowi ex-post (po incydencie, zgłoszeniu lub skardze), a nie prewencyjnej kontroli ex-ante, i nie ma obowiązku cyklicznego audytu

Część III — SZBI, ISO 27001, dokumentacja i analiza luk

System Zarządzania Bezpieczeństwem Informacji, normy, analiza ryzyka i gap analysis (pytania 10–13)

Pytanie 10 / 20

Ile poziomów obejmuje dokumentacja SZBI wymagana przez art. 8 i art. 10 ust. 1 UoKSC?

Trzy: strategiczny, procedury, instrukcje i zapisy

Dwa: polityki i procedury

Cztery: strategiczny, taktyczny, operacyjny i techniczny

Jeden zbiorczy dokument obejmujący całość SZBI

Pytanie 11 / 20 ↑

Jak często musi być aktualizowany rejestr ryzyk?

Wyłącznie na żądanie organu nadzoru

Raz na 3 lata, razem z audytem z art. 15

Minimum raz w roku oraz po istotnych zmianach organizacyjnych, technologicznych lub po poważnym incydencie

Jednorazowo, przy pierwszym wdrożeniu SZBI

Pytanie 12 / 20

Na czym powinna opierać się ocena stanu obecnego (spełnione / częściowo spełnione / niespełnione) w analizie luk?

Na deklaracjach kierowników poszczególnych działów

Na dowodach — konkretnym dokumencie, zapisie w rejestrze lub dacie; status „spełnione” bez wskazania dowodu nie jest dopuszczalny

Wyłącznie na wynikach ostatniego audytu ISO 27001

Na subiektywnej ocenie zgodności dokonanej przez dział IT

Pytanie 13 / 20

Ile kontroli zawiera Załącznik A normy ISO/IEC 27001:2022, wykorzystywany jako rama mapowania na 10 obszarów art. 8?

114

133

93 kontrole w czterech tematach (organizacyjne, dotyczące osób, fizyczne, technologiczne)

Część IV — Incydenty, terminy zgłoszeń, dostawcy ICT i audyt

Monitorowanie, CSIRT, łańcuch dostaw, ciągłość działania i audyt z art. 15 (pytania 14–20)

Pytanie 14 / 20 ↑

Od jakiego momentu liczy się termin 24 godzin na wczesne ostrzeżenie o poważnym incydencie?

Od momentu uzyskania przez podmiot wiedzy o incydencie

Od momentu faktycznego wystąpienia incydentu

Od momentu potwierdzenia przyczyny źródłowej incydentu

Od momentu, w którym informacja dotrze do zarządu

Pytanie 15 / 20

Co oznacza obowiązek objęcia systemu monitorowaniem „w trybie ciągłym” z art. 8 UoKSC?

Monitorowanie w godzinach pracy, czyli 8 godzin na dobę w dni robocze

Jednorazowy przegląd logów raz w tygodniu

Monitorowanie 24 godziny na dobę, 7 dni w tygodniu, z obsługą alertów — nie tylko ich generowaniem

Monitorowanie wyłącznie w dni ustawowo wolne od pracy

Pytanie 16 / 20 ↑

W jakim terminie należy przekazać sprawozdanie końcowe z obsługi incydentu poważnego?

24 godziny od uzyskania wiedzy o incydencie

1 miesiąc od zgłoszenia incydentu — to sprawozdanie, a nie kolejne zgłoszenie, i musi zawierać elementy określone w art. 12a UoKSC

72 godziny od uzyskania wiedzy o incydencie

Sprawozdania końcowego nie przewiduje się — wystarcza zgłoszenie w ciągu 72 h

Pytanie 17 / 20

Który CSIRT jest właściwy dla podmiotu kluczowego z sektora energetyki, niebędącego jednostką administracji ani podmiotem systemu obronnego?

CSIRT MON

CSIRT GOV

Krajowy zespół ENISA

CSIRT NASK, chyba że w danym sektorze działa CSIRT sektorowy (np. CSIRT PSE dla elektroenergetyki) — wówczas to on jest pierwszym adresatem zgłoszenia

Pytanie 18 / 20

W modelu współdzielonej odpowiedzialności w chmurze, kto odpowiada za konfigurację, zarządzanie dostępem i klasyfikację danych?

Klient usługi chmurowej — błąd konfiguracji po jego stronie jest najczęstszą przyczyną incydentów w chmurze

Wyłącznie dostawca usługi chmurowej

Wyłącznie integrator wdrażający usługę

Odpowiedzialność jest w całości przenoszona na organ nadzoru sektorowego

Pytanie 19 / 20 ↑

Zgodnie z zasadą 3-2-1 kopii zapasowych, ile kopii danych należy przechowywać poza lokalizacją podstawową?

Pytanie 20 / 20 ↑

W jakim terminie podmiot kluczowy istniejący w dniu wejścia w życie nowelizacji przeprowadza pierwszy audyt bezpieczeństwa z art. 15 UoKSC?

W ciągu 12 miesięcy od wejścia w życie ustawy

W ciągu 24 miesięcy od wejścia w życie ustawy, czyli do 3 kwietnia 2028 r.; kolejne audyty co najmniej co 3 lata

Dopiero po wystąpieniu pierwszego incydentu poważnego

Nie później niż 5 lat od wpisu do wykazu

NIS2/UoKSC
Post-test

Test tymczasowo niedostępny

Wprowadź swoje dane

Część I — Zakres podmiotowy, size-cap, terminy, S46

Część II — 10 obszarów art. 8, odpowiedzialność i nadzór

Część III — SZBI, ISO 27001, dokumentacja i analiza luk

Część IV — Incydenty, terminy zgłoszeń, dostawcy ICT i audyt

Pytania do powtórzenia:

NIS2/UoKSCPost-test

Test tymczasowo niedostępny

Wprowadź swoje dane

Część I — Zakres podmiotowy, size-cap, terminy, S46

Część II — 10 obszarów art. 8, odpowiedzialność i nadzór

Część III — SZBI, ISO 27001, dokumentacja i analiza luk

Część IV — Incydenty, terminy zgłoszeń, dostawcy ICT i audyt

Pytania do powtórzenia:

NIS2/UoKSC
Post-test