3 października 2026 r. to ważna data dla wielu organizacji działających w Polsce. Tego dnia upłynął termin samorejestracji w Wykazie Krajowego Systemu Cyberbezpieczeństwa (KSC) dla podmiotów, które spełniały określone kryteria już w dniu wejścia w życie nowelizacji ustawy o KSC. Sama rejestracja jest jednak dopiero początkiem drogi.
Nowelizacja polskiej ustawy o Krajowym Systemie Cyberbezpieczeństwa wprowadza do polskiego prawa wymagania unijnej dyrektywy NIS2. Dla wielu przedsiębiorstw oznacza to konieczność uporządkowania podejścia do cyberbezpieczeństwa: od zarządzania ryzykiem i monitorowania infrastruktury, przez obsługę incydentów, aż po dokumentowanie działań i przygotowanie organizacji do audytów.
W tym kontekście warto przyjrzeć się narzędziom klasy SIEM/XDR. Jednym z rozwiązań, które mogą wspierać organizacje w realizacji technicznych elementów tych wymagań, jest Wazuh.
Czym jest NIS2?
NIS2, czyli dyrektywa (UE) 2022/2555, jest kolejnym etapem budowania wspólnego poziomu cyberbezpieczeństwa w Unii Europejskiej.
Jej poprzedniczką była dyrektywa NIS1. Doświadczenia z jej stosowania, a także rosnąca skala cyberataków i coraz większa zależność gospodarki od systemów informatycznych spowodowały potrzebę rozszerzenia i zaostrzenia regulacji.
NIS2 rozszerzyła zakres podmiotów objętych regulacjami oraz wprowadziła bardziej konkretne wymagania dotyczące zarządzania ryzykiem, bezpieczeństwa łańcucha dostaw, obsługi incydentów, ciągłości działania czy odpowiedzialności kadry zarządzającej. Dyrektywa obejmuje obecnie 18 sektorów gospodarki, a przepisy dotyczą m.in. energii, transportu, ochrony zdrowia, infrastruktury cyfrowej, gospodarki wodnej, produkcji określonych produktów krytycznych, usług cyfrowych oraz administracji publicznej.
Nie chodzi więc wyłącznie o „posiadanie antywirusa” czy zapory sieciowej.
NIS2 zmienia sposób myślenia o cyberbezpieczeństwie.
Organizacja powinna być w stanie odpowiedzieć między innymi na pytania:
- Jakie systemy i zasoby są dla nas krytyczne?
- Jakie zagrożenia mogą wpłynąć na ich dostępność, poufność i integralność?
- Czy monitorujemy nasze środowisko?
- W jaki sposób wykrywamy incydenty?
- Jak reagujemy na podejrzane zdarzenia?
- Czy wiemy, jakie oprogramowanie działa na naszych urządzeniach?
- Czy znamy występujące podatności?
- Czy potrafimy wykazać, że konfiguracja systemów spełnia przyjęte wymagania bezpieczeństwa?
- Czy jesteśmy w stanie odtworzyć przebieg incydentu na podstawie dostępnych logów?
- Czy mamy procedury i osoby odpowiedzialne za reakcję?
To właśnie w tych obszarach narzędzia techniczne zaczynają odgrywać istotną rolę.
Dlaczego NIS2 została wprowadzona?
Powód jest stosunkowo prosty: cyberataki przestały być wyłącznie problemem działu IT.
Atak na system informatyczny może dziś oznaczać zatrzymanie produkcji, niedostępność usług, przerwę w dostawach, utratę danych, zakłócenie działania infrastruktury albo problemy z realizacją podstawowych procesów biznesowych.
Komisja Europejska wskazuje, że NIS2 ma podnieść wspólny poziom cyberbezpieczeństwa w UE poprzez rozszerzenie zakresu regulacji, wprowadzenie wymagań dotyczących zarządzania ryzykiem i raportowania incydentów oraz wzmocnienie nadzoru i egzekwowania przepisów.
Istotną zmianą jest również większe zaangażowanie najwyższego kierownictwa. Cyberbezpieczeństwo przestaje być wyłącznie odpowiedzialnością administratora czy zespołu IT – staje się elementem zarządzania ryzykiem całej organizacji.
NIS2 w Polsce – co oznacza 3 października 2026 r.?
W Polsce wymagania NIS2 są wdrażane poprzez nowelizację ustawy o Krajowym Systemie Cyberbezpieczeństwa.
Nowelizacja weszła w życie 3 kwietnia 2026 r.
Jednym z pierwszych praktycznych obowiązków dla podmiotów spełniających ustawowe kryteria jest identyfikacja własnego statusu oraz – w określonych przypadkach – samodzielne dokonanie wpisu do Wykazu KSC.
Termin dla podmiotów, które spełniały przesłanki już 3 kwietnia 2026 r., upływa 3 października 2026 r.
Nie oznacza to jednak, że 4 października temat cyberbezpieczeństwa się kończy.
Wręcz przeciwnie.
Zgodnie z informacjami Ministerstwa Cyfryzacji podmioty objęte nowelizacją mają czas do 3 kwietnia 2027 r. m.in. na wdrożenie Systemu Zarządzania Bezpieczeństwem Informacji, realizację obowiązków związanych z zarządzaniem i zgłaszaniem incydentów oraz spełnienie pozostałych wymagań wynikających z ustawy. Dla określonych podmiotów kluczowych pierwszy obowiązkowy audyt przypada do 3 kwietnia 2028 r.
Dlatego warto traktować 3 października nie jako „deadline na NIS2”, ale jako jeden z ważnych punktów całego procesu dostosowania organizacji do nowych wymagań.
Gdzie w tym wszystkim jest Wazuh?
NIS2 nie mówi: „zainstaluj Wazuh”.
I to bardzo ważne rozróżnienie.
Wazuh nie zapewnia automatycznie zgodności z NIS2 ani KSC.
Zgodność jest wynikiem połączenia procesów, procedur, odpowiedzialności, zarządzania ryzykiem, środków organizacyjnych oraz technologicznych.
Wazuh może natomiast być jednym z elementów infrastruktury bezpieczeństwa, które pomagają realizować wybrane wymagania techniczne i dostarczać dowodów na ich realizację.
Wazuh jest platformą SIEM/XDR typu open source. Z punktu widzenia przygotowania organizacji do NIS2 szczególnie interesujące są takie funkcje jak:
- centralne zbieranie i analiza logów,
- detekcja zagrożeń,
- monitorowanie integralności plików,
- ocena konfiguracji bezpieczeństwa,
- wykrywanie podatności,
- inwentaryzacja systemów i oprogramowania,
- automatyczna reakcja na wybrane zdarzenia,
- monitoring endpointów.
Wazuh sam wskazuje te funkcje jako obszary, które mogą wspierać realizację wymagań związanych z NIS2.
1. Centralne zbieranie i analiza logów
Jednym z fundamentów skutecznego monitorowania bezpieczeństwa jest wiedza o tym, co dzieje się w środowisku IT.
Wazuh może zbierać dane z:
- serwerów Windows i Linux,
- stacji roboczych,
- aplikacji,
- urządzeń sieciowych,
- systemów uwierzytelniania,
- usług i innych źródeł logów.
Zebrane informacje są następnie analizowane przez silnik reguł Wazuh.
Dzięki temu organizacja może wykrywać między innymi:
- wielokrotne nieudane logowania,
- podejrzane logowania,
- nietypowe działania użytkowników,
- eskalację uprawnień,
- uruchamianie podejrzanych procesów,
- zmiany konfiguracji,
- inne wzorce wskazujące na potencjalny incydent.
Analiza logów jest istotna nie tylko z punktu widzenia samej detekcji. Dostarcza również informacji potrzebnych do późniejszego odtworzenia przebiegu zdarzenia.
Przykład
Pracownik zgłasza, że jego konto zostało przejęte.
W dobrze skonfigurowanym środowisku Wazuh można przeanalizować m.in.:
- kiedy nastąpiło logowanie,
- z jakiego adresu IP,
- z jakiego urządzenia,
- jakie działania wykonano,
- czy nastąpiła eskalacja uprawnień,
- czy zmieniono pliki lub konfigurację,
- czy na urządzeniu pojawiły się inne podejrzane zdarzenia.
W efekcie organizacja nie musi opierać analizy wyłącznie na pojedynczym komunikacie „wykryto podejrzane logowanie”.
2. File Integrity Monitoring – kto zmienił plik?
Kolejnym bardzo praktycznym mechanizmem jest File Integrity Monitoring (FIM).
Wazuh może monitorować wybrane pliki i katalogi oraz wykrywać ich utworzenie, usunięcie lub modyfikację. Mechanizm wykorzystuje m.in. wartości kontrolne i informacje o atrybutach plików, dzięki czemu można wykryć nieautoryzowane zmiany.
Można więc monitorować np.:
- pliki konfiguracyjne serwerów,
- katalogi aplikacji,
- kluczowe pliki systemowe,
- wybrane elementy konfiguracji bezpieczeństwa,
- inne zasoby wymagające kontroli integralności.
To przydatne zarówno podczas wykrywania ataku, jak i podczas analizy zmian administracyjnych.
Przykład
Administrator modyfikuje konfigurację serwera.
Wazuh może zarejestrować zmianę i wskazać m.in.:
- jaki plik został zmieniony,
- kiedy nastąpiła zmiana,
- jakie atrybuty uległy zmianie,
- jaka była wcześniejsza wersja/informacja o pliku – zależnie od konfiguracji i sposobu monitorowania.
Jeżeli natomiast podobna zmiana nastąpi bez zaplanowanej aktywności administracyjnej, może zostać potraktowana jako potencjalny sygnał incydentu.
3. Security Configuration Assessment – czy system jest właściwie skonfigurowany?
Samo wykrywanie ataków nie wystarczy.
Duża część bezpieczeństwa polega na tym, aby ograniczać możliwość wystąpienia incydentu już na etapie konfiguracji systemów.
Wazuh posiada moduł Security Configuration Assessment (SCA), który pozwala wykonywać kontrole konfiguracji bezpieczeństwa. Dostępne są m.in. gotowe kontrole bazujące na benchmarkach CIS, a organizacje mogą również tworzyć własne polityki i testy.
Można dzięki temu sprawdzać m.in.:
- konfigurację systemu operacyjnego,
- ustawienia bezpieczeństwa,
- polityki haseł,
- określone usługi,
- ustawienia uprawnień,
- zgodność z przyjętymi standardami konfiguracji.
To ważne z perspektywy NIS2, ponieważ bezpieczeństwo powinno być procesem ciągłym, a nie jednorazowym audytem.
Zamiast pytania:
„Czy serwer był bezpiecznie skonfigurowany w momencie wdrożenia?”
możemy przejść do pytania:
„Czy nasze serwery nadal spełniają przyjęte wymagania bezpieczeństwa?”
4. Zarządzanie podatnościami
Kolejnym obszarem jest vulnerability management.
Trudno skutecznie chronić infrastrukturę, jeżeli organizacja nie wie, jakie oprogramowanie znajduje się na jej urządzeniach i które z tych komponentów posiadają znane podatności.
Wazuh zbiera informacje o zainstalowanym oprogramowaniu i systemach, a następnie koreluje je z informacjami o podatnościach. W przypadku dopasowania do znanego CVE generowany jest wynik wskazujący na podatność.
W praktyce daje to możliwość stworzenia obrazu:
urządzenie → zainstalowane oprogramowanie → podatność → poziom ryzyka → działanie naprawcze.
To może znacząco ułatwić proces zarządzania podatnościami.
Przykład
W organizacji znajduje się 250 komputerów.
Na części z nich wykorzystywana jest wersja aplikacji posiadająca znaną podatność.
Zamiast ręcznego sprawdzania każdego urządzenia Wazuh może pomóc wskazać:
- które urządzenia posiadają podatne oprogramowanie,
- jaka wersja jest zainstalowana,
- jakiej podatności dotyczy problem,
- gdzie należy podjąć działania.
5. Detekcja i reakcja na incydenty
NIS2 kładzie duży nacisk na zarządzanie incydentami.
Samo wygenerowanie alertu nie wystarczy.
Organizacja musi posiadać proces pozwalający:
wykryć → przeanalizować → sklasyfikować → ograniczyć skutki → usunąć przyczynę → udokumentować → wyciągnąć wnioski.
Wazuh może być elementem tego procesu.
Platforma zapewnia mechanizmy detekcji zdarzeń oraz Active Response, dzięki któremu wybrane działania mogą zostać wykonane automatycznie po wystąpieniu określonego alertu.
Przykładowo, odpowiednio skonfigurowany mechanizm może:
- zablokować określone połączenie,
- zablokować adres IP,
- zatrzymać proces,
- zablokować konto,
- wykonać własny skrypt reagujący na konkretny typ zdarzenia.
Oczywiście automatyzacja powinna być wdrażana ostrożnie. Błędnie zaprojektowana reguła może spowodować niepożądane skutki, dlatego reakcje powinny być poprzedzone testami i odpowiednimi procedurami.
6. Wazuh jako element SOC
W przypadku większych organizacji Wazuh może być również jednym z elementów architektury Security Operations Center (SOC).
Przykładowy przepływ może wyglądać następująco:
Endpoint / serwer / urządzenie sieciowe
↓
Wazuh Agent / źródło logów
↓
Wazuh Manager
↓
Analiza i korelacja zdarzeń
↓
Alert
↓
SOC / administrator / system ticketowy
↓
Analiza incydentu
↓
Reakcja
↓
Dokumentacja i raport
Takie podejście pozwala połączyć techniczne monitorowanie środowiska z procesem zarządzania incydentami.
Wazuh może również współpracować z innymi systemami i narzędziami, dzięki czemu nie musi być jedynym elementem całego ekosystemu bezpieczeństwa.
7. A co z raportowaniem i audytem?
Jednym z często pomijanych elementów cyberbezpieczeństwa jest zdolność do udowodnienia, że określone działania rzeczywiście były wykonywane.
Organizacja może posiadać procedurę:
„Monitorujemy nasze systemy.”
Ale podczas audytu pojawia się pytanie:
„Pokażcie, jak to monitorujecie.”
I tutaj pojawiają się logi, alerty, wyniki skanów, informacje o podatnościach, raporty z konfiguracji czy historia zdarzeń.
Wazuh może dostarczać danych, które pomagają budować taki materiał dowodowy.
Nie zastępuje oczywiście dokumentacji, procedur ani samego audytu, ale może dostarczyć technicznych dowodów działania określonych mechanizmów bezpieczeństwa.
Co istotne, sama dokumentacja Wazuh podkreśla, że korzystanie z platformy nie oznacza automatycznego spełnienia wymagań regulacyjnych. Zgodność zależy również od polityk, procedur, dowodów oraz innych elementów organizacyjnych i technicznych.
NIS2 + Wazuh – jak może wyglądać podejście praktyczne?
Najlepiej nie zaczynać od pytania:
„Jak zainstalować Wazuh, żeby spełnić NIS2?”
Lepsze pytanie brzmi:
„Jakie wymagania bezpieczeństwa musimy spełnić i gdzie potrzebujemy technicznego monitorowania lub dowodów?„
Dopiero wtedy można przypisać konkretne funkcje Wazuh do poszczególnych obszarów.
| Obszar | Przykładowe wsparcie Wazuh |
|---|---|
| Monitorowanie infrastruktury | Zbieranie i analiza logów |
| Detekcja zagrożeń | Reguły detekcji i korelacja zdarzeń |
| Integralność danych i systemów | File Integrity Monitoring |
| Bezpieczna konfiguracja | Security Configuration Assessment |
| Zarządzanie podatnościami | Vulnerability Detection |
| Reakcja na incydenty | Active Response |
| Inwentaryzacja | System inventory / Syscollector |
| Analiza powłamaniowa | Centralizacja i analiza zdarzeń |
| Dokumentowanie zdarzeń | Alerty, logi i dane historyczne |
| Monitoring endpointów | Wazuh Agent |
To jednak mapowanie techniczne, a nie certyfikat zgodności.
Czy Wazuh wystarczy do NIS2?
Nie.
I warto powiedzieć to wprost.
Wazuh może być bardzo istotnym elementem technicznego zabezpieczenia organizacji, ale NIS2/KSC obejmuje znacznie więcej niż monitoring infrastruktury.
Potrzebne są również m.in.:
- analiza ryzyka,
- polityki i procedury bezpieczeństwa,
- zarządzanie incydentami,
- ciągłość działania,
- zarządzanie dostawcami i łańcuchem dostaw,
- bezpieczeństwo procesów związanych z rozwojem i utrzymaniem systemów,
- zarządzanie dostępem,
- szkolenia i świadomość pracowników,
- określenie odpowiedzialności,
- procesy raportowania,
- testowanie i doskonalenie zabezpieczeń,
- odpowiednia dokumentacja.
Wazuh odpowiada przede wszystkim na pytanie:
„Co dzieje się w naszej infrastrukturze i czy widzimy oznaki zagrożenia?„
Nie odpowiada natomiast samodzielnie na pytania:
„Czy mamy właściwą politykę bezpieczeństwa?”
„Czy zarząd właściwie zarządza ryzykiem?”
„Czy nasz plan ciągłości działania jest skuteczny?”
„Czy pracownicy zostali odpowiednio przeszkoleni?”
Dlatego powinien być traktowany jako element całego systemu zarządzania cyberbezpieczeństwem, a nie jako sposób na „odhaczenie NIS2”.
Co organizacja powinna zrobić teraz?
Jeżeli organizacja może być objęta KSC/NIS2, warto podejść do tematu etapami.
1. Ustal, czy przepisy Cię dotyczą
Należy przeanalizować sektor działalności, rodzaj świadczonych usług, wielkość organizacji oraz pozostałe kryteria określone w ustawie.
Ministerstwo Cyfryzacji wskazuje, że pierwszym krokiem powinna być właśnie samoidentyfikacja podmiotu.
2. Sprawdź obowiązek wpisu do Wykazu KSC
Dla podmiotów spełniających odpowiednie kryteria już 3 kwietnia 2026 r. termin samorejestracji przypada na 3 października 2026 r.
3. Zrób inwentaryzację infrastruktury
Bez wiedzy o tym, co znajduje się w środowisku, trudno skutecznie zarządzać bezpieczeństwem.
Warto zidentyfikować:
- serwery,
- stacje robocze,
- urządzenia sieciowe,
- aplikacje,
- systemy krytyczne,
- konta uprzywilejowane,
- źródła logów,
- systemy dostępne z Internetu.
4. Zidentyfikuj źródła danych bezpieczeństwa
Następnie trzeba odpowiedzieć na pytanie:
Czy widzimy, co dzieje się w naszym środowisku?
Jeżeli nie, wdrożenie centralnego monitoringu i analizy logów może być jednym z elementów poprawy widoczności.
5. Wdrożenie Wazuh tam, gdzie ma to uzasadnienie
Wazuh może zostać wykorzystany m.in. do:
- monitorowania endpointów,
- zbierania logów,
- FIM,
- SCA,
- wykrywania podatności,
- detekcji zagrożeń,
- automatyzacji wybranych reakcji.
6. Połącz technologię z procedurami
Alert bez procesu reakcji jest tylko alertem.
Dlatego należy określić:
kto → kiedy → co robi → na podstawie jakich informacji → w jakim czasie → w jaki sposób dokumentuje działania.
Dopiero wtedy technologia zaczyna realnie wspierać proces zarządzania incydentami.
3 października to nie koniec – to dobry moment, żeby zacząć
NIS2 nie jest kolejnym projektem typu „kupmy narzędzie bezpieczeństwa”.
To zmiana podejścia do cyberbezpieczeństwa.
Organizacja powinna wiedzieć, jakie ma zasoby, jakie ryzyka na nie wpływają, jak je monitoruje, jak wykrywa incydenty i jak na nie reaguje.
Wazuh może być jednym z narzędzi, które pomagają zbudować techniczną warstwę tego procesu.
Dzięki funkcjom takim jak SIEM/XDR, monitoring integralności plików, ocena konfiguracji, zarządzanie podatnościami, analiza logów oraz automatyczna reakcja organizacja może uzyskać znacznie większą widoczność nad swoim środowiskiem IT.
Najważniejsze jest jednak właściwe podejście:
NIS2 → wymagania → analiza ryzyka → procesy → zabezpieczenia → monitoring → reakcja → dokumentacja.
A Wazuh może być jednym z elementów znajdujących się w tej układance.
Podsumowanie
To moment, w którym wiele organizacji musi już formalnie zmierzyć się z nowymi wymaganiami KSC.
Kolejne miesiące powinny być wykorzystane na zbudowanie lub uporządkowanie systemu zarządzania cyberbezpieczeństwem.
W tym procesie Wazuh może pomóc przełożyć część wymagań na konkretne mechanizmy techniczne: monitorowanie, detekcję, ocenę konfiguracji, zarządzanie podatnościami, kontrolę integralności i reakcję na incydenty.
A najważniejszym celem nie powinno być samo „spełnienie NIS2”.
Celem powinno być stworzenie organizacji, która wie, co dzieje się w jej środowisku IT i potrafi odpowiednio zareagować, kiedy coś pójdzie nie tak.
Dziękuję Ci, za poświęcony czas na przeczytanie tego artykułu. Jeśli był on dla Ciebie przydatny, to gorąco zachęcam Cię do zapisania się na mój newsletter, jeżeli jeszcze Cię tam nie ma. Proszę Cię także o “polubienie” mojego bloga na Facebooku oraz kanału na YouTube – pomoże mi to dotrzeć do nowych odbiorców. Raz w tygodniu (niedziela punkt 17.00) otrzymasz powiadomienia o nowych artykułach / projektach zanim staną się publiczne. Możesz również pozostawić całkowicie anonimowy pomysł na wpis/nagranie.
Link do formularza tutaj: https://beitadmin.pl/pomysly
Pozostaw również komentarz lub napisz do mnie wiadomość odpisuję na każdą, jeżeli Masz jakieś pytania:).
