Dyrektor IT spółki produkcyjnej wychodzi z posiedzenia zarządu z jednym pytaniem na kartce: „Mamy Bitdefendera na wszystkich stacjach. Czy to załatwia nam NIS2?”. Pytanie jest rozsądne — licencja GravityZone była jedną z większych pozycji w budżecie, a ustawa o krajowym systemie cyberbezpieczeństwa właśnie zaczęła obowiązywać w nowym brzmieniu. Odpowiedź „tak” byłaby wygodna, a „nie” — nieprawdziwa w drugą stronę, bo produkt realnie domyka spory kawałek wymagań technicznych.
Uczciwa odpowiedź wymaga mapy. Art. 8 ustawy o KSC wymaga systemu, nie produktu, ale ten system składa się z konkretnych kontroli, których część dostarcza platforma. Ten tekst rozpisuje dwanaście obszarów, w których moduły GravityZone dają kontrole techniczne, zdolności operacyjne albo dane dowodowe, pokazuje, który pakiet trzeba mieć, żeby przypisanie było prawdą, i wskazuje granicę, za którą zaczyna się praca organizacji.
Czego wymaga art. 8 uKSC i jak ma się do art. 21 NIS2?
Art. 8 ust. 1 ustawy o krajowym systemie cyberbezpieczeństwa — w brzmieniu nadanym nowelizacją z 23 stycznia 2026 r. (Dz.U. 2026 poz. 252, obowiązuje od 3 kwietnia 2026 r.) — nakłada na podmiot kluczowy lub ważny obowiązek wdrożenia systemu zarządzania bezpieczeństwem informacji w systemie informacyjnym wykorzystywanym do świadczenia usługi. Przepis wymienia elementy tego systemu: środki techniczne i organizacyjne (pkt 2), w tym monitorowanie w trybie ciągłym (lit. g) oraz polityki oceny skuteczności środków (lit. h); zbieranie informacji o cyberzagrożeniach i podatnościach (pkt 3); zarządzanie incydentami (pkt 4). Za ich wykonanie odpowiada osobiście kierownik podmiotu (art. 8c ust. 1).
Ustawa transponuje dyrektywę (UE) 2022/2555, więc ta sama lista ma pierwowzór w art. 21 ust. 2 NIS2: od polityki analizy ryzyka (lit. a), przez obsługę incydentu (lit. b), ciągłość działania (lit. c) i łańcuch dostaw (lit. d), po kryptografię (lit. h), kontrolę dostępu (lit. i) i uwierzytelnianie wieloskładnikowe (lit. j). Mapa w tym artykule mówi więc o obu aktach naraz.
Jedno słowo rozstrzyga resztę tekstu: ustawa wymaga systemu, a system obejmuje środki organizacyjne, techniczne i operacyjne. Żaden produkt nie pisze polityk, nie wyznacza właścicieli ryzyk i nie podpisuje raportu z audytu.
Czy jeden produkt może domknąć NIS2 i uKSC?
Nie może. GravityZone nie zastępuje SZBI, formalnego zarządzania ryzykiem, audytu ani odpowiedzialności organizacji za obowiązki wynikające z NIS2 i uKSC. To zastrzeżenie pochodzi wprost od producenta i wyznacza granicę delegowania: do pewnego miejsca obowiązek da się powierzyć narzędziu, dalej nie.
To, co produkt wnosi, mieści się w trzech kategoriach. Kontrole techniczne — mechanizmy, które blokują, szyfrują, izolują albo aktualizują. Zdolności operacyjne — wykrywanie, korelacja zdarzeń, reakcja, także poza godzinami pracy. I najczęściej niedoceniane dane dowodowe: raporty stanu kontroli, historia zdarzeń, zapis wykonanych działań. W kontroli organu liczy się ta trzecia kategoria, bo art. 8 ust. 1 pkt 2 lit. h wymaga oceny skuteczności środków, a ocena bez danych jest deklaracją.
Granica delegowania: narzędziu można powierzyć wykrycie, zablokowanie, zaszyfrowanie, zaktualizowanie i udokumentowanie. Nie można mu powierzyć decyzji, że zdarzenie jest incydentem, wyboru akceptowalnego ryzyka ani podpisu pod raportem z audytu.
Jak czytać mapę dwunastu obszarów?
Od obszaru przez moduł do pakietu: mapa grupuje wymagania art. 8 uKSC i art. 21 NIS2 w dwanaście obszarów i do każdego przypisuje moduły platformy, które w nim pomagają. Tymi samymi nazwami posługują się sekcje NIS2/uKSC na stronach produktów GravityZone w nFlo:
- Zarządzanie ryzykiem i ocena skuteczności kontroli
- Zarządzanie podatnościami i aktualizacjami
- Ciągłe monitorowanie i wykrywanie zagrożeń
- Zarządzanie incydentami i reakcja
- Cyberodporność i ograniczanie skutków ransomware
- Widoczność aktywów i ekspozycji
- Cyberhigiena i redukcja powierzchni ataku
- Poufność danych, szyfrowanie i integralność systemów
- Bezpieczna poczta i komunikacja elektroniczna
- Ryzyko użytkowników i wsparcie edukacji
- Bezpieczeństwo tożsamości i dostępu
- Ryzyko łańcucha dostaw
Trzy pojęcia trzeba rozdzielić, żeby mapa nie wprowadzała w błąd. Obszar to grupa wymagań ustawy. Moduł to funkcja platformy — Risk Management, EDR, Integrity Monitoring. Pakiet to to, co faktycznie kupujesz: Business Security, Premium, Enterprise, XDR albo dodatek licencjonowany osobno. Obecność modułu w obszarze nie oznacza, że masz go w swoim pakiecie — dlatego tabela w dalszej części tekstu pokazuje pakiety, nie moduły.
Jak GravityZone wspiera zarządzanie ryzykiem, podatnościami i aktualizacjami?
Dwa pierwsze obszary obsługuje przede wszystkim Risk Management: cyklicznie skanuje objęte zasoby, identyfikuje podatności, błędne konfiguracje i ryzyka związane z kontami, wylicza wynik ryzyka i ustala kolejność działań naprawczych. To ten rodzaj danych, którego wymaga art. 8 ust. 1 pkt 3 ustawy.
Ocenę skuteczności kontroli technicznych (obszar 1) wspiera Compliance Manager i tu kryje się szczegół istotny dla budżetu. Standard podstawowy jest wbudowany w Business Security Premium, Business Security Enterprise, GravityZone EDR cloud i usługę MDR: daje wytyczne dobrych praktyk, wgląd w stan kontroli i raport do eksportu. Standardy zaawansowane — w tym dyrektywa NIS2, DORA i ISO/IEC 27001:2022 — odblokowuje dopiero licencja dodatku Compliance Manager. Raport nazwany „NIS2” wymaga więc tego dodatku.
Obszar 2 domyka Patch Management, dostępny jako dodatek do pakietów Business Security: planuje i wdraża aktualizacje, więc łączy wykrycie podatności z jej usunięciem. W środowiskach z XDR sensor sieciowy dokłada podatności widoczne z ruchu, także na urządzeniach bez agenta.
Co daje ciągłe monitorowanie i reakcja na incydenty?
Dają wykrycie, korelację zdarzeń i pierwsze działanie — ale w obszarach 3 i 4 różnica między pakietami jest największa. Business Security Premium wykrywa zagrożenia na stacji: HyperDetect, Sandbox Analyzer i Fileless Attack Defense łapią nieznane próbki i ataki bezplikowe, a Attack Forensics dokumentuje przebieg ataku w mapowaniu na MITRE ATT&CK. Dopiero Business Security Enterprise dokłada natywny EDR — korelację incydentów między stacjami oraz reakcję jednym kliknięciem: izolację, terminację procesu, rollback i kolekcję dowodów.
XDR rozszerza obraz o sensory poza stacją: tożsamości, sieć, chmurę i aplikacje produktywnościowe, a Incident Advisor składa zdarzenia w jedną oś czasu z rekomendacją działań. Security Data Lake dokłada to, czego wymaga dokumentowanie: zbiera, normalizuje i koreluje logi ze stacji, sieci, chmury i źródeł zewnętrznych w platformie łączącej SIEM z warstwową retencją. Zastrzeżenie licencyjne: do GravityZone EDR Cloud tego dodatku nie da się dokupić.
Usługa MDR odpowiada na najczęstszy brak w obszarze 4 — brak ludzi po godzinach. Analitycy Bitdefendera pracują 24/7 w trzech centrach SOC (Ameryka Północna, Rumunia, Singapur) i mogą wykonać wcześniej uzgodnione działania, na przykład izolację hosta, zanim ktokolwiek z Twojego zespołu przeczyta alert. Pod art. 8 ust. 1 pkt 2 lit. g i pkt 4 narzędzie i usługa dają wykrycie, analizę i pierwsze działanie; kwalifikacja zdarzenia jako incydentu poważnego i zgłoszenie go w terminach z art. 11 zostają procesem, który organizacja musi opisać i obsadzić.
Jak ograniczyć skutki ransomware i utrzymać ciągłość działania?
Obszar 5 obsługuje Ransomware Mitigation, obecny we wszystkich tierach Business Security: wykrywa próby szyfrowania plików, zatrzymuje złośliwy proces, izoluje zaatakowane urządzenie i odtwarza pliki z kopii — w Premium i Enterprise z kopii odpornych na manipulację. W pakietach z EDR i w usłudze MDR dochodzi izolacja stacji na poziomie incydentu.
Art. 21 ust. 2 lit. c NIS2 mówi jednak o ciągłości działania, kopiach zapasowych i przywracaniu normalnego działania. Moduł chroni pliki na stacji i ogranicza wpływ ataku na pracę organizacji; nie jest planem ciągłości działania i nie zastępuje kopii zapasowych serwerów ani protokołu z testu odtworzenia. Dowodem w tym obszarze jest zmierzony czas przywrócenia usługi, a tego żaden moduł endpointowy nie wyprodukuje.
Skąd wiedzieć, co chronić — także u dostawców?
Z inwentarza, który obejmuje także to, co widać z internetu — obszar 6 zaczyna się od pytania, czy lista chronionych zasobów jest kompletna. Risk Management i inwentaryzacja sieci pokazują zarządzane urządzenia i ich stan, CSPM+ robi to samo bezagentowo dla chmury — inwentaryzuje zasoby obliczeniowe, pamięć masową, sieć i uprawnienia IAM w AWS, Azure i GCP oraz wykrywa dryf konfiguracji. Zewnętrzną stronę obrazu daje EASM: agentless, ciągłe wykrywanie zasobów widocznych z internetu — domen, adresów IP, usług chmurowych, shadow IT. EASM jest licencjonowany osobno, jako dodatek do pakietów GravityZone.
Ten sam moduł jest jedynym przypisaniem w obszarze 12. EASM wykrywa zasoby dostawcy widoczne z internetu, znajduje w nich podatności i błędne konfiguracje oraz monitoruje zmiany jego ekspozycji — dostarcza więc techniczną część oceny ryzyka podmiotu trzeciego. Reszta wymagania z art. 21 ust. 2 lit. d — klauzule w umowach, podział odpowiedzialności, proces przeglądu dostawców — pozostaje po stronie organizacji i nie da się jej kupić jako dodatku.
Jak zmniejszyć powierzchnię ataku i chronić dane?
Obszar 7 jest najgęściej obsadzony, bo składa się z mechanizmów obecnych już w podstawowych pakietach: Network Attack Defense blokuje brute force, skanowanie portów i ruch boczny, Device Control ogranicza nośniki USB i Bluetooth, kontrola WWW i treści zamyka zbędne kanały, a Patch Management usuwa znane słabości. Osobną klasę stanowi PHASR: zamiast jednej polityki dla wszystkich buduje profil ryzyka dla każdej pary użytkownik–stacja, ogranicza narzędzia, których dana osoba nie używa, i blokuje nadużycia binariów systemowych typu living-off-the-land.
Obszar 8 łączy poufność z integralnością. Full Disk Encryption, dostępny jako dodatek, szyfruje dane na urządzeniach; Device Control i Application Control kontrolują kanały przesyłania danych i uruchamiane aplikacje; Ransomware Mitigation chroni pliki przed skutkami szyfrowania. Integralności pilnuje Integrity Monitoring — obserwuje w czasie rzeczywistym pliki, rejestr, aplikacje i konfigurację względem stanu bazowego i mapuje zdarzenia na PCI DSS, ISO 27001, HIPAA, RODO i NIST 800-53.
Przy art. 21 ust. 2 lit. h NIS2 liczy się kolejność: dyrektywa wymaga polityki stosowania kryptografii, a moduł szyfrujący jest jej wykonaniem — zapis konfiguracji dowodzi wdrożenia, ale nie zastępuje dokumentu, który mówi, co i dlaczego szyfrujesz.
Co z pocztą, użytkownikami i tożsamościami?
Obszar 9 obsługuje Email Security, dostępny jako dodatek dla Microsoft 365 i Google Workspace: chroni przed phishingiem i BEC, sprawdza treść wiadomości, załączniki i adresy URL oraz pomaga zweryfikować nadawcę. W XDR sensor aplikacji produktywnościowych wciąga zdarzenia pocztowe do tej samej osi czasu i pozwala zakwarantannować wiadomość w ramach reakcji. Anti-phishing na stacji, obecny nawet w Small Business Security, chroni użytkownika przed wyłudzeniem danych, ale nie jest ochroną samego serwera poczty.
Obszar 10 ma na mapie najsłabsze pokrycie i uczciwie trzeba to powiedzieć. Risk Management wskazuje ryzykowne zachowania i konta wymagające uwagi, więc dostarcza danych do ukierunkowania szkoleń; sam program szkoleń i lista uczestników — dowód wymagany przez art. 21 ust. 2 lit. g — powstają poza narzędziem.
Obszar 11 obsługują trzy moduły z trzech pakietów: sensor tożsamości XDR monitoruje Active Directory i dostawców tożsamości w chmurze, CIEM w CSPM+ mapuje nadmiarowe, nieużywane i uśpione uprawnienia, a Risk Management ocenia ryzyko kont. Wszystkie trzy dostarczają informacji o ryzyku tożsamości, ale żaden nie zastępuje systemu IAM ani zarządzania uprawnieniami, a uwierzytelnianie wieloskładnikowe z art. 21 ust. 2 lit. j jest osobnym wdrożeniem.
Który pakiet pokrywa które obszary?
Odpowiedź zależy od pakietu, nie od platformy, dlatego tabela pokazuje dwanaście stron produktów GravityZone w nFlo i obszary, które każda potwierdza w swojej sekcji NIS2/uKSC. Numery obszarów są takie same jak w mapie wyżej. Wiersze od Integrity Monitoring w dół wymagają licencji spoza pakietów Business Security — jako dodatek (Integrity Monitoring, EASM, PHASR, Security Data Lake, poziom Premium Compliance Managera) albo jako usługa (MDR); poziom Basic Compliance Managera jest wbudowany w Premium, Enterprise, EDR cloud i MDR.
| Pakiet lub moduł | Obszary mapy | Co konkretnie wnosi |
|---|---|---|
| Small Business Security | 5, 7, 9 | odtwarzanie plików po ransomware, ochrona przed exploitami, anti-phishing na stacji |
| Business Security | 2, 5, 7, 8 | Risk Analytics, Ransomware Prevention, Network Attack Defense, Device Control; Patch Management i szyfrowanie jako dodatki |
| Business Security Premium | 1, 2, 3, 5, 7 | Risk Management, Compliance Manager (standard podstawowy), HyperDetect, Sandbox Analyzer |
| Business Security Enterprise | 1, 2, 3, 4, 5 | Premium plus natywny EDR: korelacja incydentów, reakcja jednym kliknięciem |
| XDR | 3, 4, 6, 9, 11 | sensory tożsamości, sieci, chmury i aplikacji, Incident Advisor |
| CSPM+ | 1, 6, 11 | bezagentowa inwentaryzacja chmury, mapowanie na frameworki zgodności, CIEM |
| Integrity Monitoring | 1, 8 | integralność plików i konfiguracji, raporty pod PCI DSS i ISO 27001 |
| EASM | 6, 12 | zewnętrzna powierzchnia ataku organizacji i dostawców |
| MDR | 3, 4, 5 | analiza i reakcja 24/7 z trzech centrów SOC |
| PHASR | 5, 7 | hardening per użytkownik, blokowanie binariów living-off-the-land nadużywanych przez ransomware |
| Compliance Manager | 1, 7 | baza cyberhigieny, stan kontroli i raporty pod standardy zaawansowane, w tym NIS2 |
| Security Data Lake | 3, 4 | SIEM i data lake: normalizacja, korelacja i retencja logów |
Tabelę czyta się w dwóch kierunkach. Od pakietu: Business Security pokrywa cztery obszary, a monitorowanie i reakcję z obszarów 3–4 trzeba dokupić jako Enterprise, XDR albo MDR. Od obszaru: obszar 12 ma jedno przypisanie, więc bez EASM techniczna ocena dostawców zostaje pusta. Obszar 10 nie ma wiersza celowo — dane o ryzyku użytkowników daje Risk Management w Premium i Enterprise, a edukacji nie kupisz jako modułu.
Czego GravityZone nie zrobi za organizację?
Nie napisze systemu zarządzania bezpieczeństwem informacji, nie przeprowadzi formalnej analizy ryzyka, nie wykona audytu i nie zdejmie odpowiedzialności z kierownika podmiotu. Każdy z tych elementów ma swoje miejsce w przepisach: SZBI i ocena skuteczności w art. 8 ust. 1 uKSC, polityka analizy ryzyka w art. 21 ust. 2 lit. a NIS2, audyt podmiotu kluczowego co najmniej raz na trzy lata w art. 15 ust. 1 uKSC, odpowiedzialność kierownika w art. 8c ust. 1. Do tego dochodzi zegar zgłoszeniowy z art. 11 — wczesne ostrzeżenie w 24 godziny i zgłoszenie w 72 godziny od wykrycia incydentu poważnego — który uruchamia decyzja człowieka, nie alert.
Punktem startowym może być bezpłatny test gotowości NIS2 przygotowany przez Bitdefendera: 16 pytań, około 5 minut, przegląd sześciu obszarów bezpieczeństwa, punktowy wynik i lista rekomendacji w kolejności działań. Test ma charakter informacyjny — nie jest oceną zgodności w rozumieniu ustawy — ale porządkuje pierwszą rozmowę z zarządem.
Przełożenie wyniku na plan działań to praca, którą jako partner Bitdefendera wykonujemy przy wdrożeniach GravityZone: zestawiamy posiadane pakiety z tabelą obszarów i ustalamy, co domyka moduł, a co dokument. Formalnie robi to usługa NIS2 Readiness Check — audyt zerowy, a przygotowanie dokumentacji i procesów prowadzi Compliance NIS2 i DORA.
Podział pracy w jednym zdaniu: narzędzie dostarcza kontrole, dane i pierwszą reakcję; organizacja dostarcza politykę, decyzję, podpis i dowód, że cykl oceny skuteczności działa. Zgodność powstaje na styku obu.
Od czego zacząć przed 3 października 2026?
Od ustalenia, czy w ogóle podlegasz ustawie — 3 października 2026 mija termin złożenia wniosku o wpis do wykazu podmiotów kluczowych i ważnych, a sektor, wielkość organizacji i rola w łańcuchu dostaw rozstrzygają o tym w trzech krokach, które rozpisaliśmy w teście samoidentyfikacji NIS2 i KSC. Bez tej odpowiedzi mapa modułów jest ćwiczeniem teoretycznym.
Drugi krok to inwentarz tego, co już masz: który pakiet GravityZone, które dodatki, które sensory są włączone. Przyłożenie tej listy do tabeli wyżej daje pierwszą wersję mapy luk. Trzeci krok to rozdzielenie luk na techniczne, które domyka moduł lub konfiguracja, i organizacyjne, które domyka dokument, proces albo audyt — bo obie mają innego właściciela i inny budżet.
Kontekst, w którym GravityZone jest jednym z elementów, a nie całością, zbiera nasz przegląd technologii kluczowych dla NIS2, a terminy, kary i obowiązki zgłoszeniowe — hub NIS2. Jeśli wolisz zacząć od rozmowy o własnym środowisku, napisz do nas.
