NIS2 Załącznik II dla agencji WordPress: zakres, terminy, ścieżka dowodowa

#NIS2 Załącznik II dla agencji WordPress: zakres, terminy, ścieżka dowodowa

Artykuł 21 Dyrektywy 2022/2555 to klauzula operacyjna, która rozstrzyga, jak wygląda audyt. Załącznik I i Załącznik II rozstrzygają, kto przez ten audyt musi przejść. Ten tekst odwzorowuje dziesięć środków z artykułu 21 ust. 2 na konkretne kontrole w agencji WordPress oraz na pliki dowodowe, których oczekuję, gdy regulowany klient uruchamia ocenę dostawcy.

To artykuł wspierający w filarze NIS2 i DORA na WordPress, z odsyłaczami do przewodnika po artykule 28 DORA i 24-godzinnego playbooka reakcji na incydent.

#TL;DR

• Artykuł 21 ust. 2 wymienia dziesięć środków zarządzania ryzykiem. Żaden nie jest opcjonalny.
• Załącznik I = podmioty kluczowe. Załącznik II = podmioty ważne. Te same środki, inny nadzór.
• Audytor szuka czterech artefaktów dla każdego środka: polityki, właściciela, zapisu wdrożenia, rytmu przeglądów.
• Kary z artykułu 34 dotyczą podmiotu, nie dostawcy WordPress, lecz klauzule łańcucha dostaw przenoszą obowiązki w dół.
• W każdym mandacie regulowanym prowadzę po jednym folderze na każdą literę artykułu 21.

#Kto wpada w zakres: Załącznik I a Załącznik II

Załącznik I wymienia podmioty kluczowe: energetyka, transport, bankowość, infrastruktury rynku finansowego, zdrowie, woda pitna i ścieki, infrastruktura cyfrowa, zarządzanie usługami ICT (B2B), administracja publiczna, kosmos. Załącznik II wymienia podmioty ważne: usługi pocztowe i kurierskie, gospodarka odpadami, chemia, żywność, produkcja wyrobów medycznych, komputerów i elektroniki, maszyn oraz pojazdów silnikowych, dostawcy usług cyfrowych, organizacje badawcze.

Oba załączniki stosuje się do podmiotów średnich i większych (50+ pracowników lub obrót roczny ponad 10 mln EUR lub suma bilansowa ponad 10 mln EUR). Mikroprzedsiębiorcy i małe przedsiębiorstwa są poza bezpośrednim zakresem, z wyjątkami z artykułu 2 ust. 2: dostawcy usług zaufania, rejestry TLD, niektórzy dostawcy DNS, administracja publiczna, dostawcy publicznych sieci łączności elektronicznej.

Praktyczny filtr dla agencji WordPress: szpital, bank, zakład chemiczny, operator data center, rejestr TLD, zarządzający UCITS. Jeśli klient jest jednym z nich, scoping startuje. Jeśli klient to hotel, startup SaaS lub regionalny detalista, scoping zwykle kończy się stwierdzeniem „poza zakresem, dobre praktyki bezpieczeństwa nadal obowiązują”.

#Artykuł 21 ust. 2: dziesięć środków

Tekst dyrektywy czyta się jako dziesięć liter od a do j. Każda litera staje się folderem w moim repozytorium projektu.

(a) Polityki analizy ryzyka i bezpieczeństwa systemów informatycznych. Podpisany rejestr ryzyka z aktywami, zagrożeniami, prawdopodobieństwem, wpływem i sposobem postępowania. Dla WordPress: serwer produkcyjny, serwer staging, zestaw wtyczek, API zewnętrzne (płatności, e-mail, analityka, AI), konta administracyjne, baza treści. Zagrożenia: RCE we wtyczce, credential stuffing, ransomware na backupach, naruszenie RODO przez eksport. Postępowanie: harmonogram aktualizacji, MFA, off-site szyfrowany backup, zestaw reguł WAF.

(b) Obsługa incydentów. Wykrywanie, klasyfikacja, reakcja, odzyskiwanie, podsumowanie. Dowód: runbook IR z imiennymi właścicielami, narzędzie monitorujące wyzwalające alerty (Wordfence, Sucuri, IDS hostingu, alerty Cloudflare), kanał Slack lub PagerDuty, szablon post-mortem.

(c) Ciągłość działania, w tym zarządzanie kopiami zapasowymi i odzyskiwanie po awarii oraz zarządzanie kryzysowe. Backup z magazynem off-site, zdefiniowane RPO i RTO, przetestowane przywrócenie. Plan komunikacji kryzysowej z osobą do mediów i osobą do regulatora. Doroczne ćwiczenie odtworzenia z raportem.

(d) Bezpieczeństwo łańcucha dostaw, w tym aspekty bezpieczeństwa dotyczące relacji każdego podmiotu z bezpośrednimi dostawcami lub usługodawcami. To miejsce, w którym ląduje agencja WordPress. Regulowany podmiot prowadzi rejestr dostawców, klasyfikuje ich według krytyczności, prowadzi due diligence, wpisuje klauzule bezpieczeństwa do umów. Powiązanie: artykuł 28 DORA stosuje tę samą logikę, ostrzej dla finansów.

(e) Bezpieczeństwo w nabywaniu, rozwoju i utrzymaniu sieci i systemów informatycznych, w tym obsługa i ujawnianie podatności. Udokumentowany bezpieczny cykl wytwarzania. Dla WordPress: review kodu własnych wtyczek i motywów, skanowanie zależności (Snyk, Dependabot, Plugin Checker na WordPress.org), adres e-mail do zgłaszania podatności, polityka zarządzania łatkami.

(f) Polityki i procedury oceny skuteczności środków zarządzania ryzykiem cyberbezpieczeństwa. Audyt wewnętrzny, zewnętrzny lub test penetracyjny. Dowód: opis zakresu, raport z testu, rejestr działań naprawczych, protokół retestu.

(g) Podstawowe praktyki cyberhigieny i szkolenia. Doroczne szkolenie wszystkich pracowników, szkolenia rolowe dla administratorów. Dowód: rejestr szkoleń z imionami, datami i treścią.

(h) Polityki i procedury dotyczące stosowania kryptografii i, w stosownych przypadkach, szyfrowania. TLS 1.3 na brzegu, szyfrowanie kopii zapasowych, szyfrowanie kopii bazy w spoczynku. Polityka algorytmów haszowania (bez MD5 i SHA-1). Inwentarz kluczy kryptograficznych.

(i) Bezpieczeństwo zasobów ludzkich, polityki kontroli dostępu i zarządzanie aktywami. Proces joiner-mover-leaver. Imienne konta administracyjne, brak współdzielonych poświadczeń. Inwentarz aktywów obejmujący wszystkie instalacje WordPress, środowiska staging, dostępy do repozytoriów, dostępy do konsoli hostingowych. Kwartalny przegląd uprawnień.

(j) Stosowanie uwierzytelniania wieloskładnikowego lub rozwiązań ciągłego uwierzytelniania, zabezpieczonej komunikacji głosowej, wideo i tekstowej oraz zabezpieczonej komunikacji awaryjnej. MFA na każdym logowaniu admina WordPress, każdej konsoli hostingowej, każdej konsoli CDN, każdym repozytorium kodu, każdej skrzynce e-mail. Bez wyjątków dla „zaufanych kont wewnętrznych”.

#Ścieżka dowodowa: cztery artefakty na środek

Dla każdej z dziesięciu liter oczekuję czterech artefaktów, gdy zjawia się audytor:

Tę czterokolumnową tabelę prowadzę dla każdej litery artykułu 21 ust. 2. Dziesięć liter, czterdzieści artefaktów. Tak wygląda segregator audytowy w 2026.

#Terminy zgłaszania z artykułu 23

Załącznik II to lista stanu ustalonego. Gdy incydent się zdarzy, działa artykuł 23:

• 24 godziny od powzięcia wiedzy: wczesne ostrzeżenie do CSIRT lub właściwego organu.
• 72 godziny od powzięcia wiedzy: zgłoszenie z oceną wstępną i wskaźnikami kompromitacji.
• 1 miesiąc od powzięcia wiedzy: raport końcowy z przyczyną źródłową i podjętymi działaniami naprawczymi.
• Raport pośredni na każde żądanie regulatora w trakcie.

Szczegółowy playbook na pierwsze 24 godziny żyje w artykule WordPress – reakcja na incydent pod NIS2.

#Pułapy kar i odpowiedzialność zarządu

Artykuł 34 ustanawia pułapy, których krajowe transpozycje nie mogą obniżać:

• Podmioty kluczowe: co najmniej 10 mln EUR albo 2% całkowitego rocznego obrotu światowego, w zależności od tego, która wartość jest wyższa.
• Podmioty ważne: co najmniej 7 mln EUR albo 1,4% całkowitego rocznego obrotu światowego, w zależności od tego, która wartość jest wyższa.

Artykuł 20 ust. 1 nakłada odpowiedzialność na organy zarządcze, w tym obowiązek nadzoru nad wdrożeniem. Artykuł 20 ust. 2 wymaga odbywania szkoleń przez członków organu. Krajowe transpozycje mogą dodać sankcje osobowe wobec osoby odpowiedzialnej; status polskiej ustawy o krajowym systemie cyberbezpieczeństwa należy weryfikować w ISAP przed audytem.

#Co to oznacza dla agencji

Agencja WordPress, która chce w 2026 utrzymać regulowanych klientów, dostarcza w każdym mandacie dwa artefakty:

1. Samodeklarację względem artykułu 21 ust. 2 lit. d, opisującą środki bezpieczeństwa wdrożone u samej agencji.
2. Dokument referencyjny, który klient wkleja do własnego segregatora artykułu 21, pokazujący, jak mandat WordPress mapuje się na każdy z dziesięciu środków.

Oba pakuję w „pakiet bezpieczeństwa dostawcy” i dołączam do oferty. To eliminuje rundę z działem zakupów i sygnalizuje rozumienie kontekstu regulacyjnego. Wycena mandatów compliance-engineering jest indywidualna; zakres segregatora dyktuje godziny, nie cennik.

#Czytanie klastrowe

• Filar: NIS2 i DORA na WordPress: stos zgodności 2026
• DORA artykuł 28 ryzyko stron trzecich ICT: audyt dostawcy hostingu i WAF dla WordPress
• WordPress reakcja na incydent pod NIS2: 24-godzinny playbook wczesnego ostrzeżenia
• Cyber Resilience Act + NIS2 + DORA: stos zgodności 2026 dla headless WordPress