Art. 32 RODO i art. 8 ustawy o krajowym systemie cyberbezpieczeństwa (polska transpozycja NIS2) wymagają w praktyce tego samego zestawu środków technicznych: uwierzytelniania wieloskładnikowego, szyfrowania, kopii zapasowej 3-2-1, kontroli dostępu, aktualizacji i oceny skuteczności zabezpieczeń. Jedno wdrożenie zamyka oba obowiązki. Skuteczności nie potwierdzisz jednak sam - oba akty wprost wymagają niezależnego testu. Zacznij od sprawdzenia, które środki masz naprawdę wdrożone, a które istnieją tylko na papierze.
Ten przewodnik tłumaczy każdy wymóg na konkretne działanie - bez prawniczego żargonu. Pokażę Ci, który środek spełnia który przepis w obu aktach, co realnie widać w skanach polskich firm i jak sprawdzić, że Twoje zabezpieczenia działają, a nie tylko istnieją w segregatorze.
1. Dlaczego jedno wdrożenie zamyka dwa obowiązki
Dwa akty, jeden cel techniczny. RODO chroni dane osobowe, a NIS2 - ciągłość usługi. Cel jest inny, ale środki, których oba wymagają, w większości się pokrywają. Kiedy podlegasz obu naraz - a większość firm objętych NIS2 przetwarza też dane osobowe - wdrażasz zabezpieczenia raz i dokumentujesz je pod jeden i drugi reżim.
Zacznijmy od nazwania przepisów poprawnie, bo tu najczęściej pojawia się błąd. Po stronie ochrony danych to art. 32 RODO (“bezpieczeństwo przetwarzania”), który nakazuje wdrożyć “odpowiednie środki techniczne i organizacyjne” adekwatne do ryzyka. Po stronie cyberbezpieczeństwa wiele poradników pisze “art. 21 NIS2” - i to jest mylące dla polskiej firmy. Art. 21 to numer w unijnej dyrektywie NIS2. Polska przeniosła te wymagania do art. 8 ustawy o krajowym systemie cyberbezpieczeństwa (nowelizacja z 23 stycznia 2026 r., Dz.U. 2026 poz. 252). Jeśli chcesz zacytować przepis, który obowiązuje Twoją firmę w Polsce, to art. 8 UKSC, nie art. 21.
Zanim wdrożysz cokolwiek pod NIS2, upewnij się, że w ogóle podlegasz - obowiązek dotyczy tylko wskazanych sektorów po przekroczeniu progu wielkości. Sprawdź to w przewodniku NIS2 i UKSC dla MŚP albo w teście czy NIS2 dotyczy mojej firmy. RODO obowiązuje Cię niezależnie - jego szczegóły znajdziesz w przewodniku RODO i bezpieczeństwo danych.
Jedno zastrzeżenie: pokrywają się środki, ale nie procedury zgłaszania. Naruszenie danych osobowych zgłaszasz do UODO w 72 godziny, a poważny incydent w podmiocie NIS2 - do właściwego CSIRT w osobnym, szybszym trybie. Jeden wyciek może więc oznaczać dwa niezależne zgłoszenia. Tę różnicę rozkładamy na czynniki w porównaniu RODO a NIS2. Tutaj skupiam się na tym, co naprawdę łączy oba akty - na środkach technicznych.
2. Mapa środków: jeden audyt, dwie zgodności
Poniższa tabela to sedno tego przewodnika. Każdy wiersz to jeden środek techniczny, a obok - przepis RODO i przepis UKSC, który ten środek spełnia, oraz sposób, w jaki możesz sprawdzić, że działa. To jest praktyczne znaczenie zdania “jeden audyt, dwie zgodności”: kiedy wdrażasz kolumnę pierwszą, odhaczasz jednocześnie kolumnę drugą i trzecią.
| Środek techniczny | RODO - art. 32 ust. 1 | UKSC - art. 8 ust. 1 (transp. NIS2) | Jak zweryfikować |
|---|---|---|---|
| Uwierzytelnianie wieloskładnikowe (MFA) | lit. b (poufność, kontrola dostępu) | pkt 2 lit. l (MFA “w stosownych przypadkach”) | próba logowania bez drugiego składnika |
| Szyfrowanie i kryptografia (TLS, dyski, poczta) | lit. a (szyfrowanie) | pkt 2 lit. k (kryptografia, w tym szyfrowanie) | skan TLS strony i poczty, szyfrowanie dysków |
| Kontrola dostępu i najmniejsze uprawnienia | lit. b (poufność) | pkt 2 lit. n + lit. c + lit. m (aktywa) | przegląd kont i uprawnień, rejestr aktywów |
| Kopia zapasowa 3-2-1 i odtwarzanie | lit. b-c (dostępność, przywracanie) | pkt 2 lit. f (plany ciągłości i odtworzenia) | test odtworzenia jednego pliku |
| Aktualizacje i zarządzanie podatnościami | lit. b (odporność) | pkt 3 + pkt 5 lit. b, d (aktualizacje, reakcja) | skan podatności, przegląd polityki aktualizacji |
| Wykrywanie i reakcja na incydent | lit. b (odporność) | pkt 2 lit. g + pkt 4 (monitorowanie, incydenty) | test alertów, procedura reakcji |
| Higiena i szkolenia (anty-phishing, poczta) | środki organizacyjne | pkt 2 lit. i + lit. j (edukacja, cyberhigiena) | skan SPF/DKIM/DMARC, ślad szkoleń |
| Bezpieczeństwo łańcucha dostaw | art. 28 (umowa powierzenia) | pkt 2 lit. e + ust. 2 (łańcuch ICT) | przegląd umów z dostawcami |
| Ocena skuteczności środków | lit. d (regularne testowanie) | pkt 2 lit. h (ocena skuteczności) | niezależny skan podatności lub pentest |
Dwie uwagi do czytania tej tabeli. Po pierwsze, obok środków technicznych oba akty wymagają też środków organizacyjnych - polityk, umów, procedur. Tu skupiam się na warstwie technicznej, bo to ona najczęściej istnieje tylko deklaratywnie. Po drugie, słowo “adekwatne” jest w obu aktach kluczowe: art. 8 ust. 1 pkt 2 UKSC wprost każe uwzględniać wielkość podmiotu i prawdopodobieństwo incydentów. Mała firma nie musi kupować rozwiązań klasy korporacyjnej - musi mieć wdrożone fundamenty proporcjonalne do ryzyka.
3. Co widzimy w skanach: gdzie firmy naprawdę odpadają
Przepisy to jedno, a stan faktyczny - drugie. W skanach, które przeprowadziliśmy u polskich MŚP, ta sama garść środków wraca jako luka raz za razem.
Spośród firm objętych skanem pogłębionym 60 procent ma co najmniej jedną usługę wystawioną wprost do internetu - najczęściej otwartą bazę danych albo serwer plików bez szyfrowania. To łamie art. 32 ust. 1 lit. b RODO (poufność i odporność systemów) i art. 8 ust. 1 pkt 5 UKSC (mechanizmy ochrony i reakcja na podatności) naraz. Taka usługa to gotowe drzwi - atakujący nie potrzebuje nawet phishingu.
Idąc dalej, 72 procent domen ma słabo skonfigurowane SPF, DKIM albo DMARC, czyli mechanizmów, które utrudniają podszycie się pod firmową pocztę. To brak podstawowej cyberhigieny z art. 8 ust. 1 pkt 2 lit. j UKSC. A 22 procent firm miało służbowy adres e-mail w publicznym wycieku, w tym 17 procent z hasłem w jawnej postaci. To najkrótsza droga do przejęcia konta - i najlepszy możliwy argument za MFA, które wymienia z nazwy art. 8 ust. 1 pkt 2 lit. l UKSC.
Wniosek jest niewygodny, ale prosty: zgodność na papierze bez wdrożonych środków to fikcja. Polityka MFA w segregatorze nie loguje się za pracownika, a wpisany do rejestru “backup” nie odtworzy danych, jeśli nikt go nie przetestował. To nie jest kwestia zaniedbania właściciela - usługi bywają wystawiane przez dostawców i informatyków bez wiedzy firmy. Kwestia w tym, żeby to zobaczyć, zanim zobaczy to atakujący albo organ nadzorczy.
4. Osiem środków po kolei: co wdrożyć i jak sprawdzić
Teraz najważniejsze - każdy środek z mapy rozłożony na to, czym jest, który przepis spełnia i jak go zweryfikować. Kolejność jest z grubsza od najwyższej ochrony do najniższej: zacznij od góry.
Uwierzytelnianie wieloskładnikowe (MFA)
Drugi składnik obok hasła - kod z aplikacji, klucz sprzętowy albo powiadomienie w telefonie. Włącz je na wszystkich kontach firmowych: poczcie, systemie rezerwacji albo gabinetowym, bankowości, panelu administracyjnym strony. Spełnia art. 8 ust. 1 pkt 2 lit. l UKSC (wymienione z nazwy) i wymóg kontroli dostępu z art. 32 RODO. Weryfikacja jest banalna: spróbuj zalogować się na firmową skrzynkę z nowego urządzenia - jeśli wchodzisz samym hasłem, MFA nie działa. Więcej w haśle MFA.
Szyfrowanie i kryptografia
HTTPS na stronie i w panelach (protokół TLS), szyfrowanie dysków w laptopach i szyfrowanie kopii zapasowych. Dzięki temu skradziony laptop nie oznacza skradzionych danych, a ruch między pracownikiem a systemem nie da się podsłuchać. Spełnia art. 8 ust. 1 pkt 2 lit. k UKSC (kryptografia, w tym szyfrowanie) i art. 32 ust. 1 lit. a RODO. Sprawdź, czy strona i poczta wymuszają TLS oraz czy dyski w laptopach mają włączone szyfrowanie systemowe.
Kopia zapasowa 3-2-1 i odtwarzanie
Trzy kopie danych, na dwóch różnych nośnikach, jedna poza siedzibą, najlepiej odłączona lub niezmienialna. Spełnia art. 8 ust. 1 pkt 2 lit. f UKSC (plany ciągłości i odtworzenia) i art. 32 ust. 1 lit. b-c RODO (dostępność i przywracanie po incydencie). Najważniejsza weryfikacja to nie samo istnienie kopii, tylko test odtworzenia: raz na kwartał odtwórz jeden plik i zmierz, ile zajęłoby odzyskanie całego środowiska. Nieprzetestowana kopia to założenie, nie zabezpieczenie.
Kontrola dostępu i najmniejsze uprawnienia
Każdy pracownik ma własne konto i tylko te uprawnienia, których realnie potrzebuje. Po odejściu pracownika konto natychmiast wyłączasz. Spełnia art. 8 ust. 1 pkt 2 lit. n UKSC (polityki kontroli dostępu), lit. c (bezpieczeństwo fizyczne z kontrolą dostępu) i lit. m (zarządzanie aktywami), a po stronie RODO - zasadę poufności z art. 32. Zweryfikuj to przeglądem listy kont: czy są konta współdzielone, czy istnieją aktywne loginy byłych pracowników, kto ma uprawnienia administratora.
Aktualizacje i zarządzanie podatnościami
Regularne aktualizowanie systemów i oprogramowania oraz reagowanie na wykryte podatności. Spełnia art. 8 ust. 1 pkt 3 UKSC (zbieranie informacji o podatnościach) i pkt 5 lit. b oraz d (aktualizacje i niezwłoczna reakcja), a po stronie RODO - odporność systemów z art. 32 ust. 1 lit. b. Weryfikacja to skan podatności: pokazuje, które usługi są nieaktualne i wystawione na znane luki. Na czym to polega, wyjaśnia hasło ocena podatności.
Wykrywanie i reakcja na incydent
Zdolność zauważenia, że dzieje się coś złego, i uporządkowana reakcja. Dla małej firmy to najczęściej narzędzie klasy EDR na stacjach plus prosta, spisana procedura: kto odłącza sprzęt, kto zgłasza, w jakiej kolejności. Spełnia art. 8 ust. 1 pkt 2 lit. g UKSC (monitorowanie w trybie ciągłym) i pkt 4 (zarządzanie incydentami), a po stronie RODO łączy się z obowiązkiem zgłoszenia naruszenia danych w 72 godziny. O tym, czym jest sam mechanizm, mówi hasło EDR.
Higiena i szkolenia
Podstawowe nawyki: rozpoznawanie phishingu, silne i niepowtarzalne hasła, poprawnie skonfigurowana poczta. Spełnia art. 8 ust. 1 pkt 2 lit. i UKSC (edukacja) i lit. j (cyberhigiena). Konkretny, mierzalny element to konfiguracja poczty - rekordy SPF i DMARC, które utrudniają podszycie się pod Twoją domenę. Zweryfikuj je skanem poczty; to właśnie ten środek najczęściej wypada u nas negatywnie w skanach.
Bezpieczeństwo łańcucha dostaw
Twoje bezpieczeństwo jest tak mocne jak Twoi dostawcy - system rezerwacji, hosting, biuro rachunkowe, dostawca oprogramowania gabinetowego. Spełnia art. 8 ust. 1 pkt 2 lit. e UKSC oraz art. 8 ust. 2 (uwzględnianie podatności dostawców), a po stronie RODO - obowiązek umowy powierzenia z art. 28. Weryfikacja jest organizacyjna: przejrzyj, z kim masz podpisaną umowę powierzenia i czy dostawcy krytycznych usług deklarują własne zabezpieczenia.
5. Ocena skuteczności: środek, którego nie zamkniesz sam
Jest jeden środek, który różni się od pozostałych - i to on domyka całą listę. Oba akty wymagają go wprost. Art. 32 ust. 1 lit. d RODO nakazuje “regularne testowanie, mierzenie i ocenianie skuteczności środków technicznych i organizacyjnych”. Art. 8 ust. 1 pkt 2 lit. h UKSC wymaga “polityk i procedur oceny skuteczności środków”, a lit. b tej samej jednostki mówi wprost o “testowaniu systemu informacyjnego”.
Różnica polega na tym, że skuteczności nie da się samopoświadczyć. MFA możesz włączyć sam. Szyfrowanie możesz skonfigurować sam. Ale zdania “nasze środki są skuteczne” nie możesz sam wystawić, bo jesteś stroną, która je wdrożyła. Potrzebny jest niezależny test z zewnątrz - skan podatności, a przy wyższym ryzyku test penetracyjny. To dlatego oba akty mówią o “ocenie” i “testowaniu”, a nie o “deklaracji”.
Dla organu nadzorczego ta ocena jest jednocześnie dowodem. Raport z zewnętrznego skanu pokazuje UODO i regulatorowi NIS2, że nie tylko wdrożyłeś środki, ale też sprawdziłeś, czy działają. Bez takiego dowodu zdanie “mamy zabezpieczenia” jest tylko słowem.
Jak często testować? Ani RODO, ani UKSC nie podają sztywnej częstotliwości - oba mówią o ocenie “regularnej”. Praktyka rynkowa to co najmniej raz w roku oraz po każdej istotnej zmianie w systemach: nowym module, migracji, wymianie dostawcy. Dla podmiotów objętych NIS2 pierwszy obowiązkowy audyt cyberbezpieczeństwa przypada na 3 kwietnia 2028 r., a pełna zgodność ze środkami z art. 8 - już na 3 kwietnia 2027 r. Regularny test skuteczności to najprostszy sposób, żeby nie zaczynać przygotowań w ostatnim kwartale przed terminem.
Od czego zacząć praktycznie? Od zobaczenia, co widać z zewnątrz. Bezpłatny PreScan pokazuje, które usługi Twojej firmy są wystawione do internetu i czy firmowe adresy nie krążą w wyciekach - dokładnie te luki, które opisałem w sekcji 3. Pełny, powtarzalny test skuteczności to ocena podatności IT; zakres i ceny znajdziesz w cenniku.
6. Środki techniczne w trzech branżach
Ten sam zestaw środków ma inne priorytety w zależności od tego, jakie dane przetwarzasz.
Gabinet stomatologiczny. Kartoteka pacjentów i diagnostyka obrazowa to dane o zdrowiu, czyli szczególna kategoria z art. 9 RODO. Priorytetem są tu kopia zapasowa (bo przestój blokuje przyjęcia) i kontrola dostępu do systemu gabinetowego. Więcej w usłudze dla gabinetów stomatologicznych.
Biuro rachunkowe. Przetwarzasz pliki finansowe wielu klientów, a poczta jest głównym wektorem oszustw na fałszywą fakturę. Na pierwszym miejscu stawiaj poprawną konfigurację poczty (SPF, DKIM, DMARC) i MFA na skrzynkach oraz w systemach księgowych. Szczegóły w usłudze dla biur rachunkowych.
Klinika medycyny estetycznej. Zdjęcia pacjentek to jednocześnie dane wrażliwe i kwestia wizerunku. Priorytetem są szyfrowanie miejsc, gdzie te zdjęcia leżą, i ścisła kontrola dostępu. Więcej w usłudze dla klinik medycyny estetycznej.
FAQ
Jakie środki techniczne wymaga art. 32 RODO?
Art. 32 RODO wymaga środków adekwatnych do ryzyka i wymienia przykłady: pseudonimizację i szyfrowanie danych, zdolność zapewnienia poufności, integralności, dostępności i odporności systemów, szybkie przywrócenie dostępu po incydencie oraz regularne testowanie skuteczności zabezpieczeń. Dla małej firmy praktyczne minimum to MFA, szyfrowanie, kopia 3-2-1, kontrola dostępu i coroczny niezależny test.
Czy NIS2 w Polsce to art. 21, czy art. 8?
W Polsce obowiązuje art. 8 ustawy o krajowym systemie cyberbezpieczeństwa. Numer art. 21 pochodzi z unijnej dyrektywy NIS2 - polska ustawa transponuje te wymagania do własnego art. 8 ust. 1 (nowelizacja z 23 stycznia 2026 r., Dz.U. 2026 poz. 252). Jeśli szukasz konkretnego przepisu dla polskiej firmy, cytuj art. 8 UKSC, nie art. 21.
Czy te same środki spełniają RODO i NIS2 jednocześnie?
Tak, w dużej mierze. MFA, szyfrowanie, kopia zapasowa, kontrola dostępu i testowanie skuteczności są wymagane przez oba akty. Jedno wdrożenie zamyka obowiązek z art. 32 RODO i z art. 8 UKSC naraz. Osobne pozostają procedury zgłaszania incydentu: naruszenie danych zgłaszasz do UODO w 72 godziny, a incydent NIS2 do właściwego CSIRT w osobnym trybie.
Czy mała firma bez działu IT musi mieć wszystkie środki z art. 8 UKSC?
Środki są proporcjonalne do ryzyka i wielkości podmiotu - tak stanowi wprost art. 8 ust. 1 pkt 2 UKSC. Mała firma nie potrzebuje rozwiązań klasy korporacyjnej, ale musi mieć wdrożone fundamenty: MFA, szyfrowanie, kopię zapasową, kontrolę dostępu i aktualizacje. Obowiązek dotyczy tylko podmiotów w zakresie NIS2 - najpierw sprawdź, czy w ogóle podlegasz.
Skąd wiem, że moje środki techniczne naprawdę działają?
Nie wiesz tego z samej dokumentacji - i dlatego oba akty wymagają testu. Art. 32 ust. 1 lit. d RODO i art. 8 ust. 1 pkt 2 lit. h UKSC nakazują ocenę skuteczności środków. W praktyce oznacza to niezależny skan podatności lub test penetracyjny, bo skuteczności nie da się samopoświadczyć. Bezpłatny PreScan pokazuje, co widać z internetu, jako pierwszy krok.
Powiązane przewodniki
- Ocena podatności IT (zewnętrzna) - niezależny test skuteczności środków z art. 32 RODO i art. 8 UKSC
Sąsiednie pillary:
- RODO i bezpieczeństwo danych w małej firmie
- NIS2 i UKSC dla MŚP
- RODO a NIS2 - różnice i nakładające się obowiązki
Nie wiesz, które z tych środków Twoja firma ma faktycznie wdrożone, a które tylko na papierze? Zamów bezpłatny PreScan - zobaczysz, co widać z internetu i co poprawić, zanim zrobi to kontrola albo atakujący.
Materiał informacyjny, nie jest to porada prawna. W sprawach szczegółowych skonsultuj się z radcą prawnym lub Inspektorem Ochrony Danych. Data aktualizacji: 2026-08-24.