Pięć zasad cyberbezpieczeństwa to potoczna nazwa pięciu funkcji NIST Cybersecurity Framework: identyfikuj, chroń, wykrywaj, reaguj i odtwarzaj. Wersja 2.0 ram z 2024 roku dodała szóstą funkcję — zarządzaj — która obejmuje nadzór kierownictwa. Poniżej wyjaśniamy, co każda z nich oznacza w praktyce, jak sprawdzić, czy działa, i jak przekłada się na wymagania NIS2 oraz ustawy o KSC.
Stan prawny na dzień 18 września 2026.
- Źródło — NIST Cybersecurity Framework 1.1 z 2018 roku opisał pięć funkcji; wersja 2.0 z 26 lutego 2024 roku dodała szóstą: zarządzaj (Govern).
- Nie ma urzędowej listy — żaden polski przepis nie wymienia „pięciu zasad”; NIS2 i ustawa o KSC opisują środki, które te funkcje porządkują.
- Kolejność ma znaczenie — bez identyfikacji zasobów nie da się ich chronić, a bez wykrywania nie ma na co reagować.
- Dowód działania — każdą funkcję da się sprawdzić testem: inwentaryzacją, testem penetracyjnym, ćwiczeniem detekcji, symulacją incydentu i próbą odtworzenia z kopii.
Skąd wzięło się „pięć zasad cyberbezpieczeństwa”?
Fraza pochodzi z amerykańskich ram NIST Cybersecurity Framework, które Narodowy Instytut Standaryzacji i Technologii opublikował w wersji 1.0 w 2014 roku, a w wersji 1.1 w kwietniu 2018 roku. Rdzeniem ram jest pięć funkcji: Identify, Protect, Detect, Respond i Recover. Po polsku przyjęło się je tłumaczyć jako identyfikuj, chroń, wykrywaj, reaguj i odtwarzaj. Funkcje nie są etapami, które wykonuje się raz i po kolei — działają równolegle i opisują pełny cykl życia ryzyka w organizacji.
Ramy NIST powstały jako dobrowolne narzędzie dla operatorów infrastruktury krytycznej, ale szybko stały się wspólnym językiem audytorów, ubezpieczycieli i regulatorów. W Polsce nie mają mocy przepisu, za to porządkują wymagania, które przepisy formułują opisowo: dyrektywa NIS2 w art. 21 wylicza dziesięć rodzajów środków zarządzania ryzykiem, a ustawa o krajowym systemie cyberbezpieczeństwa nakłada na operatorów obowiązki dotyczące zarządzania incydentami i dokumentacji. Każdy z tych obowiązków da się przypisać do jednej z funkcji NIST.
Pięć funkcji NIST CSF: co oznaczają w praktyce
Poniższa tabela przypisuje każdej funkcji pytanie, na które odpowiada, typowe działania w firmie oraz sposób sprawdzenia, czy funkcja rzeczywiście działa, a nie tylko istnieje w dokumentach.
| Funkcja | Na jakie pytanie odpowiada | Typowe działania | Jak sprawdzić, że działa |
|---|---|---|---|
| Identyfikuj (Identify) | Co mamy i co jest dla nas najważniejsze? | Inwentaryzacja systemów, danych i dostawców; analiza ryzyka; klasyfikacja informacji | Porównanie listy zasobów z tym, co widać z zewnątrz (rekonesans) i z wewnątrz (skan sieci) |
| Chroń (Protect) | Jak ograniczamy możliwość ataku? | Kontrola dostępu i uwierzytelnianie wieloskładnikowe, aktualizacje, szyfrowanie, szkolenia, kopie zapasowe | Test penetracyjny aplikacji i infrastruktury, przegląd konfiguracji, test phishingowy |
| Wykrywaj (Detect) | Czy zauważymy, że ktoś jest w środku? | Monitoring logów, systemy EDR i SIEM, reguły alertów, przegląd anomalii | Ćwiczenie red team lub purple team: czy i po jakim czasie zespół obrony zobaczył atak |
| Reaguj (Respond) | Co robimy, gdy atak trwa? | Plan reagowania na incydenty, role i kanały komunikacji, zgłoszenie do CSIRT w terminie ustawowym | Symulacja incydentu przy stole (tabletop) z mierzonym czasem decyzji i zgłoszenia |
| Odtwarzaj (Recover) | Jak wracamy do działania? | Plan ciągłości działania, testowane kopie zapasowe, komunikacja z klientami po incydencie | Próbne odtworzenie systemu z kopii i porównanie czasu z założonym RTO |
Najczęstszy błąd polega na inwestowaniu wyłącznie w funkcję „chroń”. Firma kupuje zaporę, antywirus i szkolenie, a nie ma listy tego, co chroni, ani sposobu, żeby dowiedzieć się o włamaniu. W praktyce testów penetracyjnych to właśnie brak identyfikacji zasobów — zapomniany serwer testowy, stara subdomena, konto byłego pracownika — jest najczęstszą drogą do środka.
Szósta funkcja: zarządzaj (Govern) i co zmieniła wersja 2.0
NIST Cybersecurity Framework 2.0 z 26 lutego 2024 roku dodał funkcję Govern, po polsku zarządzaj. Obejmuje ona ustalenie strategii, ról i odpowiedzialności, polityk oraz nadzór kierownictwa nad ryzykiem cyberbezpieczeństwa, w tym ryzykiem w łańcuchu dostaw. Zmiana odpowiada na obserwację, że pięć funkcji technicznych nie działa bez decyzji zarządu: kto odpowiada za bezpieczeństwo, jaki jest budżet i jakie ryzyko firma świadomie akceptuje. Wersja 2.0 rozszerzyła też adresatów ram — z infrastruktury krytycznej na wszystkie organizacje, niezależnie od wielkości i sektora.
Jak pięć zasad przekłada się na wymagania NIS2 i ustawy o KSC
Dyrektywa NIS2 w art. 21 ust. 2 wymienia środki, które podmioty kluczowe i ważne muszą wdrożyć. Ich kolejność nie odpowiada funkcjom NIST, ale każdy środek da się do jednej z nich przypisać, co porządkuje pracę nad zgodnością:
- Identyfikuj — polityki analizy ryzyka i bezpieczeństwa systemów (lit. a), bezpieczeństwo łańcucha dostaw (lit. d), zarządzanie aktywami (lit. i).
- Chroń — bezpieczeństwo w nabywaniu, rozwoju i utrzymaniu systemów (lit. e), higiena cyberbezpieczeństwa i szkolenia (lit. g), kryptografia (lit. h), kontrola dostępu i uwierzytelnianie wieloskładnikowe (lit. i oraz j).
- Wykrywaj i reaguj — obsługa incydentów (lit. b) oraz obowiązki zgłaszania poważnych incydentów do CSIRT, z pierwszym wczesnym ostrzeżeniem w ciągu 24 godzin (art. 23).
- Odtwarzaj — ciągłość działania, kopie zapasowe i zarządzanie kryzysowe (lit. c).
- Zarządzaj — polityki i procedury oceny skuteczności środków (lit. f) oraz odpowiedzialność organów zarządzających za zatwierdzanie środków i nadzór nad ich wdrażaniem (art. 20).
Ustawa o krajowym systemie cyberbezpieczeństwa opisuje analogiczne obowiązki operatorów usług kluczowych: szacowanie ryzyka, wdrożenie środków technicznych i organizacyjnych, zarządzanie incydentami i ich zgłaszanie oraz dokumentację. Audytor, który sprawdza zgodność, nie pyta o „zasady NIST”, ale o dowody: rejestr aktywów, wyniki testów, logi z detekcji, protokół z ćwiczenia i raport z odtworzenia. Ramy NIST są po prostu wygodną mapą, na której te dowody można ułożyć.
Od czego zacząć w małej i średniej firmie
Organizacja, która nie ma działu bezpieczeństwa, nie musi wdrażać wszystkich sześciu funkcji naraz. Sensowna kolejność wynika z zależności między nimi:
- Spisz, co masz. Lista systemów, domen, kont administracyjnych, dostawców i miejsc, gdzie leżą dane osobowe. Bez tego kroku reszta jest zgadywaniem.
- Wskaż, co boli najbardziej. Dla sklepu internetowego to płatności i baza klientów, dla firmy produkcyjnej sterowanie linią, dla kancelarii poufność dokumentów.
- Zamknij najprostsze drzwi. Uwierzytelnianie wieloskładnikowe na poczcie i VPN, aktualizacje, usunięcie kont byłych pracowników, kopie zapasowe odłączone od sieci.
- Sprawdź, czy drzwi są zamknięte. Test penetracyjny lub przynajmniej skan podatności infrastruktury widocznej z internetu — z ręczną weryfikacją wyników.
- Ustal, kto zauważy włamanie. Choćby podstawowy monitoring logowań i alert o nietypowej aktywności; w większych firmach usługa SOC.
- Zapisz, co robicie w dniu ataku. Jedna strona z rolami, numerami telefonów i terminem zgłoszenia do CSIRT, przećwiczona raz na pół roku.
- Odtwórz coś na próbę. Przywrócenie jednego systemu z kopii pokazuje więcej niż procedura na papierze.
Najczęstsze błędy przy wdrażaniu pięciu zasad
Traktowanie ram jako listy do odhaczenia. NIST CSF opisuje wyniki, nie narzędzia. Posiadanie systemu SIEM nie oznacza, że funkcja „wykrywaj” działa — o tym mówi dopiero ćwiczenie, w którym zespół obrony faktycznie zauważył symulowany atak.
Pomijanie łańcucha dostaw. Zarówno NIST CSF 2.0, jak i NIS2 traktują dostawców jako część własnego ryzyka. Integracja z zewnętrznym API, wtyczka w sklepie czy firma serwisująca sieć wchodzą do inwentaryzacji w funkcji „identyfikuj”.
Brak właściciela. Funkcja „zarządzaj” została dodana właśnie dlatego, że w wielu organizacjach nikt nie odpowiadał za całość. Jeśli firma nie ma osoby odpowiedzialnej za bezpieczeństwo, rolę tę może pełnić zewnętrzny specjalista w modelu vCISO.
Najczęstsze pytania o zasady cyberbezpieczeństwa
Czy istnieje oficjalna lista pięciu zasad cyberbezpieczeństwa?
Nie. Żaden polski ani unijny przepis nie wymienia „pięciu zasad”. Fraza odnosi się do pięciu funkcji NIST Cybersecurity Framework 1.1 z 2018 roku: identyfikuj, chroń, wykrywaj, reaguj, odtwarzaj. Wersja 2.0 z 2024 roku ma sześć funkcji, bo dodała zarządzanie.
Czym różni się NIST CSF 2.0 od wersji 1.1?
Wersja 2.0 dodała szóstą funkcję zarządzaj (Govern), która obejmuje strategię, role, polityki i nadzór kierownictwa, w tym ryzyko w łańcuchu dostaw. Rozszerzyła też zakres adresatów z infrastruktury krytycznej na wszystkie organizacje i dodała profile oraz przykłady wdrożeń ułatwiające dopasowanie ram do wielkości firmy.
Czy NIST Cybersecurity Framework obowiązuje w Polsce?
Nie jest przepisem prawa. W Polsce obowiązki wynikają z ustawy o krajowym systemie cyberbezpieczeństwa, dyrektywy NIS2, rozporządzenia DORA dla sektora finansowego i RODO. Ramy NIST służą jako uporządkowany sposób spełnienia i udokumentowania tych obowiązków, dlatego chętnie korzystają z nich audytorzy i ubezpieczyciele.
Jak sprawdzić, czy pięć zasad działa w mojej firmie?
Każdej funkcji odpowiada test: porównanie inwentaryzacji z rekonesansem z zewnątrz, test penetracyjny dla ochrony, ćwiczenie red team lub purple team dla wykrywania, symulacja incydentu dla reagowania i próbne odtworzenie z kopii dla odtwarzania. Wynikiem powinna być miara, na przykład czas wykrycia albo czas przywrócenia, a nie sama notatka.
Od której zasady zacząć, gdy firma nie ma działu bezpieczeństwa?
Od identyfikacji: listy systemów, kont, dostawców i danych. Dopiero wiedząc, co się ma, można rozsądnie wybrać, co chronić w pierwszej kolejności, a test penetracyjny najbardziej widocznej z zewnątrz części infrastruktury szybko pokaże, gdzie ochrona jest najsłabsza.
Jak Pentestica może pomóc
Pentestica od ponad 10 lat sprawdza w praktyce, czy funkcje ochrony, wykrywania i reagowania naprawdę działają. Audyt bezpieczeństwa IT porządkuje identyfikację zasobów i ryzyk, testy penetracyjne weryfikują ochronę aplikacji i infrastruktury, a red teaming mierzy, czy i po jakim czasie zespół obrony zauważy atak. Wymagania NIS2 i ustawy o KSC przekładamy na konkretne działania w ramach wdrożeń NIS2, a funkcję zarządzania może wziąć na siebie zewnętrzny specjalista w modelu vCISO. Zakres dobierzesz w konfiguratorze zakresu.
Źródła
- NIST Cybersecurity Framework (CSF) 2.0, NIST CSWP 29, 26 lutego 2024 — sześć funkcji, w tym Govern; rozszerzenie zakresu na wszystkie organizacje.
- Framework for Improving Critical Infrastructure Cybersecurity, wersja 1.1, NIST, 16 kwietnia 2018 — pięć funkcji: Identify, Protect, Detect, Respond, Recover.
- Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (NIS2) — art. 20 (zarządzanie), art. 21 (środki zarządzania ryzykiem), art. 23 (zgłaszanie incydentów).
- Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (Dz.U. 2018 poz. 1560, z późn. zm.) — obowiązki operatorów usług kluczowych.
- Rozporządzenie (UE) 2016/679 (RODO) — art. 32, bezpieczeństwo przetwarzania.
Redakcja Pentestica to zespół pentesterów i konsultantów bezpieczeństwa, którzy na co dzień wykonują testy penetracyjne, testy TLPT wymagane przez DORA, red teaming i audyty bezpieczeństwa IT, a także prowadzą wdrożenia zgodności z NIS2, DORA i MiCA. Teksty na tym blogu piszemy z tej praktyki, a nie z opracowań. Każde twierdzenie o przepisie, terminie albo karze opieramy na źródle pierwotnym: dzienniku ustaw, tekście dyrektywy, komunikacie organu nadzoru. Jeśli czegoś nie da się potwierdzić, piszemy o tym wprost, zamiast powtarzać liczbę krążącą po branżowych portalach.