SOC, CSIRT i NOC — różne role
SOC jest usługą nadzoru bezpieczeństwa, NOC nadzorem infrastruktury. Właściwy CSIRT realizuje zadania w krajowym systemie. Usługodawca nie zastępuje organu ani zespołu właściwego do przyjęcia wymaganego zgłoszenia.
KSC i NIS2 — rola SOC w jednostce
Technologia, obsługa i dokumentacja jako część zarządzania cyberbezpieczeństwem.
Stan informacji: 28 września 2026 r. · Zakres obowiązków wymaga oceny statusu konkretnej jednostki.
Co wynika z przepisów?
KSC wdraża NIS2 w Polsce. Obejmuje zarządzanie ryzykiem, obsługę incydentów i odpowiedzialność kierownictwa. SOC wspiera wykonanie części tych zadań; nazwa usługi nie stanowi potwierdzenia zgodności.
Art. 11 KSC przewiduje dla incydentu poważnego wczesne ostrzeżenie do 24 godzin, zgłoszenie do 72 godzin od wykrycia oraz sprawozdanie końcowe zasadniczo do miesiąca od zgłoszenia. Przewidziane są szczególne reguły i wyjątki. Zawsze trzeba ustalić kwalifikację incydentu, właściwego odbiorcę i obowiązującą procedurę.
Źródło: KSC — aktualny tekst ujednolicony, w szczególności art. 8 i 11–12b.
Terminy przejściowe
Dla podmiotów spełniających kryteria w dniu wejścia nowelizacji w życie Ministerstwo wskazuje:
- 3 października 2026 — termin wpisu do wykazu, z uwzględnieniem wpisów z urzędu.
- 3 kwietnia 2027 — wdrożenie nowych obowiązków i podłączenie do S46.
- 3 kwietnia 2028 — pierwszy audyt dla wskazanych nowych podmiotów kluczowych.
Nie są to uniwersalne terminy dla każdego podmiotu. Warunki i wyjątki — Ministerstwo Cyfryzacji.
Odpowiedzialność operacyjna SOC jest określona w umowie. Kierownictwo nadal odpowiada za właściwe zarządzanie jednostką i realizację jej obowiązków. Zakup usługi nie zastępuje pełnego SZBI.
Od obszaru bezpieczeństwa do konkretnego rezultatu usługi
| Obszar | Wkład SOC | Rezultat do wykorzystania przez jednostkę |
|---|---|---|
| Widoczność środowiska | Inwentaryzacja monitorowanych źródeł, nadzór nad brakiem danych. | Mapa pokrycia, lista luk i właścicieli. |
| Obsługa zdarzeń | Weryfikacja, korelacja, eskalacja i historia czynności. | Karta incydentu, oś czasu i ustalenia techniczne. |
| Przygotowanie zgłoszenia | Porządkowanie danych technicznych i skutków incydentu. | Materiał dla uprawnionej osoby dokonującej zgłoszenia. |
| Weryfikacja działania | Testy detekcji, kontaktu i wykonania procedur. | Wyniki ćwiczeń i lista działań naprawczych. |
| Nadzór kierownictwa | Raportowanie wykonania usługi i otwartych ryzyk. | Priorytety do decyzji i plan rozwoju ochrony. |
Wspólna obsługa jednostek
Art. 16d KSC przewiduje mechanizmy wspólnej realizacji obowiązków przez podmioty publiczne. Model dla JST wymaga właściwych ustaleń organizacyjnych. Projekt techniczny powinien odzwierciedlać przypisane role i granice dostępu.
Oficjalne źródła i dalsza weryfikacja
- Ustawa o krajowym systemie cyberbezpieczeństwa — Sejm RP
- Dyrektywa NIS2 2022/2555 — EUR-Lex
- Zakres podmiotowy KSC — Ministerstwo Cyfryzacji
- Obowiązki i terminy — Ministerstwo Cyfryzacji
Materiał informacyjny. Przygotowanie dokumentacji i kwalifikację jednostki należy oprzeć na aktualnych przepisach oraz jej rzeczywistym zakresie działalności.
Zacznijmy od Twojej infrastruktury.
Istniejąca serwerownia, jeden urząd lub kilka jednostek. Dobierzemy zakres SOC, XDR i NOC.
Logi pod kontrolą — od analizy do archiwum.
Dla dzienników systemów objętych KRI punktem wyjścia są 2 lata przechowywania od dnia zapisu, jeżeli przepisy odrębne nie wskazują innego okresu. Okres szybkiego wyszukiwania w SOC i całkowity czas zachowania zapisów to dwa osobne ustalenia.
Dwie warstwy przechowywania
- Bieżąca analiza: przykładowo 90 dni w szybkich indeksach SIEM. To wariant projektowy, a nie termin ustawowy ani automatycznie gwarantowany zakres usługi.
- Archiwum: zachowanie wymaganych zapisów do pełnych 2 lat od ich utworzenia, z uwzględnieniem przepisów odrębnych. Przeniesienie do archiwum nie rozpoczyna okresu od nowa.
Jakie zapisy obejmujemy?
KRI wymaga rejestrowania dostępu administracyjnego, dostępu do konfiguracji i zabezpieczeń oraz dostępu do danych prawnie chronionych w zakresie wymaganym prawem. Pozostałe zdarzenia dobieramy na podstawie analizy ryzyka. Ustalamy źródła, znaczniki czasu, kompletność i sposób odczytu. Same alerty SIEM lub raport PDF nie zastępują wymaganych logów źródłowych. Zasady te nie oznaczają obowiązku rejestrowania całego ruchu sieciowego ani dwuletniej retencji wszystkich nagrań CCTV.
Oddzielny serwer lub NAS w innej lokalizacji
Archiwum może znajdować się poza serwerem analitycznym, także na odpowiednio zabezpieczonym NAS, np. QNAP. Model urządzenia, funkcje systemu, pojemność i warunki utrzymania wymagają weryfikacji. Zapisy przesyłamy szyfrowanym kanałem; interfejsów administracyjnych i udziałów plikowych nie publikujemy bezpośrednio w Internecie.
- Oddzielne uprawnienia i archiwa jednostek, kontrola dostępu oraz ochrona kluczy szyfrowania.
- Kontrola kompletności, integralności i wieku ostatniego poprawnego transferu; buforowanie podczas przerw w łączności.
- Ochrona przed zmianą i usunięciem, w tym WORM lub niezmienność, jeżeli wybrane rozwiązanie je obsługuje.
- Usunięcie kopii roboczej dopiero po potwierdzeniu zapisu i weryfikacji archiwum; niezależna kopia oraz test odczytu i przywrócenia do analizy.
Retencja wpisana do zakresu usługi
Przed wdrożeniem ustalamy z jednostką kategorie danych, właściwe przepisy, okresy przechowywania, lokalizacje, pojemność, uprawnienia oraz czas udostępnienia archiwum. Dokumentujemy zasady usuwania po upływie retencji i zabezpieczenia materiału dotyczącego incydentu. Archiwizacja nie jest tym samym co kopia zapasowa; RAID nie zastępuje niezależnej kopii.
Podstawa: § 20 ust. 1–5 rozporządzenia KRI z 21 maja 2024 r., Dz.U. 2024 poz. 773. Stan prawny sprawdzono 28.09.2026. ELI wskazuje utratę mocy aktu 23.02.2027; wymagania trzeba ponownie zweryfikować przed zmianą przepisów. Okresy dla konkretnych systemów ustalamy z uwzględnieniem przepisów odrębnych.