comply!
KonsultacjaGet in touch

Cyberbezpieczeństwo · Zgodność · Oprogramowanie i AI Cybersecurity · Compliance · Software & AI

Zgodność, która przechodzi audyt

Compliance that survives the audit

Prowadzimy podmioty kluczowe i ważne przez wymagania ustawy o KSC i dyrektywy NIS2 — od samoidentyfikacji, przez wdrożenie SZBI i testy bezpieczeństwa, przez wdrożenia techniczne i nadzór nad kontraktami, po oprogramowanie budowane z myślą o zgodności.

We take essential and important entities through the Polish Cybersecurity Act and NIS2 — from self-identification and ISMS implementation to technical deployments, security testing, contract supervision and software built with compliance in mind.

Porozmawiajmy o KSCTalk about NIS2 Zakres usługWhat I do
Audytor wiodący ISO/IEC 27001ISO/IEC 27001 Lead Auditor Pełnomocnik ds. SZBIISMS Officer Inżynier kontraktuContract Engineer Zdrowie · Samorządy · Wodociągi · BiznesHealth · Local government · Water · Business

Kalendarz ustawowyStatutory calendar

Terminy, które już biegną

Deadlines already running

Znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa obowiązuje od 3 kwietnia 2026 r. Każdy kolejny termin wymaga działania, a nie deklaracji.

The amended Polish Cybersecurity Act has applied since 3 April 2026. Every milestone that follows requires evidence, not declarations.

03.04.2026

Wejście w życie nowelizacji ustawy o KSC (wdrożenie NIS2)

Amended Cybersecurity Act enters into force (NIS2 transposition)

ObowiązujeIn force
03.04.2027

Pełne wdrożenie SZBI, zarządzania ryzykiem i obsługi incydentów

Full ISMS, risk management and incident handling in place

WdrożenieImplementation
03.04.2028

Pierwszy obowiązkowy audyt zgodności, kolejne nie rzadziej niż co 3 lata

First mandatory compliance audit, then at least every 3 years

AudytAudit

Zakres usługServices

Sześć obszarów, jeden odpowiedzialny partner

Six practices, one accountable partner

Zgodność, technika i kontrakty rozjeżdżają się wtedy, gdy zajmują się nimi trzy różne firmy. comply! łączy rolę doradcy, audytora, wykonawcy wdrożeń, inżyniera kontraktu i dostawcy oprogramowania — z zachowaniem rozdzielności funkcji tam, gdzie wymaga tego niezależność audytu.

Compliance, engineering and procurement drift apart when three different vendors own them. comply! combines advisory, audit, implementation, contract engineering and software delivery — while keeping roles separate wherever audit independence requires it.

01

Zgodność KSC i NIS2

Cybersecurity Act & NIS2 compliance

Od weryfikacji statusu podmiotu po gotowość do kontroli organu właściwego.

From entity classification to readiness for the supervisory authority.

  • Weryfikacja statusu podmiotu, samoidentyfikacja i wpis do wykazu KSC
  • Entity classification, self-identification and register entry
  • Analiza luk wobec art. 8 i 9 ustawy oraz 10 obszarów wymagań NIS2
  • Gap analysis against the Act and the ten NIS2 measures
  • SZBI: polityki, metodyka analizy ryzyka, rejestr ryzyk, klasyfikacja aktywów
  • ISMS: policies, risk methodology, risk register, asset classification
  • Obsługa incydentów i zgłoszenia w terminach 24 h / 72 h / 1 miesiąc (S46, CSIRT)
  • Incident handling and 24 h / 72 h / 1 month reporting (S46, CSIRT)
  • Plany ciągłości działania (BCP) i odtwarzania po awarii (DRP)
  • Business continuity (BCP) and disaster recovery (DRP) plans
  • Bezpieczeństwo łańcucha dostaw i mechanizm HRV
  • Supply-chain security and high-risk vendor assessment
  • Funkcja zewnętrznego Pełnomocnika ds. SZBI i osoby kontaktowej dla CSIRT
  • Outsourced ISMS Officer and CSIRT point of contact
02

Wdrożenia rozwiązań technicznych

Technical implementation

Projektujemy, wdrażamy i utrzymujemy warstwę techniczną — samodzielnie albo jako podwykonawca integratora. Dobór rozwiązań jest neutralny technologicznie, z zachowaniem zasady równoważności.

We design, deploy and maintain the technical layer — directly or as a subcontractor to an integrator. Solutions are selected on a technology-neutral basis, honouring the principle of equivalence.

  • Wirtualizacja środowiska serwerowego — redundancja i ciągłość działania systemów
  • Server virtualisation — redundancy and system continuity
  • Kopie zapasowe i odtwarzanie po awarii, z niezmiennym, odizolowanym repozytorium („cyfrowy bunkier”)
  • Backup and disaster recovery with an immutable, isolated repository (a “digital vault”)
  • Zapory sieciowe: audyt konfiguracji oraz ochrona ruchu webowego i aplikacji
  • Firewalls: configuration audit plus web and application traffic protection
  • Ochrona poczty elektronicznej: brama pocztowa, filtrowanie, izolacja podejrzanych treści
  • Email security: secure gateway, filtering, isolation of suspicious content
  • Segmentacja sieci i kontrola dostępu do sieci (NAC) ograniczająca propagację zagrożeń
  • Network segmentation and network access control (NAC) to contain lateral movement
  • Ochrona stacji roboczych i serwerów klasy EDR/XDR z korelacją zdarzeń bezpieczeństwa
  • EDR/XDR endpoint and server protection with security event correlation
  • Systemy skanowania i zarządzania podatnościami oraz narzędzia GRC wspierające SZBI
  • Vulnerability scanning and management systems, plus GRC tooling supporting the ISMS
  • Uwierzytelnianie i dostęp uprzywilejowany: PAM, MFA, tokeny sprzętowe
  • Authentication and privileged access: PAM, MFA, hardware tokens
  • Platforma e-learning do szkoleń z cyberhigieny
  • An e-learning platform for cyber-hygiene training
  • Każde wdrożenie obejmuje analizę przedwdrożeniową, projekt techniczny, instalację i konfigurację, integrację ze środowiskiem, testy, dokumentację i instruktaż personelu
  • Every deployment covers pre-implementation analysis, technical design, installation and configuration, integration, testing, documentation and staff instruction
  • Standardowo 36 miesięcy wsparcia dla każdej lokalizacji
  • A standard 36-month support period for each location
03

Audyty i testy bezpieczeństwa

Audits & security testing

Dowód zamiast deklaracji — raport techniczny i raport zarządczy z każdego działania.

Evidence over declarations — a technical and a management report from every engagement.

  • Audyt zgodności z ustawą o KSC i dyrektywą NIS2
  • Cybersecurity Act and NIS2 compliance audits
  • Audyt systemu zarządzania bezpieczeństwem informacji wg PN-EN ISO/IEC 27001
  • ISMS audits against PN-EN ISO/IEC 27001
  • Testy penetracyjne aplikacji — w tym systemów HIS i Portalu Pacjenta
  • Application penetration tests — including hospital HIS and patient portals
  • Testy sieci wewnętrznej, aplikacji webowych i retesty po remediacji
  • Internal network and web application tests, plus post-remediation retests
  • Zarządzanie podatnościami: skany, ocena CVSS, priorytetyzacja, plan remediacji
  • Vulnerability management: scanning, CVSS scoring, prioritisation, remediation plans
  • Hardening wg CIS Benchmarks i DISA STIG — stacje robocze, serwery Windows / Linux
  • Hardening to CIS Benchmarks and DISA STIG — workstations, Windows / Linux servers
  • Cyberodporność Active Directory: model Tier, LAPS, MFA, ochrona przed Kerberoasting i Pass-the-Hash
  • Active Directory resilience: tier model, LAPS, MFA, Kerberoasting and Pass-the-Hash defence
04

Inżynier kontraktu

Contract engineering

Nadzór nad projektem cyberbezpieczeństwa po stronie zamawiającego — od opisu przedmiotu zamówienia do rozliczenia.

Owner-side supervision of cybersecurity projects — from the statement of work to final settlement.

  • Opis przedmiotu zamówienia, kryteria równoważności, warunki udziału i kryteria oceny ofert
  • Statement of work, equivalence criteria, qualification and evaluation criteria
  • Weryfikacja ofert i proponowanych rozwiązań pod kątem realnego spełnienia wymagań
  • Review of bids and proposed solutions against real requirements
  • Nadzór nad harmonogramem, jakością i dokumentacją powykonawczą
  • Schedule, quality and as-built documentation supervision
  • Odbiory, protokoły, egzekwowanie SLA i gwarancji
  • Acceptance, protocols, SLA and warranty enforcement
  • Klauzule NIS2, prawo do audytu i wymogi bezpieczeństwa w umowach z dostawcami
  • NIS2 clauses, right-to-audit and security requirements in supplier contracts
  • Nadzór nad dostawcami automatyki i systemów sterowania: wymagania bezpieczeństwa w zamówieniu, zasady zdalnego dostępu serwisowego, weryfikacja przy odbiorze (IEC 62443)
  • Oversight of automation and control-system vendors: security requirements in the tender, remote maintenance access rules, verification at acceptance (IEC 62443)
  • Wsparcie przy rozliczeniu i audycie projektów finansowanych ze środków zewnętrznych
  • Support for settlement and audit of externally funded projects
05

Oprogramowanie i AI

Software & AI

Rozwiązania budowane tak, by przeszły ten sam audyt, który sami prowadzimy.

Systems built to pass the same audit we run ourselves.

  • Dedykowane oprogramowanie i integracje z systemami dziedzinowymi
  • Custom software and integration with domain systems
  • Automatyzacja procesów zgodności: rejestry ryzyk, incydenty, obieg dokumentacji
  • Compliance automation: risk registers, incidents, document workflows
  • Rozwiązania oparte na AI — od analizy wykonalności po wdrożenie
  • AI-based solutions — from feasibility analysis to deployment
  • Koncepcja centrum danych dla rozwiązań AI: architektura, wydajność obliczeniowa, bezpieczeństwo, zasilanie i chłodzenie, zgodność regulacyjna
  • Data centre concept for AI workloads: architecture, compute capacity, security, power and cooling, regulatory compliance
  • Zgodność z rozporządzeniem (UE) 2024/1689 (AI Act): zarządzanie ryzykiem systemów AI, jakość danych, rozliczalność
  • Regulation (EU) 2024/1689 (AI Act): AI risk management, data quality, accountability
  • Bezpieczny cykl wytwarzania (secure SDLC), przegląd kodu i architektury
  • Secure SDLC, code and architecture review
06

Szkolenia, ćwiczenia i kampanie phishingowe

Training, exercises & phishing campaigns

Najsłabszym ogniwem rzadko jest firewall. Program świadomości kończy się mierzalnym wynikiem i rejestrem szkoleń wymaganym przy kontroli.

The weakest link is rarely the firewall. Awareness programmes end with measurable results and the training records an inspection asks for.

  • Moduł dla kierownictwa: odpowiedzialność osobista, obowiązki sprawozdawcze, sankcje
  • Management module: personal liability, reporting duties, sanctions
  • Moduł dla IT, IOD i Pełnomocnika ds. SZBI: ryzyko, incydent, raportowanie do CSIRT
  • Module for IT, DPO and ISMS officers: risk, incidents, CSIRT reporting
  • Moduł dla personelu: higiena cyfrowa, phishing, bezpieczna praca z dokumentacją
  • Staff module: digital hygiene, phishing, safe handling of records
  • Tabletop exercise — symulacja ataku ransomware na system krytyczny
  • Tabletop exercise — ransomware simulation on a critical system
  • Kampanie phishingowe z raportem klikalności i mikroszkoleniem just-in-time
  • Phishing campaigns with click-rate reporting and just-in-time micro-training

StawkaWhat is at stake

Koszt zwłoki jest policzalny

The cost of delay is quantified

Ustawa przewiduje sankcje administracyjne wobec podmiotu i odpowiedzialność osobistą osób kierujących. Terminy zgłoszenia incydentu liczone są w godzinach.

The Act provides for administrative fines against the entity and personal liability for its management. Incident notification deadlines are counted in hours.

10 mln € lub 2% rocznego obrotu — maksymalna kara administracyjna dla podmiotu kluczowego or 2% of annual turnover — maximum administrative fine for an essential entity
600% wynagrodzenia — granica osobistej odpowiedzialności członków kierownictwa of remuneration — the cap on personal liability of management
24 / 72 h na wczesne ostrzeżenie i zgłoszenie incydentu poważnego do CSIRT for early warning and full notification of a significant incident to the CSIRT

Jak pracujemyHow we work

Cztery etapy, bez zaskoczeń w budżecie

Four stages, no budget surprises

01

Diagnoza

Assessment

Inwentaryzacja systemów, audyt zgodności i analiza luk. Wynik: raport z priorytetami i oszacowanym ryzykiem.

System inventory, compliance audit and gap analysis. Output: a prioritised report with assessed risk.

02

Mapa drogowa

Roadmap

Plan działań z terminami ustawowymi, podziałem odpowiedzialności i realnym budżetem na środki techniczne.

An action plan tied to statutory deadlines, with clear ownership and a realistic technical budget.

03

Wdrożenie

Implementation

Dokumentacja SZBI, procedury, hardening, szkolenia i nadzór nad dostawcami w roli inżyniera kontraktu.

ISMS documentation, procedures, hardening, training and supplier supervision as contract engineer.

04

Utrzymanie

Operation

Obsługa incydentów, skany podatności, testy, kampanie phishingowe i kwartalny raport dla kierownictwa.

Incident handling, vulnerability scanning, testing, phishing campaigns and a quarterly board report.

KompetencjeCredentials

Certyfikaty, które potwierdzają warunki udziału

Certifications that satisfy tender requirements

Zamawiający w ochronie zdrowia, samorządach i spółkach komunalnych coraz częściej wymagają audytora wiodącego z certyfikatem wydanym przez jednostkę akredytowaną oraz udokumentowanego doświadczenia. Poniższe kompetencje odpowiadają typowym warunkom udziału w postępowaniach na usługi KSC / NIS2.

Buyers in healthcare, local government and municipal utilities increasingly require a lead auditor certified by an accredited body and documented experience. The credentials below map onto the qualification criteria typically used in NIS2 and Cybersecurity Act tenders.

Audytor wiodący ISO/IEC 27001ISO/IEC 27001 Lead Auditor Audytor wiodący KSCCybersecurity Act Lead Auditor Audytor wiodący NIS2NIS2 Lead Auditor CISSP CISA CEH CIH OSCP OSWA ITIL PRINCE2 Practitioner VMware vSphere Studia podyplomowe — cyberbezpieczeństwoPostgraduate studies — cybersecurity

Doświadczenie

Experience

  • 01Pełnienie funkcji Pełnomocnika ds. SZBI w podmiotach objętych krajowym systemem cyberbezpieczeństwaServing as ISMS Officer in entities covered by the national cybersecurity system
  • 02Audyt wewnętrzny w jednostkach sektora finansów publicznychInternal audit in public finance sector entities
  • 03Stała obsługa szpitala w zakresie cyberbezpieczeństwa i nadzoru nad infrastrukturąOngoing cybersecurity and infrastructure oversight for a hospital
  • 04Testy penetracyjne systemów HIS i dedykowanych Portali PacjentaPenetration testing of hospital HIS systems and patient portals
  • 05Obsługa narzędzi klasy SIEM / SOAR i ciągłe monitorowanie systemów informacyjnychOperating SIEM / SOAR tooling and continuous monitoring of information systems
  • 06Rola inżyniera kontraktu w projektach cyberbezpieczeństwaContract engineer role in cybersecurity projects
  • 07Wdrożenia cyberodporności infrastruktury Active Directory w kontekście NIS2Active Directory resilience programmes in a NIS2 context

SektorySectors

Tam, gdzie przerwa w działaniu ma konsekwencje

Where downtime has consequences

Sektor wysokiej krytycznościHigh-criticality sector

Ochrona zdrowia

Healthcare

Szpitale i podmioty lecznicze: systemy HIS, RIS/PACS, LIS, eDM, urządzenia medyczne w sieci, dane o stanie zdrowia jako szczególna kategoria danych. Sektor wymieniony w załączniku nr 1 do ustawy o KSC.

Hospitals and care providers: HIS, RIS/PACS, LIS, electronic records, networked medical devices and health data as a special category. A sector listed in Annex 1 to the Polish Cybersecurity Act.

AdministracjaPublic administration

Samorządy i sektor publiczny

Local government & public sector

Urzędy gmin i miast, starostwa, jednostki organizacyjne i spółki komunalne: audyt wewnętrzny, zamówienia poniżej i powyżej progu PZP, rozliczanie projektów dofinansowanych, dokumentacja gotowa na kontrolę RIO i NIK.

Municipal and county offices, their units and municipal companies: internal audit, procurement below and above the public procurement threshold, settlement of co-funded projects, documentation ready for state audit bodies.

Sektor wysokiej krytycznościHigh-criticality sector

Wodociągi i infrastruktura komunalna

Water utilities & municipal infrastructure

Woda pitna i ścieki to odrębne sektory załącznika nr 1 do ustawy o KSC, a systemy sterowania procesem są tu niemal zawsze utrzymywane przez zewnętrznego dostawcę automatyki. Odpowiadamy za warstwę zgodności i nadzoru: analizę ryzyka obejmującą procesy technologiczne, plany ciągłości działania, wymagania bezpieczeństwa stawiane dostawcom systemów sterowania, kontrolę zdalnego dostępu serwisowego i klauzule umowne. Konfiguracja sterowników zostaje po stronie dostawcy automatyki — my definiujemy wymagania i weryfikujemy, czy zostały spełnione.

Drinking water and wastewater are separate high-criticality sectors under the Act, and process control systems are almost always maintained by an external automation vendor. We own the compliance and oversight layer: risk analysis covering the technological process, continuity planning, security requirements imposed on control-system suppliers, remote maintenance access control and contract clauses. Controller configuration stays with the automation vendor — we set the requirements and verify they were met.

Biznes i łańcuch dostawBusiness & supply chain

Firmy prywatne i dostawcy IT

Private companies & IT suppliers

Przedsiębiorstwa objęte NIS2 jako podmioty ważne oraz firmy, od których zależy ciągłość usług podmiotów kluczowych: klauzule NIS2 w umowach, gotowość na audyt klienta i ocenę HRV, bezpieczne wytwarzanie oprogramowania, ochrona tajemnicy przedsiębiorstwa.

Companies covered by NIS2 as important entities, and vendors whose services essential entities depend on: NIS2 contract clauses, readiness for client audits and high-risk vendor assessment, secure software development, trade-secret protection.

KontaktContact

Zacznijmy od godziny rozmowy

Let us start with one hour

Bezpłatna rozmowa wstępna: ustalamy status podmiotu, najbliższe terminy ustawowe i to, co da się zrobić własnymi siłami, a co wymaga wsparcia. Wynikiem jest krótka notatka z priorytetami — nie prezentacja sprzedażowa.

A free introductory call: we establish your entity status, the deadlines that apply and what your own team can handle versus what needs support. You get a short memo with priorities — not a sales deck.

  • Wypełnij formularz — im więcej kontekstu, tym konkretniejsza odpowiedź
  • Fill in the form — the more context, the more concrete the answer
  • Odpowiadamy w ciągu jednego dnia roboczego
  • We reply within one business day
Firma
Company
comply! Emilia Wrzesińska
Adres
Address
ul. Górska 1 lok. 40
05-100 Nowy Dwór Mazowiecki
NIP
5311558936
Zasięg
Coverage
Praca zdalna i wizyty na miejscu — cała Polska
Remote work and on-site visits — all of Poland

Każdą współpracę poprzedza umowa o zachowaniu poufności (NDA), a przy przetwarzaniu danych — umowa powierzenia zgodna z art. 28 RODO.

Every engagement starts with an NDA and, where personal data is involved, a processing agreement under Article 28 GDPR.

Formularz kontaktowy

Contact form

0 / 1200
Informacja o przetwarzaniu danych osobowychPersonal data processing notice

Administrator: comply! Emilia Wrzesińska, ul. Górska 1 lok. 40, 05-100 Nowy Dwór Mazowiecki, NIP 5311558936.

Cel i podstawa: udzielenie odpowiedzi na zapytanie oraz podjęcie działań przed zawarciem umowy — art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes w postaci prowadzenia korespondencji), a w razie negocjacji art. 6 ust. 1 lit. b RODO.

Zakres i sposób przetwarzania: dane z formularza są przesyłane wyłącznie na firmową skrzynkę pocztową administratora i nie są zapisywane w bazie danych serwisu. Odbiorcą danych jest dostawca usługi hostingu i poczty elektronicznej, działający na podstawie umowy powierzenia.

Okres przechowywania: do zakończenia korespondencji, a następnie do upływu terminu przedawnienia ewentualnych roszczeń.

Twoje prawa: dostęp do danych, sprostowanie, usunięcie, ograniczenie przetwarzania, sprzeciw wobec przetwarzania oraz skarga do Prezesa Urzędu Ochrony Danych Osobowych.

Podanie danych jest dobrowolne, ale niezbędne do udzielenia odpowiedzi. Dane nie podlegają profilowaniu ani zautomatyzowanemu podejmowaniu decyzji i nie są przekazywane poza Europejski Obszar Gospodarczy.

Controller: comply! Emilia Wrzesińska, ul. Górska 1 lok. 40, 05-100 Nowy Dwór Mazowiecki, Poland, VAT ID 5311558936.

Purpose and legal basis: answering your enquiry and taking steps prior to entering into a contract — Article 6(1)(f) GDPR (legitimate interest in conducting correspondence), and Article 6(1)(b) GDPR where negotiations follow.

Scope and means of processing: the form data is sent solely to the controller's business mailbox and is not stored in any website database. The recipient is our hosting and email provider, acting under a data processing agreement.

Retention: until the correspondence ends, then until any claims become time-barred.

Your rights: access, rectification, erasure, restriction, objection, and a complaint to the President of the Polish Data Protection Authority.

Providing the data is voluntary but necessary to reply. The data is not profiled or subject to automated decision-making and is not transferred outside the European Economic Area.