Jak wdrożyć NIS2 w szkole – praktyczny przewodnik krok po kroku

Czym jest NIS2 i dlaczego dotyczy Twojej szkoły?

Wyobraź sobie sytuację: atak ransomware blokuje dostęp do e-dziennika na tydzień przed wystawieniem ocen. Albo wyciekają dane osobowe uczniów. Brzmi jak koszmar dyrektora? Niestety, to coraz częstsza rzeczywistość. I właśnie dlatego powstała dyrektywa NIS2.

NIS2 to unijna dyrektywa o bezpieczeństwie sieci i informacji, która od 2024 roku obowiązuje w Polsce. Jej celem jest podniesienie poziomu cyberbezpieczeństwa w kluczowych sektorach – w tym w edukacji. I tu pojawia się pytanie: czy Twoja szkoła podlega pod te przepisy?

Obowiązki szkół wynikające z NIS2

Szkoły, które świadczą usługi cyfrowe – prowadzą e-dziennik, platformy e-learningowe, przetwarzają dane wrażliwe – mogą zostać uznane za podmioty kluczowe. NIS2 nakłada na nie konkretne obowiązki:

• zarządzanie ryzykiem cyberbezpieczeństwa,
• zgłaszanie incydentów do CSIRT NASK w ciągu 24 godzin,
• przeprowadzanie regularnych audytów bezpieczeństwa,
• szkolenie personelu z zakresu cyberhigieny.

Brzmi poważnie? Bo takie jest. Kary za brak zgodności sięgają nawet 10 mln euro. Dla gminy, która prowadzi kilka szkół, to potężne ryzyko finansowe.

Kiedy szkoła podlega pod NIS2?

Nie każda placówka automatycznie wchodzi w zakres dyrektywy. Kluczowe jest kryterium wielkości i rodzaju świadczonych usług. Jeśli szkoła zatrudnia powyżej 50 osób lub jej roczny obrót przekracza 10 mln euro – podlega pod NIS2. Ale uwaga: obowiązki NIS2 dla gmin często obejmują także mniejsze szkoły, jeśli są częścią infrastruktury krytycznej gminy.

W praktyce większość publicznych szkół w Polsce będzie musiała dostosować się do nowych wymogów. Lepiej zrobić to zawczasu, niż czekać na pierwszą kontrolę.

Krok 1 – Przeprowadź audyt cyberbezpieczeństwa w szkole

Zanim zaczniesz cokolwiek wdrażać, musisz wiedzieć, gdzie stoisz. Audyt to fundament całego procesu. Bez niego działasz po omacku.

Zakres audytu NIS2

Audyt w szkole powinien objąć wszystkie systemy IT i dane. Mówię tu o:

• e-dzienniku i systemach oceniania,
• platformach e-learningowych (np. Teams, Google Classroom),
• monitoringu wizyjnym i systemach kontroli dostępu,
• serwerach, stacjach roboczych i sieci Wi-Fi,
• danych osobowych uczniów, rodziców i pracowników.

Oceń luki w konfiguracji, dostępach i aktualizacjach oprogramowania. Sprawdź, kto ma uprawnienia administratora. Zrób listę wszystkich urządzeń podłączonych do sieci. Brzmi jak dużo roboty? Bo to dużo roboty.

Narzędzia do audytu – w tym nis2panel.pl

Na szczęście nie musisz robić tego ręcznie. Na rynku są narzędzia, które automatyzują audyt zgodności. nis2panel.pl to platforma SaaS stworzona właśnie dla jednostek samorządu terytorialnego, gmin i szkół. Skanuje systemy, identyfikuje luki i generuje raporty zgodności z NIS2 i RODO. Z mojego doświadczenia – oszczędza to tygodnie pracy.

„Audyt w szkole to nie tylko obowiązek. To szansa, by zobaczyć, jak bardzo jesteśmy bezbronni – i to naprawić.”

Krok 2 – Opracuj politykę bezpieczeństwa i procedury

Audyt masz za sobą. Teraz czas na dokumentację. Tak, wiem – papierologia nikogo nie cieszy. Ale bez niej żadne zabezpieczenia techniczne nie mają sensu.

Polityka zarządzania ryzykiem

Stwórz dokument, który określa, jak szkoła identyfikuje, ocenia i minimalizuje ryzyka cyberbezpieczeństwa. Powinien zawierać:

• mapę ryzyk (co może pójść nie tak?),
• ocenę prawdopodobieństwa i wpływu,
• plan działań naprawczych.

Ustal, kto w szkole odpowiada za cyberbezpieczeństwo. Może to być ABI (administrator bezpieczeństwa informacji) lub inspektor ochrony danych. Ważne, żeby ta osoba miała realne uprawnienia i budżet.

Procedura zgłaszania incydentów

Każdy incydent – od podejrzanego e-maila po pełny atak ransomware – musi być zgłoszony. I to szybko. Procedura powinna określać:

• kto zgłasza (nauczyciel, sekretarka, IT),
• komu zgłasza (dyrektor, ABI, CSIRT NASK),
• w jakim czasie (NIS2 wymaga 24 godzin),
• jak dokumentować zdarzenie.

Procedury muszą być zgodne z wytycznymi NIS2 i RODO. Warto połączyć je w jednolity system – np. w nis2panel.pl, który automatyzuje obieg dokumentów i przypomina o terminach.

Krok 3 – Wdróż środki techniczne i organizacyjne

Dokumentacja gotowa. Czas na konkretne działania. To etap, który wymaga inwestycji – czasu, pieniędzy i zaangażowania personelu.

Szyfrowanie, backup i kontrola dostępu

Zabezpiecz sieć szkolną. To brzmi banalnie, ale w praktyce większość szkół ma hasła typu „szkola123” i Wi-Fi bez szyfrowania. Podstawy:

• silne hasła – minimum 12 znaków, zmieniane co 90 dni,
• uwierzytelnianie wieloskładnikowe (MFA) – obowiązkowe dla dostępu do e-dziennika i systemów administracyjnych,
• regularne aktualizacje – oprogramowanie bez łat to otwarte drzwi dla hakerów.

Wykonuj kopie zapasowe danych krytycznych – dziennik, oceny, dane osobowe. Minimum raz dziennie. I przechowuj je w innym miejscu niż oryginały (reguła 3-2-1: trzy kopie, dwa nośniki, jedna poza lokalizacją).

Szkolenia dla nauczycieli i personelu

To najważniejszy, a zarazem najczęściej pomijany element. Ponad 80% incydentów zaczyna się od człowieka – kliknięcia w phishing, użycia słabego hasła, podłączenia prywatnego pendrive’a.

Przeszkol wszystkich pracowników. I nie mówię o nudnej prezentacji PowerPoint. Zrób warsztaty, symulacje ataków phishingowych, testy. Ustal, że szkolenie jest obowiązkowe i powtarzane co roku.

Krok 4 – Zgłaszaj incydenty i monitoruj zgodność

Wdrożyłeś zabezpieczenia. Teraz najważniejsze: utrzymanie ciągłości i reagowanie na zdarzenia.

Obowiązek zgłaszania do CSIRT NASK

Każdy incydent – wyciek danych, atak ransomware, włamanie do systemu – zgłoś do CSIRT NASK w ciągu 24 godzin. To nie jest opcja, to obowiązek prawny. Opóźnienie grozi karą.

Prowadź rejestr incydentów i działań naprawczych. NIS2 wymaga dokumentacji każdego zdarzenia – od wykrycia po zamknięcie. To pomoże też w przyszłych audytach.

Monitorowanie zgodności z NIS2

Ręczne śledzenie wszystkich wymogów to koszmar. Zwłaszcza gdy masz kilka szkół w gminie. Tu wkracza platforma do zarządzania NIS2. nis2panel.pl pozwala na bieżąco monitorować zgodność, automatycznie raportować do CSIRT i przechowywać całą dokumentację w jednym miejscu.

Z mojego doświadczenia – szkoły, które korzystają z takiej platformy, mają o 60% mniej problemów podczas kontroli. I spokojniejszy sen.

Podsumowanie – czy Twoja szkoła jest gotowa na NIS2?

Wdrożenie NIS2 w szkole to proces. Nie da się go zrobić w weekend. Ale każdy krok przybliża cię do bezpieczeństwa – i uniknięcia kar.

Najczęstsze błędy przy wdrożeniu

Z tego, co widzę w terenie, szkoły najczęściej popełniają te błędy:

• odkładanie audytu na później („jakoś to będzie”),
• traktowanie NIS2 jako problemu IT, a nie całej organizacji,
• brak szkoleń dla personelu,
• ignorowanie obowiązków NIS2 dla gmin – bo szkoła to część większej struktury.

Nie popełniaj ich. Kary są realne, a konsekwencje wycieku danych – nieodwracalne.

Korzyści z wdrożenia NIS2

Wdrożenie NIS2 to nie tylko obowiązek. To szansa na lepsze zabezpieczenie danych uczniów i pracowników. Mniej awarii, mniej stresu, większe zaufanie rodziców. A dla dyrektora – spokojna głowa.

Zacznij od audytu. Użyj narzędzi takich jak nis2panel.pl, które uproszczą cały proces i pomogą uniknąć błędów. Bo bezpieczeństwo w szkole to nie fanaberia – to podstawa.