# NIS2 a bezpieczeństwo serwerów WWW

> Obowiązki NIS2 dla firm w skrócie: zarządzanie ryzykiem, zgłoszenia, odpowiedzialność kierownictwa i co to oznacza dla serwerów WWW. Ogólna informacja.

Źródło: https://phpsos.de/pl/compliance/nis2/  
Stan: 25.10.2026  
Dostawca: PHP SOS, Pomoc awaryjna PHP i bezpieczeństwo serwerów. Natychmiastowa pomoc przez WhatsApp: https://wa.me/491736494914?text=Dzie%C5%84%20dobry%2C%20PHP%20SOS%2C%20potrzebujemy%20pomocy%20z%20naszym%20serwerem%20PHP.%20Firma%3A%20%E2%80%A6%20Strona%20internetowa%3A%20%E2%80%A6

**Krótko:** Dyrektywa UE NIS2 zobowiązuje znacznie więcej firm niż dawniej do środków zarządzania ryzykiem i do zgłaszania istotnych incydentów bezpieczeństwa. W Niemczech wdraża ją NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG, niemiecka ustawa); właściwym organem jest BSI (niemiecki Federalny Urząd ds. Bezpieczeństwa w Technice Informatycznej). Dla serwerów WWW oznacza to przede wszystkim: aktualizacje, zarządzanie podatnościami i obsługa incydentów muszą być zorganizowane i możliwe do wykazania. Ta strona to ogólna informacja, a nie porada prawna.

> **Ważne:**
> Brak porady prawnej: czy Państwa firma podlega NIS2 i jakie obowiązki obowiązują w szczególności, proszę wyjaśnić na podstawie informacji BSI i z doradcą prawnym. Celowo nie podajemy progów ani terminów, które zależą od Państwa klasyfikacji.

## Czym jest NIS2

NIS2 to druga dyrektywa UE o bezpieczeństwie sieci i informacji. Znacznie poszerza krąg zobowiązanych firm w porównaniu z wcześniejszą regulacją i rozróżnia podmioty szczególnie ważne oraz ważne. Jakie branże i klasy wielkości są objęte, określa ustawa.

W Niemczech NIS2UmsuCG wdraża dyrektywę i w tym celu między innymi na nowo ujmuje ustawę o BSI. BSI jest partnerem w sprawach rejestracji, zgłoszeń i nadzoru i udostępnia na swojej stronie informacje oraz pomoce w klasyfikacji. Wiarygodne, aktualne informacje o terminach i procedurach znajdą Państwo tam, a nie w ogólnych streszczeniach.

## Obowiązki NIS2 dla firm w skrócie

Dla objętych przepisami firm obowiązki można z grubsza ująć w trzech obszarach:

**Zarządzanie ryzykiem.** Firmy muszą stosować odpowiednie i proporcjonalne środki techniczne i organizacyjne. Należą do nich zazwyczaj koncepcje analizy ryzyka i bezpieczeństwa informacji, obsługa incydentów bezpieczeństwa, utrzymanie działalności z kopiami zapasowymi i zarządzaniem kryzysowym, bezpieczeństwo łańcucha dostaw, bezpieczeństwo przy zakupie, rozwoju i utrzymaniu, w tym postępowanie z podatnościami, kontrola dostępu i kryptografia.

**Zgłoszenia.** Istotne incydenty bezpieczeństwa należy zgłaszać do BSI. Dyrektywa przewiduje w tym celu procedurę stopniowaną, od wczesnego pierwszego zgłoszenia do raportu końcowego. Dokładne terminy i drogi zgłoszeń dla Niemiec proszę przyjąć z informacji BSI.

**Odpowiedzialność kierownictwa.** Kierownictwo musi zatwierdzać środki, nadzorować ich wdrożenie i szkolić się w sprawach cyberbezpieczeństwa. Więcej w artykule [Odpowiedzialność zarządu](https://phpsos.de/pl/compliance/geschaeftsfuehrer-haftung/).

## Co to oznacza dla serwerów WWW

Serwery WWW są często najbardziej otwartym systemem firmy. PHP2Shell pokazuje, jak szybko luka w podstawowym komponencie może dotknąć wszystkie działające na nim aplikacje. Obie luki, CVE-2026-109618 i CVE-2026-109619, umożliwiają wykonanie kodu bez logowania; BSI ogłosiło stopień ostrzeżenia 3 (pomarańczowy) i zaleciło natychmiastową aktualizację.

Dla firmy podlegającej NIS2 wynikają z tego pytania praktyczne: czy wiemy, które serwery używają PHP i w jakiej wersji? Kto śledzi komunikaty bezpieczeństwa i decyduje o awaryjnych aktualizacjach? Czy potrafimy rozpoznać atak i kto ocenia, czy incydent jest istotny, a tym samym podlega zgłoszeniu? Czy uregulowano, co przejmują hoster i usługodawcy?

Poprawka nie usuwa szkodliwego oprogramowania wprowadzonego wcześniej i nie dowodzi, że nic się nie stało. To także należy do oceny incydentu.

## Konkretne środki dla infrastruktury WWW

Poniższe punkty nie są listą wyczerpującą, ale obejmują najczęstsze luki:

| Środek | Odniesienie |
|---|---|
| Inwentarz wszystkich serwerów WWW, wersji PHP i aplikacji | Analiza ryzyka |
| Stała procedura aktualizacji bezpieczeństwa wraz z restartem i dowodem | Zarządzanie podatnościami |
| Monitoring i przechowywanie logów | Obsługa incydentów |
| Przetestowane kopie zapasowe i plan wznowienia działania | Ciągłość działania |
| Pisemny podział zadań z hosterem i agencjami | Łańcuch dostaw |
| Logowanie wieloskładnikowe do dostępów administracyjnych | Kontrola dostępu |
| Przygotowane drogi zgłoszeń i odpowiedzialności | Obowiązki zgłoszeniowe |

Ramą metodyczną jest IT-Grundschutz (podstawowa ochrona IT) wydany przez BSI. [Plan awaryjny IT dla serwerów WWW](https://phpsos.de/pl/compliance/notfallplan-erstellen/) łączy technikę, odpowiedzialności i drogi zgłoszeń.

## NIS2 i ochrona danych razem

Atak na serwer WWW może być jednocześnie incydentem NIS2 i naruszeniem ochrony danych. Wtedy równolegle toczą się dwie procedury, z różnymi organami i wymogami. Zgłoszenie do organu nadzorczego ochrony danych według art. 33 RODO opisuje artykuł [Obowiązek zgłoszenia z RODO: 72 godziny](https://phpsos.de/pl/compliance/dsgvo-meldepflicht-72-stunden/). Proszę zaplanować obie drogi z wyprzedzeniem, aby w razie potrzeby nikt nie musiał improwizować.

Kolejny punkt dotyczy usługodawców. Wiele firm zleca opiekę nad stronami agencjom, a eksploatację serwerów hosterom. Obowiązek uwzględniania ryzyk łańcucha dostaw oznacza w praktyce: uregulować umownie, kto instaluje aktualizacje bezpieczeństwa, jak szybko obsługiwane są krytyczne luki, jak są Państwo informowani o incydentach i jakie dowody otrzymują. Sytuacja wokół PHP2Shell jest dobrym sprawdzianem, czy takie regulacje już istnieją i zadziałały w razie potrzeby. Jeśli brakuje odpowiedzi, jest to punkt dla Państwa zarządzania ryzykiem.

## Jak konkretnie pomaga PHP SOS?

- Rejestrujemy Państwa infrastrukturę WWW i oceniamy ryzyka oraz luki w formie, którą mogą Państwo wykorzystać w zarządzaniu ryzykiem.
- Wdrażamy możliwą do wykazania procedurę aktualizacji bezpieczeństwa i na życzenie przejmujemy ją w ramach [umowy serwisowej bezpieczeństwa](https://phpsos.de/pl/leistungen/security-wartungsvertrag/).
- Dzięki [monitoringowi bezpieczeństwa](https://phpsos.de/pl/leistungen/security-monitoring/) i przechowywaniu logów tworzymy podstawę do wykrywania i oceny incydentów.
- W razie incydentu dostarczamy fakty techniczne do Państwa zgłoszenia do BSI; ocena prawna pozostaje po Państwa stronie i po stronie Państwa doradcy prawnego.


## Częste pytania

**Czy moja firma podlega NIS2?**  
Zależy to między innymi od branży i wielkości firmy. Dokładne kryteria wynikają z niemieckiej ustawy wdrażającej. BSI udostępnia na swojej stronie informacje o objęciu przepisami; w razie wątpliwości proszę wyjaśnić tę kwestię z doradcą prawnym.

**Co NIS2 oznacza dla firmowej strony internetowej?**  
Serwery WWW, portale klientów i sklepy należą do systemów, których ryzykiem musi zarządzać objęta przepisami firma. Należą tu aktualizacje, zarządzanie podatnościami, kontrola dostępu i zdolność do wykrywania oraz zgłaszania incydentów.

**Jakie terminy zgłoszeń obowiązują według NIS2?**  
Dyrektywa przewiduje stopniowaną procedurę zgłaszania istotnych incydentów bezpieczeństwa. Wiążące terminy, drogi i formularze dla Niemiec proszę przyjąć z informacji BSI i z tekstu ustawy. Celowo nie podajemy tu terminów bez odniesienia do Państwa sytuacji.

**Czy NIS2 obowiązuje także dostawców?**  
NIS2 wymaga od objętych podmiotów uwzględniania także bezpieczeństwa łańcucha dostaw. Dlatego wielu klientów pyta swoich usługodawców i dostawców o środki bezpieczeństwa, nawet jeśli sami nie podlegają bezpośrednio ustawie.

## Źródła

- [BSI](https://www.bsi.bund.de/)
- [BSI IT-Grundschutz (podstawowa ochrona IT)](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)
- [RODO art. 33](https://dsgvo-gesetz.de/art-33-dsgvo/)