Audyt NIS2

Dyrektywa NIS2 (Network and Information Security Directive 2) to unijne regulacje cyberbezpieczeństwa obowiązujące od października 2024 roku. Dotyczy szerokiego spektrum podmiotów — od operatorów usług kluczowych po firmy średniej wielkości z branż takich jak IT, produkcja, transport czy zdrowie. Strona internetowa firmy to pierwsza linia obrony i punkt audytu NIS2.

NIS2 wymaga wdrożenia środków zarządzania ryzykiem cybernetycznym, w tym zabezpieczenia systemów informatycznych, szyfrowania transmisji, monitorowania incydentów i regularnych testów bezpieczeństwa. Publicznie dostępna strona www ujawnia wiele informacji o stanie bezpieczeństwa organizacji.

ResQode Intelligence analizuje widoczne z zewnątrz aspekty cyberbezpieczeństwa strony: certyfikat SSL/TLS, nagłówki HTTP Security Headers, wersje oprogramowania, otwarte porty i znane podatności. To punkt wyjścia do pełnego audytu NIS2.

Weryfikujemy certyfikat SSL/TLS (ważność, algorytm, wersja protokołu), obecność wymaganych nagłówków bezpieczeństwa: Strict-Transport-Security, Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Referrer-Policy i Permissions-Policy. Wykrywamy przestarzałe wersje bibliotek JavaScript z znanymi CVE.

Moduł ocenia konfigurację DNS (DNSSEC, CAA records), obecność SPF/DKIM/DMARC dla poczty firmowej oraz wyciek informacji o wersji serwera w nagłówkach HTTP. Sprawdzamy redirect HTTP→HTTPS i poprawność łańcucha certyfikatów.

Raport NIS2 zawiera mapowanie wyników na wymagania dyrektywy i rekomendacje priorytetyzowane według ryzyka. Połącz z modułem Security dla pełnego obrazu bezpieczeństwa strony.

Dyrektywa NIS2 rozszerzyła katalog podmiotów objętych wymogami cyberbezpieczeństwa. W Polsce implementacja ustawą o krajowym systemie cyberbezpieczeństwa obejmuje operatorów usług kluczowych (Annex I) i ważnych (Annex II) — m.in. sektor IT, produkcja, transport, zdrowie, finanse, energetyka, wodociągi, digital infrastructure.

Próg objęcia regulacją: co najmniej 50 pracowników i roczny obrót powyżej 10 mln EUR (lub bilans powyżej 10 mln EUR). Mniejsze podmioty w sektorach wysokiego ryzyka również podlegają wymogom. Strona internetowa firmy to publiczna wizytówka stanu cyberbezpieczeństwa organizacji.

Audyt NIS2 ResQode Intelligence analizuje widoczne z zewnątrz aspekty bezpieczeństwa strony — punkt wyjścia do pełnego audytu zgodności z NIS2, który wymaga oceny procesów, polityk i infrastruktury wewnętrznej.

Strict-Transport-Security (HSTS) wymusza HTTPS i chroni przed atakami downgrade. Content-Security-Policy (CSP) ogranicza źródła skryptów i stylów, blokując XSS. X-Frame-Options lub CSP frame-ancestors zapobiega clickjacking. X-Content-Type-Options: nosniff blokuje MIME sniffing.

Referrer-Policy kontroluje wyciek informacji w nagłówku Referer. Permissions-Policy ogranicza dostęp do API przeglądarki (kamera, mikrofon, geolokalizacja). Brak któregokolwiek z tych nagłówków to typowe znalezisko w audytach NIS2 — priorytet 1-2 z instrukcją konfiguracji dla nginx, Apache i Cloudflare.

Moduł NIS2 w ResQode Intelligence weryfikuje obecność i poprawność wszystkich wymaganych nagłówków. Raport zawiera gotowe fragmenty konfiguracji do wdrożenia oraz artykuły w bazie wiedzy z wyjaśnieniem każdego nagłówka.

NIS2 nakłada obowiązek zgłaszania incydentów cyberbezpieczeństwa o znacznym wpływie w ciągu 24 godzin (wczesne ostrzeżenie) i 72 godzin (szczegółowy raport) do CSIRT. Publicznie dostępna strona www z podatnościami — brak HTTPS, przestarzałe biblioteki JS z CVE, wyciek wersji serwera — zwiększa ryzyko incydentu.

Proaktywny audyt zewnętrzny strony www pozwala zidentyfikować wektory ataku zanim zostaną wykorzystane. Wykrycie jQuery 1.x z znanymi CVE, brak CSP umożliwiającego XSS, otwarte endpointy API — to sygnały wymagające natychmiastowej naprawy w kontekście NIS2.

Raport NIS2 ResQode mapuje znaleziska na wymagania dyrektywy dotyczące zarządzania ryzykiem cybernetycznym. Połącz wyniki z modułem ISO 27001 dla pełnej checklist bezpieczeństwa informacji.