nis2-ksc-pllisted

# NIS2 / KSC PL - triage zakresu i obowiązków (dyrektywa (UE) 2022/2555) ## Filozofia NIS2 to najpierw pytanie o zakres, dopiero potem o środki. Większość błędów doradczych bierze się z pominięcia triage'u: firma "czuje", że podlega (albo że nie podlega), i od razu kupuje audyt. Skill prowadzi nawigator w stałej kolejności: **czy w zakresie -> jaka kategoria -> jakie środki -> jakie raportowanie -> co mówi transpozycja krajowa**. Każda teza ma tag pewności; numer przepisu, którego nie da się potwierdzić w sesji, dostaje [DO SPRAWDZENIA], nie zgadywany numer. Druga zasada: **dyrektywa nie działa wprost na przedsiębiorcę**. Obowiązki w Polsce nakłada ustawa o KSC po nowelizacji wdrażającej NIS2. Dopóki skill nie ustali stanu transpozycji na dzień użycia, wszystko poniżej jest mapą dyrektywy, nie listą obowiązków wykonalnych "od jutra". ## Kiedy używać / Czego NIE robi **Używać:** wstępny triage "czy podlegamy NIS2", spór "kluczowy czy ważny", inwentaryzacja 10 środków z art. 21 ust. 2 przed audytem, ułożenie zegara raportowania na wypadek incydentu, briefing zarządu o odpowiedzialności z art. 20, przygotowanie luk do planu wdrożenia. **NIE robi:** - nie zastępuje audytu bezpieczeństwa ani testów penetracyjnych - mapa środków opiera się na deklaracjach użytkownika, skill niczego technicznie nie weryfikuje, - nie ocenia jakości wdrożenia środka (czy backup faktycznie działa) - tylko czy istnieje i czy jest udokumentowany według wiedzy użytkownika, - nie prowadzi obsługi