Zarządzanie aktywami IT – wsparcie realizacji art. 8 KSC (NIS2) | Inwentaryzacja, CMDB, ITSM

Q: Czy ustawa o KSC (NIS2) wymaga inwentaryzacji zasobów IT?

Art. 8 ust. 1 pkt 2 lit. m ustawy o krajowym systemie cyberbezpieczeństwa wymaga od podmiotów kluczowych i ważnych (z wyjątkiem podmiotów ważnych będących podmiotami publicznymi, które stosują załącznik nr 4 – art. 8 ust. 3) „zarządzania aktywami” jako elementu systemu zarządzania bezpieczeństwem informacji. Ustawa nie narzuca formy, ale w praktyce bez aktualnego wykazu sprzętu, oprogramowania i usług z właścicielami i krytycznością trudno ten obowiązek zrealizować i wykazać w audycie. Dla podmiotów ważnych będących podmiotami publicznymi inwentaryzację produktów, usług i procesów ICT wprost wymienia załącznik nr 4 do ustawy.

Q: Do kiedy trzeba wdrożyć obowiązki z art. 8 ustawy o KSC?

Nowelizacja ustawy o KSC (Dz.U. 2026 poz. 252) obowiązuje od 3 kwietnia 2026 r. Podmioty, które w tym dniu spełniały przesłanki uznania za podmiot kluczowy lub ważny, realizują obowiązki z rozdziału 3, w tym art. 8, w terminie 12 miesięcy od wejścia w życie nowelizacji, czyli do 3 kwietnia 2027 r. (art. 33 ust. 1 ustawy nowelizującej). Pozostałe podmioty mają na to 12 miesięcy od dnia spełnienia przesłanek (art. 16 pkt 1). Podmioty kluczowe przeprowadzają pierwszy audyt w terminie 24 miesięcy (art. 16 pkt 2), a te objęte ustawą od dnia jej wejścia w życie – do 3 kwietnia 2028 r. (art. 33 ust. 2 ustawy nowelizującej).

Stan prawny

Co mówi ustawa o KSC o zarządzaniu aktywami?

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252) wdraża do polskiego prawa dyrektywę NIS2 i obowiązuje od 3 kwietnia 2026 r. Podmioty kluczowe i ważne muszą wdrożyć system zarządzania bezpieczeństwem informacji (art. 8 ust. 1), przy czym podmioty ważne będące podmiotami publicznymi stosują wymagania z załącznika nr 4 do ustawy (art. 8 ust. 3). Jednym z jego wymaganych elementów jest zarządzanie aktywami (art. 8 ust. 1 pkt 2 lit. m).

Obowiązek

Zarządzanie aktywami jako środek techniczny i organizacyjny w systemie zarządzania bezpieczeństwem informacji (art. 8 ust. 1 pkt 2 lit. m).

Termin

Podmioty, które spełniały przesłanki w dniu wejścia w życie nowelizacji: 3 kwietnia 2027 r. (art. 33 ust. 1 ustawy nowelizującej). Pozostałe: 12 miesięcy od spełnienia przesłanek (art. 16 pkt 1).

Odpowiedzialność

Kierownik podmiotu odpowiada za wykonanie obowiązków (art. 8c). Kara dla kierownika: do 300% wynagrodzenia (art. 73a ust. 4).

Audyt

Podmiot kluczowy przeprowadza pierwszy audyt w ciągu 24 miesięcy (art. 16 pkt 2), a objęty ustawą od dnia jej wejścia w życie – do 3 kwietnia 2028 r. (art. 33 ust. 2 ustawy nowelizującej). Kolejne audyty co najmniej raz na 3 lata (art. 15 ust. 1).

Czy to znaczy, że trzeba prowadzić inwentaryzację zasobów IT?

Ustawa nie określa formy zarządzania aktywami. W praktyce bez aktualnego wykazu sprzętu, oprogramowania i usług, z przypisanymi właścicielami i krytycznością, trudno ten obowiązek zrealizować i wykazać w audycie. Inwentarz aktywów przewiduje też norma ISO/IEC 27001:2022 (zabezpieczenie 5.9 w załączniku A), na której opiera się wiele systemów zarządzania bezpieczeństwem. Dla podmiotów ważnych będących podmiotami publicznymi inwentaryzację produktów, usług i procesów ICT wprost wymienia załącznik nr 4 do ustawy.

Zakres podmiotowy

Kogo dotyczą obowiązki z art. 8?

Podmioty kluczowe: m.in. przedsiębiorstwa większe niż średnie z sektorów wymienionych w załączniku nr 1 do ustawy (np. energia, transport, bankowość, ochrona zdrowia, woda, infrastruktura cyfrowa, zarządzanie usługami ICT).
Podmioty ważne: m.in. średnie przedsiębiorstwa z sektorów z załącznika nr 1 oraz średnie i większe z sektorów z załącznika nr 2 (np. produkcja, usługi pocztowe, gospodarka odpadami, chemia, żywność, dostawcy cyfrowi).
Część podmiotów podlega ustawie niezależnie od wielkości (np. dostawcy usług DNS, kwalifikowani dostawcy usług zaufania, podmioty krytyczne, wybrane podmioty publiczne).

Każdy podmiot sam ocenia, czy spełnia przesłanki, i składa wniosek o wpis do wykazu. Ocena ta wymaga analizy prawnej, której nie świadczymy. Możemy natomiast pomóc, gdy decyzja już zapadła albo trwa analiza luk.

Nasz zakres

Które obowiązki z art. 8 pomagamy zrealizować?

Zajmujemy się operacyjną częścią systemu zarządzania bezpieczeństwem informacji, czyli obszarami, w których potrzebne są dane o zasobach i działające procesy IT.

Przepis (art. 8 ust. 1)	Obowiązek	Co robimy
pkt 2 lit. m	zarządzanie aktywami	inwentaryzacja sprzętu, oprogramowania i usług; baza konfiguracji (CMDB); właściciele i klasyfikacja krytyczności; powiązania z usługami biznesowymi; cykl życia zasobu
pkt 4	zarządzanie incydentami	proces i narzędzie do rejestrowania, kategoryzacji, eskalacji i raportowania incydentów, z wyróżnieniem incydentów bezpieczeństwa
pkt 5 lit. b	regularne aktualizacje oprogramowania z analizą wpływu	wiedza, gdzie zainstalowane są poszczególne wersje; zarządzanie zmianą z oceną wpływu na podstawie CMDB; lista oprogramowania bez wsparcia producenta
pkt 2 lit. e	bezpieczeństwo łańcucha dostaw ICT	ewidencja dostawców, umów i licencji (SAM) powiązana z usługami i zasobami krytycznymi
pkt 2 lit. h	ocena skuteczności środków	mierniki i raporty dla zarządu: kompletność danych, zasoby bez właściciela, czas obsługi incydentów, zmiany bez zatwierdzenia

Metoda

Jak pracujemy

Każdy etap można zamówić osobno. Zwykle zaczynamy od diagnozy, która daje zarządowi obraz sytuacji i plan działań przed terminem ustawowym.

Diagnoza i raport z luk

Warsztat, przegląd istniejących danych (AD, MDM, wirtualizacja, chmura, ewidencje, umowy) i wywiady. Ocena dojrzałości w obszarach z art. 8 ust. 1 i plan działań z priorytetami.

Inwentaryzacja i CMDB

Model danych, automatyczne wykrywanie zasobów i integracje, uzgodnienie z ewidencją, właściciele i krytyczność, mapa zależności usług krytycznych, procedura utrzymania aktualności danych.

Procesy ITSM

Zarządzanie incydentami, zmianami i aktualizacjami według ITIL 4, w posiadanym lub nowym narzędziu. Raporty, szkolenia dla zespołu IT.

Utrzymanie i raportowanie

Okresowe przeglądy jakości danych, raporty dla zarządu, wsparcie w przygotowaniu materiałów do audytu.

Co otrzymują Państwo

aktualny, udokumentowany wykaz aktywów IT z właścicielami i krytycznością,
opisane i działające procesy incydentów, zmian i aktualizacji,
raporty dokumentujące realizację obowiązku dla zarządu i audytora,
dane potrzebne do szacowania ryzyka i planów ciągłości działania.

Przegląd CMDB

Mają Państwo już system ITSM lub CMDB?

Posiadanie narzędzia nie oznacza jeszcze zarządzania aktywami. Sprawdzamy, czy dane w CMDB wytrzymają pytania audytora, i uzupełniamy to, czego brakuje. Najczęstsze luki:

wykrywanie obejmuje tylko część zasobów (bez chmury, SaaS, urządzeń mobilnych lub OT),
duplikaty i rekordy nieaktualizowane od miesięcy,
brak właścicieli i klasyfikacji krytyczności,
brak powiązań zasobów z usługami biznesowymi („co przestanie działać, jeśli wyłączymy ten serwer?”),
zmiany, aktualizacje i incydenty, które nie odwołują się do elementów konfiguracji.

Pracujemy na narzędziach, które klient już ma, w tym na wiodących platformach ITSM i ITAM dostępnych na rynku.

Dlaczego IGETIT

Specjaliści od zarządzania usługami i zasobami IT

Nasz zespół to eksperci z ponad 15-letnim doświadczeniem we wdrożeniach ITSM, ITAM i CMDB w sektorach finansowym, telekomunikacyjnym, energetycznym, produkcyjnym i publicznym.
Zajmujemy się wyłącznie zarządzaniem usługami i zasobami IT (ITOM). Nie sprzedajemy „pełnego wdrożenia NIS2”, tylko konkretny, mierzalny zakres.
Procesy projektujemy według ITIL 4 i dopasowujemy do skali organizacji.

FAQ

Najczęstsze pytania

Czy ustawa o KSC (NIS2) wymaga inwentaryzacji zasobów IT?

Art. 8 ust. 1 pkt 2 lit. m wymaga od podmiotów kluczowych i ważnych (z wyjątkiem podmiotów ważnych będących podmiotami publicznymi, które stosują załącznik nr 4 – art. 8 ust. 3) „zarządzania aktywami” jako elementu systemu zarządzania bezpieczeństwem informacji. Ustawa nie narzuca formy, ale w praktyce bez aktualnego wykazu sprzętu, oprogramowania i usług z właścicielami i krytycznością trudno ten obowiązek zrealizować i wykazać w audycie. Dla podmiotów ważnych będących podmiotami publicznymi inwentaryzację produktów, usług i procesów ICT wprost wymienia załącznik nr 4 do ustawy.

Do kiedy trzeba wdrożyć obowiązki z art. 8 ustawy o KSC?

Nowelizacja (Dz.U. 2026 poz. 252) obowiązuje od 3 kwietnia 2026 r. Podmioty, które w tym dniu spełniały przesłanki uznania za podmiot kluczowy lub ważny, realizują obowiązki z rozdziału 3, w tym art. 8, w terminie 12 miesięcy od wejścia w życie nowelizacji, czyli do 3 kwietnia 2027 r. (art. 33 ust. 1 ustawy nowelizującej). Pozostałe podmioty mają na to 12 miesięcy od dnia spełnienia przesłanek (art. 16 pkt 1). Podmioty kluczowe przeprowadzają pierwszy audyt w terminie 24 miesięcy (art. 16 pkt 2), a te objęte ustawą od dnia jej wejścia w życie – do 3 kwietnia 2028 r. (art. 33 ust. 2 ustawy nowelizującej).

Kogo dotyczy nowelizacja ustawy o KSC?

Co do zasady średnich i dużych przedsiębiorstw z sektorów wymienionych w załącznikach nr 1 i 2 do ustawy (m.in. energia, bankowość, infrastruktura cyfrowa, zarządzanie usługami ICT, transport, zaopatrzenie w wodę, ochrona zdrowia, produkcja), a także podmiotów publicznych. Część podmiotów podlega ustawie niezależnie od wielkości. Każdy podmiot sam ocenia, czy spełnia przesłanki, i składa wniosek o wpis do wykazu.

Mamy już ServiceNow lub inny system z CMDB. Czy to wystarczy?

Posiadanie narzędzia nie jest równoznaczne z zarządzaniem aktywami. Typowe luki to niepełne wykrywanie zasobów (chmura, SaaS, OT), duplikaty i nieaktualne rekordy, brak właścicieli i krytyczności, brak powiązań z usługami biznesowymi oraz procesy zmian i incydentów, które nie korzystają z danych CMDB. Przegląd jakości CMDB pokazuje, czy dane wytrzymają pytania audytora.

Kto odpowiada za realizację obowiązków z ustawy o KSC?

Kierownik podmiotu kluczowego lub ważnego (art. 8c). Gdy kierownikiem jest organ wieloosobowy i nie wskazano osoby odpowiedzialnej, odpowiadają wszyscy jego członkowie. Na kierownika może zostać nałożona kara do 300% wynagrodzenia (art. 73a ust. 4).

Zacznijmy od diagnozy

Krótka rozmowa wystarczy, żeby ocenić, od czego zacząć i ile pracy zostało do ustawowego terminu.

Skontaktuj się z nami

Stan prawny na 2 listopada 2026 r. Podstawa: ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa w brzmieniu nadanym ustawą z dnia 23 stycznia 2026 r. (Dz.U. 2026 poz. 252).

Informacje na tej stronie mają charakter ogólny i nie stanowią porady prawnej. Ocena, czy dany podmiot podlega ustawie, oraz interpretacja obowiązków wymagają analizy prawnej.

Legal background

What does the Polish KSC Act say about asset management?

The amendment to the Polish National Cybersecurity System Act (KSC, Journal of Laws 2026 item 252) transposes the NIS2 Directive and has been in force since 3 April 2026. Essential and important entities must implement an information security management system (art. 8(1)); important entities that are public bodies apply the requirements of Annex 4 to the Act instead (art. 8(3)). One of its required elements is asset management (art. 8(1)(2)(m)).

Obligation

Asset management as a technical and organisational measure within the information security management system (art. 8(1)(2)(m)).

Deadline

Entities that met the criteria when the amendment entered into force: 3 April 2027 (art. 33(1) of the amending act). Others: 12 months from meeting the criteria (art. 16(1)).

Accountability

The head of the entity is responsible for the obligations (art. 8c). Penalty for the head: up to 300% of remuneration (art. 73a(4)).

Audit

Essential entities carry out their first audit within 24 months (art. 16(2)); those covered since the Act entered into force – by 3 April 2028 (art. 33(2) of the amending act). Subsequent audits at least every 3 years (art. 15(1)).

Does this mean an IT asset inventory is required?

The Act does not prescribe the form of asset management. In practice, without an up-to-date register of hardware, software and services, with assigned owners and criticality, it is hard to fulfil this obligation and demonstrate it in an audit. An asset inventory is also provided for in ISO/IEC 27001:2022 (Annex A control 5.9), on which many security management systems are based. For important entities that are public bodies, Annex 4 to the Act explicitly requires an inventory of ICT products, services and processes.

Scope

Who must comply with art. 8?

Essential entities: among others, enterprises larger than medium-sized in sectors listed in Annex 1 to the Act (e.g. energy, transport, banking, health, water, digital infrastructure, ICT service management).
Important entities: among others, medium-sized enterprises in Annex 1 sectors and medium-sized or larger enterprises in Annex 2 sectors (e.g. manufacturing, postal services, waste management, chemicals, food, digital providers).
Some entities are covered regardless of size (e.g. DNS service providers, qualified trust service providers, critical entities, selected public bodies).

Each entity assesses on its own whether it meets the criteria and applies for entry in the register. This assessment requires legal analysis, which we do not provide. We can help once the decision has been made or while a gap analysis is under way.

Our scope

Which art. 8 obligations do we help with?

We cover the operational part of the information security management system: the areas that depend on asset data and working IT processes.

Provision (art. 8(1))	Obligation	What we do
(2)(m)	asset management	inventory of hardware, software and services; configuration management database (CMDB); owners and criticality classification; links to business services; asset lifecycle
(4)	incident management	process and tool for logging, categorising, escalating and reporting incidents, with security incidents clearly flagged
(5)(b)	regular software updates with impact analysis	knowing where each version is installed; change management with CMDB-based impact assessment; list of software without vendor support
(2)(e)	ICT supply chain security	register of suppliers, contracts and licences (SAM) linked to critical services and assets
(2)(h)	assessing the effectiveness of measures	metrics and management reports: data completeness, assets without owners, incident handling times, unapproved changes

Method

How we work

Each stage can be ordered separately. We usually start with an assessment that gives management a clear picture and an action plan ahead of the statutory deadline.

Assessment and gap report

Workshop, review of existing data (AD, MDM, virtualisation, cloud, registers, contracts) and interviews. Maturity rating for the art. 8(1) areas and a prioritised action plan.

Inventory and CMDB

Data model, automated discovery and integrations, reconciliation with existing registers, owners and criticality, dependency map of critical services, procedure for keeping data current.

ITSM processes

Incident, change and update management based on ITIL 4, in your existing or a new tool. Reports and training for the IT team.

Ongoing maintenance and reporting

Periodic data quality reviews, management reports, support in preparing audit materials.

What you get

an up-to-date, documented IT asset register with owners and criticality,
defined and working incident, change and update processes,
reports documenting how the obligation is met, for management and auditors,
the data needed for risk assessment and business continuity planning.

CMDB review

Already using an ITSM system or CMDB?

Having a tool does not yet mean managing assets. We check whether your CMDB data would stand up to an auditor's questions and fill the gaps. The most common gaps:

discovery covers only part of the estate (no cloud, SaaS, mobile devices or OT),
duplicates and records not updated for months,
no owners or criticality classification,
assets not linked to business services ("what stops working if we switch this server off?"),
changes, updates and incidents that do not reference configuration items.

We work with the tools you already have, including the leading ITSM and ITAM platforms on the market.

Why IGETIT

Specialists in IT service and asset management

Our team consists of experts with more than 15 years of experience in ITSM, ITAM and CMDB implementations in the financial, telecommunications, energy, manufacturing and public sectors.
We focus solely on IT service and asset management (ITOM). We don't sell a "complete NIS2 implementation", but a specific, measurable scope.
We design processes based on ITIL 4, scaled to your organisation.

FAQ

Frequently asked questions

Does the Polish KSC Act (NIS2) require an IT asset inventory?

Art. 8(1)(2)(m) requires essential and important entities (except important entities that are public bodies, which apply Annex 4 – art. 8(3)) to carry out "asset management" as part of their information security management system. The Act does not prescribe the form, but in practice, without an up-to-date register of hardware, software and services with owners and criticality, it is hard to fulfil this obligation and demonstrate it in an audit. For important entities that are public bodies, Annex 4 explicitly requires an inventory of ICT products, services and processes.

When must the art. 8 obligations be implemented?

The amendment (Journal of Laws 2026 item 252) has been in force since 3 April 2026. Entities that met the criteria for essential or important entities on that date must meet the Chapter 3 obligations, including art. 8, within 12 months of the amendment entering into force, i.e. by 3 April 2027 (art. 33(1) of the amending act). Other entities have 12 months from meeting the criteria (art. 16(1)). Essential entities carry out their first audit within 24 months (art. 16(2)); those covered since the Act entered into force – by 3 April 2028 (art. 33(2) of the amending act).

Who does the KSC amendment apply to?

As a rule, medium-sized and large enterprises in sectors listed in Annexes 1 and 2 to the Act (including energy, banking, digital infrastructure, ICT service management, transport, water supply, health and manufacturing), as well as public bodies. Some entities are covered regardless of size. Each entity assesses on its own whether it meets the criteria and applies for entry in the register.

We already have ServiceNow or another system with a CMDB. Is that enough?

Having a tool is not the same as managing assets. Typical gaps include incomplete discovery (cloud, SaaS, OT), duplicates and stale records, missing owners and criticality, no links to business services, and change and incident processes that do not use CMDB data. A CMDB quality review shows whether your data would stand up to an auditor's questions.

Who is accountable for the KSC obligations?

The head of the essential or important entity (art. 8c). Where the head is a collective body and no responsible person has been designated, all of its members are accountable. The head may be fined up to 300% of their remuneration (art. 73a(4)).

Let's start with an assessment

A short conversation is enough to decide where to start and how much work remains before the statutory deadline.

Legal status as of 2 November 2026. Basis: the Act of 5 July 2018 on the National Cybersecurity System as amended by the Act of 23 January 2026 (Journal of Laws 2026 item 252).

The information on this page is general in nature and does not constitute legal advice. Assessing whether an entity is in scope and interpreting its obligations requires legal analysis.

Zarządzanie aktywami IT – wsparcie realizacji art. 8 ustawy o KSC (NIS2) IT asset management – supporting art. 8 of the Polish KSC Act (NIS2)