Kompleksowa ochrona zasobow IT zgodna z NIS2
Kompletny stack bezpieczenstwa open source spiety automatyzacja - ochrona przed atakami i wyciekiem danych oraz zgodnosc z NIS2/KSC. Analiza, projekt i wdrozenie od 50 000 zl.
Dobre zabezpieczenie firmy nie musi oznaczać kosztownych licencji za setki tysięcy złotych rocznie. Pokazujemy referencyjną architekturę zbudowaną w całości z dojrzałych, darmowych narzędzi open source - spiętych w jedną całość przez API - która realnie chroni przed atakami i wyciekiem danych, a jednocześnie pokrywa techniczne wymagania dyrektywy NIS2 i polskiej ustawy o KSC.
To materiał poglądowy: skupiamy się na logice i architekturze, a nie na konfiguracji krok po kroku. Czyta się go dwutorowo - sekcje oznaczone „Dla zarządu” tłumaczą wartość biznesową i zgodność, a sekcje „Dla IT” opisują, jak elementy układanki działają technicznie. Na końcu pokazujemy, które konkretnie przepisy NIS2/KSC wymuszają taki zestaw mechanizmów oraz ile to naprawdę kosztuje.
Dla zarządu - w trzech zdaniach
Licencje to zwykle największa pozycja w budżecie cyberbezpieczeństwa, a da się ją sprowadzić niemal do zera, używając narzędzi klasy korporacyjnej dostępnych za darmo. Koszt przesuwa się z „opłat za oprogramowanie” na kompetentne wdrożenie i utrzymanie - i to jest jedyny realny wydatek. Efektem jest mierzalne obniżenie ryzyka oraz udokumentowana zgodność z NIS2/KSC, których brak grozi karami sięgającymi 10 mln euro lub 2% globalnego obrotu.
Kompleksowe zabezpieczenie firmy w oparciu o ten stack - dopasowane do Twojej infrastruktury i wymagań NIS2/KSC, z dedykowaną warstwą automatyzacji spinającą narzędzia po API.
01 · KontekstKogo to dotyczy i dlaczego teraz
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC), wdrażająca dyrektywę NIS2, obowiązuje w Polsce od 3 kwietnia 2026 r. Wprowadza dwie kategorie podmiotów objętych obowiązkami: kluczowe (sektory z załącznika 1, zwykle ponad 250 osób lub obrót powyżej 50 mln euro) oraz ważne (średnie firmy z załączników 1–2, 50–249 osób lub 10–50 mln euro obrotu). Jeśli prowadzisz firmę produkcyjną, logistyczną, z sektora energii, zdrowia, IT, gospodarki odpadami czy żywności - z dużym prawdopodobieństwem łapiesz się na jedną z tych kategorii.
Najbliższe terminy (KSC / NIS2)
3.10.2026 - termin na rejestrację podmiotu (samodzielna identyfikacja w pierwszych 6 miesiącach). · 2.04.2027 - wdrożenie pełnych środków zarządzania ryzykiem (12 miesięcy). · od 3.04.2028 - kary pieniężne mogą być nakładane po 2-letnim okresie przejściowym. Sankcje sięgają 10 mln euro lub 2% globalnego obrotu dla podmiotów kluczowych (7 mln euro / 1,4% dla ważnych), a w skrajnych przypadkach do 100 mln zł - z osobistą odpowiedzialnością kierownictwa.
Sednem NIS2 jest zarządzanie ryzykiem w sposób ciągły i udokumentowany: trzeba nie tylko „mieć firewall”, ale wykrywać incydenty, zgłaszać je w sztywnych terminach (24 h / 72 h), systematycznie wyszukiwać i usuwać podatności oraz umieć to wszystko wykazać dowodami. Dokładnie te zdolności daje opisany dalej stack - i właśnie dlatego nie wystarczy pojedyncze narzędzie, tylko spójny zestaw warstw.
02 · ArchitekturaPięć warstw obrony + warstwa spinająca
Architektura opiera się na zasadzie obrony w głąb (defense in depth): każda warstwa robi jedną rzecz dobrze i przekazuje dane wyżej. Im głębiej, tym bardziej przechodzimy od „blokowania” do „rozumienia i dowodzenia”. Kliknij warstwę, aby zobaczyć jej rolę i narzędzie.
Co robi i dlaczego jest pierwsze
OPNsense to brama między internetem a siecią firmy. Filtruje ruch, segmentuje sieć (oddziela serwery, stacje robocze, IoT), terminuje VPN i - co kluczowe - uruchamia inline IPS (silnik Suricata wpięty w trasę pakietów), który nie tylko widzi, ale i blokuje znane ataki, zanim dotrą do hosta.
- Dla IT: reguły zaporowe, NAT, mikrosegmentacja VLAN, polityki per-strefa, IDS/IPS na bazie reguł ET Open, pełne API REST do automatyzacji.
- Efekt: redukcja powierzchni ataku i automatyczne odcinanie znanych zagrożeń u samego wejścia.
Dwa spojrzenia na ten sam ruch
Suricata dopasowuje pakiety do sygnatur znanych ataków (IDS/IPS) i generuje alerty. Zeek patrzy inaczej - zamiast sygnatur tworzy bogaty, ustrukturyzowany zapis metadanych każdego połączenia (kto, z kim, jakim protokołem, jak długo, jakie certyfikaty TLS, jakie zapytania DNS). To pozwala wykrywać anomalie, których nie opisuje żadna sygnatura.
- Dla IT: Suricata = sygnatury + EVE JSON; Zeek = logi conn/dns/http/ssl/files do analizy i polowania na zagrożenia (threat hunting).
- Efekt: widzisz zarówno „znane złe”, jak i „dziwne”, które dopiero może okazać się atakiem.
Mózg całego systemu
Wazuh zbiera logi ze wszystkiego - z OPNsense, Suricaty, Zeeka, serwerów, stacji roboczych, chmury - i koreluje je w jedną opowieść. Dodatkowo działa jako agent na hostach (wykrywanie włamań, monitoring integralności plików FIM, ocena zgodności konfiguracji). To tutaj rozproszone sygnały zamieniają się w konkretny alert o incydencie.
- Dla IT: HIDS + log management + reguły korelacyjne, moduły zgodności (CIS, PCI), gotowe dashboardy, pełne API.
- Efekt: jeden punkt prawdy o tym, co dzieje się w infrastrukturze - fundament zgłaszania incydentów w terminach NIS2.
Trzy skanery, trzy uzupełniające się zakresy
Nuclei sprawdza aplikacje i usługi webowe pod kątem tysięcy znanych podatności (szablony aktualizowane przez społeczność). Trivy skanuje kontenery, obrazy, zależności kodu i konfiguracje IaC - kluczowe dla bezpieczeństwa łańcucha dostaw oprogramowania. OpenVAS/GVM wykonuje klasyczne skany sieci i hostów (nieaktualne wersje, błędne konfiguracje, brakujące łatki).
- Dla IT: Nuclei = web/DAST szablonowy; Trivy = SCA + obrazy + IaC; OpenVAS = vuln scan sieci/hostów z bazą NVT.
- Efekt: ciągłe „polowanie” na słabe punkty, zanim znajdzie je atakujący.
Od chaosu wyników do procesu
Trzy skanery generują tysiące wyników - wiele zduplikowanych. DefectDojo zbiera je w jednym miejscu, deduplikuje, priorytetyzuje wg ryzyka, pilnuje terminów naprawy (SLA) i pokazuje trendy. To różnica między „mamy listę 4000 alertów” a „wiemy, które 12 rzeczy naprawić w tym tygodniu i mamy na to dowód”.
- Dla IT: agregacja wyników z 150+ narzędzi, deduplikacja, zarządzanie ryzykiem, metryki, raporty, API.
- Efekt: udokumentowany, powtarzalny proces zarządzania podatnościami - wprost wymagany przez NIS2.
Nasz orkiestrator łączy wszystkie warstwy przez ich API: zleca skany, pobiera alerty, synchronizuje podatności i automatycznie generuje raporty zgodności oraz oś czasu incydentu (24 h / 72 h). To dzięki niej pięć osobnych narzędzi działa jak jeden system.
03 · Jak to działaDwa obiegi danych spięte przez orkiestrator
Całość działa w dwóch równoległych obiegach. Tor detekcji (na górze) pracuje w czasie rzeczywistym: ruch wchodzi przez OPNsense, jest analizowany przez Suricatę i Zeeka, a wszystkie ślady trafiają do Wazuh, który koreluje je w alerty. Tor podatności (na dole) działa cyklicznie: skanery szukają słabych punktów, a DefectDojo zamienia surowe wyniki w uporządkowany proces naprawy. W środku stoi aplikacja dedykowana, która przez API zleca skany, odbiera alerty i podatności, a na wyjściu generuje to, czego wymaga NIS2: zgłoszenia incydentów, zadania naprawcze i raporty zgodności.
Dla IT - dlaczego API jest tu najważniejsze
Każdy element stacku ma stabilne API REST. To pozwala zbudować zdarzeniową automatyzację: alert z Wazuh może automatycznie uruchomić ukierunkowany skan Nuclei, którego wynik ląduje w DefectDojo, a stamtąd jako zadanie z SLA trafia do zespołu - bez ręcznego przeklejania. Ta sama warstwa składa zdarzenia w oś czasu incydentu wymaganą do zgłoszeń 24 h / 72 h.
04 · NarzędziaCo dokładnie wchodzi w skład stacku
Wszystkie komponenty to dojrzałe projekty open source z wieloletnim wsparciem społeczności i - co istotne dla automatyzacji - stabilnym API. Każdy jest darmowy do użytku komercyjnego (różne licencje wolnego oprogramowania).
OPNsense BSD
Firewall nowej generacji z inline IPS, VPN i segmentacją sieci. Pierwsza linia obrony i punkt egzekwowania polityk ruchu.
Suricata GPLv2
Wysokowydajny silnik IDS/IPS dopasowujący ruch do sygnatur zagrożeń. Pracuje też w trybie inline wewnątrz OPNsense.
Zeek BSD
Analizator ruchu tworzący bogate, ustrukturyzowane metadane połączeń - podstawa wykrywania anomalii i threat huntingu.
Wazuh GPLv2
Platforma SIEM/XDR: zbieranie i korelacja logów, HIDS, monitoring integralności plików, moduły zgodności i alerting.
Nuclei MIT
Błyskawiczny skaner podatności aplikacji i usług webowych oparty na tysiącach szablonów aktualizowanych przez społeczność.
Trivy Apache 2.0
Skaner kontenerów, obrazów, zależności kodu (SCA) i konfiguracji IaC - kluczowy dla bezpieczeństwa łańcucha dostaw.
OpenVAS / GVM GPLv2
Klasyczny skaner podatności sieci i hostów z rozbudowaną bazą testów (NVT): nieaktualne wersje, błędne konfiguracje, braki łatek.
DefectDojo BSD
Platforma zarządzania podatnościami: agregacja wyników z wielu skanerów, deduplikacja, priorytety, SLA, metryki i raporty.
05 · WdrożeniePrzykładowy harmonogram krok po kroku
Poniżej poglądowy plan wdrożenia rozłożony na ok. 12 tygodni. Każdy etap dokłada jedną zdolność i jest powiązany z konkretnym wymaganiem NIS2 (numery przepisów wyjaśniamy w sekcji 07). Kliknij etap, aby zobaczyć szczegóły i efekt.
Spis zasobów (serwery, aplikacje, dane, dostawcy), klasyfikacja krytyczności i wstępna ocena ryzyka. Bez tego nie wiadomo, co i przed czym chronić. Efekt: rejestr zasobów i ryzyk - punkt odniesienia dla całego wdrożenia i wymóg formalny NIS2.
Wdrożenie firewalla, podział sieci na strefy (serwery / użytkownicy / IoT / DMZ), polityki ruchu i VPN dla pracy zdalnej. Efekt: mniejsza powierzchnia ataku i kontrola, kto z czym może się komunikować.
Włączenie inline IPS (Suricata) na brzegu oraz pasywnej analizy metadanych (Zeek). Efekt: znane ataki są blokowane automatycznie, a nietypowe zachowania zostają zarejestrowane do dalszej analizy.
Spięcie logów ze wszystkich źródeł, agenci na serwerach i stacjach, reguły korelacyjne i dashboardy. Efekt: jeden punkt prawdy o zdarzeniach i fundament pod terminowe zgłaszanie incydentów (24 h / 72 h).
Uruchomienie cyklicznych skanów: web (Nuclei), kontenery i zależności (Trivy), sieć i hosty (OpenVAS). Efekt: ciągłe wykrywanie słabych punktów, w tym w łańcuchu dostaw oprogramowania.
Wyniki skanerów trafiają do jednego repozytorium: deduplikacja, priorytety wg ryzyka, terminy naprawy (SLA), metryki. Efekt: uporządkowany, audytowalny proces naprawy zamiast tysięcy luźnych alertów.
Spięcie warstw przez API: automatyczne zlecanie skanów, przepływ alert→skan→zadanie, składanie osi czasu incydentu i generowanie raportów zgodności. Efekt: pięć narzędzi działa jak jeden system, a praca ręczna spada do minimum.
Procedury reagowania na incydenty, szkolenia, testy (np. pentest weryfikujący stack) i cykliczny przegląd skuteczności przez kierownictwo. Efekt: bezpieczeństwo jako proces, nie jednorazowy projekt - dokładnie tego oczekuje NIS2.
06 · KlejDlaczego aplikacja dedykowana zmienia wszystko
Same darmowe narzędzia to dopiero pudełko z klockami. Bez warstwy spinającej zespół IT musi ręcznie logować się do pięciu paneli, przeklejać wyniki i samodzielnie składać dowody zgodności - co przy presji terminów NIS2 zwyczajnie się nie skaluje. Aplikacja dedykowana (orkiestrator) łączy wszystkie komponenty przez ich API i daje to, czego żaden pojedynczy element nie ma w pełni:
- Jeden pulpit - stan bezpieczeństwa całej firmy w jednym miejscu, zamiast pięciu osobnych konsol.
- Automatyzacja zdarzeniowa - alert z Wazuh potrafi sam uruchomić ukierunkowany skan, a wynik zamienić w zadanie z terminem.
- Oś czasu incydentu - automatyczne składanie chronologii zdarzeń pod zgłoszenia 24 h / 72 h do CSIRT.
- Raporty zgodności - gotowe zestawienia mapujące stan techniczny na wymagania NIS2/KSC, do przedstawienia audytorowi lub zarządowi.
To właśnie ten element projektujemy i wdrażamy indywidualnie - w ramach usługi tworzenia oprogramowania i automatyzacji - dopasowując integracje do realnej infrastruktury klienta.
07 · ZgodnośćKtóre przepisy NIS2/KSC wymuszają taki stack
To nie jest „bezpieczeństwo dla samego bezpieczeństwa”. Konkretne artykuły dyrektywy NIS2 - przeniesione do polskiej ustawy o KSC - wprost wymagają zdolności, które daje opisany zestaw. Najważniejszy jest art. 21 ust. 2, wymieniający dziesięć minimalnych środków zarządzania ryzykiem (lit. a–j), oraz art. 23 (zgłaszanie incydentów) i art. 20 (nadzór kierownictwa). Poniżej mapujemy każdy z nich na warstwy stacku. Kliknij wiersz, aby zobaczyć, jak go realizujemy.
Skanery i rejestr podatności dostarczają twardych danych o ryzyku technicznym, a Wazuh ocenia zgodność konfiguracji. Same polityki to dokumenty - stack daje pod nie dowody i pomiar.
Detekcja w ruchu i na hostach, korelacja w SIEM oraz zautomatyzowane reagowanie tworzą pełny cykl obsługi incydentu - od wykrycia po zamknięcie.
Stack zapewnia wysoką dostępność brzegu i monitoruje integralność systemów, ale właściwe kopie zapasowe i plan odtwarzania (DR) to osobne rozwiązania, które dobieramy wdrożeniowo.
Trivy skanuje zależności, obrazy i konfiguracje pochodzące od dostawców (SCA), a DefectDojo śledzi ryzyko komponentów trzecich w czasie - wprost adresując łańcuch dostaw oprogramowania.
To najmocniejsze mapowanie: trzy skanery plus platforma zarządzania podatnościami tworzą pełny, udokumentowany proces wykrywania i usuwania luk - dokładnie to, czego wymaga ten przepis.
Metryki podatności, dashboardy zgodności i automatyczne raporty pozwalają mierzyć, czy środki naprawdę działają - i wykazać to audytorowi liczbami, a nie deklaracjami.
Ciągłe skanowanie i monitoring egzekwują higienę techniczną (aktualizacje, konfiguracje). Szkolenia pracowników to działanie organizacyjne prowadzone obok stacku.
OPNsense zapewnia szyfrowane tunele VPN i TLS, a Zeek daje wgląd w używane certyfikaty i wersje protokołów (wykrywanie słabego szyfrowania). Polityki kluczy i szyfrowanie danych „w spoczynku” dobieramy osobno.
Segmentacja i polityki ruchu egzekwują dostęp na poziomie sieci, a Wazuh prowadzi inwentaryzację i monitoruje zmiany. Zarządzanie tożsamością użytkowników (IAM) integrujemy z istniejącym katalogiem.
OPNsense wymusza MFA dla dostępu zdalnego. Pełne MFA dla wszystkich aplikacji firmowych realizujemy przez dostawcę tożsamości (IdP), który spinamy z resztą środowiska.
Wazuh wykrywa i klasyfikuje istotne incydenty, a orkiestrator składa oś czasu i przygotowuje treść zgłoszeń w wymaganych terminach (wczesne ostrzeżenie 24 h, zgłoszenie 72 h, raport końcowy w miesiąc).
To obowiązek organizacyjny zarządu, ale raporty zarządcze i metryki ze stacku dają kierownictwu realny obraz ryzyka, którego wymaga nadzór - i dowód jego sprawowania.
Wniosek: stack technicznie pokrywa większość minimalnych środków z art. 21, a w obszarze obsługi incydentów i zarządzania podatnościami robi to w pełni. Środki czysto organizacyjne - polityki, szkolenia, MFA dla użytkowników, kopie zapasowe - wymagają uzupełnienia, o czym uczciwie piszemy w sekcji Ograniczenia.
08 · KosztyIle to naprawdę kosztuje
Najdroższym elementem komercyjnego bezpieczeństwa są licencje - opłacane co roku, niezależnie od tego, czy coś się dzieje. W modelu open source ta pozycja znika. Poniżej poglądowe porównanie rzędów wielkości (orientacyjne koszty roczne dla średniej firmy).
Dla zarządu - wniosek finansowy
Przejście na stack open source potrafi wyeliminować rzędu 200–250 tys. zł rocznych opłat licencyjnych, zamieniając je na jednorazowy projekt od ok. 50 000 zł (analiza, projekt i wdrożenie). Budżet bezpieczeństwa zostaje w firmie - w postaci wiedzy i procesów - zamiast wypływać co roku do dostawcy licencji.
09 · UczciwieCzego ten stack NIE załatwia
Żeby materiał był rzetelny, a nie marketingowy - oto granice tego podejścia. Świadomość tych ograniczeń jest częścią dobrej decyzji.
- „Darmowe” dotyczy licencji, nie całości. Potrzebny jest sprzęt (serwery/appliance), a przede wszystkim czas i kompetencje na wdrożenie oraz utrzymanie. To realny, choć inny rodzaj kosztu.
- Narzędzie bez procesu to półka. SIEM, który nikt nie czyta, i skany, których nikt nie naprawia, nie zwiększają bezpieczeństwa. Kluczowe są reguły, tuning i reagowanie.
- To warstwa techniczna. NIS2/KSC wymaga też elementów organizacyjnych: polityk, szkoleń, ról i odpowiedzialności, planu ciągłości działania (BCP/DR), MFA dla użytkowników i zarządzania dostawcami.
- Sam stack też trzeba zabezpieczyć. Self-hosting oznacza odpowiedzialność za utwardzenie i dostęp do samych narzędzi.
- Zgodność to proces ciągły. Nie „projekt na raz”, lecz utrzymywana w czasie zdolność - przeglądana cyklicznie przez kierownictwo.
Dobra wiadomość: każdy z tych punktów da się domknąć. To właśnie rola partnera wdrożeniowego - zamienić zestaw darmowych narzędzi w utrzymywany, zgodny z prawem system bezpieczeństwa.
10 · PodsumowanieBezpieczeństwo klasy enterprise bez budżetu enterprise
Dojrzałe narzędzia open source - OPNsense, Suricata, Zeek, Wazuh, Nuclei, Trivy, OpenVAS i DefectDojo - spięte przez warstwę orkiestracji tworzą kompletny system bezpieczeństwa: blokują znane ataki, wykrywają incydenty, ciągle szukają podatności i dostarczają dowodów zgodności z NIS2/KSC. Licencyjnie jest to praktycznie darmowe; realnym kosztem jest kompetentne wdrożenie i utrzymanie - i to jedyne, za co warto zapłacić.
To podejście nie zastępuje organizacyjnej strony NIS2 (polityki, szkolenia, ciągłość działania), ale daje solidny, audytowalny fundament techniczny, na którym resztę da się domknąć - szybciej i taniej, niż zaczynając od kosztownych licencji.
Chcesz wdrożyć taki stack u siebie?
Projektujemy i wdrażamy stacki bezpieczeństwa open source wraz z dedykowaną warstwą automatyzacji - od inwentaryzacji, przez integracje API, po raportowanie zgodności z NIS2/KSC. Pomagamy też potwierdzić, czy i jako jaki podmiot obejmują Cię nowe obowiązki.
Porozmawiaj z ekspertem →Powiązane tematy
Zastrzeżenie
Materiał ma charakter informacyjny i edukacyjny - nie stanowi porady prawnej ani oferty handlowej. Klasyfikację podmiotu oraz pełny zakres obowiązków wynikających z ustawy o KSC/NIS2 warto potwierdzić indywidualnie. Nazwy narzędzi i ich licencje należą do ich autorów; szczegóły licencyjne i konfiguracyjne należy zweryfikować na etapie wdrożenia.