Nowa ustawa o KSC (NIS2) a warstwa transmisyjna: co inżynier sieci może zrobić od zaraz

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC), która wdraża dyrektywę NIS2, obowiązuje od 3 kwietnia 2026 r. Wniosek o wpis do Wykazu KSC trzeba złożyć do 3 października 2026 r., system zarządzania bezpieczeństwem informacji ma działać do 3 kwietnia 2027 r., a od 3 kwietnia 2028 r. ruszają obowiązkowe audyty i kary pieniężne. Ustawa nie zawiera zdania „szyfruj światłowód". Wymaga za to analizy ryzyka, polityki kryptografii, ciągłości działania i zarządzania aktywami dla całego systemu informacyjnego, z którego świadczysz usługę. Sieć transportowa jest częścią tego systemu. Ten tekst pokazuje cztery środki techniczne w warstwie transmisyjnej, które inżynier sieci może uruchomić bez czekania na prawników, oraz dokumentację, którą audytor zobaczy jako pierwszą.

Kalendarz obowiązków: siedem dat, które musisz znać

Trzy uwagi do kalendarza. Po pierwsze, podmiot, który zacznie spełniać kryteria po 3.04.2026, ma 6 miesięcy od tego dnia na wpis do wykazu. Po drugie, kary pieniężne co do zasady obowiązują od 3.04.2028, ale kara ekstraordynaryjna, do 100 mln zł za naruszenie powodujące bezpośrednie i poważne cyberzagrożenie, między innymi dla bezpieczeństwa państwa, obowiązuje od wejścia ustawy w życie, a kontrola obejmie okres od 3.04.2027. Po trzecie, organem właściwym dla sektora telekomunikacyjnego jest Prezes UKE. Średni i duzi przedsiębiorcy telekomunikacyjni to podmioty kluczowe z obowiązkiem audytu, mali i mikro to podmioty ważne. Swój status sprawdź w załączniku nr 1 do ustawy, nie w tym artykule.

Dlaczego warstwa fizyczna w ogóle podlega ustawie

‍
NIS2 w art. 21 ust. 2 wymienia minimalny zestaw środków, które KSC przenosi do obowiązków podmiotów kluczowych i ważnych. Cztery z nich dotyczą sieci transportowej wprost.

Do tego dochodzi zarządzanie aktywami. SZBI w rozumieniu KSC obejmuje system informacyjny wykorzystywany w procesach wpływających na świadczenie usługi. Łącze DWDM między dwoma centrami danych, dzierżawiona lambda do punktu wymiany ruchu, ciemne włókno do węzła agregacyjnego: to wszystko są aktywa tego systemu. Audytor, który zobaczy analizę ryzyka bez scenariusza podsłuchu i bez scenariusza przecięcia trasy, uzna ją za niekompletną. Nie dlatego, że ustawa wymienia światłowód, ale dlatego, że wymaga analizy ryzyka adekwatnej do zagrożeń, a te dwa zagrożenia są udokumentowane i tanie w realizacji.

Podsłuch światłowodu to realne ryzyko, nie teoria

Włókno nie emituje sygnału na zewnątrz, ale wystarczy je wygiąć. Sprzęgacz makrozgięciowy, zaciskany na włóknie w miejscu zdjęcia powłoki wtórnej lub bezpośrednio na patchcordzie, wyprowadza ułamek mocy optycznej na fotodetektor. Dobrze wykonany odczep wprowadza tłumienie rzędu dziesiątych części decybela, poniżej 1 dB. Na łączu z marginesem mocy od 3 do 6 dB taki spadek nie wywoła alarmu, jeśli nikt nie ustawił progu. Sprzęt do wykonania odczepu to komercyjne narzędzia serwisowe, dostępne za kilkaset dolarów.

Dwie konsekwencje dla analizy ryzyka. Po pierwsze, nieszyfrowany ruch na łączu, którego trasy fizycznej nie kontrolujesz, jest ruchem dostępnym dla każdego, kto ma dostęp do studni. Po drugie, przechwycony dziś ruch zaszyfrowany algorytmem asymetrycznym będzie odszyfrowany po pojawieniu się komputera kwantowego, w modelu „zbierz teraz, odszyfruj później". Ten wątek rozwijamy w serii o QKD: Twoje szyfrowanie ma datę ważności, Protokoły i integracja QKD w sieci operatorskiej oraz QKD: wdrażać, planować czy czekać.

Nieszyfrowany ruch na łączu, którego trasy fizycznej nie kontrolujesz, jest ruchem dostępnym dla każdego, kto ma dostęp do studni.

Cztery środki techniczne w warstwie transmisyjnej

1. Szyfrowanie: OTNsec w warstwie 1 albo MACsec w warstwie 2

‍
Wybór warstwy szyfrowania wynika z tego, co kontrolujesz, nie z preferencji.

Szyfruj w najniższej warstwie, do której masz dostęp na obu końcach. Własny DWDM to OTNsec, dzierżawiona lambda to MACsec, usługa IP to IPsec.

Ustawienia, które audytor sprawdzi i które warto zapisać w polityce kryptografii:

Bulleted list:

• AES-256-GCM, nie 128. Różnica kosztowa jest zerowa, a 256-bitowy klucz symetryczny pozostaje odporny na algorytm Grovera.
• Rotacja kluczy sesyjnych według licznika pakietów lub czasu. W MACsec wymuszona przez MKA, w OTNsec ustawiana w NMS, typowo od minut do godzin.
• Tryb „must-secure" na portach między lokalizacjami. Jeśli sesja MACsec nie zostanie zestawiona, port nie przenosi ruchu. Tryb „should-secure", czyli ruch jawny przy braku sesji, jest błędem konfiguracyjnym, który unieważnia cały środek.
• Ochrona przed powtórzeniem włączona, okno dobrane do rzeczywistego przekolejkowania na łączu.
• Logowanie zdarzeń sesji (zestawienie, zerwanie, zmiana klucza) do SIEM. Bez tego nie udowodnisz, że szyfrowanie działało w dniu, o który pyta audytor.
• Dystrybucja klucza głównego (CAK w MACsec, klucz pre-shared w OTNsec) to najsłabsze ogniwo. Klucz symetryczny 256-bitowy jest odporny kwantowo, ale jeśli dystrybuujesz go kanałem opartym na RSA lub ECDH, przenosisz ryzyko na ten kanał. Docelowo: wymiana hybrydowa z algorytmem postkwantowym albo klucze z QKD przez interfejs ETSI GS QKD 014, jak we wdrożeniu PIONIER-Q, gdzie klucze kwantowe zasilały istniejące szyfratory IPsec i MACsec bez zmian w warstwie sieciowej.

Więcej o mechanice szyfrowania optycznego w artykule Bezpieczeństwo sieci w warstwie pierwszej.

2. Redundancja tras z udokumentowaną separacją fizyczną

Przecięcie kabla to najczęstszy incydent w sieci optycznej i jednocześnie najprostszy sposób, żeby audytor podważył plan ciągłości działania.

Dwie trasy w tej samej kanalizacji to jedna trasa.

Co ma być spełnione i zapisane:

Bulleted list:

• Dwie trasy o rozdzielnych SRLG (grupach współdzielonego ryzyka): inna kanalizacja, inne studnie, inne wejście do budynku, inna przełącznica. Każda trasa ma przypisany identyfikator SRLG w rejestrze łączy.
• Mapa trasy od dostawcy (KMZ lub wektor) jako załącznik do umowy dzierżawy, z klauzulą o powiadomieniu przy zmianie trasy. Sam zapis „trasa niezależna" w ofercie nie jest dowodem.
• Weryfikacja długości reflektometrem (OTDR). Dwie „niezależne" trasy o identycznej długości optycznej co do kilku metrów to sygnał ostrzegawczy, że biegną tym samym kablem.
• Test przełączenia z pomiarem czasu. OTN z ochroną SNCP/1+1 poniżej 50 ms, IP/MPLS z FRR w podobnym rzędzie. Raport z testu, z datą, scenariuszem, zmierzonym czasem i wpływem na usługi, trafia do dokumentacji SZBI. Test powtarzany po każdej zmianie topologii i nie rzadziej niż raz w roku.
• RTO i RPO dla każdej usługi wpisane do planu ciągłości działania, z odwołaniem do konkretnych łączy, które je zapewniają.

3. Monitoring DOM i reflektometria jako czujnik bezpieczeństwa

Odczep zmienia moc odbieraną. Przecięcie ją zeruje. Oba zdarzenia widać w danych, które moduły optyczne i tak raportują (DOM lub DDM: moc nadawana i odbierana, temperatura, prąd lasera). Różnica między siecią zgodną a niezgodną polega na tym, czy ktoś te dane zbiera, ustawia progi i traktuje przekroczenie jako zdarzenie bezpieczeństwa.

Konfiguracja minimalna:

Bulleted list:

• Linia bazowa mocy Rx dla każdego portu liniowego, zapisana po uruchomieniu i po każdej ingerencji serwisowej.
• Próg alarmowy: trwały spadek mocy Rx o 0,5 dB względem linii bazowej bez otwartego zgłoszenia serwisowego generuje zdarzenie bezpieczeństwa, nie tylko alarm NOC. Wartość progu dobierz do stabilności łącza: na krótkich, stabilnych trasach 0,3 dB, na długich z wieloma spawami 1 dB.
• Telemetria przez SNMP lub gNMI (streaming) do systemu monitoringu z retencją co najmniej 12 miesięcy. Dane historyczne są dowodem dla audytora, że kontrola działała w sposób ciągły.
• Ślad OTDR bazowy dla każdego włókna, przechowywany jako plik .sor. Po alarmie mocy nowy pomiar porównuje się z bazowym: nowe zdarzenie tłumieniowe w konkretnym metrażu wskazuje miejsce ingerencji.
• Scenariusz reakcji: kto weryfikuje alarm, w jakim czasie, kiedy zdarzenie staje się incydentem. Tu warstwa fizyczna łączy się z obowiązkiem zgłaszania incydentów poważnych: wczesne ostrzeżenie w 24 godziny, zgłoszenie w 72 godziny, raport końcowy w miesiąc, wszystko przez S46. Potwierdzony odczep na łączu przenoszącym dane usługi jest incydentem poważnym.

4. Inwentaryzacja łączy jako rejestr aktywów

Zarządzanie aktywami i łańcuchem dostaw zaczyna się od tego, że wiesz, jakie łącza masz, kto nimi zarządza i którędy biegną. W większości sieci ta wiedza jest rozproszona między NMS, arkuszem kalkulacyjnym i pamięcią dwóch osób.

Narzędzie: NetBox z polami niestandardowymi wystarcza dla sieci do kilkuset łączy, większe środowiska potrzebują systemu DCIM z integracją z NMS. Rejestr w arkuszu bez kontroli wersji nie przejdzie audytu jako zarządzanie aktywami. Osobny wątek to dostawcy wysokiego ryzyka: nowelizacja wprowadza procedurę uznania dostawcy sprzętu lub usług za dostawcę wysokiego ryzyka z obowiązkiem wycofania jego produktów w wyznaczonym terminie. Rejestr łączy z polem „dostawca" i rejestr sprzętu transmisyjnego z polem „producent" to jedyny sposób, żeby po takiej decyzji odpowiedzieć w dzień, a nie w kwartał, jakie elementy sieci są objęte.

Dokumentacja pod audyt: co audytor zobaczy jako pierwsze

Audyt SZBI dla podmiotów kluczowych opiera się na strukturze zbliżonej do ISO/IEC 27001:2022. Środki z tego artykułu mapują się na zabezpieczenia załącznika A: 8.20 (bezpieczeństwo sieci), 8.21 (bezpieczeństwo usług sieciowych), 8.24 (stosowanie kryptografii), 5.30 (gotowość ICT na potrzeby ciągłości działania) i 5.9 (inwentaryzacja aktywów). Jeśli organizacja ma certyfikat 27001, audytor KSC zacznie od tych punktów.

Co zrobić w tym tygodniu?

Ten artykuł ma charakter informacyjny i techniczny. Nie stanowi porady prawnej. Kwalifikację podmiotu, zakres obowiązków i interpretację przepisów należy potwierdzić z radcą prawnym lub adwokatem na podstawie tekstu ustawy i komunikatów organów właściwych.

Źródła rządowe i normatywne:
Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, Dz.U. 2026 poz. 252 (isap.sejm.gov.pl). Ministerstwo Cyfryzacji, komunikaty o najważniejszych terminach i o uruchomieniu samorejestracji w Wykazie (gov.pl/web/cyfryzacja). Baza wiedzy gov.pl, „Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa". Wykaz KSC: wykaz-ksc.gov.pl. Dyrektywa (UE) 2022/2555 (NIS2), art. 21 i 23 (eur-lex.europa.eu). IEEE 802.1AE-2018 (MACsec), IEEE 802.1X-2020 (MKA), ITU-T G.709/Y.1331 (OTN), ETSI GS QKD 014, ISO/IEC 27001:2022 załącznik A.