Metodologia oceny

Co pochodzi od ANSSI, a co pochodzi od nas

Rozróżnienie to jest istotne i stawiamy je od razu, ponieważ zmienia ono to, czego wynik dowodzi:

• Od ANSSI: 20 celów, ich nazwy, ich podział na cztery filary (Zarządzanie, Ochrona, Obrona, Odporność) oraz zakres EI/EE — ramy referencyjne ReCyF v2.5 z 17/03/2026. Dokument ten opatrzony jest adnotacją „dokument roboczy”: żadna wersja ostateczna nie zostanie opublikowana przed zakończeniem transpozycji NIS 2. Mówimy zatem o przygotowaniu, nigdy o zgodności z ustalonym standardem.
• Od nas: skala dojrzałości 0–4, próg oczekiwany dla każdego celu, poniższy wzór oraz tekst objaśniający wyświetlany pod każdym celem — ANSSI publikuje „akceptowalne środki zapewnienia zgodności”, których nie odtwarzamy; nasze opisy są przeredagowaniem przeznaczonym dla konsultanta. ReCyF nie definiuje żadnej skali dojrzałości — słowo to w nim nie występuje. Proporcjonalność jest w nich wyrażona wyłącznie poprzez cele od 16 do 20, zastrzeżone dla podmiotów kluczowych, oraz poprzez oznaczenie EI/EE każdego środka zapewnienia zgodności. Nasza skala jest narzędziem sterowania i ustalania priorytetów; nie ma żadnej wartości regulacyjnej.

Skala dojrzałości

• 0 — Nieistniejący: nic nie zostało wdrożone.
• 1 — Początkowy: praktyki nieformalne, nieudokumentowane, zależne od osób.
• 2 — W toku: działania podjęte, pokrycie częściowe.
• 3 — Zdefiniowany: praktyka udokumentowana, stosowana i weryfikowalna.
• 4 — Opanowany / zoptymalizowany: praktyka mierzona i doskonalona w czasie.

Zakres: które cele się liczą

Do obliczeń wchodzą wyłącznie cele mające zastosowanie do kategorii NIS 2 danego klienta:

• Podmiot kluczowy (EE): wszystkie 20 celów.
• Podmiot ważny (EI): podstawa 15 celów (cele od 16 do 20 są zastrzeżone dla EE).
• Poza zakresem: podstawa 15 celów jest mimo to oceniana, aby dać punkt wyjścia do pracy — przy czym nie pociąga to za sobą najmniejszego obowiązku regulacyjnego.

Cel niemający zastosowania nie obniża wyniku: jest z niego usuwany, wraz z licznikiem i mianownikiem.

Wzór

Dla każdego celu mającego zastosowanie poziom osiągnięty jest porównywany z progiem oczekiwanym, z ograniczeniem do wysokości progu:

wynik = Σ min(poziom, próg) ÷ Σ próg × 100

Dwie konsekwencje, o których należy wiedzieć:

• Przekroczenie progu nic nie daje. Cel na poziomie 4, gdy oczekiwany jest 3, liczy się jako 3. Wynik mierzy pokrycie oczekiwań, a nie doskonałość — nie można zrekompensować blokującej luki mocną stroną w innym miejscu.
• Progi w praktyce pełnią funkcję wag. Cel, którego próg oczekiwany wynosi 3, waży więcej niż cel z progiem 2, ponieważ oba wchodzą do mianownika w wysokości swojego progu. Nie ma żadnej innej ukrytej wagi.

Co liczy się jako poziom osiągnięty

W kolejności pierwszeństwa: poziom zatwierdzony przez konsultanta, a w jego braku poziom zadeklarowany przez klienta. W braku obu cel liczy się jako 0.

Propozycja — wyliczona na podstawie notatek konsultanta lub zebrana automatycznie przez konektor — nigdy nie wchodzi do wyniku przyjętego. Jest to zasada ładu organizacyjnego, a nie szczegół implementacyjny: raport przedstawiany klientowi lub audytorowi może opierać się wyłącznie na elementach zatwierdzonych przez człowieka. Propozycja niezatwierdzona pozostaje widoczna, oznaczona jako „do zatwierdzenia”, i zasila wyłącznie wynik prognozowany.

Wynik prognozowany

Wynik prognozowany stosuje ten sam wzór, ale uzupełnia cele pozbawione poziomu nadanego przez człowieka propozycją oczekującą na zatwierdzenie. Odpowiada na pytanie „w jakim punkcie bylibyśmy, gdybym zatwierdził wszystko w obecnym stanie?”. Jest zawsze wyższy lub równy wynikowi przyjętemu i jest mu równy, gdy nie ma żadnej propozycji oczekującej. Gdy propozycje oczekują na zatwierdzenie, pojawia się na stronie podsumowania raportu dla klienta, wyraźnie przedstawiony jako warunkowy („wynik prognozowany, gdyby zatwierdzono N propozycji”): nigdy nie zastępuje wyniku przyjętego, który pozostaje liczbą wyświetlaną.

Radar według filarów

Każdy filar pokazuje średnią arytmetyczną poziomów osiągniętych dla jego celów mających zastosowanie, porównaną ze średnią progów. Jest to średnia prosta, bez wag: służy do odczytania sylwetki, a nie do tworzenia rankingu.

Luki i plan działań

Cel wykazuje lukę wtedy, gdy ma zastosowanie, a jego poziom osiągnięty jest ściśle niższy od progu oczekiwanego. Wykrywanie to jest deterministyczne.

Plan działań budowany jest na podstawie tej listy: każda luka tworzy działanie, którego priorytet wynika z wielkości odchylenia od progu i skutku danego środka. W pełni deterministyczny.

Plan działań nie wchodzi do obliczenia wyniku: z niego wynika.

Czego wynik nie mówi

• Nie stwierdza zgodności z NIS 2. Zgodność ocenia się w świetle przepisów transponujących oraz, w danym przypadku, kontroli właściwego organu.
• Nie zastępuje audytu. Opiera się na oświadczeniach zatwierdzonych przez konsultanta, uzupełnionych w miarę możliwości o dane techniczne pochodzące z konektorów.
• Nie służy porównywaniu dwóch podmiotów między sobą: progi są takie same, ale zakresy i konteksty już nie.

Powtarzalność

Wzór jest deterministyczny: przy identycznych odpowiedziach wynik jest identyczny. Żaden model sztucznej inteligencji nie uczestniczy ani w obliczeniach, ani nigdzie indziej na platformie.