Adresy IP we wniosku do Wykazu KSC należą do najbardziej technicznych danych wymaganych podczas rejestracji w Systemie S46. Podmiot powinien wskazać publiczne adresy IPv4 i IPv6 oraz domeny internetowe wykorzystywane w sposób ciągły. Nie oznacza to jednak wpisywania całej sieci wewnętrznej, każdego adresu dostawcy chmury ani wszystkich subdomen działających pod firmową domeną.
Do przygotowania sekcji „Specyfikacja sieci” zwykle potrzebne są dane od administratora sieci, dostawcy hostingu, zespołu chmurowego, właścicieli domen i osób odpowiedzialnych za bezpieczeństwo. Sam raport DNS albo umowa z operatorem nie wystarczą do rzetelnego ustalenia zakresu.
Format zakresuzapis CIDR
Domenygłówne, stale używane
Adresy prywatne, urządzenia pracowników, pule należące do dostawców oraz domeny obcych usług nie opisują publicznej infrastruktury podmiotu. Każdą pozycję warto powiązać z konkretną usługą, właścicielem biznesowym i dokumentem potwierdzającym jej wykorzystanie.
Publiczne adresy IP
Art. 7 ust. 2 pkt 9 UoKSC obejmuje zakres publicznych adresów IP wykorzystywanych przez podmiot w sposób ciągły.
Bez każdej subdomeny
Oficjalne FAQ nakazuje wskazać domeny główne należące do podmiotu i używane w sposób ciągły, również gdy utrzymuje je zewnętrzny dostawca.
14 dni na aktualizację
Migracja usługi, uruchomienie domeny albo zmiana adresacji może wymagać złożenia podpisanego wniosku o zmianę wpisu.
Co dokładnie trzeba podać w sekcji „Specyfikacja sieci”?
Ustawa wymienia dwa podstawowe zbiory danych: zakres publicznych adresów IP oraz domeny internetowe wykorzystywane przez podmiot kluczowy lub ważny w sposób ciągły. W materiałach Systemu S46 sekcja przestrzeni „Domeny i sieci” obejmuje publiczne adresy IPv4 i IPv6, domeny internetowe oraz numery systemów autonomicznych, czyli AS.
Nie jest to pełna inwentaryzacja aktywów SZBI. Celem nie jest ujawnienie każdej stacji roboczej, drukarki, serwera wewnętrznego czy usługi SaaS. Dane mają opisać publiczną adresację i domeny związane z obecnością organizacji w Internecie. Pełna inwentaryzacja aktywów pozostaje odrębnym elementem zarządzania bezpieczeństwem informacji.
| Rodzaj danych | Co należy ustalić | Przykładowy zapis | Typowy właściciel informacji |
|---|---|---|---|
| IPv4 | Publiczne adresy i zakresy stale wykorzystywane przez firmowe usługi, łącza, zapory, VPN i infrastrukturę. | 198.51.100.24/32 | IT, operator, hosting, chmura |
| IPv6 | Globalne adresy i prefiksy IPv6 przypisane do usług lub infrastruktury podmiotu. | 2001:db8:1234::/48 | IT, operator, chmura, CDN |
| CIDR | Długość prefiksu określającą, czy wpis dotyczy jednego adresu, czy całego przydzielonego zakresu. | 203.0.113.0/24 | Administrator sieci, operator |
| ASN | Numer własnego systemu autonomicznego, jeżeli podmiot faktycznie posiada i wykorzystuje ASN. | AS64500 | Network team, operator BGP, RIPE |
| Domena | Domeny główne należące do podmiotu i aktywnie wykorzystywane w sposób ciągły. | firma.pl | Marketing, IT, prawo, rejestrator |
Dane techniczne trzeba uzgodnić przed podpisaniem
Wniosek składa kierownik podmiotu albo osoba upoważniona, ale listy adresów i domen nie powinien przygotowywać sam prawnik lub członek zarządu. Potrzebne jest potwierdzenie osób, które znają konfigurację sieci, chmury, hostingu i DNS.
IPv4 – które adresy wpisać do Wykazu KSC?
IPv4 jest 32-bitowym adresem zapisywanym jako cztery liczby oddzielone kropkami. Dla Wykazu KSC istotne są adresy publiczne, czyli takie, przez które infrastruktura lub usługi organizacji komunikują się z Internetem i które są wykorzystywane w sposób ciągły.
Najczęściej będą to publiczne adresy interfejsów WAN, zapór sieciowych, koncentratorów VPN, bram pocztowych, serwerów dostępnych z Internetu, dedykowanego hostingu oraz właściwych zasobów chmurowych. Znaczenie ma rzeczywisty sposób wykorzystania, a nie to, czy adres został formalnie przydzielony bezpośrednio przez RIPE NCC, operatora czy dostawcę hostingu.
Publiczne i stale wykorzystywane
Stały adres łącza firmowego, publiczny interfejs firewalla, dedykowany adres VPN, własny serwer internetowy, adres usługi utrzymywanej dla organizacji oraz rzeczywiście wykorzystywany prefiks.
Wewnętrzne i cudze zasoby
Adresy LAN, DHCP urządzeń pracowników, prywatne podsieci chmurowe, cały zakres operatora, adres banku, Microsoft 365 albo platformy SaaS używanej przez pracowników.
Adresy prywatne i specjalnego przeznaczenia
Adresy prywatne nie są routowane w publicznym Internecie i nie powinny być traktowane jako publiczna specyfikacja sieci podmiotu. Dotyczy to przede wszystkim zakresów:
- 10.0.0.0/8 – sieci prywatne;
- 172.16.0.0/12 – sieci prywatne;
- 192.168.0.0/16 – sieci prywatne;
- 127.0.0.0/8 – loopback;
- 169.254.0.0/16 – adresy link-local.
Nie oznacza to, że zasoby pracujące pod tymi adresami są nieistotne dla SZBI. Mogą być krytycznymi aktywami organizacji, ale ich miejsce znajduje się w inwentaryzacji aktywów, dokumentacji sieci i analizie ryzyka, a nie w polu dotyczącym publicznych adresów IP.
Co z dynamicznym adresem publicznym?
Dynamiczny adres wymaga indywidualnej oceny. Jeżeli firma okresowo otrzymuje z puli operatora inny adres i nie ma możliwości wskazania stabilnego prefiksu przypisanego do organizacji, nie powinna samodzielnie wpisywać całej puli operatora. Należy ustalić z dostawcą, czy organizacji przydzielono określony zakres, oraz udokumentować przyjęte rozwiązanie.
Jeżeli adres jest wykorzystywany do usługi dostępnej z Internetu, najbezpieczniejsze organizacyjnie może być uzyskanie stałej adresacji. Ułatwia to nie tylko aktualność Wykazu, lecz również konfigurację kontroli dostępu, monitoringu, allowlist i reagowania na incydenty.
Duży prefiks w dokumentacji operatora może opisywać jego infrastrukturę, a nie adresację przydzieloną klientowi. Każdy zakres powinien zostać potwierdzony w panelu usługi, konfiguracji urządzenia albo pisemnej informacji dostawcy.
IPv6 – jak sprawdzić, czy organizacja go wykorzystuje?
IPv6 używa 128-bitowych adresów zapisywanych szesnastkowo. Brak świadomego projektu wdrożenia IPv6 nie przesądza, że organizacja go nie wykorzystuje. Obsługa mogła zostać aktywowana przez operatora, dostawcę CDN, hosting, load balancer albo usługę chmurową.
Weryfikacja powinna objąć rekordy DNS typu AAAA, konfigurację routerów i zapór, publiczne interfejsy maszyn oraz ustawienia chmury i CDN. Do formularza mogą kwalifikować się globalne adresy unicast lub przydzielone prefiksy. Nie wpisuje się natomiast adresów link-local fe80::/10, loopback ::1/128 ani lokalnych adresów ULA fc00::/7.
Sprawdź DNS
Wyeksportuj rekordy AAAA dla firmowych domen i ustal, do jakich usług oraz dostawców prowadzą.
Sprawdź brzegi sieci
Zweryfikuj interfejsy WAN, zapory, routery, VPN, load balancery i reverse proxy.
Sprawdź chmurę i CDN
Ustal, czy publiczne usługi mają własne adresy IPv6 lub korzystają ze współdzielonej infrastruktury dostawcy.
Potwierdź zakres
Rozróżnij jeden adres od całego prefiksu i nie przypisuj organizacji puli, której faktycznie nie kontroluje.
CIDR – jak zapisać pojedynczy adres i zakres?
CIDR określa adres sieci oraz długość prefiksu. Liczba po ukośniku wskazuje, ile najbardziej znaczących bitów identyfikuje część sieciową. Nie jest to osobny rodzaj zasobu, lecz precyzyjny sposób opisania jednego adresu albo większego zakresu.
| Zapis | Znaczenie | Liczba adresów | Zastosowanie we wniosku |
|---|---|---|---|
| 198.51.100.24/32 | Pojedynczy adres IPv4. | 1 | Gdy organizacja używa jednego stałego publicznego adresu. |
| 198.51.100.24/29 | Zakres o długości prefiksu 29. | 8 | Tylko gdy cały blok został przydzielony i jest wykorzystywany przez podmiot. |
| 203.0.113.0/24 | Zakres o długości prefiksu 24. | 256 | Typowy większy prefiks; wymaga potwierdzenia przydziału i wykorzystania. |
| 2001:db8:1234::1/128 | Pojedynczy adres IPv6. | 1 | Gdy wpis dotyczy konkretnego globalnego adresu IPv6. |
| 2001:db8:1234::/48 | Prefiks IPv6. | Bardzo duży zakres | Tylko jeśli taki prefiks rzeczywiście przydzielono i wykorzystuje go organizacja. |
Przykładowe adresy z zakresów dokumentacyjnych służą wyłącznie objaśnieniu formatu. Do Wykazu należy wpisać rzeczywistą adresację organizacji. Przed podaniem prefiksu warto sprawdzić, czy początek zakresu jest prawidłowo wyrównany do wskazanej długości maski.
ASN – kiedy podać numer systemu autonomicznego?
System autonomiczny to zbiór prefiksów IP zarządzanych według wspólnej polityki routingu. ASN jest jego numerem wykorzystywanym między innymi w protokole BGP. Własny ASN posiadają zwykle operatorzy telekomunikacyjni, centra danych, duże organizacje i podmioty, które samodzielnie ogłaszają trasy do swoich prefiksów.
Zwykły klient biznesowego łącza internetowego korzysta z systemu autonomicznego operatora, ale nie staje się przez to właścicielem jego ASN. Numeru operatora nie należy przedstawiać jako własnego zasobu organizacji. Jeżeli podmiot nie ma własnego ASN, pole powinno pozostać niewypełnione zgodnie z możliwościami formularza.
Własna polityka routingu
Organizacja otrzymała ASN, posiada powiązane prefiksy i wykorzystuje numer do ogłaszania tras, zwykle przez jednego lub kilku operatorów tranzytowych.
Zwykłe łącze od ISP
Publiczny adres został przydzielony przez operatora, a routing prowadzi jego ASN. Organizacja jest abonentem, nie operatorem tego systemu autonomicznego.
Numer można zweryfikować w bazie RIPE NCC lub usłudze RDAP. Kontrola powinna obejmować nie tylko nazwę przypisanego podmiotu, lecz także prefiksy ogłaszane przez dany AS i aktualność danych kontaktowych. W dużych grupach kapitałowych należy ustalić, czy ASN należy do spółki składającej wniosek, czy do innego podmiotu z grupy.
Domeny – domena główna czy wszystkie subdomeny?
Ministerstwo Cyfryzacji wyjaśniło, że w Wykazie należy wskazać wszystkie domeny, które aktywnie i w sposób ciągły wykorzystuje podmiot. Domeny powinny należeć do organizacji, nawet jeżeli ich utrzymaniem technicznym zajmuje się agencja, hosting, operator DNS albo inny zewnętrzny dostawca.
Nie trzeba wpisywać każdej subdomeny ani technicznego adresu, takiego jak logowanie.firma.pl, vpn.firma.pl czy poczta.firma.pl. Wskazuje się domenę główną firma.pl. Jeżeli podmiot stale korzysta również z firma.com i marka.pl, każdą z tych domen należy ująć osobno.
| Przypadek | Rekomendowane podejście | Uzasadnienie |
|---|---|---|
| Główna strona firmy | Wpisać domenę główną. | Jest aktywnie i stale wykorzystywana przez podmiot. |
| Domena odrębnej marki | Wpisać, jeżeli należy do podmiotu i jest stale używana. | FAQ wymaga wszystkich takich domen, a nie tylko domeny korporacyjnej. |
| Subdomena logowania | Nie wpisywać oddzielnie, jeżeli działa pod już wskazaną domeną główną. | Oficjalne FAQ wyłącza obowiązek wyliczania każdej subdomeny. |
| Domena utrzymywana przez agencję | Wpisać, jeśli należy do podmiotu. | Zewnętrzne utrzymanie techniczne nie zmienia przynależności domeny. |
| Domena dostawcy SaaS | Nie wpisywać wyłącznie dlatego, że firma korzysta z usługi. | Domena należy do dostawcy, a organizacja jest jej użytkownikiem. |
| Domena nieaktywna lub zaparkowana | Ocenić, czy jest rzeczywiście używana w sposób ciągły. | Samo posiadanie domeny nie musi oznaczać aktywnego wykorzystania. |
| Domena przekierowująca | Wpisać, jeśli pozostaje elementem stałej obecności marki lub usługi. | Przekierowanie może być ciągłym wykorzystaniem domeny przez podmiot. |
Hosting, CDN i chmura – czy wpisywać adresy dostawcy?
Korzystanie z infrastruktury zewnętrznej nie daje organizacji prawa do przypisywania sobie całej adresacji dostawcy. Współdzielony serwer, CDN lub platforma SaaS może obsługiwać tysiące klientów pod tym samym adresem. Wpisanie całego zakresu Cloudflare, Microsoft, AWS albo operatora hostingu prowadziłoby do przypisania podmiotowi cudzych zasobów.
Inaczej wygląda sytuacja, gdy organizacja otrzymała dedykowany publiczny adres lub konkretny prefiks i stale wykorzystuje go dla swojej usługi. Taki zasób powinien zostać przeanalizowany niezależnie od tego, czy formalnym dysponentem nadrzędnej puli pozostaje dostawca.
Ustal model usługi
Sprawdź, czy adres jest dedykowany organizacji, współdzielony, zmienny czy generowany automatycznie.
Powiąż go z usługą
Wskaż system, domenę, środowisko oraz właściciela biznesowego korzystającego z adresu.
Potwierdź u dostawcy
Wykorzystaj panel, umowę, ticket albo pisemną informację o adresie i zakresie przydziału.
Udokumentuj decyzję
Zachowaj krótkie uzasadnienie, dlaczego zasób ujęto albo pominięto w specyfikacji sieci.
Adres zwrócony dla domeny może należeć do CDN, WAF, reverse proxy lub współdzielonego hostingu. Wynik zapytania DNS jest punktem startowym, ale wymaga ustalenia właściciela, modelu usługi i charakteru przydziału.
Jak przygotować dane do wniosku krok po kroku?
Najbezpieczniejszym rozwiązaniem jest utworzenie roboczej ewidencji, zanim dane zostaną przepisane do formularza. Pozwala ona usunąć duplikaty, wyjaśnić niepewne pozycje i zachować dowód, na jakiej podstawie przyjęto ostateczny zakres.
Zbierz źródła
Panele operatorów, zapory, routery, chmura, hosting, DNS, rejestratorzy domen, umowy oraz dokumentacja sieci.
Zbuduj listę roboczą
Dla każdego zasobu zapisz typ, wartość, usługę, środowisko, właściciela i źródło potwierdzenia.
Przeprowadź kwalifikację
Oznacz zasoby publiczne, prywatne, dedykowane, współdzielone, aktywne, wycofywane oraz wymagające wyjaśnienia.
Zweryfikuj domeny
Porównaj dane rejestratorów, DNS i marketingu. Usuń subdomeny, ale zachowaj wszystkie stale używane domeny główne.
Potwierdź CIDR i ASN
Sprawdź prefiksy oraz numery w dokumentacji operatora i bazach RIPE/RDAP. Nie zgaduj długości zakresu.
Zatwierdź i zachowaj dowody
IT potwierdza technikę, właściciele usług kompletność, a osoba odpowiedzialna za wpis przechowuje wersję zatwierdzoną.
Minimalna tabela robocza
| Pole | Przykładowa zawartość | Dlaczego jest potrzebne |
|---|---|---|
| Typ zasobu | IPv4, IPv6, CIDR, ASN albo domena. | Ułatwia przypisanie pozycji do właściwej części formularza. |
| Wartość | Adres, prefiks, AS lub nazwa domenowa. | Jest właściwą informacją przekazywaną do Wykazu. |
| Usługa | VPN, strona, poczta, API, łącze WAN, system klienta. | Potwierdza związek zasobu z działalnością podmiotu. |
| Model wykorzystania | Dedykowany, współdzielony, stały, dynamiczny. | Pomaga uniknąć przypisania cudzej infrastruktury. |
| Właściciel | IT, marketing, dział produktu, dostawca. | Wskazuje osobę odpowiedzialną za późniejszą aktualizację. |
| Źródło | Panel operatora, konfiguracja, rejestrator, RIPE, ticket. | Umożliwia odtworzenie procesu weryfikacji. |
| Status | Potwierdzony, do wyjaśnienia, wycofywany. | Oddziela dane gotowe od wymagających dalszej pracy. |
Jak zaktualizować adresy lub domeny po złożeniu wniosku?
Dane widoczne w przestrzeni podmiotu S46 pochodzą z Wykazu KSC. Nie można ich poprawić bezpośrednio w S46 Cyber Hub. Po zmianie informacji objętych wpisem podmiot składa wniosek o zmianę wpisu, co do zasady w terminie 14 dni od dnia zmiany.
Zdarzeniem uruchamiającym wewnętrzną weryfikację może być zmiana operatora, uruchomienie nowego łącza, migracja do chmury, przydzielenie nowej adresacji, wdrożenie IPv6, zakup domeny dla nowej marki albo wyłączenie dotychczasowej usługi. Szczegółową procedurę opisuje poradnik Aktualizacja danych w Wykazie KSC – termin 14 dni.
Termin powinien zostać wbudowany w zarządzanie zmianą
Administrator S46 nie musi wiedzieć, że zespół IT uruchomił nowy publiczny adres albo marketing kupił domenę. Procedura zmiany powinna więc zawierać pytanie, czy modyfikacja wpływa na dane ujawnione w Wykazie KSC.
Najczęstsze błędy w specyfikacji sieci
Adresy prywatne
Do formularza trafia wewnętrzna adresacja LAN lub prywatne podsieci chmurowe zamiast publicznych zasobów.
Cała pula operatora
Firma wpisuje szeroki zakres należący do ISP, mimo że korzysta z jednego adresu albo mniejszego przydziału.
ASN dostawcy jako własny
Numer systemu autonomicznego operatora zostaje przypisany klientowi tylko dlatego, że zapewnia on dostęp do Internetu.
Pominięcie IPv6
Organizacja sprawdza tylko rekordy A i adresy IPv4, mimo że CDN, chmura albo operator obsługują również IPv6.
Każda subdomena osobno
Lista zostaje rozbudowana o setki nazw technicznych, choć oficjalne FAQ wymaga domen głównych.
Brak procesu aktualizacji
Dane były poprawne w dniu rejestracji, ale po migracji nie złożono wniosku o zmianę wpisu w terminie.
Checklista przed podpisaniem wniosku
Specyfikacja sieci gotowa do Wykazu KSC
Zaznacz tylko pozycje potwierdzone aktualnymi danymi technicznymi albo dokumentem dostawcy.
Najczęściej zadawane pytania
Czy do Wykazu KSC wpisuje się adresy prywatne?
Nie. Ustawa wskazuje zakres publicznych adresów IP. Adresy prywatne i wewnętrzne pozostają istotne dla inwentaryzacji aktywów oraz analizy ryzyka, ale nie powinny być automatycznie przenoszone do sekcji publicznej specyfikacji sieci.
Czy trzeba podać pojedynczy stały adres publiczny?
Tak, jeżeli jest wykorzystywany przez podmiot w sposób ciągły. Pojedynczy adres IPv4 można zapisać jako prefiks /32, a pojedynczy adres IPv6 jako /128, zgodnie z formatem obsługiwanym przez formularz.
Czy wpisać dynamiczny adres IP?
Najpierw należy ustalić model przydziału z operatorem. Nie powinno się wpisywać całej puli ISP tylko dlatego, że adres pochodzi z tej puli. Jeżeli usługa ma być stale publicznie dostępna, warto rozważyć uzyskanie stałej adresacji i zachować dokument potwierdzający zakres.
Czy wpisać adres IP hostingu strony internetowej?
Zależy to od modelu usługi. Dedykowany, stale wykorzystywany adres powinien zostać przeanalizowany jako zasób podmiotu. W przypadku hostingu współdzielonego, CDN albo reverse proxy nie należy bez analizy przypisywać organizacji całej adresacji dostawcy.
Czy podawać adresy Cloudflare albo innego CDN?
Nie należy kopiować całych opublikowanych zakresów CDN. Są one współdzielone przez wielu klientów. Wykaz powinien opisywać zasoby organizacji, a nie całą infrastrukturę dostawcy. Domenę należącą do podmiotu wskazuje się niezależnie od tego, kto technicznie ją obsługuje.
Czy każdą subdomenę trzeba wpisać oddzielnie?
Nie. Oficjalne FAQ wskazuje, że należy podać domeny główne, np. firma.pl, firma.com i marka.pl, a nie każdą nazwę techniczną typu vpn.firma.pl lub logowanie.firma.pl.
Co wpisać, jeśli firma nie posiada ASN?
Nie należy wpisywać numeru operatora jako własnego. Zwykłe korzystanie z dostępu do Internetu nie oznacza posiadania systemu autonomicznego. Jeżeli firma nie otrzymała własnego ASN i nie prowadzi własnej polityki routingu BGP, pole pozostaje niewypełnione zgodnie z możliwościami systemu.
Czy domena musi być utrzymywana na serwerze firmy?
Nie. Domenę należy wskazać także wtedy, gdy technicznie utrzymuje ją zewnętrzny hosting, operator DNS lub agencja, o ile domena należy do podmiotu i jest przez niego aktywnie oraz stale wykorzystywana.
Jak zmienić adresy i domeny po dokonaniu wpisu?
Danych przestrzeni nie edytuje się w S46 Cyber Hub. Należy utworzyć i podpisać wniosek o zmianę wpisu w Wykazie KSC. Podstawowy termin aktualizacji wynosi 14 dni od dnia zmiany danych.
Czy pomyłka w adresacji podlega odpowiedzialności karnej?
Instrukcja samorejestracji wskazuje, że oświadczenie składane pod rygorem odpowiedzialności karnej nie obejmuje zakresów IP i nazw domenowych. Nie zwalnia to jednak z obowiązku przekazania rzetelnych danych, ich aktualizacji ani współpracy w przypadku czynności sprawdzających.
Nie masz pewności, co wpisać w specyfikacji sieci?
Możemy pomóc uporządkować dane techniczne, zweryfikować ich zgodność z wymaganiami UoKSC oraz przygotować wniosek do Wykazu KSC lub jego aktualizację. Współpraca prawna z IT ogranicza ryzyko wpisania cudzej infrastruktury, pominięcia ważnych domen albo niedotrzymania terminu zmiany danych.