Nexion IT / Blog / Bezpieczeństwo
Bezpieczeństwo18 maja 20267 min czytania

Tier Model w Active Directory — dlaczego wciąż jest aktualny w 2026 roku

Model warstwowy Tier 0/1/2 ma już swoje lata, a mimo to wciąż jest jednym z najskuteczniejszych i najtańszych sposobów, by utrudnić atakującemu przejęcie całej domeny. W erze ransomware i nowych obowiązków z NIS2 nie stracił nic na aktualności — wręcz przeciwnie.

W skrócie
  • Tier Model dzieli konta i systemy na warstwy według poziomu uprawnień i nie pozwala, by poświadczenia z niższej warstwy trafiły na wyższą.
  • To najtańsza zapora przeciwko lawinowemu przejęciu domeny — działa nawet bez SOC i drogich narzędzi.
  • W 2026 kontrola dostępu przestała być tylko dobrą praktyką — to jeden z filarów wymogów NIS2 / znowelizowanej ustawy o KSC.

Czym jest model warstwowy

Idea jest prosta. Dzielisz środowisko na trzy warstwy według tego, jak bardzo „boli", gdy konto zostanie przejęte:

Kluczowa zasada brzmi: poświadczenia z wyższej warstwy nigdy nie mogą pojawić się na niższej. Administrator domeny (Tier 0) nie loguje się swoim kontem na zwykłej stacji roboczej (Tier 2). Dlaczego? Bo w momencie, gdy to robi, jego hasło lub token trafia do pamięci tej stacji — a stacje użytkowników są najczęściej atakowane.

Dlaczego to działa

Większość poważnych włamań do sieci firmowych nie polega na „złamaniu" kontrolera domeny wprost. Atakujący wchodzi przez zwykłą stację — phishing, załącznik, podatna aplikacja — a potem porusza się w bok i w górę. Wykrada poświadczenia z pamięci, znajduje konto o wyższych uprawnieniach, powtarza. To się nazywa eskalacja i ruch boczny.

Tier Model nie zatrzymuje pierwszego włamania. Zatrzymuje to, co dzieje się później — moment, w którym jedno przejęte konto zamienia się w przejętą całą firmę.

Jeśli poświadczenia Tier 0 nigdy nie lądują na stacjach Tier 2, atakujący, który przejął stację, nie znajdzie tam nic, co pozwoli mu awansować do administratora domeny. Ścieżka eskalacji zostaje przerwana. To wszystko — i to często wystarcza, by z katastrofy zrobić incydent.

Dlaczego wciąż aktualny w 2026

Pojawia się zarzut: „przecież mamy chmurę, Zero Trust, Entra ID — po co warstwy z ery on-premises?". Odpowiedź jest prozaiczna: Active Directory wciąż stoi w większości polskich firm i wciąż jest głównym celem ataków ransomware. Chmura go nie zastąpiła — dołożyła się do niego. Microsoft rozwinął zresztą tę koncepcję w tzw. Enterprise Access Model, który przenosi logikę warstw także na tożsamość w chmurze.

Dochodzi drugi, całkiem nowy powód. Znowelizowana ustawa o KSC, wdrażająca dyrektywę NIS2, weszła w życie 3 kwietnia 2026 i obejmuje około 42 tysięcy podmiotów w 18 sektorach — dużo szerzej niż wcześniej, również przez łańcuch dostaw. Kontrola dostępu i zarządzanie kontami uprzywilejowanymi to jedne z filarów tych wymogów. Tier Model jest praktyczną, sprawdzoną odpowiedzią na pytanie „jak udowodnić, że panujecie nad dostępem uprzywilejowanym".

!

Podmioty objęte nowymi przepisami mają obowiązek rejestracji do 3 października 2026, a dostosowania systemów i procedur do 3 kwietnia 2027. Uporządkowanie kont uprzywilejowanych to jedna z rzeczy, które warto zacząć wcześniej, a nie na ostatnią chwilę.

Jak wdrożyć to praktycznie — bez SOC

Nie potrzebujesz drogiego zespołu bezpieczeństwa ani zaawansowanych narzędzi, żeby wdrożyć podstawy. Kolejność, która sprawdza się w firmach MŚP:

  1. Zidentyfikuj Tier 0. Wypisz wszystko, co realnie może przejąć kontrolę nad domeną: kontrolery domeny, konta Domain/Enterprise Admins, systemy zarządzania, konta serwisowe z wysokimi uprawnieniami.
  2. Rozdziel konta. Administrator dostaje osobne konto do zadań Tier 0 — inne niż konto, którym czyta pocztę i przegląda internet. To najprostszy, a zarazem najważniejszy krok.
  3. Ogranicz logowanie przez GPO. Politykami domenowymi zablokuj możliwość logowania kont Tier 0 na stacjach i serwerach niższych warstw (Deny logon). To właśnie ta bariera przerywa ścieżkę eskalacji.
  4. Wprowadź stację administracyjną. Zadania Tier 0 wykonuj z dedykowanego, utwardzonego stanowiska (PAW), a nie z codziennego laptopa.
  5. Przejrzyj i przytnij. Usuń nadmiarowe konta z grup uprzywilejowanych. W większości firm w Domain Admins jest o kilka kont za dużo.
✓

Nie musisz robić wszystkiego naraz. Nawet same kroki 1–3 dają nieproporcjonalnie duży wzrost bezpieczeństwa w stosunku do włożonej pracy. To jedna z niewielu rzeczy w IT, gdzie „małe" naprawdę znaczy „skuteczne".

Podsumowanie

Model warstwowy nie jest modny i nie ma efektownego dashboardu. Jest za to jedną z najskuteczniejszych rzeczy, jakie mała lub średnia firma może zrobić dla bezpieczeństwa swojej tożsamości — tanio, własnymi siłami i z efektem, który realnie utrudnia życie atakującemu. W 2026, z NIS2 na horyzoncie, to nie jest już „miło mieć". To fundament.

Nie wiesz, jak wygląda Twój dostęp uprzywilejowany?

Zrób darmowy mini-audyt Active Directory — 10 pytań, wynik od razu, z konkretnymi wskazówkami dla Twojego środowiska. Albo porozmawiajmy o uporządkowaniu tieringu u Ciebie.

Zrób darmowy audyt AD → Umów konsultację
← Wróć do wszystkich wpisów

Materiał ma charakter edukacyjny i nie stanowi porady prawnej dotyczącej zgodności z NIS2 / ustawą o KSC. Zakres obowiązków zależy od profilu i wielkości podmiotu.

Nexion IT / Blog / Security
SecurityMay 18, 20267 min read

The Tier Model in Active Directory — why it’s still relevant in 2026

The Tier 0/1/2 model is not new, yet it remains one of the most effective and cheapest ways to make it hard for an attacker to take over your whole domain. In the age of ransomware and new NIS2 obligations, it hasn’t lost any relevance — quite the opposite.

In short
  • The Tier Model splits accounts and systems into layers by privilege level and never lets credentials from a lower layer reach a higher one.
  • It’s the cheapest barrier against a cascading domain takeover — and it works even without a SOC or expensive tools.
  • In 2026, access control is no longer just good practice — it’s one of the pillars of NIS2 and the amended Polish KSC Act.

What the tier model is

The idea is simple. You split the environment into three tiers based on how much it hurts when an account is compromised:

The key rule: credentials from a higher tier must never appear on a lower one. A domain admin (Tier 0) does not log in with that account on an ordinary workstation (Tier 2). Why? Because the moment they do, their password or token lands in that machine’s memory — and user workstations are the most attacked target of all.

Why it works

Most serious corporate breaches don’t start by “cracking” a domain controller head-on. The attacker gets in through an ordinary workstation — phishing, an attachment, a vulnerable app — and then moves sideways and up. They steal credentials from memory, find a higher-privileged account, repeat. That’s escalation and lateral movement.

The Tier Model doesn’t stop the first break-in. It stops what happens next — the moment one compromised account turns into a compromised company.

If Tier 0 credentials never land on Tier 2 machines, an attacker who owns a workstation finds nothing there to promote them to domain admin. The escalation path is broken. That’s it — and it’s often enough to turn a catastrophe into a mere incident.

Why still relevant in 2026

The objection: “but we have the cloud, Zero Trust, Entra ID — why tiers from the on-prem era?” The plain answer: Active Directory still runs most companies and is still the primary ransomware target. The cloud didn’t replace it — it was added on top. Microsoft actually evolved the concept into the Enterprise Access Model, extending tier logic to cloud identity too.

There’s a second, brand-new reason. The amended KSC Act implementing the NIS2 directive entered into force on 3 April 2026 and covers around 42,000 entities across 18 sectors — far more than before, including via the supply chain. Access control and privileged-account management are among the pillars of these requirements. The Tier Model is a practical, proven answer to “how do you prove you control privileged access”.

!

Entities covered by the new rules must register by 3 October 2026 and adapt their systems and procedures by 3 April 2027. Tidying up privileged accounts is one of those things worth starting early, not at the last minute.

How to implement it — without a SOC

You don’t need an expensive security team or advanced tooling to put the basics in place. A sequence that works well in SMBs:

  1. Identify Tier 0. List everything that can realistically take control of the domain: domain controllers, Domain/Enterprise Admin accounts, management systems, high-privilege service accounts.
  2. Separate accounts. Each admin gets a dedicated account for Tier 0 tasks — different from the one they use to read email and browse the web. The simplest and most important step.
  3. Restrict logon via GPO. Use domain policies to deny Tier 0 accounts from logging on to lower-tier workstations and servers (Deny logon). This barrier is what breaks the escalation path.
  4. Introduce an admin workstation. Perform Tier 0 tasks from a dedicated, hardened station (a PAW), not from your everyday laptop.
  5. Review and trim. Remove excess accounts from privileged groups. Most companies have a few too many in Domain Admins.
✓

You don’t have to do it all at once. Even steps 1–3 alone deliver a disproportionate security gain for the effort. It’s one of the few things in IT where “small” genuinely means “effective”.

Wrapping up

The tier model isn’t fashionable and has no flashy dashboard. But it’s one of the most effective things a small or mid-sized company can do for its identity security — cheaply, in-house, and with a real effect that makes an attacker’s life hard. In 2026, with NIS2 on the horizon, it’s no longer a “nice to have”. It’s a foundation.

Not sure what your privileged access looks like?

Take the free Active Directory mini-audit — 10 questions, instant result, with concrete pointers for your environment. Or let’s talk about tidying up tiering at your place.

Take the free AD audit → Book a consultation
← Back to all posts

This material is educational and does not constitute legal advice on NIS2 / KSC Act compliance. The scope of obligations depends on the entity’s profile and size.