ISO 27001 a NIS 2 Barlinek

Najkrótsza odpowiedź dla właściciela

Norma to coś, co wdrażacie sami i możecie potwierdzić certyfikatem. NIS 2 to obowiązek wynikający z przepisów, dotyczący wskazanych sektorów i skali działalności, którego nikt nie certyfikuje, ale którego niespełnienie ma konsekwencje.

Wdrożona norma załatwia dużą część tych obowiązków. Nie zastępuje ich.

Dlaczego do barlineckiej firmy to przychodzi z boku

Bo małe firmy rzadko podlegają regulacji bezpośrednio, za to bardzo często dostarczają komuś, kto podlega. Tartak sprzedający do dużego producenta. Warsztat obsługujący flotę przewoźnika. Piekarnia dostarczająca do sieci handlowej. Firma usługowa pracująca dla zakładu z parku przemysłowego pod Gorzowem.

Odbiorca objęty przepisami ma obowiązek zadbać o bezpieczeństwo swojego łańcucha dostaw, więc przenosi część wymagań na Was załącznikiem do umowy. Pytanie, na które trzeba odpowiedzieć, nie brzmi wtedy „czy podlegamy”, tylko „co dokładnie podpisaliśmy”.

Gdzie jedno naprawdę nie zastępuje drugiego

Sprawa	Norma	Przepisy
Granice	wyznaczacie sami	obejmują całą działalność
Potwierdzenie	certyfikat jednostki	brak certyfikatu, jest nadzór
Zgłoszenie zdarzenia	proces, terminy własne	termin liczony w godzinach
Odpowiedzialność	zaangażowanie zarządu	wskazana wprost, z sankcją
Łańcuch dostaw	zabezpieczenie w załączniku A	obowiązek przenoszony na dostawców
Koszt utrzymania	audyty nadzoru co roku	brak opłat, jest gotowość

Trzeci wiersz jest tym, który w praktyce robi największą różnicę. Reszta sprowadza się do dokumentów i decyzji, a zegar przy zdarzeniu zmienia sposób pracy firmy w konkretny weekend.

Co sprawdzamy podczas jednej wizyty

Wspólną część, czyli większość: jak oceniacie ryzyko, kto ma dostęp do czego, jak wyglądają kopie i próba odtworzenia, co dzieje się przy zmianie podwykonawcy, jak zabezpieczone są pomieszczenia i jak wygląda zgłoszenie problemu przez pracownika.

Osobno dokładamy dwie rzeczy. Pierwsza to ścieżka zgłoszenia zdarzenia: kto podejmuje decyzję, w jakim czasie i do kogo trafia informacja. Druga to przegląd umów z odbiorcami pod kątem tego, co już się zobowiązaliście robić, bo bywa, że wymagania ostrzejsze niż jakakolwiek regulacja podpisał ktoś rok temu bez czytania załącznika.

W jakiej kolejności to prowadzić

Najpierw obowiązki mające twardy termin, czyli te z umowy albo z przepisów. Potem system zgodny z normą, bo porządkuje resztę i jest bazą pod ewentualny certyfikat. Papier na końcu i tylko wtedy, gdy ktoś go realnie wymaga.

Odwrotna kolejność zdarza się wtedy, gdy firma zaczyna od zamówienia certyfikacji, a dopiero w trakcie odkrywa, że umowa z odbiorcą wymagała czegoś innego i na inny termin. Wtedy projekt trzeba przestawiać w połowie, co kosztuje najwięcej.

Kiedy odradzamy łączenie obu tematów

Gdy zakres wymagany przez odbiorcę jest wąski, a firma mała. Piekarnia dostarczająca do jednej sieci nie potrzebuje pełnego systemu obejmującego całą działalność, żeby odpowiedzieć na trzy punkty z załącznika. Wystarczy zamknąć te punkty, opisać je i mieć dowody.

Mówimy to wprost, bo pełne wdrożenie opisane przy wdrożeniu i certyfikacji jest projektem na kilka miesięcy i na kwotę, która w firmie na piętnaście osób wymaga bardzo konkretnego powodu.

Co zostaje po badaniu

Jeden raport z dwiema częściami. Pierwsza odnosi się do wymagań normy, druga do obowiązków wynikających z przepisów i z umów, które podpisaliście. Przy każdym braku stan zastany, zalecenie i oszacowanie pracy.

Do tego karta zgłoszenia zdarzenia, czyli jedna strona z nazwiskami, numerami i kolejnością działań. W małej firmie to ona ma największą wartość praktyczną, bo pozostałe dokumenty czyta się raz, a tę wyciąga się w najgorszym możliwym momencie.

Same wymagania normy tłumaczymy przy ISO 27001, a zakres samego badania zgodności przy audycie ISO 27001.

Treść sprawdzona i zaktualizowana: 1 sierpnia 2026