ISO 27001 a NIS 2 Bydgoszcz

Skąd bierze się aneks, którego nikt nie zamawiał

Sekwencja powtarza się w bydgoskich zakładach niemal identycznie. Najpierw duży odbiorca sam wchodzi w obowiązki wynikające z dyrektywy. Potem jego dział prawny przegląda umowy z dostawcami i stwierdza, że nadzór nad łańcuchem dostaw wymaga przeniesienia części wymagań w dół. Kilka tygodni później do Waszej firmy przychodzi aneks z terminami liczonymi w godzinach i z prawem do sprawdzenia u dostawcy.

Pierwszą reakcją bywa pytanie, czy w ogóle podlegacie przepisom. Pytanie jest słuszne, tylko odpowiedź na nie niczego nie unieważnia. Nawet zakład stojący poza wykazem sektorów podpisze ten aneks, jeśli chce dalej dostarczać, więc praca do wykonania i tak istnieje. Zmienia się jedynie jej źródło i to, kto kontroluje jej wykonanie.

Co odbiorca wpisuje do umowy i skąd to bierze

Zapis w aneksie	Z czego wynika u odbiorcy	Co musicie mieć po swojej stronie	Czy norma to pokrywa
Powiadomienie o zdarzeniu w liczonych godzinach	jego własny obowiązek sprawozdawczy	wskazany adresat i kontakt czynny poza biurem	częściowo
Prawo do sprawdzenia u dostawcy	wymóg nadzoru nad łańcuchem dostaw	gotowość na wizytę i komplet dowodów	tak
Uwierzytelnianie wieloskładnikowe	katalog środków technicznych z przepisów	drugi składnik przy poczcie i dostępie zdalnym	tak
Wykaz dalszych podwykonawców	przeniesienie wymagań jeszcze niżej	aktualna lista i zapisy w umowach z nimi	tak
Plan utrzymania dostaw przy awarii	zarządzanie kryzysowe po jego stronie	opisany scenariusz postoju i czas powrotu	tak
Ograniczenie miejsca przetwarzania danych	wymagania lokalizacyjne odbiorcy	wiedza, gdzie fizycznie stoją Wasze usługi	częściowo
Oświadczenie zarządu o zgodności	odpowiedzialność kierownictwa	osoba mogąca je podpisać z pokryciem w faktach	nie

Wiersz pierwszy i ostatni sprawiają najwięcej kłopotu, bo żaden z nich nie jest zadaniem informatycznym. Pierwszy wymaga decyzji, kto w firmie ma prawo powiadomić odbiorcę w środku nocy, nie czekając na poranną naradę. Ostatni wymaga, żeby ktoś wziął na siebie odpowiedzialność za zdanie, którego treści nie da się sprawdzić bez wcześniejszego badania.

Czy zakład podlega samodzielnie, czy tylko przez umowę

Rozstrzygamy to na wstępie i zapisujemy jednym zdaniem, ponieważ obie ścieżki kosztują różne pieniądze i mają różne terminy.

Podleganie samodzielne wynika z dwóch rzeczy naraz: rodzaju prowadzonej działalności oraz wielkości przedsiębiorstwa liczonej z uwzględnieniem przedsiębiorstw partnerskich i powiązanych. Zakład zatrudniający czterdzieści osób, ale należący do większej struktury, potrafi przekroczyć próg, choć samodzielnie by go nie osiągnął. To jest miejsce, w którym najczęściej myli się w obie strony.

Podleganie przez umowę nie zależy od żadnego progu. Wystarczy, że Wasz odbiorca ma obowiązek nadzorować dostawców, a Wy chcecie u niego zostać. Zakres jest wtedy węższy, bo obejmuje to, co odbiorca zapisał, ale za to jest wymagalny od dnia podpisania, bez okresu przejściowego.

Gdzie certyfikat nie pomaga wcale

W trzech miejscach i warto je znać przed wydaniem pieniędzy.

Pierwsze to zegar. Norma oczekuje działającego procesu obsługi zdarzeń, przepisy i umowy dokładają do niego termin. Dokument na ścianie nie skraca ani jednej godziny, a w zakładzie pracującym na zmiany największym ryzykiem jest to, że zdarzenie wykryje ktoś, kto nie ma numeru telefonu do osoby uprawnionej.

Drugie to rejestracja podmiotu, jeśli podlegacie samodzielnie. Nie ma odpowiednika w normie i wykonuje się ją niezależnie od dojrzałości systemu zarządzania.

Trzecie to granice. Zakres systemu według normy wyznaczacie sami i wolno go zawęzić do jednej linii albo do jednego budynku. Obowiązki sektorowe obejmują działalność, którą prowadzicie, i żadna decyzja zarządu nie wyłączy z nich hali.

Kolejność, którą proponujemy zakładom

Najpierw rozstrzygnięcie o źródle obowiązku, bo bez niego dalsza praca może dotyczyć niewłaściwego zakresu. Potem jedno badanie obejmujące obie listy wymagań, którego wynikiem jest zestawienie braków z nakładem pracy przy każdej pozycji. Następnie warstwa techniczna, wdrażana raz dla całego środowiska, a dokumentacja powstająca równolegle i opisująca to, co faktycznie zrobione.

Certyfikat zostaje na koniec, na moment, w którym pojawia się odbiorca albo postępowanie stawiające go jako warunek. Odwrotna kolejność bywa kusząca, bo dokument da się pokazać od razu, ale zostawia otwarte zobowiązanie umowne, o którym nikt nie pamięta do pierwszego poważnego zdarzenia.

Oszczędność na wspólnym projekcie jest przy tym większa po Waszej stronie niż na naszej fakturze. Dwa osobne badania oznaczają dwa obchody hali, dwa komplety rozmów z tymi samymi kierownikami i dwa razy oderwanie utrzymania ruchu od pracy, a tego kosztu nie widać w żadnym kosztorysie.

Czego to badanie nie zamyka

Nie zastępuje opinii prawnej o kwalifikacji podmiotu, choć daje jej podstawę faktyczną i skraca pracę prawnika. Nie reprezentujemy Was przed organem nadzoru ani przed odbiorcą. Nie prowadzi do certyfikatu, bo ten wystawia wyłącznie akredytowana jednostka po własnym badaniu, a my odpowiadamy jedynie za przygotowanie firmy.

Treść samej normy wyjaśnia ISO 27001, pomiar gotowości opisuje audyt ISO 27001, przebieg całego projektu wdrożenie, a komplet polityk dokumentacja. Wersję ogólnopolską tego porównania znajdziecie przy ISO 27001 a NIS 2. Rozstrzygnięcie o źródle obowiązku ustalamy po rozmowie umówionej przez kontakt.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026