ISO 27001 a NIS 2 Gdańsk

Dlaczego wokół portu ta odpowiedź bywa trudniejsza

Przepisy sektorowe opisują działalność, a nie sąsiedztwo. Wokół terminali i nabrzeży pracuje jednak kilkanaście rodzajów podmiotów naraz, ich role przenikają się w ramach jednego zlecenia, a nazwy handlowe niewiele o tych rolach mówią. Ta sama spółka bywa spedytorem, przewoźnikiem i operatorem magazynu w zależności od tego, o którym kontrakcie mowa.

Skutek jest przewidywalny. Zarząd wie, że temat go dotyczy, bo pismo przyszło, tylko nie wie, którym końcem: czy obowiązki wynikają wprost z przepisów, czy zostały przeniesione umową przez kontrahenta, który sam im podlega. Odpowiedź jest jedna na firmę, zapisuje się ją jednym zdaniem i dopóki go nie ma, każda kolejna praca może dotyczyć niewłaściwego zakresu.

Kto podlega, a kto dostaje wymagania umową

Rola w łańcuchu	Czy bywa podmiotem objętym	Kogo powiadamia przy zdarzeniu	Co i tak trafia do umowy
Podmiot zarządzający portem	tak, wymieniony w wykazie	organ oraz uczestników łańcucha	wymagania wobec wszystkich wpuszczanych firm
Operator obiektu przeładunkowego	zwykle tak	organ oraz przewoźników i zleceniodawców	prawo sprawdzenia u dostawcy
Przewoźnik wodny	tak, transport jest w wykazie	organ oraz strony przewozu	termin powiadomienia liczony w godzinach
Przewoźnik drogowy	zależy od skali i rodzaju usług	zleceniodawców, organ przy kwalifikacji	wymagania wobec dostępów do systemów
Agencja celna	zwykle nie	klientów, których sprawy dotknięto	obowiązek informacyjny wobec każdego z nich
Spedytor organizujący transport	zwykle nie	zleceniodawców i podwykonawców	plan utrzymania obsługi przy awarii
Magazyn czasowego składowania	zależy od prowadzonej działalności	właścicieli towaru i organ przy kwalifikacji	zasady dostępu do dokumentacji
Dostawca usług informatycznych	zależy od rodzaju usługi	odbiorców swojej usługi	wykaz dalszych podwykonawców

Kolumna trzecia jest tą, przez którą warto to zestawienie przeczytać dwa razy. Obowiązek wobec organu ma tylko część uczestników, natomiast obowiązek wobec drugiej strony umowy ma praktycznie każdy, a jego niedotrzymanie kosztuje kontrakt zamiast kary administracyjnej.

Jedno zdarzenie, kilku adresatów i jeden zegar

Firma obsługująca kilkunastu klientów ma przy zdarzeniu inny problem niż zakład pracujący dla jednego odbiorcy. Awaria dotyka zwykle systemu wspólnego, więc w tej samej chwili dotyczy wielu spraw naraz, a każda z nich należy do innego kontrahenta, z innym terminem powiadomienia zapisanym w innej umowie.

Dlatego procedurę zaczynamy nie od opisu zdarzenia, tylko od pytania, czyje usługi zostały dotknięte i kto ma to ustalić. Dopiero potem wchodzą terminy. Zapisujemy przy tym rzecz, której zwykle nikt nie ma na papierze: listę adresatów wraz z numerami telefonu, z zastępstwami i z informacją, który termin jest najkrótszy, bo od niego liczy się cała reszta.

Przechodzimy tę drogę próbnie, mierząc minuty od wykrycia zdarzenia do wysłania pierwszej wiadomości. Wynik takiej próby bywa dla zarządu bardziej przekonujący niż cała reszta raportu, ponieważ pokazuje liczbę zamiast przypuszczenia.

Gdzie kończy się to, co macie już zrobione

Działający system zarządzania odpowiada na większość pytań stawianych przez przepisy. Mieści w sobie metodę szacowania ryzyka, kontrolę dostępu, kopie wraz z odtwarzaniem, obsługę zdarzeń, plan utrzymania usługi oraz wymagania wobec dostawców. Firma po takim projekcie ma tę część zrobioną i wystarczy, że wskaże dowody.

Trzech rzeczy jednak nie obejmuje i żadnej z nich nie nadrobi dojrzałością systemu. Zgłoszenie podmiotu do organu, jeśli podlegacie samodzielnie, nie ma w normie żadnego odpowiednika. Termin powiadomienia liczony w godzinach biegnie niezależnie od tego, co wisi na ścianie. Przypisanie odpowiedzialności kierownictwu wraz z sankcjami jest konstrukcją, której norma po prostu nie zna.

Ta sama luka istnieje w drugą stronę. Firma, która wykonała obowiązki sektorowe i nic ponadto, nie ma deklaracji stosowania, nie prowadzi audytu wewnętrznego i nie zbiera dowodów w sposób, jakiego oczekuje jednostka, więc do badania certyfikującego gotowa nie jest.

Od czego zaczynamy przy takim zleceniu

Od zdania o źródle obowiązku, bo bez niego praca bywa wykonywana pod niewłaściwy zestaw wymagań. Następnie prowadzimy jedno badanie idące przez obie listy naraz, którego wynikiem jest zestawienie braków z nakładem pracy przy każdej pozycji. Potem wchodzi warstwa techniczna, budowana raz dla wspólnego środowiska, a obok niej dokumentacja opisująca stan po zakończeniu prac.

Certyfikat zostawiamy na koniec, na moment, w którym pojawia się kontrakt albo postępowanie stawiające go jako warunek. Odwrotna kolejność bywa kusząca, bo dokument da się pokazać od razu, tylko zostawia otwarte zobowiązanie, o którym nikt nie pamięta do pierwszego poważnego zdarzenia.

Największa oszczędność wspólnego projektu nie leży na naszej fakturze, tylko po Waszej stronie. Dwa osobne badania oznaczają dwa komplety rozmów z tymi samymi ludźmi i dwukrotne ściąganie do biura osób, które normalnie pracują w terenie.

Poza czym to badanie nie sięga

Nie zastępuje opinii prawnej o kwalifikacji podmiotu, choć daje jej podstawę faktyczną i skraca pracę prawnika. Przed organem nadzoru ani przed kontrahentem nikogo nie reprezentujemy. Certyfikatu również nie wydaje, ponieważ robi to wyłącznie akredytowana jednostka po swoim własnym postępowaniu, a nasza rola kończy się na przygotowaniu firmy.

Wymagania samej normy przybliża ISO 27001. Odległość od zgodności mierzy audyt ISO 27001. Przez wszystkie etapy projektu przeprowadza Was wdrożenie, a komplet polityk i wykazów powstaje przy dokumentacji. Same obowiązki wynikające z dyrektywy opisuje osobno NIS 2 dla firm. Źródło obowiązku ustalamy na pierwszej rozmowie umówionej przez kontakt.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026