ISO 27001 a NIS 2 Gorzów Wielkopolski

Dlaczego oba pytania trafiają do firmy w tym samym kwartale

Zwykle wygląda to tak. Najpierw przychodzi ankieta z działu zakupów dużego odbiorcy, w której pada nazwa normy i pytanie o certyfikat. Kilka tygodni później ktoś w firmie czyta o obowiązkach sektorowych i zaczyna sprawdzać, czy zakład się w nich mieści. Dwa różne bodźce, dwa różne tematy, jeden budżet.

Częstym odruchem jest zamówienie dwóch osobnych rzeczy: doradztwa certyfikacyjnego i osobnego projektu zgodności z przepisami. Wychodzi drożej, trwa dłużej i kończy się dwoma dokumentami, które w połowie mówią to samo innymi słowami.

Co da się zbadać raz i zaliczyć w dwóch miejscach

Obszar	Czego oczekuje norma	Czego oczekują przepisy	Jedna praca
Analiza ryzyka	metoda, kryteria akceptacji, rejestr	środki adekwatne do ryzyka	tak
Kontrola dostępu	zabezpieczenia dobrane z załącznika A	uwierzytelnianie wieloskładnikowe i zarządzanie kontami	tak
Kopie i ciągłość działania	plan ciągłości i testy odtworzenia	zarządzanie kryzysowe i ciągłość usług	tak
Łańcuch dostaw	wymagania wobec dostawców w umowach	bezpieczeństwo dostawców i usługodawców	tak
Obsługa incydentu	proces zgłaszania i wyciąganie wniosków	zgłoszenie do właściwego organu w wyznaczonym terminie	częściowo
Rejestracja podmiotu	brak takiego wymagania	obowiązek po stronie kierownictwa	nie
Deklaracja stosowania	dokument obowiązkowy	brak takiego wymagania	nie
Potwierdzenie	audyt jednostki certyfikującej	kontrola organu nadzoru	nie

Pięć pierwszych wierszy to powód, dla którego łączymy oba tematy w jedno badanie. Trzy ostatnie są powodem, dla którego nie wolno powiedzieć, że certyfikat załatwia sprawę.

Gdzie jedno naprawdę nie zastępuje drugiego

Najostrzej widać to przy incydencie. Norma wymaga, żebyście mieli proces i żebyście z niego korzystali. Przepisy dokładają zegar oraz adresata, a zegar nie zatrzymuje się w piątek po piętnastej ani w trakcie urlopu prezesa. Certyfikat na ścianie nie skraca ani jednej godziny z tego terminu.

Druga różnica dotyczy granic. Zakres systemu wyznaczacie sami i wolno go zawęzić do jednego działu. Obowiązki sektorowe obejmują działalność, którą prowadzicie, i nie da się z nich wyłączyć magazynu decyzją zarządu.

Trzecia to skutki. Za brak certyfikatu nie grożą sankcje, traci się kontrakt. Za niespełnienie obowiązków wynikających z przepisów odpowiada kierownictwo osobiście i to jest rozmowa o innym ciężarze.

Od czego zaczynamy w zakładzie pod Gorzowem

Od jednego zdania na piśmie: podlegacie albo nie podlegacie, a jeśli tak, to jako który rodzaj podmiotu. To rozstrzygnięcie zmienia wszystko dalej, łącznie z tym, czy w ogóle warto rozmawiać o certyfikacji w tym roku.

Potem jedziemy do Was i robimy badanie w jednym cyklu: rozmowy z zarządem, obchód, przegląd zapisów, sprawdzenie umów z dostawcami i serwisami. Pytania dotyczące normy i pytania wynikające z przepisów zadaje ta sama osoba przy tym samym stole, bo w dziewięciu przypadkach na dziesięć odpowiedź jest wspólna, a różni się tylko rubryka, do której trafia.

Raport dzielimy na trzy części: co spełniacie, co trzeba zrobić z powodu przepisów i co trzeba dołożyć, jeśli chcecie certyfikat. Trzecia część bywa odłożona o rok i to jest w porządku, o ile jest to decyzja, a nie przeoczenie.

Ile na wspólnym projekcie oszczędza gorzowska firma

Najwięcej na swoim czasie, nie na naszej fakturze. Dwa osobne badania oznaczają dwa razy oderwanie kierownika utrzymania ruchu od pracy, dwa obchody hali i dwa komplety rozmów z tymi samymi ludźmi. W zakładzie pracującym na zmiany to jest realny koszt, tylko nie widać go w kosztorysie.

Druga oszczędność bierze się z sąsiedztwa. Prace uzupełniające po badaniu, takie jak podział sieci, drugi składnik logowania albo zmiana zasad kopii, wymagają okien serwisowych. Rozkładamy je na kilka krótkich wizyt zamiast jednego długiego zjazdu, bo z Baczyńskiego 24 do większości adresów w mieście i gminach wokół jedziemy kilkanaście minut.

Kiedy odradzamy łączenie obu tematów

Gdy termin wynikający z przepisów jest bliski, a certyfikat ma być gotowy „przy okazji”. Wtedy projekt certyfikacyjny wchodzi w drogę pilniejszym rzeczom i zwykle opóźnia jedno i drugie.

Odradzamy też wtedy, gdy okazuje się, że nie podlegacie pod przepisy, a certyfikat jest potrzebny tylko jednemu odbiorcy. Wystarczy wówczas węższa praca zamiast podwójnego projektu, a różnicę w budżecie lepiej wydać na zabezpieczenia.

Sam przebieg badania opisuje audyt zgodności z ISO 27001, wymagania samej normy ISO 27001, obowiązki sektorowe NIS 2 dla firm, a drogę do certyfikatu wdrożenie i certyfikacja. Zestawienie w skali kraju czeka pod adresem porównania normy i dyrektywy.

Treść sprawdzona i zaktualizowana: 31 lipca 2026