ISO 27001 a NIS 2 Katowice

Dlaczego w metropolii to pytanie wraca częściej

Bo sektory wymienione w załącznikach dyrektywy nie są tu abstrakcją z aktu prawnego, tylko wyliczeniem tego, co stoi wzdłuż drogi. Ciepło, energia, woda i ścieki, gospodarka odpadami, transport, produkcja maszyn, pojazdów i wyrobów chemicznych. Firma z Katowic albo z sąsiedniego miasta ma zwykle albo taką działalność, albo odbiorcę, który ją prowadzi.

Stąd bierze się typowe zamieszanie. Zarząd wie, że temat go dotyczy, tylko nie wie, którym końcem: czy podlega obowiązkom samodzielnie, czy dostał je od odbiorcy w formie aneksu. Odpowiedź jest jedna na firmę i zapisuje się ją jednym zdaniem, ale dopóki tego zdania nie ma, każda kolejna praca może dotyczyć niewłaściwego zakresu.

Która działalność rozstrzyga o kwalifikacji

Działalność obecna w metropolii	Gdzie zwykle siedzi w firmie	Co naprawdę przesądza	Częsty błąd w ocenie
Wytwarzanie i dostarczanie ciepła	kotłownia zakładowa	rola pełniona wobec odbiorców zewnętrznych	uznanie, że własna kotłownia sama z siebie kwalifikuje
Energia elektryczna	rozdzielnia i przyłącza na terenie	funkcja w systemie, nie posiadanie urządzeń	mylenie odbiorcy przemysłowego z podmiotem sektora
Woda i ścieki	własne ujęcie albo podczyszczalnia	do kogo trafia woda i na jakiej podstawie	pominięcie instalacji obsługującej sąsiednie firmy
Gospodarka odpadami	zbieranie i przetwarzanie odpadów	zakres wpisów w posiadanych zezwoleniach	traktowanie własnych odpadów jak działalności sektora
Transport i spedycja	flota i planowanie przewozów	rodzaj wykonywanych usług przewozowych	uznanie transportu wewnętrznego za działalność objętą
Produkcja maszyn i pojazdów	hala i technolodzy	rodzaj wytwarzanych wyrobów	ocena po odbiorcy zamiast po własnym wyrobie
Wyroby chemiczne	linia i magazyn substancji	charakter procesu i wyrobu	pominięcie działalności prowadzonej ubocznie
Usługi informatyczne dla spółek siostrzanych	centrum usług w grupie	zakres i odbiorcy świadczonych usług	założenie, że praca wewnątrz grupy nie liczy się wcale

Ostatnia kolumna opisuje pomyłki, które widzimy najczęściej, i wszystkie idą w tę samą stronę: firma ocenia się po sąsiedztwie i po odbiorcach, a nie po tym, co sama robi i na jakiej podstawie.

Adres nie kwalifikuje, kwalifikuje działalność

To rozróżnienie oszczędza najwięcej pracy przy pierwszej rozmowie. Kwalifikację ustala się dla przedsiębiorcy, więc liczba obiektów, ich rozrzucenie po metropolii i to, w którym mieście stoi zarząd, nie zmieniają wyniku.

Adresy wracają dopiero na drugim etapie, przy pracy nad środkami. Wtedy okazuje się, że wymagania dotyczące dostępu fizycznego, ciągłości działania i nadzoru nad dostawcami trzeba spełnić w każdym miejscu istotnym dla świadczonej usługi, a nie tylko tam, gdzie łatwiej to zrobić. Ta sama zasada obowiązuje po stronie normy, więc nakład pracy liczy się raz.

Co norma pokrywa, a czego nie domknie

Pokrywa gros tego, o co pytają przepisy: sposób szacowania ryzyka, kontrolę dostępu, kopie i odtwarzanie, obsługę zdarzeń, ciągłość działania oraz wymagania stawiane dostawcom. Firma z działającym systemem ma tę część wykonaną i wystarczy wskazać dowody.

Nie domyka trzech rzeczy i żadnej z nich nie da się nadrobić dojrzałością systemu. Pierwsza to rejestracja podmiotu, jeśli podlegacie samodzielnie. Druga to terminy zgłoszeń liczone w godzinach, przy których dokument na ścianie nie skraca ani jednej minuty. Trzecia to formalne przypisanie odpowiedzialności kierownictwu, wraz z konsekwencjami, których norma nie przewiduje.

Działa to również w drugą stronę. Spełnienie obowiązków sektorowych nie tworzy deklaracji stosowania, nie zastępuje audytu wewnętrznego i nie wytwarza dowodów rozłożonych w czasie, więc firma przygotowana wyłącznie pod przepisy nie jest gotowa do badania jednostki.

Kolejność, która wychodzi taniej

Najpierw zdanie o kwalifikacji, bo bez niego dalsza praca bywa robiona pod niewłaściwy zestaw wymagań. Potem jedno badanie obejmujące obie listy, którego wynikiem jest zestawienie braków z nakładem pracy przy każdej pozycji. Dalej idzie warstwa techniczna, uruchamiana jeden raz dla wspólnego środowiska, a razem z nią dokumentacja spisująca stan po wykonaniu prac.

Po dokument sięgamy dopiero wtedy, gdy pojawia się kontrakt albo postępowanie wymagające go wprost. Odwrotna kolejność bywa kusząca, bo dokument da się pokazać od razu, ale zostawia otwarty obowiązek, o którym nikt nie pamięta do pierwszego poważnego zdarzenia.

Oszczędność na wspólnym projekcie widać przede wszystkim po Waszej stronie. Dwa osobne badania oznaczają dwa komplety rozmów z tymi samymi kierownikami, dwa obchody tych samych obiektów i dwukrotne oderwanie utrzymania ruchu od pracy, a tego kosztu nie widać na żadnej fakturze.

Czego to badanie nie zamyka

Nie zastępuje opinii prawnej o kwalifikacji podmiotu, choć daje jej podstawę faktyczną i skraca pracę prawnika. Przed organem nadzoru ani przed odbiorcą nikogo nie reprezentujemy. Nie prowadzi do certyfikatu, bo ten wystawia wyłącznie akredytowana jednostka po własnym badaniu, a my odpowiadamy za przygotowanie firmy.

Treść samej normy i decyzję o granicy wyjaśnia ISO 27001, pomiar gotowości opisuje audyt ISO 27001, przebieg całego projektu wdrożenie, a komplet polityk dokumentacja. Obowiązki płynące z samej dyrektywy zebraliśmy przy NIS 2 dla firm. Zdanie o źródle obowiązku zapisujemy po rozmowie, którą umówicie przez kontakt.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026