ISO 27001 a NIS 2 Kielce

Na jakie trzy pytania odpowiada to badanie?

Pierwsze: czy przepisy obejmują Waszą firmę wprost, czy docierają do Was inną drogą. Drugie: które z wymagań, jakie stawia odbiorca albo przepis, już spełniacie, a których nie, i ile pracy dzieli te dwa stany. Trzecie: co zrobić najpierw, jeśli terminów jest kilka i nie da się ich obsłużyć równolegle.

Odpowiedzi mają postać dokumentu, nie rozmowy. Dostajecie rozstrzygnięcie kwalifikacji z uzasadnieniem, zestawienie wymagań ze stanem faktycznym oraz plan z kolejnością i szacowanym nakładem. Ten pierwszy element bywa najważniejszy, bo firmy potrafią wydać duże pieniądze na obowiązek, który ich nie dotyczy, albo, znacznie gorzej, zignorować ten, który ich dotyczy.

Skąd te wymagania biorą się u firmy spoza wykazu sektorów?

Z góry łańcucha. Kielecka firma produkująca elementy dla energetyki, wykonująca prace dla operatora sieci albo dostarczająca materiał na inwestycję publiczną zwykle sama nie jest podmiotem wskazanym w przepisach. Jej odbiorca jest. A podmiot objęty obowiązkiem musi zadbać o bezpieczeństwo swoich dostawców, więc przenosi część wymagań tam, gdzie ma je jak wyegzekwować: do umowy.

Skutek praktyczny jest taki, że pierwszy sygnał nie przychodzi z urzędu, tylko w postaci aneksu, kwestionariusza albo nowego załącznika do kontraktu, który wcześniej zawierał wyłącznie warunki techniczne i terminy. Bywa też, że przychodzi w rozmowie na targach, kilka miesięcy przed formalnym pismem, i to jest najlepszy możliwy moment, bo zostaje czas na przygotowanie.

Różnica między tymi dwiema drogami nie jest akademicka. Obowiązek ustawowy egzekwuje organ nadzoru i obejmuje całą działalność. Wymaganie kontraktowe egzekwuje kontrahent, obejmuje to, co zapisano w umowie, i kończy się utratą kontraktu, a nie sankcją administracyjną.

Co odbiorca może wpisać do umowy i czy da się to wykonać?

Zestawienie zapisów, które widzimy najczęściej, razem z tym, co trzeba mieć w firmie, żeby podpis pod nimi nie był obietnicą bez pokrycia.

Zapis w umowie	Czego naprawdę wymaga	Co trzeba mieć, żeby go dotrzymać
Powiadomienie o incydencie w wyznaczonym czasie	ktoś musi zauważyć zdarzenie i mieć kogo zawiadomić	monitoring, dyżurny kontakt i rejestr zgłoszeń
Prawo odbiorcy do audytu u Was	gotowość pokazania zapisów i systemów	uporządkowana dokumentacja i zapisy z datami
Zgoda na zmianę podwykonawcy	wiedza o tym, kto pracuje na danych odbiorcy	aktualny wykaz podmiotów i umowy powierzenia
Wymóg kopii zapasowych z testem odtworzenia	dowód, że kopia daje się przywrócić	udokumentowana próba odtworzenia z wynikiem
Uwierzytelnianie wieloskładnikowe u pracowników	wdrożenie na kontach, nie deklaracja	drugi składnik na poczcie i dostępie zdalnym
Rozdzielenie sieci technologicznej od biurowej	fizyczny albo logiczny podział ruchu	przebudowa sieci i opisany schemat
Zgłaszanie podatności w dostarczanym wyrobie	proces przyjmowania i obsługi zgłoszeń	wskazany kanał i osoba odpowiedzialna

Trzy dolne wiersze są tymi, przy których najczęściej pada odpowiedź, że da się, ale nie od razu. To jest dobra odpowiedź, o ile towarzyszy jej termin. Podpisanie zapisu, którego firma nie spełnia i nie zamierza spełnić, jest ryzykiem większym niż jego renegocjowanie, bo pierwsze zdarzenie zamienia je w spór o niewykonanie umowy.

Co zrobić najpierw, gdy oba wymagania spadają naraz?

Zaczynamy od tego, co ma twardy termin, a nie od tego, co brzmi poważniej. Obowiązki wynikające z przepisów oraz zapisy umowne z datą wchodzą do planu jako pierwsze, bo ich niedotrzymanie ma natychmiastowy skutek. Certyfikacja, mimo że jest większym projektem, ma termin ustalany przez Was i można ją przesunąć bez konsekwencji.

Druga zasada to nie robić tej samej pracy dwa razy. Ocena ryzyka, wykaz systemów, kontrola dostępu, kopie i procedura zgłaszania zdarzeń pracują na obie strony, więc powstają raz i w takim kształcie, żeby pokryły oba zestawy wymagań. Osobno dopisujemy wyłącznie to, co naprawdę jest różne: terminy zgłoszeń, sposób powiadamiania odbiorcy oraz wymagania stawiane własnym dostawcom.

Trzecia to zawężenie tego, co obejmujemy certyfikatem, jeśli certyfikat w ogóle będzie potrzebny. Wymaganie odbiorcy dotyczy zwykle konkretnego procesu, a nie całej firmy. Przebieg takiego projektu opisuje wdrożenie ISO 27001, a dystans do wymagań mierzy audyt zgodności.

Na jakie pytania nie odpowiemy?

Nie wydajemy opinii prawnych, więc ostateczna wykładnia przepisów sektorowych i ocena zapisów umownych należy do prawnika. Nasze rozstrzygnięcie kwalifikacji opiera się na tym, co firma naprawdę robi, i jest dobrą podstawą dla takiej opinii, ale jej nie zastępuje.

Nie prowadzimy też za Was rozmów z odbiorcą i nie składamy zgłoszeń do organu. Dostarczamy fakty, na których zgłoszenie da się oprzeć, oraz opis, kto po Waszej stronie ma je złożyć i w jakiej kolejności. Podstawy techniczne, na których to wszystko stoi, sprawdza audyt IT, a wymagania samej normy wyjaśnia ISO 27001. Termin badania ustalamy przez kontakt.

Treść sprawdzona i zaktualizowana: 14 sierpnia 2026