ISO 27001 a NIS 2 Kraków

Dlaczego w centrum usług to pytanie ma dwie warstwy

Firma prowadząca jeden rodzaj działalności pod jednym adresem odpowiada na pytanie o dyrektywę raz. Krakowskie centrum usług wspólnych musi odpowiedzieć dwa razy, ponieważ występuje jednocześnie w dwóch rolach i mylenie ich jest najczęstszym błędem pierwszej rozmowy.

Warstwa pierwsza dotyczy Was samych. Jeżeli świadczycie usługi informatyczne albo usługi bezpieczeństwa w sposób zarządzany, znajdujecie się w obszarze, który dyrektywa wymienia wprost, i wtedy pytanie o próg wielkości oraz o formę prowadzenia działalności przestaje być teoretyczne.

Warstwa druga dotyczy cudzych obowiązków. Spółki grupy objęte przepisami w swoich krajach przenoszą na Was czynności, bez których nie zdążą ich wykonać: wykrycie zdarzenia, ustalenie zakresu, przygotowanie danych do zgłoszenia. Formalnie nie stajecie się przez to podmiotem objętym, ale praktycznie to od Waszego tempa zależy, czy ktoś inny dotrzyma terminu.

Kiedy dostawca usług dla grupy staje się podmiotem objętym

Sytuacja	Czy podlegacie samodzielnie	Czyj nadzór pyta	Co i tak trzeba zrobić
Obsługa informatyczna spółek grupy jako usługa	do sprawdzenia, katalog to obejmuje	państwo prowadzenia działalności	ustalić kwalifikację na piśmie
Obsługa procesów księgowych i kadrowych	zwykle nie	brak własnego nadzoru sektorowego	spełnić wymagania z umów
Prowadzenie środowiska produkcyjnego klienta	do sprawdzenia	jak wyżej	opisać podział odpowiedzialności
Wsparcie użytkowników bez dostępu do systemów	zwykle nie	brak	zapisać granicę tego wsparcia
Spółka poniżej progu w dużej grupie	próg liczy się z powiązaniami	zależy od wyniku	policzyć powiązania i zapisać rachunek
Oddział podmiotu zagranicznego	zależy od miejsca świadczenia	wymaga rozstrzygnięcia	ustalić właściwość przed zdarzeniem
Kancelaria obsługująca podmiot objęty	nie	brak	odpowiadać na wymagania łańcucha dostaw

Wiersz pierwszy jest tym, który wymaga największej ostrożności i przy którym najczęściej odsyłamy do prawnika. Obsługa informatyczna prowadzona wewnątrz grupy bywa organizowana jako usługa świadczona przez odrębną spółkę, a wtedy argument mówiący, że to przecież ta sama firma, nie wystarcza do zamknięcia tematu.

Który organ jest właściwy, gdy klienci są w kilku krajach

Odruchowa odpowiedź brzmi, że skoro obsługujecie spółki z pięciu państw, to sprawa jest skomplikowana pięciokrotnie. W praktyce jest odwrotnie. Właściwość nadzoru wiąże się z miejscem prowadzenia działalności przez podmiot, a nie z miejscem, w którym siedzą jego odbiorcy, więc polska spółka odpowiada przed polskim nadzorem, choć jej usługi są konsumowane gdzie indziej.

Mnożą się natomiast obowiązki umowne i to one generują pracę. Każda spółka objęta przepisami we własnym kraju wpisuje do umowy własne terminy, własną definicję zdarzenia istotnego i własnego adresata powiadomienia. Zestawienie tych zapisów w jednej tabeli jest zwykle pierwszym praktycznym wynikiem badania.

Osobno odnotowujemy przypadki, w których rozstrzygnięcie wymaga opinii prawnej: oddziały podmiotów zagranicznych, spółki celowe bez własnego personelu oraz działalność prowadzoną formalnie z jednego kraju, a faktycznie z drugiego. Dajemy wtedy podstawę faktyczną, a nie ocenę prawną.

Co się dzieje, gdy awaria dotyka spółek z trzech krajów

To jest scenariusz, przez który warto przejść na sucho, zanim się wydarzy. Środowisko obsługujące kilka podmiotów przestaje działać o dziewiątej rano. Zespół techniczny zajmuje się przywróceniem usługi, co jest właściwą reakcją z punktu widzenia klienta i całkowicie niewystarczającą z punktu widzenia obowiązków.

Równolegle powinny ruszyć trzy rzeczy: ustalenie, czyje usługi zostały dotknięte, powiadomienie każdej z tych spółek w terminie zapisanym w jej umowie oraz zabezpieczenie zapisów pozwalających później opisać przebieg. Ostatni punkt przepada najczęściej, ponieważ przywracanie usługi bywa czynnością, która kasuje dowody.

Procedurę piszemy dlatego od tego, kto dzwoni i do kogo, z nazwiskami, zastępstwami i numerami telefonu. Opis zdarzenia technicznego jest w niej dopiero na trzecim miejscu, bo zegar biegnie od wykrycia, a nie od zrozumienia przyczyny.

Jak układamy taki projekt

Najpierw kwalifikacja, bo bez niej dalsza praca może dotyczyć niewłaściwego podmiotu i niewłaściwego zakresu. Potem badanie łączone, którego wynikiem jest lista braków z nakładem pracy przy każdej pozycji oraz wskazaniem, czy dana pozycja wynika z normy, z przepisów, czy z umowy z odbiorcą.

Następnie warstwa techniczna, wdrażana raz dla całego środowiska, ponieważ jedno środowisko obsługujące kilka spółek pozwala zrobić większość pracy jednokrotnie. Dokumentacja powstaje równolegle i opisuje to, co zostało faktycznie zrobione, a nie to, co zamierzano.

Dokument z jednostki certyfikującej dokładamy na końcu, gdy pojawia się kontrahent albo postępowanie stawiające go jako warunek. Odwrotna kolejność bywa kusząca, bo certyfikat widać na stronie, tylko zostawia otwarte obowiązki, o których nikt nie przypomni aż do pierwszego poważnego zdarzenia.

Granice tego badania

Nie zastępuje opinii prawnej o kwalifikacji podmiotu ani o właściwości nadzoru, choć daje im podstawę faktyczną i zwykle skraca pracę prawnika. Nie reprezentujemy Was przed organem. Nie prowadzi do certyfikatu, bo ten wydaje wyłącznie akredytowana jednostka po własnym postępowaniu.

Treść samej normy wyjaśnia ISO 27001, pomiar odległości od zgodności prowadzi audyt ISO 27001, przez cały projekt przechodzi wdrożenie, a obowiązki płynące z dyrektywy porządkuje NIS 2 dla firm. Kwalifikację ustalamy po rozmowie umówionej przez kontakt.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026