ISO 27001 a NIS 2 Łódź

Kto w tej branży w ogóle podlega przepisom

Pytanie trafia do łódzkich firm zwykle nie od organu, tylko od marki albo od odbiorcy, który sam wszedł w obowiązki i porządkuje umowy ze swoimi wykonawcami. Reakcją bywa założenie, że skoro pismo przyszło, to obowiązek istnieje. Tak być nie musi, a rozróżnienie ma znaczenie finansowe, ponieważ obie ścieżki wymagają innego zakresu pracy i mają inne terminy.

Sama sprzedaż towarów przez własny sklep zwykle nie mieści się w wykazie sektorów. Wykaz obejmuje natomiast transport, usługi pocztowe i kurierskie oraz dostawców usług cyfrowych, w tym internetowe platformy handlowe. Firma z tej okolicy potrafi prowadzić wszystkie trzy działalności naraz, nie nazywając żadnej z nich w ten sposób, i właśnie dlatego kwalifikację ustala się od usługi, a nie od wpisu w rejestrze.

Które obowiązki norma domyka, a których nie

Obowiązek	Jak wygląda w firmie obsługującej zamówienia	Czy norma go domyka	Co dopisujecie
Rejestracja podmiotu u organu	czynność jednorazowa, łatwa do przeoczenia	nie zna takiego wymagania	zgłoszenie i pilnowanie jego aktualności
Zarządzanie ryzykiem	rejestr z pozycjami o dostawcach i o wysyłce	tak, w całości	nic poza aktualizacją po zmianach
Zgłoszenie zdarzenia w terminie	zegar biegnący także w sobotę	proces tak, terminy nie	wskazany adresat i uprawnienie do wysłania
Ciągłość świadczenia usługi	scenariusz postoju magazynu i powrotu do pracy	tak	powiązanie scenariusza z umowami marek
Nadzór nad dostawcami	agencje, przewoźnicy, integratorzy	tak	wykaz aktualizowany przy każdej zmianie
Kontrola dostępu i drugi składnik	konta biurowe, terminale, panele dostawców	tak	zwykle nic, jeśli system działa
Szkolenia i świadomość	wdrożenie obsady stałej i sezonowej	tak	dowód przy grupach przyjmowanych hurtem
Odpowiedzialność kierownictwa	wskazana wprost, z sankcjami	zaangażowanie tak, sankcje nie	formalne przypisanie roli w firmie
Deklaracja stosowania	wykaz środków z uzasadnieniami	tak, to wymaganie normy	przepisy tego nie wymagają wcale

Ostatni wiersz pokazuje, że zależność działa w obie strony. Firma przygotowana wyłącznie pod przepisy nie ma deklaracji stosowania, nie prowadzi audytu wewnętrznego i nie zbiera dowodów w sposób, którego oczekuje jednostka, więc do badania certyfikującego nie jest gotowa mimo spełnionych obowiązków.

Co spływa do Was umową, niezależnie od kwalifikacji

Wymagania wędrują w dół łańcucha niezależnie od tego, czy jesteście podmiotem objętym. Marka, która sama podlega obowiązkom, przenosi część z nich na wykonawcę obsługującego jej zamówienia, ponieważ jej własna ciągłość zależy od Waszego magazynu. Trafia to do Was jako aneks z terminami liczonymi w godzinach, z prawem do sprawdzenia i z wymaganiami wobec dostępów.

Skutek jest praktyczny. Podpisanie takiego aneksu tworzy zobowiązanie kontraktowe, którego niedotrzymanie kosztuje kontrakt, a nie karę administracyjną. Praca do wykonania jest podobna, zmienia się natomiast to, kto kontroluje jej wykonanie i w jakim terminie, więc ustalamy to zdanie na samym początku i zapisujemy jednoznacznie.

Co się dzieje, gdy zdarzenie wypada w sobotę

Magazyn wysyłkowy pracuje wtedy, gdy sklepy sprzedają, czyli również w weekendy i w godzinach, w których część biurowa jest pusta. Zdarzenie wykrywa zwykle osoba z hali, a droga do kogokolwiek decyzyjnego prowadzi przez dwa telefony, przy czym termin liczony w godzinach biegnie od stwierdzenia naruszenia, a nie od powrotu zarządu do pracy w poniedziałek.

Procedurę zaczynamy więc od listy osób, ich zastępstw i numerów telefonu, a następnie przechodzimy ją próbnie, licząc minuty od wykrycia zdarzenia do wysłania pierwszej wiadomości. Przy okazji sprawdzamy, czy zapisy w systemie magazynowym i w platformie sklepu przetrwają dostatecznie długo, żeby dało się ustalić zasięg zdarzenia, i czy leżą gdzie indziej niż system, którego ono dotyczy.

Od czego zaczynamy i dlaczego w tej kolejności

Najpierw zdanie o źródle obowiązku, ponieważ bez niego praca bywa wykonywana pod niewłaściwy zestaw wymagań. Potem jedno badanie idące przez oba katalogi naraz, kończące się listą braków z nakładem pracy oszacowanym przy każdym z nich. Dalej warstwa techniczna, uruchamiana raz dla całego środowiska, a razem z nią dokumentacja spisująca stan po wykonaniu prac.

Po dokument sięgamy na końcu, w chwili gdy pojawia się umowa albo postępowanie wymagające go wprost. Odwrotna kolejność bywa kusząca, bo certyfikat da się pokazać od razu, tylko zostawia otwarte zobowiązanie, o którym nikt nie pamięta do pierwszego poważnego zdarzenia w środku sezonu.

Czego w tym badaniu nie ma

Nie zastępuje opinii prawnej o kwalifikacji podmiotu, choć daje jej podstawę faktyczną i skraca pracę prawnika. Nikogo nie reprezentujemy przed organem nadzoru ani przed marką, która przysłała aneks. Nie prowadzi też do certyfikatu, bo ten wystawia wyłącznie akredytowana jednostka po własnym postępowaniu, a my odpowiadamy za przygotowanie firmy.

Wymagania samej normy przybliża ISO 27001. Odległość od zgodności mierzy audyt ISO 27001. Przez cały projekt prowadzi wdrożenie, a polityki i wykazy powstają przy dokumentacji. Obowiązki płynące z samej dyrektywy opisuje osobno NIS 2 dla firm. Zdanie o źródle obowiązku zapisujemy po rozmowie umówionej przez kontakt.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026