ISO 27001 a NIS 2 Lublin

Czy przepisy obejmują lubelską firmę transportową?

To pierwsze pytanie i najczęściej odpowiedź jest inna, niż zakłada dzwoniący. Dyrektywa wymienia transport wśród sektorów, więc firma przewozowa czyta tę listę i uznaje, że sprawa jest przesądzona. Tymczasem w części drogowej obowiązki kierowane są przede wszystkim do zarządców dróg i operatorów inteligentnych systemów transportowych, a nie do każdego podmiotu wykonującego przewozy.

Zakład przetwórczy spod Lublina ma sytuację odwrotną. Produkcja, przetwarzanie i dystrybucja żywności są w katalogu wymienione osobno, więc rozmowa przenosi się od razu na próg wielkości przedsiębiorstwa i na to, którą działalność uznać za podstawową.

Dlatego badanie zaczynamy od rozstrzygnięcia, a nie od zabezpieczeń. Dostajecie je na piśmie, razem ze wskazaniem podstawy, żeby dało się to zweryfikować. Sprawy sporne opisujemy jako sporne i mówimy wprost, że przesądza je prawnik.

Skąd wobec tego biorą się wymagania u przewoźnika?

Z umowy. Duży odbiorca, sieć handlowa albo producent objęty przepisami przenosi część własnych obowiązków na dostawców, bo odpowiada za bezpieczeństwo swojego łańcucha. W praktyce trafia to do Was jako aneks albo kwestionariusz, a jego niespełnienie kończy się utratą zlecenia, nie karą administracyjną.

Pytanie	Firma przewozowa	Zakład przetwórczy	Skąd bierze się różnica
Źródło obowiązku	zwykle umowa z odbiorcą	zwykle przepisy sektorowe	katalog sektorów w załącznikach
Kto sprawdza	kontrahent i jego audytor	organ nadzoru	inny tryb weryfikacji
Skutek zaniechania	utrata zlecenia	odpowiedzialność wobec organu	inna podstawa
Zakres	to, co zapisano w kontrakcie	cała objęta działalność	umowa zawęża, przepisy nie
Termin	wynika z aneksu	wynika z przepisów	negocjowalny kontra sztywny
Zgłaszanie zdarzeń	zgodnie z umową	według wyznaczonej ścieżki	różne adresaty zgłoszenia
Rola zarządu	ustalana wewnętrznie	wskazana wprost w przepisach	inny ciężar formalny
Co zamyka temat	odpowiedź na kwestionariusz	wykazanie zgodności organowi	inny odbiorca dowodu

Rozdzielenie tych dwóch kolumn jest zwykle najbardziej wymierną częścią badania, bo firma, która myślała, że musi zrealizować cały katalog wymagań, dowiaduje się, że wystarczy zamknąć zakres z umowy. Bywa też odwrotnie i wtedy lepiej wiedzieć o tym wcześniej niż przy kontroli.

Gdzie norma pomaga, a gdzie nie zdejmie z Was nic?

Pomaga tam, gdzie oba zestawy mówią o tym samym. Ocena ryzyka, zarządzanie dostępem, kopie i ciągłość działania, postępowanie ze zdarzeniami oraz wymagania wobec dostawców. Firma z działającym systemem ma tę część zrobioną i rozmowa sprowadza się do uzupełnień.

Nie zdejmie natomiast obowiązków wynikających wprost z przepisów. Terminy zgłoszeń, adresat zgłoszenia i formalna odpowiedzialność kierownictwa zostają niezależnie od tego, ile dokumentów wisi w gablocie. Certyfikat jest dowodem dojrzałości procesu, a nie zwolnieniem z ustawy.

Co robić, gdy kwestionariusz przyszedł z terminem na wczoraj?

Zdarza się to regularnie i nie jest powodem do paniki. Duży odbiorca wysyła ankietę do wszystkich dostawców naraz, zwykle z terminem dwutygodniowym, a treść pytań bywa napisana pod firmę zupełnie innej wielkości. Połowa pozycji nie dotyczy Was wcale.

Zaczynamy wtedy od przejścia przez formularz i rozdzielenia go na trzy części. Pytania, na które odpowiedź już istnieje i wystarczy ją znaleźć. Pytania, które Was nie dotyczą i wymagają jednego zdania wyjaśnienia zamiast pustego pola. Oraz te, które wskazują realny brak i trzeba przy nich podać termin naprawy zamiast odpowiedzi twierdzącej.

Trzecia grupa jest najważniejsza, bo odbiorcy zwykle akceptują deklarację z terminem. Odrzucają natomiast odpowiedź wymijającą albo twierdzącą, która przy pierwszym pytaniu uzupełniającym okazuje się nieprawdziwa.

W jakiej kolejności to układać, żeby zapłacić raz?

Najpierw rozstrzygnięcie kwalifikacji, bo od niego zależy wszystko dalsze. Potem obowiązki mające twardy termin, jeśli takie Was dotyczą. Następnie zgodność z normą, ale bez certyfikacji, jeśli nikt jej nie żąda. Certyfikat na końcu, w momencie, w którym pojawi się kontrahent albo przetarg, który go wymaga.

Ta kolejność jest tańsza od odwrotnej, bo praca doradcza liczy się raz, a nie w dwóch projektach prowadzonych rok po roku. Przebieg wdrożenia opisaliśmy przy wdrożeniu i certyfikacji, a stan wyjściowy mierzy audyt zgodności.

Czego to badanie nie rozstrzyga?

Nie zastępuje opinii prawnej i nie przesądza sporów o interpretację przepisów przy nietypowej działalności. Nie odpowiada za Was na kwestionariusz odbiorcy, choć daje wszystkie fakty potrzebne do jego wypełnienia. Nie bada też stanu technicznego środowiska, od czego jest audyt IT. Rozmowę umawiamy przez kontakt.

Treść sprawdzona i zaktualizowana: 14 sierpnia 2026