ISO 27001 a NIS 2 Olsztyn

Co rozstrzygamy najpierw

Kwalifikację, bo bez niej cała reszta rozmowy wisi w powietrzu. Odpowiadamy na pytanie, czy przepisy dotyczą Waszej spółki, i zapisujemy uzasadnienie w formie, którą da się pokazać kontrahentowi albo bankowi. To zwykle jedna strona z odwołaniem do rodzaju działalności i do wielkości podmiotu, i bardzo często jest jedynym dokumentem, jakiego ktoś od Was oczekiwał.

Dopiero potem badamy stan faktyczny, czyli co z wymagań spełniacie już dziś, czego brakuje i ile pracy dzieli Was od domknięcia. Kolejność jest ważna, ponieważ firma spoza wykazu sektorów zwykle potrzebuje znacznie mniej, niż sądzi po lekturze pierwszego kwestionariusza od odbiorcy.

Dlaczego przetwórnia przesądza o obowiązkach całej spółki

Bo obowiązek przypisuje się podmiotowi, a podmiot jest jeden, choćby prowadził dwie zupełnie różne działalności w dwóch miejscach na mapie. Na Warmii to częsty układ. Rodzinna spółka prowadzi zakład przetwórczy i przy okazji obiekt noclegowy nad jeziorem, bo jedno powstało z drugiego. Z punktu widzenia przepisów liczy się to, czy któraś z tych działalności mieści się w wykazie sektorów.

Skutek praktyczny bywa zaskakujący. Recepcja obiektu, która sama z siebie nigdy nie znalazłaby się w zakresie, wchodzi w niego przez wspólny podmiot, wspólną sieć i wspólne konta pocztowe. W raporcie pokazujemy, gdzie da się to rozdzielić technicznie i organizacyjnie, bo to najprostszy sposób na zawężenie pracy do części, która naprawdę jej wymaga.

Gdzie norma pokrywa przepis, a gdzie nie sięga

Pokrycie jest duże i to jest dobra wiadomość dla budżetu. Poniżej podział na te obszary, w których praca wykonana raz zamyka oba zestawy, i na te, które zostają niezależnie od tego, jak dobry macie system.

Obszar	Norma	Przepisy	Czy jedna praca wystarczy
Ocena ryzyka	wymaga metody i rejestru	wymaga adekwatnych środków	tak, jedna analiza obsługuje oba
Kontrola dostępu	zabezpieczenie z załącznika A	środek techniczny wymagany wprost	tak
Kopie i ciągłość działania	wymagane, dobierane do ryzyka	wymagane wprost	tak
Bezpieczeństwo dostawców	ocena i umowy	wskazane jako obowiązek	tak, przy tej samej liście dostawców
Zgłaszanie incydentów	wymaga procesu, bez terminów ustawowych	wyznacza terminy i adresata	nie, terminy trzeba dołożyć
Zakres	wyznaczacie go sami	obejmuje działalność podmiotu	nie, zakres bywa różny
Potwierdzenie	certyfikat jednostki	brak certyfikacji, jest nadzór organu	nie, to dwie różne drogi
Odpowiedzialność	zaangażowanie kierownictwa	odpowiedzialność wskazana z sankcją	nie, przepis idzie dalej

Wniosek z tej tabeli jest praktyczny. Cztery pierwsze wiersze to około dwóch trzecich pracy i wykonuje się je raz. Cztery ostatnie wymagają osobnej decyzji i to na nich zwykle kończy się rozmowa o tym, że certyfikat wystarczy za wszystko.

Kto zgłasza incydent, gdy jest połowa sierpnia

Podmiot, czyli Wy, i tego nie zmienia żadna umowa z dostawcą informatyki. Zmienia ona tylko to, jak szybko dostaniecie dane potrzebne do zgłoszenia, dlatego w raporcie proponujemy konkretny zapis o czasie przekazania informacji przez dostawcę. Bez niego termin biegnie Wam, a odpowiedź przychodzi wtedy, kiedy komuś pasuje.

Druga część tej odpowiedzi dotyczy tego, kto fizycznie stoi wtedy na miejscu. W szczycie sezonu zmiana wieczorna bywa obsadzona ludźmi pracującymi tu od kilku tygodni, więc procedura na dwadzieścia stron nie zadziała. Zostawiamy jedną kartę z trzema pierwszymi krokami i z numerami telefonów, i to jest dokument, który realnie ratuje termin.

W jakiej kolejności to układać

Najpierw obowiązki z terminami ustawowymi, bo one nie negocjują z kalendarzem obiektu. Potem struktura zgodna z normą, która porządkuje resztę i przy okazji odpowiada na kwestionariusze od kontrahentów. Certyfikat dopiero wtedy, gdy pojawi się umowa, która go wymaga, bo do tego momentu jest wydatkiem bez odbiorcy.

Ta kolejność jest tańsza i szybciej domyka to, co ma twardy termin. Sam zakres badania zgodności opisuje audyt ISO 27001, wymagania normy ISO 27001, a przebieg wdrożenia wdrożenie i certyfikacja.

Czego to badanie nie rozstrzyga

Nie zastępuje opinii prawnej i nie jest wiążącą wykładnią przepisów, choć uzasadnienie kwalifikacji piszemy tak, żeby prawnik mógł się na nim oprzeć. Nie prowadzimy zgłoszeń do organu w Waszym imieniu. Nie oceniamy umów z kontrahentami, wskazujemy jedynie zapisy wymagające decyzji.

Techniczny stan środowiska, od którego zależy większość tych odpowiedzi, pokazuje audyt IT. Rozmowę o zakresie umawiamy przez kontakt.

Treść sprawdzona i zaktualizowana: 14 sierpnia 2026