ISO 27001 a NIS 2 Opole

Skąd bierze się sytuacja z dwoma wymaganiami naraz?

Z dwóch niezależnych źródeł nacisku, które trafiają w tę samą firmę w tym samym czasie. Odbiorca objęty przepisami wdrażającymi dyrektywę porządkuje swój łańcuch dostaw i przysyła aneks z wymaganiami. Równolegle właściciel albo grupa kapitałowa wprowadza wymóg certyfikacji według normy dla wszystkich spółek. Każde z tych żądań ma swój termin i swojego adresata, a wykonać ma je ten sam zespół, który obsługuje firmę na co dzień.

Naturalną reakcją jest potraktowanie ich jako dwóch projektów, i to jest błąd kosztujący najwięcej. Oba zestawy dotyczą w dużej części tych samych obszarów: ryzyka, dostępów, kopii, incydentów, dostawców i szkoleń. Prowadzone osobno oznaczają dwa razy te same rozmowy, dwa komplety dokumentów, które po roku zaczną się rozjeżdżać, i dwa razy ten sam wysiłek ludzi.

Co się pokrywa, a co jest osobne?

Obszar	Norma	Dyrektywa	Praktyczny wniosek
Ocena ryzyka	wymagana, z metodą i rejestrem	wymagane zarządzanie ryzykiem	jedna ocena obsługuje obie strony
Kontrola dostępu	zabezpieczenie z załącznika	element środków technicznych	wspólne, bez różnic
Kopie i ciągłość działania	wymagane	wymagane wprost	wspólne, z naciskiem na test
Zgłaszanie incydentów	wymagany proces	terminy i wskazani adresaci	proces wspólny, terminy osobno
Łańcuch dostaw	zasady współpracy z dostawcami	obowiązek osobny	wykaz dostawców obsługuje obie strony
Rola kierownictwa	zaangażowanie i przegląd	odpowiedzialność i szkolenia	wspólne, z osobnym zapisem szkoleń
Certyfikacja	badanie jednostki, świadectwo	brak takiego wymogu	wyłącznie po stronie normy
Nadzór organu	brak	możliwy, zależnie od statusu	wyłącznie po stronie dyrektywy

Dwa ostatnie wiersze pokazują, gdzie te ścieżki naprawdę się rozchodzą. Certyfikat jest dowodem wobec rynku i wobec właściciela, a obowiązki z dyrektywy istnieją niezależnie od tego, czy ktokolwiek je potwierdzi świadectwem. Firma, która ma jedno, nie ma automatycznie drugiego, i odwrotnie.

Gdzie różnica jest największa?

W zgłaszaniu incydentów. Norma wymaga, żeby proces istniał, był opisany i działał, natomiast to Wy decydujecie o jego kształcie. Dyrektywa dokłada do tego termin i adresata, czyli rzeczy zewnętrzne, których nie da się ustalić wewnętrznie. W praktyce oznacza to jedną procedurę z dołożonym rozdziałem o terminach i o tym, kto zgłasza na zewnątrz oraz kto go zastępuje w piątek po południu.

Druga wyraźna różnica dotyczy dostawców. Norma każe zarządzać tymi relacjami i opisać zasady, a dyrektywa traktuje bezpieczeństwo łańcucha dostaw jako obowiązek osobny i wprost. Skutek jest taki, że w firmie musi powstać wykaz podmiotów mających dostęp do systemów: serwis maszyn, dostawca oprogramowania, firma od kamer, biuro rachunkowe. Wykazu tego nie zastajemy prawie nigdy, a jest punktem, który obsługuje obie strony naraz.

Jak ustalamy kolejność prac?

Według terminów, nie według wagi dokumentów. Zobowiązanie umowne wobec odbiorcy ma zwykle datę liczoną w tygodniach i konsekwencję handlową, więc idzie pierwsze. Certyfikacja rządzi się własnym kalendarzem i wymaga historii zapisów z kilku miesięcy, więc startuje równolegle, ale kończy się później.

W praktyce oznacza to, że najpierw powstają rzeczy potrzebne obu stronom i możliwe do zrobienia szybko: wykaz dostawców, przegląd uprawnień, procedura zgłaszania z terminami, sprawdzone odtworzenie kopii i zapis szkoleń. Dokumentacja systemowa, audyt wewnętrzny i przegląd zarządzania wchodzą później, bo i tak muszą poczekać na dowody z kilku miesięcy pracy.

Czego ten audyt nie robi?

Nie kończy się świadectwem, bo tego nie wydaje nikt poza jednostką akredytowaną. Nie jest opinią prawną co do statusu firmy wobec przepisów, choć wskazuje przesłanki do takiej oceny. Nie wykonuje prac wynikających z raportu, bo to osobny zakres wyceniany po ustaleniu, ile z tego robicie samodzielnie.

Same wymagania dyrektywy rozwija NIS 2, zgodność z normą audyt ISO 27001, a pełną drogę do świadectwa wdrożenie i certyfikacja. Oba dokumenty przejrzymy z Wami po umówieniu przez kontakt.

Treść sprawdzona i zaktualizowana: 14 sierpnia 2026