ISO 27001 a NIS 2 Poznań

Która z tych dwóch spraw ma twardy termin

Tylko jedna. Norma jest wyborem: możecie ją wdrożyć w tym roku, za dwa lata albo nigdy, a jedyną konsekwencją zwłoki jest niezadowolony odbiorca. Przepisy działają odwrotnie, bo obowiązek powstaje z mocy prawa, nikt nie przysyła zawiadomienia i to Wy macie ustalić, czy Was dotyczy.

Ta asymetria decyduje o kolejności prac. Kiedy firma podlega dyrektywie i jednocześnie dostaje pytania o certyfikat, zaczynamy od tego, co ma termin, a certyfikację planujemy jako drugi etap, korzystający z już wykonanej roboty.

Czy poznańska firma dystrybucyjna w ogóle podlega dyrektywie

Odpowiedź składa się z dwóch warunków, które muszą zajść razem: działalność z katalogu w załącznikach dyrektywy oraz wielkość od progu średniego przedsiębiorstwa, czyli od pięćdziesięciu pracowników albo dziesięciu milionów euro obrotu.

W praktyce w Wielkopolsce najczęściej dotyczy to czterech grup: produkcji i dystrybucji żywności, produkcji i obrotu chemikaliami, transportu oraz gospodarowania odpadami. Właściciel hurtowni z artykułami spożywczymi zwykle zakłada, że przepisy dotyczą operatorów energetycznych i banków, a katalog jest znacznie szerszy.

Piąta grupa nie podlega wprost, za to dostaje te same pytania od kontrahentów. Firma dostarczająca do odbiorcy objętego dyrektywą dowiaduje się o niej z aneksu do umowy albo z ankiety, w której trzeba opisać własne zabezpieczenia.

Co jedna praca zamyka po obu stronach, a czego nie

Sytuacja w firmie	Co znaczy wobec normy	Co znaczy wobec dyrektywy
Nie ma spisanej oceny ryzyka	brak wymagania rozdziału 6	brak pierwszego środka z artykułu 21
Kopie działają, testu nie ma	niezgodność w ciągłości działania	brak dowodu na plan odtworzenia
Umowy z dostawcami bez zapisów	luka w bezpieczeństwie dostaw	brak wymaganej oceny łańcucha dostaw
Brak drugiego składnika przy logowaniu	zależy od oceny ryzyka	środek wymieniony wprost w katalogu
Zdarzenia zgłaszane ustnie informatykowi	brak zapisów dla audytora	brak ścieżki i terminów zgłoszenia
Zarząd nieświadomy obowiązków	wymaganie o zaangażowaniu kierownictwa	odpowiedzialność osobista z sankcją
Podmiot niezarejestrowany u organu	bez znaczenia	samodzielny obowiązek do wykonania

Dwa dolne wiersze pokazują granicę. Wszystko powyżej da się zrobić raz i zaliczyć w dwóch miejscach. Rejestracja podmiotu i formalna odpowiedzialność kierownictwa nie mają w normie odpowiednika, więc są pracą dodatkową niezależnie od tego, jak dojrzały jest Wasz system.

Zgłaszanie zdarzeń, czyli największa różnica praktyczna

Norma wymaga, żeby proces obsługi zdarzeń istniał i działał. Przepisy dokładają zegar: wczesne ostrzeżenie w ciągu doby od wykrycia poważnego zdarzenia, pełne zgłoszenie w ciągu trzech dni, raport końcowy w ciągu miesiąca.

W firmie, w której magazyn pracuje na dwie zmiany, a centrala kończy pracę o siedemnastej, doba potrafi zniknąć na ustalaniu, kto podejmuje decyzję. Dlatego procedurę piszemy od nazwisk i numerów telefonu, a nie od definicji, i przeprowadzamy ćwiczenie na sucho, mierząc, ile zajmuje przejście od wykrycia do wysłania pierwszego zgłoszenia.

W jakiej kolejności to prowadzić

Najpierw kwalifikacja i rejestracja, bo bez nich dalsza praca może dotyczyć niewłaściwego reżimu. Potem jedno badanie obejmujące oba katalogi wymagań, zakończone listą braków z wyceną. Następnie warstwa techniczna, zwykle w kolejności kopie odporne na skasowanie, drugi składnik logowania, podział sieci i rejestrowanie zdarzeń. Dokumentacja powstaje równolegle, opisując to, co faktycznie wdrożone.

Certyfikację dokładamy na końcu, gdy pojawia się odbiorca albo przetarg, który jej wymaga. Ta kolejność jest tańsza od odwrotnej i domyka najpierw to, co ma termin. Przebieg samego wdrożenia opisuje wdrożenie ISO 27001.

Kto to sprawdza i przed kim odpowiadacie

Przy normie sprawdza akredytowana jednostka certyfikująca, na Waszą prośbę i za Waszą opłatą, a skutkiem najgorszego scenariusza jest brak certyfikatu. Przy przepisach sprawdza organ nadzoru, bez Waszej prośby, a skutki obejmują kary finansowe i odpowiedzialność osobistą kierownictwa.

Ta różnica jest jedynym argumentem, jakiego zwykle potrzeba, żeby projekt przestał być sprawą działu IT i wrócił na stół zarządu. Zakres badania samej normy opisuje audyt ISO 27001, jej wymagania ISO 27001, a pełne przygotowanie do obowiązków ustawowych prowadzi NIS 2 dla firm. Kwalifikację ustalamy na spotkaniu umówionym przez kontakt.

Treść sprawdzona i zaktualizowana: 7 września 2026