ISO 27001 a NIS 2 Rzeszów

Dlaczego u Was odpowiedź nie brzmi po prostu nie?

Bo wykaz sektorów objętych przepisami nie kończy się na energetyce, transporcie i ochronie zdrowia. Obejmuje także produkcję, a w niej między innymi wytwarzanie maszyn i urządzeń oraz sprzętu transportowego. Zakład z okolic Rzeszowa wytwarzający podzespoły dla przemysłu lotniczego albo motoryzacyjnego może więc znaleźć się w zakresie wprost, bez pośrednictwa odbiorcy, i to jest sytuacja inna niż w większości branż, gdzie wymagania przychodzą wyłącznie umową.

Sam rodzaj produkcji niczego jednak nie przesądza, bo obok niego stoi drugi warunek, czyli wielkość. Przepisy sięgają dopiero firm od pewnego progu zatrudnienia i wyników finansowych, a mniejszy zakład zostaje poza zakresem, nawet jeśli wytwarza dokładnie ten sam wyrób co sąsiad z tej samej strefy. Dlatego kwalifikację rozstrzygamy zawsze z dwóch stron naraz i zapisujemy na czym się opieramy, żeby dokument dało się później pokazać prawnikowi albo odbiorcy.

Co robi spółka	Jak zwykle wypada w wykazie	Co z tego wynika
Obróbka podzespołów dla lotnictwa	produkcja sprzętu transportowego	możliwy zakres wprost, po sprawdzeniu progu
Produkcja maszyn i oprzyrządowania	produkcja maszyn i urządzeń	możliwy zakres wprost, po sprawdzeniu progu
Usługi obróbki na powierzonym materiale	zależy od klasyfikacji działalności	rozstrzygnięcie indywidualne, częsty spór
Handel i dystrybucja bez produkcji	poza wykazem produkcyjnym	wymagania zwykle tylko z umów
Spółka majątkowa wynajmująca halę	poza wykazem	obowiązek u spółki produkcyjnej
Biuro konstrukcyjne bez produkcji	poza wykazem produkcyjnym	wymagania od odbiorcy i z umów o poufności
Utrzymanie ruchu jako osobna spółka	poza wykazem, ale jest dostawcą	wymagania przechodzą z podmiotu objętego

Która spółka z grupy odpowiada za zgłoszenie?

Pytanie wygląda na formalne, a rozstrzyga o tym, kto poniesie konsekwencje. W okolicy Rzeszowa spotykamy strukturę powtarzalną: jedna spółka produkuje, druga jest właścicielem hali i maszyn, trzecia prowadzi handel i kontakty z odbiorcami, a informatyka bywa kupowana z zewnątrz albo prowadzona przez jednego człowieka dla wszystkich trzech. Systemy stoją wtedy w jednym miejscu, umowy są podpisane przez inną spółkę, a ludzie zatrudnieni jeszcze gdzie indziej.

Obowiązek idzie za działalnością, więc szukamy podmiotu, który faktycznie prowadzi produkcję wskazaną w wykazie, i sprawdzamy jego wielkość osobno, a nie w skali grupy. To bywa zaskoczeniem w obie strony. Czasem okazuje się, że próg przekracza wyłącznie spółka handlowa, która akurat nie prowadzi działalności z wykazu. Czasem odwrotnie, że mała spółka produkcyjna wpada w zakres, bo liczy się razem z powiązanymi. Zapisujemy rozstrzygnięcie razem z tym, co je uzasadnia, i mówimy wprost, kiedy sprawa jest na tyle niejednoznaczna, że potrzebna jest opinia prawna.

Ile z obowiązków zamknie działający system zarządzania?

Sporo, i to jest dobra wiadomość dla firm, które i tak zmierzają w stronę normy z powodu wymagań odbiorcy. Ocena ryzyka, wykaz systemów i aktywów, kontrola dostępu, kopie i ciągłość działania, obsługa incydentów, bezpieczeństwo łańcucha dostaw oraz wymóg, żeby kierownictwo się tym zajmowało, występują po obu stronach. Praca wykonana raz pokrywa oba zestawy, o ile od początku wiadomo, że ma je pokryć.

Nie pokrywa natomiast trzech rzeczy. Pierwsza to zgłaszanie incydentów w terminach wynikających z przepisów, do wskazanego organu, w określonej formie. Norma wymaga procesu, ale terminy zostawia Wam. Druga to zakres, bo granicę systemu w normie wyznaczacie sami, a przepisy obejmują prowadzoną działalność niezależnie od tego, co byście woleli objąć. Trzecia to odpowiedzialność kierownictwa opisana wprost, razem z sankcjami, której żaden certyfikat nie przenosi na doradcę ani na jednostkę.

Kto zauważy incydent na trzeciej zmianie?

To jest pytanie, które w zakładzie pracującym w ruchu ciągłym zamienia obowiązek z papieru w rzecz do zorganizowania. Terminy zgłoszenia liczą się od momentu powzięcia wiadomości o zdarzeniu, a nie od poniedziałkowego poranka, więc firma bez nikogo, kto patrzy na systemy poza godzinami biura, dowiaduje się o incydencie z opóźnieniem, którego potem nie da się wytłumaczyć.

Sprawdzamy więc rzeczy praktyczne. Czy jest monitoring dający sygnał w nocy i dokąd ten sygnał trafia. Czy operator albo mistrz na zmianie wie, że zatrzymanie serwera z programami i zaszyfrowane pliki to nie to samo co zwykła awaria, i czy ma numer, pod który dzwoni. Czy istnieje jedna osoba decyzyjna osiągalna poza godzinami pracy. Helpdesk działa u nas od poniedziałku do piątku, od 8:00 do 18:00, a gotowość poza tym oknem jest osobno płatną usługą wycenianą po ustaleniu zakresu, natomiast monitoring infrastruktury pracuje całą dobę i to on wykrywa większość takich zdarzeń. Warstwę techniczną opisuje audyt IT, a dystans do wymagań normy audyt zgodności.

Gdzie kończy się nasza odpowiedź?

Na faktach i na ich uporządkowaniu. Nie wydajemy opinii prawnych, więc ostateczna wykładnia przepisów, ocena zapisów umownych i rozstrzygnięcie sporu o klasyfikację działalności należą do prawnika. Nasze rozstrzygnięcie opiera się na tym, co spółka naprawdę robi i jak wygląda, i jest dobrą podstawą takiej opinii, ale jej nie zastępuje.

Nie zgłaszamy też incydentów w Waszym imieniu i nie reprezentujemy Was przed organem nadzoru. Możemy przygotować ścieżkę zgłoszenia, wzór karty incydentu i listę danych do zebrania w pierwszych godzinach, żeby osoba, na którą to spadnie, nie zaczynała od szukania, gdzie w ogóle się zgłasza. Drogę do certyfikatu opisuje wdrożenie ISO 27001, a zakres badania ustalamy przez kontakt.

Treść sprawdzona i zaktualizowana: 14 sierpnia 2026