- usługi
- ISO 27001 a NIS 2 Szczecin
Co obejmuje ISO 27001 a NIS 2 Szczecin?
Oba zestawy mówią o zarządzaniu bezpieczeństwem informacji, ale wynikają z czego innego i inaczej się je rozlicza. Poniżej pięć różnic, które mają znaczenie w praktyce: skąd bierze się obowiązek, co obejmuje, kto to potwierdza, jak zgłasza się zdarzenia i kto odpowiada.
- 01
Skąd bierze się obowiązek
Normę wybieracie sami, przepisy obejmują wskazane sektory od określonego progu wielkości.
- 02
Co obejmuje
Zakres normy wyznaczacie sami, wymagania ustawowe dotyczą całej działalności podmiotu.
- 03
Kto to potwierdza
Certyfikat wydaje jednostka certyfikująca, zgodność z przepisami weryfikuje organ nadzoru.
- 04
Zgłaszanie zdarzeń
Dyrektywa nakłada twarde terminy, norma wymaga procesu, ale nie wyznacza godzin.
- 05
Odpowiedzialność kierownictwa
Przepisy wskazują ją wprost, razem z sankcjami finansowymi wobec podmiotu.
- 06
Kwalifikacja przed badaniem
Najpierw ustalamy, czy i jako kto podlegacie, bo od tego zależy cała reszta harmonogramu.
- 07
Jedno badanie, dwa wyniki
Wspólne obszary sprawdzamy raz, a raport rozdziela luki na te z normy i te z przepisów.
Ile kosztuje ISO 27001 a NIS 2 Szczecin w mieście Szczecin?
Audyt obejmujący jednocześnie wymagania normy i dyrektywy zaczyna się od 7 900 zł netto dla firmy do pięćdziesięciu osób. Wdrożenie systemu zamykającego oba zestawy zaczyna się od 24 900 zł. Certyfikat wydaje jednostka zewnętrzna i płacicie za niego osobno, natomiast zgodności z przepisami nikt nie certyfikuje.
Tyle kosztuje: audyt zgodności obejmujący oba zestawy wymagań.
Wszystkie kwoty są netto. Tej usługi nie sprzedajemy z cennika, więc dokładną kwotę podajemy po rozmowie o zakresie, przed podpisaniem umowy.
Dlaczego w tej branży oba pytania przychodzą razem
Firma z Gorzowa albo z małego miasta pyta zwykle o jedno z dwojga. Firma działająca wokół portu dostaje oba pytania w tym samym kwartale i z dwóch różnych stron.
Pierwsze przychodzi od zleceniodawcy. Duży odbiorca sam przechodzi certyfikację albo sam podlega przepisom, więc przysyła ankietę i wymaga dowodów od swoich dostawców. Drugie przychodzi z otoczenia prawnego, bo transport jest jednym z sektorów wymienionych w dyrektywie wprost, a firmy z tego łańcucha rzadko sprawdzają swoją kwalifikację, dopóki ktoś ich o to nie zapyta.
Zarząd staje wtedy przed pytaniem, które brzmi jak wybór, a wyborem nie jest. Norma i przepisy nie zastępują się nawzajem. Można je natomiast poprowadzić jednym projektem, co obniża rachunek i skraca kalendarz.
Co zamyka się raz, a co trzeba zrobić dwa razy
| Obszar | Norma | Przepisy | Czy praca jest wspólna |
|---|---|---|---|
| Ocena ryzyka | wymagana, metoda dowolna | wymagana | tak, jedna analiza |
| Polityki i procedury | wymagane | wymagane | tak, jeden komplet |
| Zarządzanie dostępem | z załącznika A | wymienione wprost | tak |
| Kopie i ciągłość działania | z załącznika A | wymienione wprost | tak |
| Wymagania wobec dostawców | z załącznika A | wymienione wprost | tak |
| Zgłaszanie incydentów | proces bez terminów ustawowych | twarde terminy | nie, trzeba dołożyć |
| Odpowiedzialność kierownictwa | rola w systemie | odpowiedzialność z sankcją | nie, inny ciężar |
| Potwierdzenie na zewnątrz | audyt jednostki | nadzór organu | nie, dwie ścieżki |
Pięć pierwszych wierszy to około trzech czwartych pracy. Dlatego badanie prowadzone osobno dla każdego tematu jest zwykle droższe niż jedno wspólne, i to jest cały powód, dla którego ta strona istnieje.
Największa różnica praktyczna, czyli zegar przy incydencie
Norma wymaga, żebyście mieli proces obsługi incydentów. Przepisy dokładają do tego godziny: wczesne ostrzeżenie w ciągu doby od wykrycia, pełne zgłoszenie w ciągu trzech dni, raport końcowy w ciągu miesiąca. Zegar rusza w momencie wykrycia, a nie w momencie, w którym ktoś kompetentny przyjdzie rano do pracy.
W firmie pracującej ciągle brzmi to lepiej, niż jest. Ktoś faktycznie siedzi przy komputerze przez całą dobę, ale to dyspozytor, a nie osoba upoważniona do zgłoszenia zdarzenia organowi nadzoru. Bez ustalonej ścieżki dwie godziny schodzą na szukaniu, kto ma o tym decydować.
Dlatego przy firmach objętych przepisami zaczynamy właśnie od tego punktu. Ustalamy, kto kwalifikuje zdarzenie na każdej zmianie, kto powiadamia zarząd, kto ma dostęp do danych potrzebnych w formularzu i co się dzieje, gdy zdarzenie wypada w niedzielę. Ta praca jest tania, a bez niej reszta projektu i tak nie zadziała.
W jakiej kolejności to prowadzić
Krok pierwszy to kwalifikacja na piśmie. Odpowiedź na pytanie, czy podlegacie, jako kto i od kiedy, kosztuje najmniej ze wszystkiego, a decyduje o całej reszcie budżetu.
Krok drugi to jedno badanie zamiast dwóch. Rozmowy, oględziny i przegląd dokumentów wykonujemy raz, a wynik rozdzielamy na dwie listy braków, każda z własną wagą i wyceną.
Krok trzeci to prace wspólne: ryzyko, dokumentacja, dostępy, kopie, dostawcy. Tu powstaje większość dowodów i tu leży większość kosztu.
Krok czwarty to dołożenie tego, co wynika wyłącznie z przepisów, czyli sprawozdawczości incydentów i formalnej odpowiedzialności zarządu.
Krok piąty, jeśli w ogóle, to certyfikacja. Świadomie jest ostatnia, bo dopiero wtedy system ma dowody, których zażąda audytor jednostki.
Kto to sprawdza i przed kim odpowiadacie
Zgodność z normą sprawdza jednostka certyfikująca, którą wybieracie i której płacicie. Zgodność z przepisami sprawdza organ nadzoru, którego nikt nie wybiera. To dwie osobne relacje i dwa osobne rodzaje dokumentacji, choć w dużej części karmione tymi samymi zapisami.
Nasza rola kończy się na przygotowaniu, badaniu i obecności przy audycie jednostki. Nie reprezentujemy Was przed organem nadzoru i nie wydajemy opinii prawnych, bo to praca kancelarii.
Szczegóły samej dyrektywy opisuje NIS 2 dla firm w Szczecinie, wymagania normy ISO 27001, a pełną ścieżkę do certyfikatu wdrożenie. Kwalifikację ustalimy po rozmowie przez kontakt.
Treść sprawdzona i zaktualizowana: 31 lipca 2026
Od telefonu do działającego środowiska, pięć kroków
Nie przejmujemy środowiska w ciemno. Najpierw sprawdzamy, co macie, potem wyceniamy.
- Krok 1 Rozmowa i szybki przegląd tego, co macie i co boli najbardziej.
- Krok 2 Przegląd środowiska. Dostajesz listę ryzyk i kolejność ich naprawiania.
- Krok 3 Oferta z zakresem, czasem reakcji i ceną. Bez ukrytych pozycji.
- Krok 4 Przejęcie środowiska, dokumentacja, dostępy, monitoring.
- Krok 5 Praca bieżąca i przeglądy. Raport co miesiąc.
Pytania, które padają najczęściej
Odpowiedzi na to, o co pytają firmy przed podpisaniem umowy.
Częste pytania klientów na tym etapie:Transport jest wymieniony w dyrektywie wprost, ale sam sektor nie przesądza sprawy, bo liczy się też próg wielkości i rola, jaką pełnicie w łańcuchu. Kwalifikację ustalamy na piśmie w pierwszym tygodniu badania, zanim ktokolwiek zacznie wydawać pieniądze na zabezpieczenia.
Nie. Wdrożona norma pokrywa dużą część wymagań organizacyjnych i technicznych, więc bardzo ułatwia wykazanie zgodności. Obowiązki wynikające z przepisów, w tym zgłaszanie poważnych incydentów w wyznaczonych terminach, zostają niezależnie od posiadanego dokumentu.
Przepisy, bo mają termin, którego nikt nie przesunie. Certyfikat ma termin handlowy i da się o nim rozmawiać. W praktyce prowadzimy to jednym projektem, tylko kolejność prac układamy tak, żeby najpierw domknąć zgłaszanie incydentów i ciągłość działania.
Ocena ryzyka, polityki, zarządzanie dostępem, kopie zapasowe, ciągłość działania i wymagania wobec dostawców. To razem większość projektu. Rozjeżdża się głównie sprawozdawczość incydentów i formalna odpowiedzialność kierownictwa, i tylko tę część liczymy podwójnie.
Nawet gdy sami nie przekraczacie progu, wymagania trafiają do Was przez umowę ze zleceniodawcą objętym przepisami. On odpowiada za swój łańcuch dostaw, więc przenosi obowiązki niżej. Efekt bywa taki sam jak przy obowiązku własnym, tylko egzekwuje go kontrahent, nie organ.
Tak i po to je łączymy. Rozmowy, przegląd dokumentów i oględziny robimy raz, a raport rozdziela wynik na dwie listy. Dzięki temu nie płacicie dwukrotnie za sprawdzenie tych samych kopii zapasowych i tych samych uprawnień w systemie spedycyjnym.
Gdy jesteście na samym początku, a przepisy dotyczą Was już teraz. Wtedy dokładanie ścieżki certyfikacyjnej rozciąga projekt i odsuwa rzeczy pilne. Sensowniej domknąć wymagania ustawowe, popracować kwartał, a decyzję o certyfikacie podjąć, gdy system zdąży zebrać dowody.
Obsługa IT w mieście Szczecin
Do klientów w mieście Szczecin dojeżdżamy na miejsce, resztę zamykamy zdalnie.
Nasze biura, 14 adresów
Umów przegląd IT w mieście Szczecin
Krótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Pozostałe usługi w mieście Szczecin
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek katalogu.
Firewall dla firmy Szczecin
Stawiamy bramę między firmą a internetem i doprowadzamy ją do stanu, który daje się pokazać kontrahentowi: opisane reguły, wystawione pojedyncze usługi zamiast całych serwerów, dostęp zdalny na kontach imiennych i zapisy zdarzeń poza urządzeniem. Za pracę w jednej lokalizacji płacicie od 2 900 zł netto, urządzenie osobno.
Zobacz usługęAdministracja serwerami Szczecin
W szczecińskich firmach spedycyjnych i magazynowych cała praca zwykle wisi na jednej maszynie z bazą. Rozdzielamy role, dokładamy replikę i pilnujemy miejsca oraz blokad, zanim baza przestanie zapisywać. Opieka kosztuje 250 zł netto miesięcznie za serwer, z reakcją do 4 godzin w cenie.
Zobacz usługęBackup Microsoft 365 Szczecin
W spedycji najważniejsza skrzynka nie należy do nikogo: obsługuje ją kilka osób na zmianę, a w środku leży historia zleceń i ustaleń z kontrahentami. Kopiujemy ją razem z resztą środowiska poza chmurę Microsoftu. Do dwudziestu kont kosztuje od 190 zł netto miesięcznie.
Zobacz usługę