- usługi
- ISO 27001 a NIS 2 Toruń
Co obejmuje ISO 27001 a NIS 2 Toruń?
Sprawdzamy dwie rzeczy naraz: czy przepisy Was obejmują i w jakiej kategorii, oraz na ile obecny stan odpowiada wymaganiom normy. Badanie obejmuje kwalifikację, zarządzanie ryzykiem, obsługę incydentów wraz z terminami zgłoszeń, bezpieczeństwo łańcucha dostaw i odpowiedzialność kierownictwa.
- 01
Kwalifikacja przed wszystkim
Ustalamy, czy działalność mieści się w wykazie sektorów i czy firma przekracza próg wielkości.
- 02
Dwa źródła wymagań
Rozdzielamy to, co wynika z przepisów, od tego, co przyszło umową od sieci handlowej.
- 03
Zarządzanie ryzykiem
Wspólny rdzeń obu zestawów, więc raz zbudowany rejestr ryzyk pracuje na oba naraz.
- 04
Incydenty i terminy
Kto zgłasza, na jakiej podstawie i skąd bierze fakty w pierwszej dobie po zdarzeniu.
- 05
Łańcuch dostaw
Wasi dostawcy usług i to, czego oczekuje od Was odbiorca podlegający przepisom.
- 06
Odpowiedzialność zarządu
Przepisy wskazują ją wprost i wiążą z sankcjami, więc to nie jest temat do przekazania informatykowi.
Ile kosztuje ISO 27001 a NIS 2 Toruń w mieście Toruń?
Badanie obejmujące jednocześnie wymagania normy i obowiązki z NIS 2 zaczyna się od 7 900 zł netto dla firmy do pięćdziesięciu osób. Wdrożenie systemu pokrywającego oba zestawy zaczyna się od 24 900 zł netto. Certyfikat wydaje jednostka zewnętrzna, a zgodności z przepisami nie certyfikuje nikt.
Tyle kosztuje: audyt zgodności obejmujący oba zestawy wymagań.
Wszystkie kwoty są netto. Tej usługi nie sprzedajemy z cennika, więc dokładną kwotę podajemy po rozmowie o zakresie, przed podpisaniem umowy.
Dlaczego to pytanie przychodzi do zakładu dwiema drogami?
Bo dwa zupełnie różne mechanizmy prowadzą do tej samej rozmowy. Pierwszy jest ustawowy: dyrektywa wskazuje sektory, a przetwórstwo i dystrybucja żywności w tym wykazie są. Firma przekraczająca próg wielkości ma wtedy obowiązki wprost, niezależnie od tego, z kim handluje.
Drugi jest handlowy i dotyka dużo większej liczby toruńskich firm. Odbiorca objęty przepisami musi panować nad swoim łańcuchem dostaw, więc przenosi wymagania w dół umową. Dostawca poniżej progu ustawowego dostaje wtedy kwestionariusz i termin, choć formalnie nic go nie obejmuje. Skutek w praktyce jest taki sam: trzeba pokazać, jak zarządzacie ryzykiem i co robicie po incydencie.
Rozdzielenie tych dróg jest pierwszą rzeczą, jaką robimy, bo od niego zależy zakres pracy. Obowiązek ustawowy trzeba spełnić w całości. Wymaganie umowne można negocjować i zwykle da się je domknąć węższym zakresem.
Co pokrywa norma, a czego nie zdejmie z Was żaden certyfikat?
| Obszar | ISO/IEC 27001 | NIS 2 |
|---|---|---|
| Źródło | dobrowolna norma, decyzja firmy | przepisy, dla wskazanych sektorów |
| Zakres | granicę wyznaczacie sami | cała działalność objętego podmiotu |
| Zarządzanie ryzykiem | wymagane, z rejestrem i planem | wymagane, w podobnym kształcie |
| Zgłaszanie incydentów | proces wewnętrzny, bez terminów ustawowych | terminy liczone w godzinach |
| Potwierdzenie zgodności | certyfikat wydany przez jednostkę | brak certyfikatu, jest nadzór organu |
| Odpowiedzialność | zapisana w polityce firmy | wskazana przepisami, z sankcjami |
| Łańcuch dostaw | ocena dostawców według ryzyka | wymóg objęcia dostawców wprost |
| Koszt roczny | nadzór jednostki i praca własna | praca własna i gotowość do zgłoszeń |
Wiersz o zgłaszaniu incydentów jest tym, który zaskakuje najczęściej. Firma z certyfikatem ma opisany proces obsługi zdarzenia, ale opisany pod własne potrzeby, a nie pod zewnętrzny termin. Dyrektywa przewiduje wczesne ostrzeżenie w ciągu dwudziestu czterech godzin od stwierdzenia poważnego incydentu, zgłoszenie właściwe w ciągu siedemdziesięciu dwóch godzin i raport końcowy po miesiącu. To zmienia wymagania wobec rejestrów zdarzeń i wobec tego, kto i o której godzinie ma prawo podjąć decyzję o zgłoszeniu.
Co dokładnie sprawdzamy przy kwalifikacji?
Trzy rzeczy i żadnej nie da się rozstrzygnąć z opisu na stronie firmy. Pierwsza to rzeczywisty przedmiot działalności, bo w wykazie liczy się to, co firma robi, a nie kody wpisane przy zakładaniu spółki. Zakład produkujący na zlecenie pod cudzą marką jest przetwórcą żywności niezależnie od tego, czyje logo jest na opakowaniu.
Druga to wielkość mierzona zatrudnieniem i obrotem, liczona razem z podmiotami powiązanymi. W firmach rodzinnych z kilkoma spółkami jest to najczęstsze miejsce pomyłki w obie strony. Trzecia to rola w łańcuchu dostaw: dostawca usług dla podmiotu objętego przepisami ma inne zobowiązania niż jego zwykły kontrahent, nawet gdy sam do wykazu nie trafia.
W jakiej kolejności to układać, żeby zapłacić raz?
Najpierw kwalifikacja, potem rejestr ryzyk, potem dokumentacja i zabezpieczenia, a certyfikat na końcu i tylko wtedy, gdy ktoś go naprawdę wymaga. Odwrotna kolejność zdarza się często i kosztuje podwójnie: firma kupuje komplet procedur, po czym okazuje się, że zakres był zły, bo przepisy obejmują całą działalność, a nie tylko dział objęty deklaracją.
Wspólny rdzeń pracuje przy tym na oba zestawy. Rejestr ryzyk zbudowany raz odpowiada zarówno na wymagania normy, jak i na oczekiwania wynikające z przepisów. To samo dotyczy procedury obsługi incydentu, planu ciągłości i oceny dostawców. Osobno trzeba dopisać wyłącznie to, czego norma nie przewiduje: ścieżkę zgłoszenia zewnętrznego z terminami i wskazaniem osoby decyzyjnej.
Sam pomiar stanu prowadzi audyt zgodności, całą drogę do certyfikatu wdrożenie, a wymagania samej normy rozpisuje ISO 27001.
Co robić, gdy odbiorca przysłał ankietę na wczoraj?
Odpowiedzieć tym, co macie, i pokazać plan na resztę. Kwestionariusze łańcucha dostaw rzadko wymagają certyfikatu w dniu odesłania, częściej pytają o istnienie procesów i o dowody. Firma, która odpisuje „pracujemy nad tym” z harmonogramem i wynikiem niezależnego badania w załączniku, wypada lepiej niż firma zaznaczająca same odpowiedzi twierdzące bez pokrycia.
Praktyczny skrót wygląda tak: badanie zgodności daje materiał do ankiety w kilka dni, wskazuje trzy albo cztery rzeczy do naprawienia od razu i mówi, ile potrwa reszta. Techniczny stan środowiska, o który pyta większość takich ankiet, sprawdza audyt IT.
Czego to badanie nie rozstrzyga?
Nie wydajemy opinii prawnej o kwalifikacji i nie zastępujemy jej. Podajemy przesłanki, wskazujemy przepisy i mówimy, jak to wygląda w praktyce, a przy przypadkach granicznych zalecamy potwierdzenie u prawnika, bo cena pomyłki jest wyższa niż koszt takiej opinii.
Nie reprezentujemy Was też przed organem nadzoru i nie prowadzimy zgłoszeń w Waszym imieniu. Przygotowujemy fakty i procedurę, a decyzja o zgłoszeniu należy do kierownictwa firmy. Rozmowę o zakresie umawiamy przez kontakt.
Treść sprawdzona i zaktualizowana: 14 sierpnia 2026
Od telefonu do działającego środowiska, pięć kroków
Nie przejmujemy środowiska w ciemno. Najpierw sprawdzamy, co macie, potem wyceniamy.
- Krok 1 Rozmowa i szybki przegląd tego, co macie i co boli najbardziej.
- Krok 2 Przegląd środowiska. Dostajesz listę ryzyk i kolejność ich naprawiania.
- Krok 3 Oferta z zakresem, czasem reakcji i ceną. Bez ukrytych pozycji.
- Krok 4 Przejęcie środowiska, dokumentacja, dostępy, monitoring.
- Krok 5 Praca bieżąca i przeglądy. Raport co miesiąc.
Pytania, które padają najczęściej
Odpowiedzi na to, o co pytają firmy przed podpisaniem umowy.
Częste pytania klientów na tym etapie:Produkcja, przetwarzanie i dystrybucja żywności figurują w wykazie sektorów objętych dyrektywą. Sama obecność w wykazie nie wystarczy, bo liczy się jeszcze wielkość firmy mierzona zatrudnieniem i obrotem. Kwalifikację potwierdzamy indywidualnie i to pierwszy punkt badania.
Bezpośrednio zwykle nie, jeśli firma nie przekracza progu wielkości. Pośrednio bardzo często, bo odbiorca objęty przepisami musi panować nad swoim łańcuchem dostaw i przenosi wymagania na dostawców umową. Skutek jest podobny, tylko podstawa inna.
Nie. Pokrywa dużą część wymagań organizacyjnych i technicznych, co skraca drogę, ale obowiązek zgłaszania poważnych incydentów w terminach wskazanych przepisami zostaje niezależnie od tego, ile certyfikatów wisi w gablocie.
Wczesne ostrzeżenie w ciągu dwudziestu czterech godzin od stwierdzenia poważnego incydentu, zgłoszenie właściwe w ciągu siedemdziesięciu dwóch godzin i raport końcowy po miesiącu. Praktyczne pytanie brzmi, czy potraficie w tym czasie ustalić fakty, a nie czy napiszecie pismo.
Zwykle system zgodny z normą, ale bez certyfikacji. Dostajecie strukturę, rejestr ryzyk i dokumentację, a oszczędzacie opłatę jednostki. Certyfikat dokładacie wtedy, gdy zaczyna być warunkiem w umowie, a nie pytaniem w ankiecie.
Tak, bo rdzeń jest wspólny: zarządzanie ryzykiem, obsługa incydentów, ciągłość działania i nadzór nad dostawcami. Rozjeżdżają się dopiero w kwalifikacji, w terminach zgłoszeń i w sposobie potwierdzania zgodności, i te różnice opisujemy osobnym rozdziałem raportu.
Kierownictwo i przepisy mówią to wprost, wiążąc z tym sankcje finansowe. Można wyznaczyć osobę prowadzącą sprawy na co dzień, ale odpowiedzialności nie da się przekazać ani na dostawcę informatyki, ani na pracownika działu jakości.
Obsługa IT w mieście Toruń
Do klientów w mieście Toruń dojeżdżamy na miejsce, resztę zamykamy zdalnie.
Nasze biura, 14 adresów
Umów przegląd IT w mieście Toruń
Krótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Pozostałe usługi w mieście Toruń
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek katalogu.
Audyt licencji oprogramowania Toruń
Zakład płaci za oprogramowanie w trzech miejscach naraz: w abonamentach biura, w licencjach wpisanych w umowę serwisową maszyny i w kontach załogi, która pracowała jeden sezon. Zbieramy to w jeden wykaz z odpowiedzią, co wyłączyć od ręki. Do pięćdziesięciu stanowisk 1 900 zł netto.
Zobacz usługęProjekt sieci w hali produkcyjnej Toruń
W przetwórni sygnał odbija się od stali, znika za płytą komory chłodniczej i zachowuje się inaczej po myciu niż w trakcie zmiany. Dlatego pokrycie mierzymy w dwóch stanach obiektu, a punkty rozstawiamy według wyniku, nie według siatki na rzucie. Projekt jednej hali od 4 900 zł netto, bez montażu i sprzętu.
Zobacz usługęDokumentacja ISO 27001 Toruń
W zakładzie z systemem jakości nie zakładamy drugiego obiegu papieru. Piszemy polityki, procedury, rejestr ryzyk i deklarację stosowania tak, żeby weszły w istniejący nadzór nad dokumentami, a zapisy z hali dało się wypełnić w rękawicach. Komplet dla firmy do pięćdziesięciu osób to 9 900 zł netto.
Zobacz usługę