ISO 27001 a NIS 2 Warszawa

Dlaczego w grupie kapitałowej odpowiedź brzmi inaczej dla każdej spółki

Bo katalog sektorów opisuje działalność, a nie strukturę właścicielską. Grupa z centralą w Warszawie prowadzi zwykle kilka rodzajów działalności naraz i tylko część z nich figuruje w załącznikach dyrektywy. Do tego dochodzi próg wielkości, przy którym bierze się pod uwagę przedsiębiorstwa partnerskie i powiązane, więc niewielka spółka w dużej strukturze potrafi go przekroczyć.

Skutek jest taki, że jedna odpowiedź dla całej grupy prawie zawsze jest błędna. Albo obejmuje obowiązkami podmioty, których one nie dotyczą, albo pomija ten, który podlega naprawdę.

Podmiot w grupie	Czy podlega samodzielnie	Co i tak musi zrobić
Spółka z działalnością z katalogu, powyżej progu	tak	pełny zestaw obowiązków, w tym rejestracja
Spółka z katalogu, poniżej progu	zwykle nie	sprawdzić próg z powiązaniami i zapisać wynik
Spółka handlowa spoza katalogu	nie	spełnić wymagania z umów z odbiorcami
Centrum usług wspólnych	do sprawdzenia	utrzymać środki wymagane przez spółki obsługiwane
Spółka celowa bez pracowników	nie	wskazać, kto odpowiada za jej dane i systemy
Oddział podmiotu zagranicznego	zależy od miejsca świadczenia	ustalić, który organ jest właściwy
Dostawca wewnątrz grupy	nie	odpowiadać na wymagania łańcucha dostaw

Wiersz czwarty rozstrzyga w praktyce najwięcej. Centrum usług wspólnych bywa miejscem, w którym stoją systemy wszystkich spółek, więc jego poziom zabezpieczeń wyznacza poziom całej grupy, niezależnie od tego, jak wypadnie jego własna kwalifikacja.

Wspólna informatyka nie scala obowiązków

To jest wniosek, który najczęściej porządkuje pierwszą rozmowę. Jedno środowisko obsługujące pięć spółek pozwala wdrożyć środki raz i zaliczyć je pięć razy. Nie pozwala natomiast przenieść odpowiedzialności, bo ta jest przypisana kierownictwu każdego podmiotu z osobna.

Z tego wynika praktyczna konsekwencja przy zdarzeniach. Awaria w jednym środowisku może dotyczyć kilku spółek naraz, a każda z nich objęta przepisami ma własny obowiązek sprawozdawczy i własny zegar. Procedura zgłaszania musi więc zaczynać się od ustalenia, czyje usługi zostały dotknięte, a nie od opisu zdarzenia technicznego.

Co da się wykonać raz, a co trzeba powtórzyć

Ocena ryzyka, dokumentacja procesów, kontrola dostępu, kopie, ciągłość działania i wymagania wobec dostawców są w dużej mierze wspólne dla obu zestawów wymagań i dla wszystkich spółek pracujących na jednym środowisku. To jest gros pracy i dlatego badanie prowadzimy łącznie.

Osobno zostają trzy rzeczy: rejestracja każdego objętego podmiotu u organu, ścieżka zgłoszenia z terminami liczonymi dla każdej spółki oraz formalne przypisanie odpowiedzialności jej kierownictwu. Żadna z nich nie ma odpowiednika w normie, więc wykonuje się je niezależnie od dojrzałości systemu zarządzania.

Kolejność, która wychodzi taniej

Najpierw kwalifikacja, bo bez niej dalsza praca może dotyczyć niewłaściwego podmiotu. Potem badanie łączone, którego wynikiem jest lista braków z nakładem pracy przy każdej pozycji. Następnie warstwa techniczna wdrażana wspólnie dla całego środowiska. Dokumentacja powstaje równolegle i opisuje to, co faktycznie zrobione.

Certyfikat dokładamy na końcu, gdy pojawia się kontrahent albo postępowanie stawiające go jako warunek. Odwrotna kolejność bywa kusząca, bo dokument widać na stronie, ale zostawia otwarty obowiązek, którego nikt nie zauważy do pierwszego poważnego zdarzenia.

Zegar przy zdarzeniu, czyli największa różnica praktyczna

Norma oczekuje procesu obsługi zdarzeń, który działa i zostawia zapisy. Przepisy dokładają terminy liczone w godzinach: wczesne ostrzeżenie zaraz po wykryciu, pełne zgłoszenie kilka dni później, raport końcowy w perspektywie miesiąca.

W grupie, w której decyzje podejmuje się kolegialnie, a zarządy spółek spotykają się raz w tygodniu, pierwsze okno potrafi zniknąć na ustalaniu, kto ma podpisać zgłoszenie. Dlatego procedurę piszemy od nazwisk, zastępstw i numerów telefonu, a potem przechodzimy ją na sucho, mierząc czas od wykrycia do wysłania pierwszej informacji.

Czego to badanie nie zamyka

Nie zastępuje opinii prawnej o kwalifikacji podmiotu, choć daje jej podstawę faktyczną i zwykle skraca pracę prawnika. Nie reprezentujemy Was przed organem nadzoru. Nie prowadzi do certyfikatu, bo ten wydaje wyłącznie akredytowana jednostka po własnym badaniu.

Treść samej normy wyjaśnia ISO 27001, zakres pomiaru gotowości audyt ISO 27001, przebieg całego projektu wdrożenie, a obowiązki płynące z dyrektywy NIS 2 dla firm. Kwalifikację ustalamy po rozmowie umówionej przez kontakt.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026