ISO 27001 a NIS 2 Wrocław

Dlaczego wrocławska firma cyfrowa dostaje oba pytania naraz

Bo stoi w łańcuchu dostaw po obu stronach. Z jednej strony jest dostawcą dla klienta, który podlega przepisom i zaczyna wpisywać wymagania do umowy. Z drugiej sama może być podmiotem objętym, bo katalog sektorów obejmuje między innymi infrastrukturę cyfrową, zarządzanie usługami ICT i dostawców usług cyfrowych.

Pytania przychodzą wtedy w tym samym kwartale i z różnych stron: dział zakupów klienta pyta o certyfikat, a prawnik firmy pyta, czy trzeba się rejestrować. Odpowiedź na oba zaczyna się od tej samej pracy, więc rozdzielanie ich na dwa projekty jest wyłącznie droższe.

Co liczy się w obu miejscach, a co trzeba dołożyć

Praca do wykonania	Norma	Przepisy	Uwaga
Analiza ryzyka z rejestrem i właścicielami	tak	tak	wspólna, wystarczy jedna metoda
Kontrola dostępu i uwierzytelnianie wieloskładnikowe	tak	tak	w przepisach wymienione wprost
Kopie zapasowe i ciągłość działania	tak	tak	przepisy oczekują udokumentowanego testu
Wymagania wobec dostawców	tak	tak	inaczej rozłożony akcent, ta sama praca
Szkolenia i świadomość	tak	tak	przepisy obejmują także kierownictwo
Rejestracja podmiotu u organu	nie	tak	obowiązek wyłącznie ustawowy
Zgłoszenie zdarzenia w 24 i 72 godzinach	nie	tak	norma wymaga procesu, nie terminów
Deklaracja stosowania	tak	nie	dokument właściwy wyłącznie dla normy
Badanie jednostki certyfikującej	tak	nie	tylko jeśli chcecie certyfikat
Osobista odpowiedzialność kierownictwa	pośrednio	tak	w przepisach wraz z sankcjami

Cztery ostatnie wiersze to cała różnica praktyczna. Reszta jest jedną pracą zaliczaną w dwóch miejscach, i to jest powód, dla którego badanie prowadzimy łącznie.

Co się zmienia w umowach, gdy klient podlega przepisom

Zwykle pojawiają się trzy rzeczy. Obowiązek poinformowania klienta o zdarzeniu w określonym czasie, często krótszym niż termin ustawowy, bo klient musi zdążyć ze swoim zgłoszeniem. Wymagania wobec dostępów Waszych ludzi do jego systemów, łącznie z uwierzytelnianiem i rejestrowaniem sesji. Prawo do przeglądu albo do otrzymania wyników niezależnego badania.

Trzeci punkt jest tym, który najczęściej uruchamia zamówienie na certyfikat. Firma, która ma raport z badania zgodności i harmonogram, zamyka go bez certyfikatu przez pierwszy rok, a papier dokłada wtedy, gdy zaczyna go wymagać kolejny klient.

W jakiej kolejności to prowadzić

Najpierw kwalifikacja, czyli odpowiedź na piśmie, czy podlegacie i pod jaki reżim. Potem jedno badanie obejmujące oba zestawy. Potem wdrożenie zgodne z normą, ale bez certyfikacji, jeśli nikt jej jeszcze nie żąda. Certyfikat na końcu, gdy pojawi się klient albo postępowanie, w którym jest warunkiem.

Ta kolejność jest tańsza i szybciej domyka to, co ma twarde terminy. Odwrotna kusi, bo certyfikat jest widoczny i da się go pokazać na stronie, ale zostawia otwarty obowiązek, którego nikt nie zauważy do pierwszego zdarzenia.

Czego to badanie nie zamknie

Nie zastępuje opinii prawnej o kwalifikacji podmiotu, choć daje jej podstawę faktyczną. Nie reprezentujemy Was przed organem nadzoru. Nie prowadzi też do certyfikatu, bo ten wydaje wyłącznie akredytowana jednostka po własnym badaniu.

Same wymagania normy tłumaczy ISO 27001, zakres badania zgodności opisuje audyt ISO 27001, przebieg prac wdrożenie, a obowiązki wynikające z przepisów NIS 2 dla firm. Kwalifikację sprawdzamy po rozmowie przez kontakt.

Treść sprawdzona i zaktualizowana: 31 lipca 2026