ISO 27001 a NIS 2 Zielona Góra

Najkrótsza możliwa odpowiedź

Normę wdrażacie, bo chcecie albo bo ktoś Was o to prosi, i możecie potwierdzić ją certyfikatem. Przepisy obowiązują niezależnie od Waszej decyzji, obejmują wskazane sektory i nikt nie wydaje z ich tytułu żadnego dokumentu. Wdrożony system zamyka sporą część obowiązków, ale ich nie zastępuje.

Które zielonogórskie firmy w ogóle wchodzą w ten temat

Przy naszych rozmowach po tej stronie województwa wracają cztery grupy. Producenci urządzeń i podzespołów elektronicznych, bo wytwarzanie sprzętu elektrycznego i elektronicznego mieści się w katalogu sektorów. Spółki z parku technologicznego w Nowym Kisielinie utrzymujące usługi dla cudzych klientów, bo dostawca usług cyfrowych jest w katalogu wprost. Firmy z gospodarki odpadami i wodno-kanalizacyjnej. Wreszcie zakłady, które same nie podlegają przepisom, ale dostarczają do kogoś, kto podlega, i dostają wymagania przeniesione umową.

Ostatnia grupa jest najliczniejsza i najbardziej zaskoczona. Kooperant nie czyta przepisów, tylko dostaje aneks z listą warunków i pytanie, kiedy je spełni.

Co zamyka wdrożona norma, a co trzeba dołożyć

Obszar	Co daje wdrożony system	Co dokładamy z przepisów
Rachunek ryzyka	metodę, rejestr i plan postępowania	powiązanie z ciągłością świadczenia usługi
Zarządzanie incydentem	proces zgłaszania i rejestr zdarzeń	terminy i ścieżka zgłoszenia do organu
Łańcuch dostaw	wymagania wobec dostawców w umowach	ocena ryzyka dostawców jako obowiązek
Ciągłość działania	plan odtworzenia i testy	oczekiwanie wobec usług kluczowych
Kierownictwo	zaangażowanie i przegląd zarządzania	odpowiedzialność wskazana wprost, z sankcją
Potwierdzenie	certyfikat jednostki, ważny trzy lata	brak certyfikatu, jest za to nadzór
Zakres	granice wyznaczone przez Was	cała działalność objęta katalogiem

Prawa kolumna jest krótsza, niż spodziewa się większość zarządów, i to dobra wiadomość. Firma z działającym systemem nie zaczyna od zera, tylko uzupełnia.

Dlaczego przy przepisach zaczynamy od nich, a nie od certyfikatu

Bo termin ustawowy nie negocjuje się z kalendarzem projektu. Certyfikację można przesunąć o kwartał, obowiązku zgłoszenia incydentu przesunąć się nie da. Dlatego przy firmie objętej przepisami układamy prace tak, że najpierw powstaje procedura zgłaszania z wyznaczonymi osobami i numerami, potem rachunek ryzyka, a dopiero na końcu decyzja o wystąpieniu o certyfikat.

Ta kolejność bywa niewygodna dla działu handlowego, który chciałby mieć papier na spotkanie z odbiorcą. W zamian daje sytuację, w której incydent w środę kończy się procedurą, a nie naradą.

Co zmienia się w firmie, gdy incydent ma termin zgłoszenia

Najwięcej. Dopóki zgłoszenie jest sprawą wewnętrzną, zdarzenie trafia w poniedziałek na naradę i tam bywa zamykane. Gdy pojawia się termin liczony od wykrycia, decyzja musi zapaść wcześniej i musi ją mieć kto podjąć, także w nocy i w sobotę.

Dlatego przy firmach objętych przepisami pytamy o rzeczy, które w zwykłym audycie są drugorzędne. Kto stwierdza, że zdarzenie jest incydentem, a nie usterką. Skąd ta osoba weźmie zakres i moment rozpoczęcia, jeśli dziennik zdarzeń nadpisuje się po tygodniu. Kto zgłasza, gdy właściciel procesu jest na urlopie. Co robi kierownik zmiany na produkcji, zanim ktokolwiek z biura odbierze telefon.

Odpowiedzi układają się w jedną kartkę i to ona jest realnym wynikiem tej części pracy. Reszta, czyli rejestr i klasyfikacja zdarzeń, wynika już z niej sama.

Co robimy podczas jednego badania

Sprawdzamy kwalifikację sektorową, czyli czy przepisy w ogóle Was dotyczą, bo od tego zależy sens reszty. Potem przechodzimy przez wymagania normy i przez obowiązki ustawowe w jednym przejściu, zaznaczając przy każdym stan faktyczny. Wynikiem jest jedna lista braków z zaznaczeniem, które z nich mają termin wynikający z przepisów, a które są kwestią Waszego harmonogramu.

Zakres samego badania zgodności opisaliśmy przy audycie ISO 27001, wymagania normy przy ISO 27001, a przebieg prac przy wdrożeniu.

Kiedy odradzamy certyfikat mimo obowiązku

Gdy przepisy obejmują Was z tytułu jednej usługi, a certyfikat miałby dotyczyć całej firmy. Płacicie wtedy za badanie obszarów, których nikt od Was nie wymagał, i utrzymujecie je przez trzy lata. Taniej wychodzi system zgodny z normą bez certyfikacji, zawężony do tego, co faktycznie podlega nadzorowi, z gotowością do rozszerzenia w chwili, gdy pojawi się klient żądający papieru.

Treść sprawdzona i zaktualizowana: 31 lipca 2026