NIS 2 dla firm Barlinek

Czy ta dyrektywa w ogóle dotyczy firmy z Barlinka?

Zwykle nie i mówimy to na pierwszym spotkaniu, zanim ktokolwiek zapłaci za cokolwiek. Zakres liczy się z dwóch rzeczy naraz i obie muszą wystąpić. Pierwsza to sektor, wskazany w załącznikach I oraz II dyrektywy. Druga to wielkość, liczona od progu średniego przedsiębiorstwa, czyli od pięćdziesięciu pracowników albo dziesięciu milionów euro rocznego obrotu.

Piekarnia na dwanaście osób nie podlega, choć produkcja żywności jest w spisie sektorów. Zakład stolarski na dwadzieścia stanowisk nie podlega. Warsztat, apteka, gabinet, pensjonat i biuro rachunkowe w tej skali również nie. Podlegać zaczyna dopiero zakład, który urósł ponad próg, na przykład większa produkcja spożywcza, przetwórstwo albo firma zajmująca się odpadami czy transportem.

Termin transpozycji dyrektywy upłynął 17 października 2024 roku, a w Polsce wdraża ją nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa. Aktualny stan przepisów i termin liczony dla Waszego sektora sprawdzamy na starcie projektu, bo od tego zależy cały harmonogram. Nikt nie przyśle Wam pisma z informacją, że od dziś podlegacie, obowiązek kwalifikacji leży po Waszej stronie.

Skąd w takim razie ta ankieta od odbiorcy?

Stąd, że dyrektywa nakazuje podmiotom objętym obowiązkiem oceniać bezpieczeństwo własnego łańcucha dostaw. Duży odbiorca nie ma jak sprawdzić kilkuset dostawców z osobna, więc rozsyła formularz. Firma z Barlinka, która dostarcza elementy drewniane do fabryki mebli, wozi towar dla operatora logistycznego albo prowadzi księgowość dla podmiotu z listy, dostaje ten formularz mailem i ma dwa tygodnie na odesłanie.

To jest realny powód, dla którego ta strona w ogóle istnieje. Nie chodzi o kary, które Was nie dotyczą, tylko o kontrakt, który można stracić przez niewypełniony załącznik.

Typowe pytanie z ankiety	Co trzeba pokazać	Jak to zwykle wygląda w małej firmie
Czy wykonujecie kopie i czy je testujecie	harmonogram i wynik ostatniej próby	kopie są, próby nie było nigdy
Czy stosujecie uwierzytelnianie wieloskładnikowe	lista systemów z drugim składnikiem	samo hasło do poczty i pulpitu zdalnego
Jak zgłaszacie incydent bezpieczeństwa	procedura z rolami i numerami	wiedza w głowie właściciela
Kto ma dostęp do systemów	lista dostępów wraz z przeglądem	wspólne konto administratora
Czy szkolicie pracowników	zapis szkoleń i ich zakres	rozmowa przy zatrudnieniu, bez śladu
Czy macie plan ciągłości działania	dokument z czasem powrotu	brak, ale sprzęt zapasowy stoi w magazynie

Kolumna środkowa jest ważniejsza od prawej. Ankieta nie pyta, czy macie certyfikat, tylko czy potraficie pokazać dowód. Dowodem jest wynik próbnego odtworzenia albo lista kont, a nie zdanie w mailu.

Co robimy, gdy okaże się, że jednak podlegacie?

Pierwszy dzień poświęcamy na kwalifikację i zapisujemy jej wynik na piśmie, bo bez tego cała reszta może dotyczyć niewłaściwego reżimu. Podmiot kluczowy podlega kontroli z urzędu, ważny dopiero wtedy, gdy pojawi się sygnał o nieprawidłowości, a różnica ta zmienia tempo całego projektu.

Potem idzie analiza braków, na tyle konkretna, żeby dało się z niej zrobić budżet: co, za ile i w jakiej kolejności. Dalej pracujemy warstwami technicznymi, zwykle zaczynając od kopii odpornych na zaszyfrowanie i uwierzytelniania wieloskładnikowego, potem aktualizacje i podział sieci, a na końcu zbieranie logów. Dokumentacja powstaje równolegle, na podstawie tego, co faktycznie działa, nigdy odwrotnie.

Projekt kończymy ćwiczeniem. Zgłaszamy fikcyjny incydent i mierzymy, ile zajmuje przejście drogi od wykrycia do wysłania wczesnego ostrzeżenia. W firmie, gdzie decyzje podejmuje właściciel, a właściciel bywa w trasie, ta jedna liczba mówi więcej niż cała procedura. Doba to niewiele, gdy telefon nie odbiera się od dwóch godzin.

Co daje ten projekt firmie, która nie podlega?

Uczciwa odpowiedź brzmi: mniej niż firmie objętej obowiązkiem, ale wciąż sporo, i dlatego czasem odradzamy pełną analizę, proponując zamiast niej sam audyt. Firma spoza zakresu dostaje trzy rzeczy: komplet odpowiedzi na ankiety, które będzie dostawać coraz częściej, uporządkowaną listę tego, co realnie chroni przed przestojem, oraz dokument do pokazania ubezpieczycielowi albo bankowi.

Czego nie dostaje? Certyfikatu, bo takiego dokumentu w tej dyrektywie nie ma. Nie dostaje też zwolnienia z niczego, bo nie podlegała żadnemu obowiązkowi. Mówimy o tym wprost, zamiast sprzedawać zgodność firmie, która i tak jest poza zakresem.

Czego w tym projekcie nie robimy?

Nie reprezentujemy nikogo przed organem nadzoru i nie wydajemy opinii prawnych, bo to praca dla kancelarii. Nie sprzedajemy również gotowej paczki dokumentów do podpisania. Polityka, której nikt u Was nie stosuje, jest przy kontroli albo przy audycie odbiorcy dowodem obciążającym, a nie odciążającym, więc piszemy wyłącznie procedury opisujące to, co naprawdę działa.

Nie prowadzimy też w Barlinku obsady dyżurnej, więc procedura zgłoszenia incydentu, którą dla Was piszemy, uwzględnia realne godziny pracy helpdesku i wskazuje z nazwiska osobę po Waszej stronie, która podejmuje decyzję poza nimi.

Stan wyjściowy najszybciej pokazuje audyt bezpieczeństwa IT, warstwę techniczną, na której opiera się większość wymagań, opisuje bezpieczeństwo IT dla firm, a dwa najczęściej brakujące punkty z ankiety to ochrona przed ransomware oraz logowanie wieloskładnikowe.

Treść sprawdzona i zaktualizowana: 1 sierpnia 2026