NIS 2 dla firm Bydgoszcz

Dlaczego zakład produkcyjny trafia w zakres, choć nikt się tego nie spodziewał

Rozmowa zwykle zaczyna się od zdania, że dyrektywa dotyczy energetyki, wody i szpitali. Katalog sektorów jest jednak szerszy i wymienia także wytwarzanie wyrobów, w tym urządzeń, maszyn oraz sprzętu elektronicznego. Zakład, który przez trzydzieści lat robił swoje, nagle znajduje się w tym samym zdaniu co podmioty, o których myślał, że stoją zupełnie gdzie indziej.

Do tego dochodzi druga droga, dla wielu bydgoskich firm ważniejsza od pierwszej. Odbiorca objęty przepisami ma obowiązek zająć się bezpieczeństwem swojego łańcucha dostaw, więc przenosi wymagania na kooperantów w kwestionariuszach i w umowach. Formalnie nie podlegacie, praktycznie musicie odpowiedzieć na te same pytania, a odpowiedź waży przy przedłużeniu kontraktu.

Co z tego katalogu wynika dla konkretnej firmy

Sytuacja firmy	Skąd bierze się obowiązek	Co trzeba przygotować
Produkcja wyrobu z katalogu, powyżej progu wielkości	wprost z przepisów	pełny zestaw środków i procedura zgłaszania
Produkcja wyrobu z katalogu, poniżej progu	zwykle brak obowiązku	rozstrzygnięcie na piśmie, żeby zamknąć temat
Kooperant odbiorcy objętego przepisami	z umowy i z kwestionariusza	dowody techniczne i opis procesu zgłaszania
Usługi utrzymania systemów innych firm	z katalogu usług cyfrowych	ocena własnej roli w cudzym łańcuchu
Kilka spółek jednej rodziny właścicieli	z powiązań kapitałowych	policzenie progu dla grupy, nie dla spółki
Zakład bez własnego działu IT	tak samo jak każdy inny	wskazanie osoby odpowiedzialnej po Waszej stronie

Wiersz drugi bywa najbardziej odciążający. Rozstrzygnięcie „nie podlegacie” zapisane i podpisane kończy pracę w pierwszym tygodniu i jest uczciwszym wynikiem niż sprzedanie wdrożenia komuś, kogo obowiązek nie dotyczy.

Skąd wziąć dowody, gdy nikt nigdy nie opisał sieci

Zgodność opiera się na dowodach, a dowód to zapis, rejestr albo konfiguracja, którą da się pokazać. W zakładzie, w którym infrastruktura rosła przez dwie dekady bez dokumentacji, pierwszym problemem nie jest brak zabezpieczeń, tylko brak możliwości wykazania czegokolwiek.

Zaczynamy więc od stanu faktycznego zbieranego na miejscu: co stoi w szafach, jak biegnie sieć między halą a biurem, które komputery obsługują maszyny, kto wchodzi zdalnie, gdzie leżą kopie i czy ktokolwiek próbował je odtworzyć. Dopiero na tej podstawie da się powiedzieć, które środki z katalogu artykułu 21 faktycznie działają, a które istnieją wyłącznie w czyjejś pamięci.

Efektem ubocznym jest dokumentacja, której firma nie miała nigdy. Bywa ona w tym projekcie rzeczą najczęściej używaną później, bo odpowiada na pytania zadawane przy każdej kolejnej inwestycji.

Kto zgłasza zdarzenie zaczynające się na drugiej zmianie

Wczesne ostrzeżenie ma dobę, pełne zgłoszenie trzy dni, raport końcowy miesiąc. Terminy są proste, trudna jest pierwsza godzina, kiedy nikt jeszcze nie wie, czy patrzy na awarię, czy na atak.

Procedura pisana dla zakładu ma trzy poziomy. Operator albo mistrz zmiany zauważa, że system przestał odpowiadać, i dzwoni pod jeden numer. Osoba dyżurna kwalifikuje zdarzenie i decyduje, czy to jest incydent w rozumieniu przepisów. Wskazana osoba z zarządu albo z kierownictwa wysyła wczesne ostrzeżenie. Do każdego poziomu przypisujemy człowieka, numer telefonu, godziny dostępności i zastępcę.

Ćwiczenie prowadzimy od strony hali, nie od strony biura, bo tam ścieżka urywa się najczęściej. Zwykle wychodzi z niego jedna prosta rzecz: numer telefonu wiszący przy stanowisku był aktualny trzy lata temu.

Kiedy w zakładzie na dwie zmiany da się w ogóle ruszyć systemy

Prace wynikające z analizy braków dotykają rzeczy, których w ruchu nie wolno tknąć: podziału sieci, wymiany urządzenia brzegowego, zmian w sposobie logowania na hali. Zakład pracujący na dwie zmiany ma na to okna wynikające z przeglądów maszyn, z przerw remontowych i z weekendów, i tych okien jest w miesiącu kilka, nie kilkanaście.

Dlatego harmonogram układamy odwrotnie niż w projekcie biurowym. Najpierw zbieramy z utrzymania ruchu listę dostępnych terminów na najbliższy kwartał, potem dopasowujemy do nich zadania techniczne, a całą resztę, czyli dokumentację, procedury, przeglądy kont i uprawnień, prowadzimy równolegle zdalnie. Bez tej kolejności projekt zatrzymuje się w drugim miesiącu i czeka.

Czego w tym projekcie nie robimy

Rejestracji podmiotu w wykazie dokonuje zarząd, bo jest to oświadczenie woli, a nie czynność techniczna. Wykładnię przepisów i ewentualny spór z organem prowadzi kancelaria, której dostarczamy stan faktyczny wraz z dokumentacją.

Nie piszemy polityk na zapas. Dokument opisujący stan, którego w firmie nie ma, świadczy przy kontroli przeciwko Wam, więc powstaje po wdrożeniu tego, co opisuje. Nie potwierdzamy też niczyjej zgodności papierem z własnym logo, bo dla samej dyrektywy taki dokument nie istnieje, a badanie na zgodność z ISO/IEC 27001 prowadzi akredytowana jednostka.

Od czego zacząć, pokaże audyt bezpieczeństwa IT. Bieżące utrzymanie wymaganych warstw prowadzimy jako bezpieczeństwo IT dla firm, wymóg drugiego składnika zamyka logowanie wieloskładnikowe, a odporność kopii buduje ochrona przed ransomware.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026