NIS 2 dla firm Gdańsk

Kto w łańcuchu portowym podlega przepisom, a kto dostaje ich skutki

Wokół portu pracuje kilkanaście rodzajów firm i każda ma inne miejsce w tej układance. Operator terminala zarządza infrastrukturą. Przewoźnik przewozi ładunek. Agencja celna prowadzi formalności. Spedytor organizuje transport, często nie posiadając ani jednego pojazdu. Skład celny magazynuje towar w procedurze zawieszonej. Firma informatyczna utrzymuje systemy tych wszystkich podmiotów.

Przepisy nie traktują ich jednakowo. Część znajduje się w katalogu sektorów wprost, część nie znajduje się tam wcale, a mimo to dostaje te same pytania w kwestionariuszu od kontrahenta, który znajduje się. Skutek dla codziennej pracy bywa podobny, źródło obowiązku jest jednak inne i mylenie tych dwóch rzeczy kosztuje pieniądze.

Dlatego pierwszy tydzień poświęcamy na jedno rozstrzygnięcie, zapisane i podpisane: gdzie w tym łańcuchu stoicie, z czego wynika Wasz obowiązek i od kiedy biegnie.

Skąd może wziąć się u Was obowiązek

Rola w łańcuchu	Skąd bierze się wymaganie	Co trzeba przygotować
Zarządzający infrastrukturą portową	wprost z katalogu sektorów	pełny zestaw środków i procedura zgłaszania
Przewoźnik powyżej progu wielkości	wprost z przepisów	to samo, plus ustalenia z podmiotami za granicą
Agencja celna	zwykle z umów, rzadziej z przepisu	dowody techniczne i opis obsługi zdarzeń
Spedycja organizująca przewóz	zależnie od rodzaju działalności i progu	rozstrzygnięcie na piśmie przed wydatkami
Firma utrzymująca cudze systemy	z katalogu usług cyfrowych	ocena własnej roli w cudzym łańcuchu
Skład celny i magazyn	z umów z podmiotami objętymi obowiązkiem	rozdzielenie danych i rejestr dostępów
Kilka spółek jednego właściciela	z powiązań kapitałowych przy liczeniu progu	policzenie progu dla struktury, nie dla spółki

Wiersz trzeci i czwarty opisują większość firm, z którymi rozmawiamy w Trójmieście. Odpowiedź brzmi tam często, że sam przepis Was nie obejmuje, a mimo to trzeba wykazać się tymi samymi środkami, ponieważ wymaga ich kontrahent. Wynik zapisany na piśmie ma wtedy wartość podwójną: zamyka pytanie o obowiązek prawny i staje się podstawą odpowiedzi na kwestionariusz.

Wiersz ostatni bywa zaskoczeniem w firmach rodzinnych, gdzie spółka spedycyjna, spółka transportowa i spółka magazynowa mają jednego właściciela i trzy osobne zarządy.

Co znaczy zasięg transgraniczny i dlaczego pytanie pada tak wcześnie

Wczesne ostrzeżenie składa się w ciągu doby od wykrycia i wymaga między innymi wskazania, czy zdarzenie może mieć skutki poza granicami kraju. W firmie produkcyjnej z jednym rynkiem zbytu odpowiedź jest zwykle prosta. W firmie, która codziennie wymienia dokumenty z nadawcą w Niemczech, przewoźnikiem w Danii i odbiorcą w Norwegii, prosta nie jest wcale.

Ustalamy więc zawczasu trzy rzeczy. Kto ocenia zasięg, na jakich danych się przy tym opiera i gdzie te dane leżą. W praktyce oznacza to spis połączeń wychodzących poza firmę, z informacją, czyje dane przez nie przechodzą i w którym państwie znajduje się druga strona. Ten spis powstaje raz i jest później najczęściej używanym fragmentem całej dokumentacji.

Bez niego pierwsza doba mija na zbieraniu informacji, których nikt wcześniej nie zebrał, a termin biegnie od wykrycia, nie od chwili, w której ktoś zorientował się, gdzie szukać.

Skąd biorą się dowody, gdy połowa pracy dzieje się poza biurem

Zgodność stoi na dowodach, a dowodem jest zapis, rejestr albo konfiguracja, którą da się pokazać. W firmie, w której komputery pracują na terminalu, u kontrahenta i w domu, pierwszy problem nie polega na braku zabezpieczeń, tylko na tym, że o połowie sprzętu nie ma żadnych zapisów.

Zaczynamy więc od objęcia tego sprzętu jedną konsolą, raportującą przez internet. Dopiero wtedy powstaje historia, którą można komukolwiek pokazać, i dopiero wtedy da się odpowiedzieć, czy laptop, na którym coś się wydarzyło, miał aktualny system i włączone szyfrowanie.

Drugi krok to retencja. Domyślne ustawienia w usługach chmurowych bywają krótsze niż czas, po którym firma zauważa problem, a zapis, który zdążył zniknąć, przy kontroli nie istnieje. Trzeci to dostawcy: producent systemu spedycyjnego, integrator wymiany danych i firma prowadząca sieć mają wejście do Waszego środowiska, więc wymagania wobec nich są częścią zgodności, a nie dodatkiem do niej.

Jak wygląda ćwiczenie zgłoszenia w firmie obsługującej odprawy

Podajemy opis zdarzenia w losowo wybranym momencie dnia roboczego i mierzymy, ile czasu mija, zanim właściwa osoba wie o sprawie i ma komplet danych do wczesnego ostrzeżenia. Scenariusz wybieramy taki, który zaczyna się poza biurem, bo tam ścieżka urywa się najczęściej.

Zwykle wychodzą z tego dwie rzeczy. Pierwsza to brak jednego numeru dla osoby w trasie, przez co pracownik dzwoni do kogo zna, a nie do kogo trzeba. Druga to pytanie o zasięg transgraniczny, na które nikt nie umie odpowiedzieć bez otwarcia trzech systemów naraz.

Obie da się zamknąć w tydzień i obie kosztują wyłącznie czas. Właśnie dlatego ćwiczenie robimy przed, a nie po.

Czego w tym projekcie nie robimy

Rejestracji podmiotu w wykazie dokonuje zarząd, ponieważ jest to oświadczenie woli, a nie czynność techniczna. Wykładnia przepisów oraz kontakt z organem w sprawie spornej należą do kancelarii, której dostarczamy ustalony stan faktyczny wraz z dokumentacją. Gdy kwalifikacja nie jest oczywista, piszemy to bez owijania i proponujemy potwierdzenie u prawnika.

Nie oceniamy też zgodności z przepisami celnymi ani z wymaganiami branżowymi dotyczącymi obrotu towarowego, bo to inna dziedzina i inny doradca. Nasza część kończy się na środkach technicznych i organizacyjnych opisanych w katalogu dyrektywy.

Polityk na zapas nie piszemy. Dokument opisujący coś, czego w firmie nie ma, przy kontroli działa przeciwko Wam, więc powstaje po uruchomieniu tego, co opisuje.

Od czego zacząć, pokaże audyt bezpieczeństwa IT. Warstwy, których wymaga dyrektywa, utrzymuje na co dzień bezpieczeństwo IT dla firm, obowiązek drugiego składnika realizuje logowanie wieloskładnikowe, a za nieprzerwaną pracę odpowiada ochrona przed ransomware.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026