NIS 2 dla firm Gorzów Wielkopolski

Kto w Gorzowie ma z tym realny problem

Dyrektywa dzieli tutejsze firmy na trzy grupy i tylko jedna z nich wie o tym zawczasu.

Pierwsza to zakłady, które podlegają wprost: produkcja objęta załącznikiem II przy odpowiedniej wielkości, transport, gospodarka odpadami, przetwórstwo żywności. Druga, znacznie liczniejsza, to firmy, które same progu nie przekraczają, ale sprzedają albo serwisują coś podmiotowi objętemu dyrektywą. Ich problem zaczyna się od ankiety przysłanej mailem przez dział zakupów odbiorcy, z terminem na odpowiedź krótszym niż czas potrzebny na cokolwiek sensownego. Trzecia grupa to firmy, których to nie dotyczy w żaden sposób, i im mówimy to wprost w pierwszym tygodniu, zamiast sprzedawać projekt zgodności.

Profil firmy	Skąd bierze się obowiązek	Zakres pracy
Zakład produkcyjny powyżej progu	wprost z załącznika II	pełne wdrożenie i rejestracja
Zakład poniżej progu, jeden duży odbiorca	z umowy i ankiety odbiorcy	wybrane środki plus dowody
Hurtownia dostarczająca do podmiotu kluczowego	z łańcucha dostaw	odpowiedź na ankietę, klauzule, kopie i dostępy
Firma transportowa powyżej progu	wprost z załącznika I lub II	pełne wdrożenie
Biuro rachunkowe, przychodnia poniżej progu	zwykle brak obowiązku	brak projektu, ewentualnie porządek w podstawach

Ta tabela jest pierwszym dokumentem, jaki dostajecie, i czasem jedynym, bo odpowiedź „nie podlegacie” też jest wynikiem, za który warto zapłacić raz, zamiast wracać do pytania co kwartał.

Dlaczego przy tym projekcie trzeba być na hali

Wymagania artykułu 21 brzmią ogólnie, dopóki nie zestawi się ich z konkretną halą. Ciągłość działania w biurze oznacza serwer i pocztę. W zakładzie oznacza sterowniki, systemy nadzoru linii, wagi, drukarki etykiet i komputer przemysłowy z systemem, którego producent maszyny nie pozwala aktualizować pod rygorem utraty gwarancji.

Tego nie da się ocenić z arkusza. Trzeba przejść halę, zobaczyć, co jest podłączone do sieci biurowej, a co powinno stać osobno, i porozmawiać z utrzymaniem ruchu o tym, kto ma zdalny dostęp do maszyn, bo prawie zawsze ma go serwis producenta, na współdzielonym haśle, bez drugiego składnika.

Dlatego analiza braków w zakładzie zaczyna się u nas obchodem, a nie kwestionariuszem wysłanym mailem.

Co robimy z procedurą zgłoszenia incydentu

Doba na wczesne ostrzeżenie i trzy dni na pełne zgłoszenie to terminy, które wyglądają rozsądnie, dopóki nie policzy się, ile trwa u Was samo podjęcie decyzji. Kierownik zmiany zauważa, że system magazynowy nie odpowiada. Dzwoni do informatyka. Informatyk sprawdza i podejrzewa incydent. Kto teraz decyduje, że to jest zdarzenie podlegające zgłoszeniu, i pod jaki numer dzwoni w piątek po piętnastej?

Procedura, którą piszemy, odpowiada na to nazwiskami i numerami telefonu, z zastępstwami. Potem sprawdzamy ją ćwiczeniem: ogłaszamy fikcyjny incydent, mierzymy czas i patrzymy, gdzie ścieżka się zacina. Zacina się prawie zawsze w tym samym miejscu, czyli przy osobie, która ma podjąć decyzję i akurat jest na urlopie.

Jak układamy harmonogram, żeby nie zderzył się z produkcją

Prace techniczne, które wynikają z analizy braków, wymagają przestojów: podział sieci, wymiana urządzenia brzegowego, wdrożenie drugiego składnika, zmiana konfiguracji kopii. W zakładzie pracującym na dwie albo trzy zmiany okno serwisowe jest towarem rzadkim.

Umawiamy je z wyprzedzeniem i robimy w weekendy albo w przerwie technologicznej, a to jest możliwe głównie dlatego, że dojazd zajmuje nam kilkanaście minut, a nie pół dnia. Ta sama praca zlecona firmie z drugiego końca kraju kończy się zwykle jednym długim oknem, w którym trzeba zrobić wszystko naraz, bo drugi przyjazd kosztuje osobno.

Po co zarządowi godzina przy tym stole

Odpowiedzialność za zarządzanie ryzykiem dyrektywa przypisuje kierownictwu osobiście, więc warsztat prowadzimy dla zarządu, a nie dla działu technicznego. Trwa godzinę i nie ma w nim ani jednego slajdu o historii cyberataków.

Rozmawiamy o czterech rzeczach. Czy podlegacie i pod jaki reżim nadzoru. Które zdarzenie w Waszym zakładzie jest incydentem podlegającym zgłoszeniu, a które zwykłą awarią. Kto podejmuje decyzję o zgłoszeniu, gdy prezes jest za granicą. Jakie ryzyko akceptujecie świadomie, bo na jego usunięcie nie ma pieniędzy, i jak to zapisać, żeby przy kontroli była to decyzja, a nie zaniedbanie.

Ostatni punkt jest najważniejszy i najrzadziej spotykany. Przyjęte ryzyko opisane w dokumencie z podpisem zarządu wygląda zupełnie inaczej niż to samo ryzyko przeoczone.

Czego w tym projekcie nie robimy

Nie reprezentujemy Was przed organem nadzoru, nie wydajemy opinii prawnych i nie rejestrujemy podmiotu za Was, bo rejestracja jest oświadczeniem woli zarządu. Nie sprzedajemy paczki gotowych dokumentów do podpisania: polityka, której u Was nikt nie stosuje, przy kontroli działa przeciwko Wam.

Nie wystawiamy też certyfikatów. Jeżeli odbiorca żąda potwierdzenia zgodności z ISO/IEC 27001, wydaje je niezależna jednostka certyfikująca, a my doprowadzamy firmę do stanu, w którym jej audyt ma sens.

Punkt wyjścia najszybciej pokazuje audyt bezpieczeństwa IT, warstwę techniczną wymaganą przez dyrektywę utrzymuje bezpieczeństwo IT dla firm, a cykliczne szkolenia całej załogi prowadzimy jako szkolenia i testy phishingowe.

Treść sprawdzona i zaktualizowana: 31 lipca 2026