NIS 2 dla firm Katowice

Dlaczego w tym regionie pytanie brzmi inaczej niż gdzie indziej

W większości branż rozmowa zaczyna się od ustalenia, czy przepisy w ogóle obejmują daną firmę. Na Śląsku ta część bywa krótka, bo załącznik pierwszy wymienia energetykę, ciepłownictwo, wodę pitną, ścieki i infrastrukturę cyfrową, a załącznik drugi gospodarowanie odpadami, chemikalia oraz produkcję maszyn, urządzeń i pojazdów. Trudno prowadzić tu działalność przemysłową i nie znaleźć się w żadnym z tych zdań.

Właściwe pytanie brzmi więc, w jakim charakterze podlegacie. Podmiot kluczowy i podmiot ważny mają ten sam katalog wymagań technicznych i zupełnie inny tryb nadzoru, a różnica ta zmienia sposób prowadzenia projektu bardziej niż którykolwiek pojedynczy środek z artykułu 21.

Co się zmienia, gdy jesteście podmiotem kluczowym

Obszar	Podmiot ważny	Podmiot kluczowy
Wszczęcie nadzoru	po sygnale o nieprawidłowości	z urzędu, bez żadnego sygnału
Gotowość dokumentacji	do skompletowania po zawiadomieniu	utrzymywana na bieżąco
Rytm przeglądów	roczny bywa wystarczający	krótszy, z zapisem każdej zmiany
Kara maksymalna	do 7 mln euro albo 1,4 procent obrotu	do 10 mln euro albo 2 procent obrotu
Sankcje wobec kierownictwa	ograniczone	możliwy czasowy zakaz pełnienia funkcji
Sposób prowadzenia rejestrów	zapis zdarzeń istotnych	ciągłość zapisu i możliwość jej wykazania
Praktyczny skutek dla firmy	projekt z terminem	proces bez daty zakończenia

Ostatni wiersz jest sednem. Podmiot ważny może potraktować zgodność jako zadanie do zamknięcia, podmiot kluczowy musi ją utrzymywać, bo kontrola nie zapowiada się listem. Wpływa to na budżet w sposób, którego nie widać w pierwszym zestawieniu kosztów, i dlatego kwalifikację rozstrzygamy przed jakimkolwiek wydatkiem.

Jak liczymy próg w firmie zbudowanej z kilku spółek

Kwalifikacja bierze się z dwóch rzeczy naraz: sektora oraz wielkości liczonej od progu średniego przedsiębiorstwa. Pierwsza część jest zwykle prosta, druga w strukturach regionu bywa rozstrzygająca, bo firmy powstawały tu często jako kilka spółek jednego właściciela, każda z osobną nazwą i osobnym zakresem.

Do progu wliczają się podmioty powiązane kapitałowo, więc spółka o niewielkim zatrudnieniu potrafi wejść w zakres przez strukturę własnościową. Sprawdzamy to na dokumentach, nie na deklaracji, bo pomyłka w tę stronę oznacza projekt prowadzony pod niewłaściwy reżim, a w drugą stronę wydatek, którego nie trzeba było ponosić.

Rozstrzygnięcie trafia do krótkiego dokumentu, w którym stoi data, uzasadnienie oraz wskazany reżim. Bywa ono przeczące i wtedy praca kończy się w pierwszym tygodniu. Zamknięcie sprawy jest wówczas uczciwsze niż projekt sprzedany firmie, której przepisy w ogóle nie obejmują.

Kto zgłasza zdarzenie, które objęło dwie lokalizacje

Terminy są proste. Wczesne ostrzeżenie ma dobę od wykrycia, pełne zgłoszenie trzy dni, raport końcowy miesiąc. Trudność zaczyna się wcześniej, przy pytaniu, czy patrzymy na jedno zdarzenie, czy na dwa, i kto ma prawo to rozstrzygnąć.

W firmie z kilkoma obiektami odpowiedź musi być ustalona z góry, bo inaczej każda lokalizacja zaczyna od telefonu do własnego kierownika i pierwsza godzina mija na uzgadnianiu, kto prowadzi sprawę. Procedura, którą piszemy, wskazuje jedną osobę kwalifikującą dla całej firmy, jej zastępcę oraz sposób, w jaki obiekty przekazują jej ustalenia techniczne. Dopiero na tej podstawie powstaje decyzja o zgłoszeniu.

Ćwiczenie przeprowadzamy na scenariuszu obejmującym więcej niż jeden obiekt, bo tam ścieżka urywa się najczęściej. Zwykle wychodzi z niego rzecz prosta i niezmiennie ta sama: numer, pod który miał dzwonić drugi zakład, był aktualny kilka lat temu.

Skąd biorą się dowody, gdy firma pracuje w kilku miejscach

Zgodność opiera się na dowodach, a dowód to zapis, rejestr albo konfiguracja, którą da się pokazać. W firmie z jednym obiektem zbiera się je w jednym miejscu. W firmie z trzema trzeba odpowiedzieć na pytanie, czy zapisy z drugiej i trzeciej lokalizacji w ogóle istnieją, a odpowiedź bywa przecząca właśnie tam, gdzie nie ma stałej obsady technicznej.

Pracujemy więc w dwóch krokach. Najpierw ujednolicamy narzędzia, bo jedna konsola ochrony i jeden katalog tożsamości dają komplet zapisów zamiast trzech niepełnych zestawów. Potem ustawiamy retencję dłuższą niż domyślna, ponieważ domyślna bywa krótsza niż czas potrzebny na zauważenie problemu, a zapis, który zdążył zniknąć, przy kontroli nie istnieje.

Osobno zbieramy dowody dotyczące dostawców. Integrator systemu produkcyjnego, serwis maszyn i firmy utrzymujące sieć mają dostęp do Waszych systemów, więc wymagania wobec nich są częścią zgodności, a nie dodatkiem do niej.

Czego w tym projekcie nie robimy

Rejestracji podmiotu w wykazie dokonuje zarząd, bo jest to oświadczenie woli, a nie czynność techniczna. Wykładnia przepisów oraz ewentualne postępowanie przed organem należą do kancelarii, a my dostarczamy jej ustalony stan faktyczny i komplet dokumentacji. Przy wątpliwej kwalifikacji mówimy o tym wprost i proponujemy potwierdzenie u prawnika.

Nie piszemy polityk na zapas. Polityka opisująca coś, czego w firmie nie ma, przy kontroli obciąża zamiast chronić, dlatego każdy dokument powstaje dopiero po uruchomieniu tego, co opisuje. Nie potwierdzamy również niczyjej zgodności papierem z własnym logo, bo takiego papieru dyrektywa nie przewiduje.

Od czego zacząć, pokaże audyt bezpieczeństwa IT. Bieżące utrzymanie wymaganych warstw prowadzimy jako bezpieczeństwo IT dla firm, wymóg drugiego składnika zamyka logowanie wieloskładnikowe, a ciągłość działania opiera się na ochronie przed ransomware.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026