NIS 2 dla firm Kielce

Kto z kieleckich firm podlega wprost, a kto tylko przez kontrakt?

Pytanie o NIS 2 przychodzi do firm w regionie zwykle nie od prawnika, tylko z załącznika do umowy albo z ankiety przysłanej przez zamawiającego. Dlatego pierwsza rzecz, którą trzeba rozstrzygnąć, brzmi: czy obowiązek jest Wasz, czy jest cudzy i został na Was przeniesiony.

Wprost podlegają podmioty z sektorów wymienionych w załącznikach dyrektywy, po przekroczeniu progu średniego przedsiębiorstwa, czyli od pięćdziesięciu pracowników albo dziesięciu milionów euro obrotu. Wśród kieleckich firm trafia w to przede wszystkim produkcja z załącznika II: maszyny i urządzenia, pojazdy i przyczepy, sprzęt elektryczny, elektronika, wyroby medyczne. Warsztat robiący maszyny dla przemysłu wchodzi w zakres, wytwórnia konstrukcji dla budownictwa zwykle nie, mimo że obie mieszczą się w tej samej hali przy tej samej ulicy. Dlatego kwalifikację robimy na podstawie faktycznej działalności, a nie nazwy firmy.

Wykonawca robót budowlanych nie ma własnego wiersza w żadnym z załączników. Dostaje jednak wymagania, gdy buduje albo serwisuje dla wodociągów, ciepłowni, szpitala, operatora sieci energetycznej czy jednostki administracji, ponieważ ci zamawiający muszą zadbać o bezpieczeństwo swojego łańcucha dostaw. Skutek jest odczuwalny w tym samym stopniu, tylko podstawą jest umowa, a nie ustawa, i inne rzeczy trzeba wykazać.

Które wymaganie przychodzi z przepisu, a które z umowy?

Wymaganie	Skąd przychodzi	Czym je zamykamy
Rejestracja podmiotu	z przepisu, po samodzielnej kwalifikacji	wniosek i dokument z uzasadnieniem zakresu
Zgłoszenie incydentu do CSIRT	z przepisu, gdy podlegacie wprost	procedura z rolami, telefonami i wzorem formularza
Zawiadomienie zamawiającego o zdarzeniu	z umowy	punkt kontaktowy i zakres przekazywanych informacji
Ankieta bezpieczeństwa przed podpisaniem	z umowy	wypełniony formularz plus plan uzupełnienia braków
Szyfrowanie danych z projektu	z obu stron naraz	polityka szyfrowania sprzętu i nośników
Kontrola dostępu podwykonawców	z przepisu i z umowy	lista wejść z datami wygaśnięcia i klauzule w umowach
Test odtworzenia po awarii	z przepisu	udokumentowana próba z pomiarem czasu
Szkolenie kierownictwa	z przepisu, odpowiedzialność osobista	warsztat dla zarządu z listą obecności

Podział ma znaczenie praktyczne, bo dowody wyglądają inaczej. Wobec organu nadzoru wykazujecie się dokumentacją własnego systemu. Wobec zamawiającego wykazujecie się tym, czego zażądał w umowie, i to zwykle w krótszym terminie. Firma, która prowadzi jedno i drugie w jednym zestawie dokumentów, odpowiada na ankietę w dwa dni zamiast w dwa tygodnie.

Kto zgłasza incydent, gdy Wasz kierownik pracuje na koncie inwestora?

Sytuacja jest typowa dla robót prowadzonych dla podmiotów publicznych: Wasz kierownik ma konto w systemie zamawiającego, żeby wprowadzać zapisy z odbiorów albo pobierać dokumentację. Jeżeli to konto zostanie przejęte, zdarzenie dotyczy dwóch firm naraz.

Obowiązek zgłoszenia leży po stronie podmiotu podlegającego dyrektywie, więc zwykle po stronie zamawiającego. Wasza rola jest jednak decydująca dla terminu, bo jego doba na wczesne ostrzeżenie biegnie od wykrycia zdarzenia, a wykryć je możecie właśnie Wy. Dlatego w procedurze, którą piszemy, punkt o zawiadomieniu zamawiającego stoi wysoko, ma numer telefonu i nie zależy od tego, czy uda się zebrać zarząd.

Druga rzecz to zakres informacji. Zawiadomienie nie jest przyznaniem się do winy i nie powinno zawierać ocen, ma zawierać fakty: co, kiedy, na którym koncie, jakie systemy mogły być dostępne. Ocenę zostawia się temu, kto prowadzi zgłoszenie do właściwego zespołu CSIRT.

Jak układamy harmonogram wokół sezonu budowlanego?

Kalendarz kieleckiej firmy wykonawczej jest nierówny i nie ma sensu udawać, że tak nie jest. Od wiosny do jesieni ludzie są na placach, terminy umowne się kumulują, a każde spotkanie trwające dwie godziny odbywa się kosztem czegoś innego.

Dlatego prace wymagające zaangażowania Waszych ludzi, czyli warsztaty, ustalanie ról, ćwiczenie zgłoszenia i przegląd umów z podwykonawcami, planujemy na okres poza szczytem. Zimą wykonuje się je spokojnie i taniej, bo nikt nie odwołuje terminu w przeddzień. Prace techniczne, czyli kopie, uwierzytelnianie, podatności i logi, idą niezależnie od sezonu, ponieważ prowadzimy je zdalnie i nie zabierają czasu nikomu poza nami.

Spotkanie z zarządem przy przekazaniu raportu robimy na miejscu, w Kielcach, i jest to zwykle jedyny przyjazd w całym projekcie. Nie mamy tu biura, więc inżynier dojeżdża z Krakowa i mówimy o tym na pierwszej rozmowie, żeby nikt nie planował, że wpadniemy w środę na godzinę.

Skąd biorą się dowody, gdy połowa pracy toczy się na placu?

Kontrola i ankieta zamawiającego pytają o to samo: pokażcie, że opisane środki naprawdę działają. Dowód powstaje z rzeczy, które i tak robicie, o ile ktoś je zapisuje.

Rejestr zgłoszeń pokazuje, że sprawy trafiają jedną ścieżką i mają czas obsługi. Wynik testu odtworzenia pokazuje, że kopia jest kopią, a nie zaplanowanym zadaniem, którego nikt nie sprawdził. Lista wejść dla firm zewnętrznych z datami wygaśnięcia pokazuje, że łańcuch dostaw jest pod kontrolą. Protokół z warsztatu dla zarządu pokazuje, że kierownictwo zna swoją odpowiedzialność.

Najtrudniejsze bywa to, co dzieje się poza biurem. Sprzęt z placu nie ma inwentaryzacji, wejścia zakładane pod jedną budowę nie mają właściciela, a dokumentacja krąży czterema drogami naraz. Punkt wyjścia porządkuje audyt bezpieczeństwa IT Kielce, a warstwy techniczne, na których stoi większość wymagań artykułu 21, opisuje bezpieczeństwo IT dla firm Kielce.

Gdzie kończy się nasza rola w tym projekcie?

Nie wydajemy opinii prawnych i nie reprezentujemy Was przed organem nadzoru, bo to praca dla kancelarii, a nie dla wykonawcy IT. Nie negocjujemy też za Was zapisów umownych z zamawiającym, choć tłumaczymy, co konkretnie z nich wynika i ile kosztuje ich spełnienie.

Nie sprzedajemy paczki gotowych dokumentów do podpisania. Polityka opisująca środki, których u Was nie ma, przy kontroli działa przeciwko Wam, więc piszemy wyłącznie procedury odpowiadające stanowi faktycznemu, nawet jeśli lista wychodzi krótsza, niż ktoś się spodziewał. Terminy warsztatów ustalimy przez kontakt.

Treść sprawdzona i zaktualizowana: 14 sierpnia 2026