NIS 2 dla firm Kraków

Skąd bierze się obowiązek w spółce, która pracuje dla innych

Rozmowa zaczyna się zwykle od zdziwienia. Firma nie produkuje, nie przewozi, nie dostarcza wody ani prądu, a mimo to trafia w zakres przepisów, bo liczy się nie tylko to, czym jest, ale też to, co robi dla innych. Katalog sektorów wymienia dostawców usług cyfrowych oraz zarządzanie usługami teleinformatycznymi świadczone na rzecz podmiotów zewnętrznych, a centrum usług wspólnych prowadzące systemy albo procesy dla spółek grupy bywa dokładnie tym drugim.

Do tego dochodzi druga droga, dla wielu krakowskich spółek szybsza od pierwszej. Podmiot objęty obowiązkiem musi zająć się bezpieczeństwem swojego łańcucha dostaw, więc przenosi wymagania na dostawcę kwestionariuszem i zapisem w umowie. Formalnie możecie nie podlegać, praktycznie odpowiadacie na te same pytania, tylko przed inną instancją i w krótszym terminie.

Pierwszy tydzień projektu poświęcamy więc na jedno rozstrzygnięcie, zapisane i podpisane. Kim jesteście w tej układance, z czego wynika Wasz obowiązek i od kiedy biegnie.

Co wynika z przepisu, a co z pozycji dostawcy

Sytuacja spółki	Skąd bierze się wymaganie	Co trzeba przygotować
Prowadzenie systemów dla podmiotów zewnętrznych	z katalogu usług cyfrowych i zarządzania ICT	pełny zestaw środków oraz procedura zgłaszania
Obsługa procesów dla spółek własnej grupy	zwykle z polityki właściciela, rzadziej z przepisu	rozstrzygnięcie na piśmie przed jakimkolwiek wydatkiem
Świadczenie usług podmiotowi objętemu obowiązkiem	z umowy i z jego oceny łańcucha dostaw	dowody techniczne i opis obsługi zdarzeń
Działalność własna mieszcząca się w katalogu	wprost z przepisów	kwalifikacja wraz z reżimem nadzoru
Kilka spółek jednego właściciela	z powiązań kapitałowych przy liczeniu progu	policzenie progu dla struktury, nie dla podmiotu
Podmiot obsługiwany w innym państwie	z przepisów obowiązujących u niego	ustalenie, kto zgłasza i w jakiej kolejności
Podwykonawcy mający dostęp do Waszych systemów	z obowiązku oceny własnego łańcucha	rejestr dostępów oraz klauzule w umowach

Wiersz drugi opisuje większość spółek, z którymi rozmawiamy w Krakowie. Odpowiedź brzmi tam często, że sam przepis Was nie obejmuje, a mimo to trzeba wykazać się tymi samymi środkami, ponieważ wymaga ich właściciel. Wynik zapisany na piśmie ma wtedy podwójną wartość, bo zamyka pytanie o obowiązek prawny i staje się podstawą odpowiedzi dla grupy.

Jak liczymy próg w firmie należącej do zagranicznej struktury

Kwalifikacja bierze się z dwóch rzeczy naraz, czyli z rodzaju działalności i z wielkości liczonej od progu średniego przedsiębiorstwa. Pierwsza część bywa sporna, druga w spółkach zależnych rozstrzyga się szybko, tylko nie na podstawie liczby etatów w Krakowie.

Do progu wliczają się podmioty powiązane kapitałowo, więc spółka zatrudniająca czterdzieści osób wchodzi w zakres przez strukturę własnościową, o której nie wie zespół techniczny, a czasem nie wie też zarząd lokalny. Sprawdzamy to na dokumentach razem z osobą prowadzącą sprawy korporacyjne, ponieważ pomyłka w jedną stronę oznacza projekt pod niewłaściwy reżim, a w drugą wydatek, którego nie trzeba było ponosić.

Wynik trafia do krótkiego dokumentu z datą, uzasadnieniem oraz wskazaniem reżimu. Bywa przeczący i wtedy praca kończy się szybciej, niż zakładał harmonogram. Zamknięcie sprawy jest wówczas uczciwsze niż sprzedanie wdrożenia komuś, kogo przepisy nie obejmują.

Kto zgłasza zdarzenie, które objęło proces obsługiwanej spółki

Terminy same w sobie są proste. Wczesne ostrzeżenie w ciągu doby od wykrycia, pełne zgłoszenie w ciągu trzech dni, raport zamykający w ciągu miesiąca. Trudność zaczyna się wcześniej i dotyczy tego, kto w ogóle rozstrzyga, czy patrzymy na awarię, czy na incydent, oraz w którym momencie telefon dostaje podmiot, którego proces zatrzymał się w wyniku zdarzenia.

Procedura, którą piszemy, wskazuje jedną osobę kwalifikującą dla całej spółki oraz drugą odpowiedzialną za kontakt z obsługiwanymi podmiotami. Rozdzielenie tych ról nie jest formalnością. W pierwszej godzinie obie rzeczy dzieją się równolegle, a jedna osoba prowadząca je naraz nie zdąży z żadną.

Do tego dokładamy pytanie, które w spółce zależnej pada zawsze i zawsze późno. Czy zdarzenie ma skutki poza granicami kraju. W firmie wymieniającej dane z podmiotami z kilku państw odpowiedź wymaga spisu połączeń wychodzących poza organizację, z informacją, czyje dane przez nie przechodzą. Spis powstaje raz i jest później najczęściej używanym fragmentem dokumentacji.

Skąd biorą się dowody, gdy jedna spółka obsługuje kilka podmiotów

Zgodność stoi na materiale, który da się okazać, a nie na deklaracji. W firmie prowadzącej procesy dla kilku podmiotów dochodzi warunek nieobecny gdzie indziej, ponieważ ten sam materiał trzeba pokazać kilku odbiorcom, a każdy z nich ma prawo zobaczyć wyłącznie własną część.

Pracujemy więc w dwóch krokach. Najpierw rozdzielenie w samych systemach, czyli uprawnienia przypisane do obsługiwanego podmiotu, osobne katalogi na dokumentację, osobne konta dla zespołów oraz osobne skrzynki kontaktowe. Potem ustawienie zapisów zdarzeń tak, żeby dało się z nich wyciąć raport dotyczący jednej umowy.

Retencję ustawiamy dłuższą od domyślnej, ponieważ zapis, który zdążył zniknąć, przy kontroli nie istnieje. Osobno zbieramy materiał dotyczący Waszych podwykonawców, bo w łańcuchu dostaw odpowiadacie także za nich, a to jest część zgodności, nie dodatek do niej.

Czego w tym projekcie nie robimy

Rejestracji podmiotu w wykazie dokonuje zarząd, ponieważ jest to oświadczenie woli, a nie czynność techniczna. Wykładnia przepisów oraz postępowanie przed organem należą do kancelarii, której dostarczamy ustalony stan faktyczny wraz z dokumentacją. Przy kwalifikacji niejednoznacznej mówimy o tym bez owijania i proponujemy potwierdzenie u prawnika.

Nie zajmujemy się też przepisami obowiązującymi podmioty obsługiwane w innych państwach, bo każdy kraj wdrożył dyrektywę własną ustawą. Nasza część kończy się na środkach technicznych i organizacyjnych oraz na ustaleniu, kto komu i w jakim terminie przekazuje informację.

Polityk na zapas nie piszemy. Dokument opisujący stan, którego w firmie nie ma, obciąża przy kontroli zamiast chronić, więc powstaje dopiero po uruchomieniu tego, co opisuje.

Od czego zacząć, pokaże audyt bezpieczeństwa IT. Wymagane warstwy utrzymuje na co dzień bezpieczeństwo IT dla firm, obowiązek drugiego składnika realizuje logowanie wieloskładnikowe, a za nieprzerwaną pracę odpowiada ochrona przed ransomware.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026