NIS 2 dla firm Łódź

Dlaczego operator obsługujący cudze marki dostaje wymagania z dwóch stron

Firma prowadząca magazyn dla kilku sklepów jest jednocześnie samodzielnym podmiotem i ogniwem w cudzym łańcuchu dostaw. Te dwie role rządzą się różnymi regułami i mieszanie ich kosztuje pieniądze.

Rola pierwsza wynika z przepisów. Jeżeli rodzaj Waszej działalności mieści się w załącznikach dyrektywy, a firma przekracza próg wielkości, obowiązek powstaje bez żadnego pisma z urzędu, bo kwalifikacja jest samodzielna. Rola druga wynika z umów. Klient objęty obowiązkiem musi zająć się bezpieczeństwem swojego łańcucha dostaw, więc przenosi wymagania na Was kwestionariuszem i zapisem w kontrakcie, niezależnie od tego, czy sami podlegacie.

W praktyce druga droga dociera do łódzkich operatorów wcześniej niż pierwsza. Pytania przychodzą od zleceniodawcy przy przedłużaniu współpracy, mają formę tabeli na kilkanaście stron i termin liczony w dniach.

Co wynika z przepisu, a co z umowy z klientem

Obszar	Skąd bierze się wymaganie	Czym się to kończy przy niedotrzymaniu
Katalog środków zarządzania ryzykiem	z dyrektywy, o ile podlegacie	działania organu nadzoru wobec podmiotu
Terminy zgłoszenia zdarzenia	z dyrektywy	naruszenie obowiązku raportowego
Powiadomienie klienta o incydencie	z umowy	kara umowna, czasem prawo do wypowiedzenia
Poziom dostępności usługi	z umowy	odpowiedzialność finansowa wobec zleceniodawcy
Rozdzielenie danych między zleceniodawcami	z umowy, czasem z obu stron	utrata kontraktu przy pierwszym audycie klienta
Wymagania wobec Waszych podwykonawców	z dyrektywy i z umowy	przeniesienie odpowiedzialności na Was
Prawo klienta do audytu u Was	z umowy	wizyta jego audytora bez uprzedzenia w wygodnym terminie
Zwrot albo usunięcie danych po zakończeniu	z umowy	spór przy rozstaniu i pozostawione kopie

Wiersz piąty rozstrzyga w tej branży najczęściej. Zleceniodawca pyta wprost, czy osoba obsługująca jego zamówienia widzi zamówienia jego konkurenta, a odpowiedź wynika z uprawnień w systemie magazynowym, nie z deklaracji o poufności.

Jak liczymy próg w firmie, która rośnie tylko w sezonie

Próg wielkości zaczyna się od średniego przedsiębiorstwa, czyli od pięćdziesięciu pracowników albo dziesięciu milionów euro rocznego obrotu. Pytanie, które pojawia się w każdej rozmowie z operatorem logistycznym, brzmi: jak liczyć zatrudnienie, gdy przez cztery miesiące w roku firma ma dwa razy więcej ludzi niż przez pozostałe osiem.

Odpowiedzi nie da się podać z pamięci, bo zależy od sposobu zatrudnienia i od danych finansowych, a przy pracy przez agencję sprawa bywa dodatkowo niejednoznaczna. Sprawdzamy to na dokumentach razem z Waszą księgowością i z osobą prowadzącą kadry, a wynik zapisujemy z uzasadnieniem.

Do progu wliczają się także spółki powiązane kapitałowo, co w firmach rodzinnych z regionu rozstrzyga częściej niż liczba etatów w jednym podmiocie. Zdarza się, że spółka magazynowa zatrudniająca trzydzieści osób wchodzi w zakres przez udziały, o których nie wie nikt poza właścicielem.

Skąd biorą się dowody, gdy jedna hala obsługuje kilka marek

Zgodność opiera się na dowodach, a dowód to zapis, rejestr albo konfiguracja, którą da się pokazać. W firmie obsługującej cudzy towar dochodzi warunek, którego nie ma nigdzie indziej: ten sam dowód trzeba przedstawić kilku podmiotom, a każdy z nich ma prawo zobaczyć wyłącznie własną część.

Pracujemy więc w dwóch krokach. Najpierw ustawiamy rozdzielenie w samych systemach: uprawnienia w systemie magazynowym przypisane do zleceniodawcy, osobne katalogi na dokumentację, osobne konta dla zespołów obsługujących różne marki i osobne skrzynki kontaktowe. Potem ustawiamy zapisy zdarzeń tak, żeby dało się z nich wyciąć raport dotyczący jednej umowy.

Retencję ustawiamy dłuższą niż domyślna, bo domyślna bywa krótsza niż czas potrzebny na zauważenie problemu, a zapis, który zdążył zniknąć, przy kontroli nie istnieje. Osobno zbieramy dowody dotyczące Waszych podwykonawców: firmy transportowej, integratora systemu i serwisu urządzeń, bo w łańcuchu dostaw odpowiadacie także za nich.

Kto zgłasza zdarzenie dotyczące cudzego towaru

Terminy same w sobie są proste. Doba na wczesne ostrzeżenie liczona od momentu wykrycia, trzy dni na pełne zgłoszenie, miesiąc na raport zamykający sprawę. Trudność zaczyna się przy pytaniu, kto rozstrzyga, czy patrzymy na awarię, czy na incydent, i w którym momencie telefon dostaje zleceniodawca.

Procedura, którą piszemy, wskazuje jedną osobę kwalifikującą zdarzenie dla całej firmy oraz drugą odpowiedzialną za kontakt z klientami. Rozdzielenie tych ról ma powód praktyczny: w pierwszej godzinie te dwie rzeczy dzieją się równolegle, a jedna osoba robiąca oba zadania naraz nie zrobi żadnego na czas.

Ćwiczenie prowadzimy na scenariuszu obejmującym towar konkretnego zleceniodawcy, bo tam ścieżka urywa się najczęściej. Zwykle wychodzi z niego rzecz prozaiczna: w umowie jest termin powiadomienia klienta, a nie ma w niej numeru telefonu do nikogo po jego stronie.

Czego w tym projekcie nie weźmiemy na siebie

Rejestracji podmiotu w wykazie dokonuje zarząd, ponieważ jest to oświadczenie woli, a nie czynność techniczna. Wykładnia przepisów oraz negocjowanie treści umów z klientami należą do prawnika, któremu dostarczamy ustalony stan faktyczny razem z dokumentacją. Przy wątpliwej kwalifikacji mówimy o tym wprost i proponujemy potwierdzenie u kancelarii.

Polityk na zapas nie piszemy. Dokument opisujący coś, czego w firmie nie ma, przy kontroli obciąża zamiast chronić, więc powstaje po uruchomieniu tego, co opisuje. Nie potwierdzamy również niczyjej zgodności papierem z własnym logo, bo dla samej dyrektywy taki dokument nie istnieje, a badanie na zgodność z ISO/IEC 27001 albo ISO 22301 prowadzi akredytowana jednostka.

Od czego zacząć, pokaże audyt bezpieczeństwa IT. Bieżące utrzymanie wymaganych obszarów prowadzimy jako bezpieczeństwo IT dla firm, wymóg drugiego składnika zamyka logowanie wieloskładnikowe, a ciągłość działania opiera się na ochronie przed ransomware.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026