NIS 2 dla firm Lublin

Dlaczego przewoźnik rzadko podlega wprost, a i tak dostaje wymagania?

Pierwsza rozmowa w lubelskiej firmie przewozowej zaczyna się zwykle od zdania, że transport jest w dyrektywie, więc pewnie trzeba się zarejestrować. Odpowiedź jest bardziej złożona i warto ją znać, zanim ktoś wyda pieniądze na niepotrzebny projekt albo, co gorsza, uzna sprawę za nieswoją.

Sektor transportu rzeczywiście stoi w załączniku I, tylko część drogowa wymienia w nim zarządców dróg oraz operatorów inteligentnych systemów transportowych. Firma wykonująca przewóz rzeczy nie mieści się w tym opisie, więc obowiązek wprost jej nie dotyczy, choćby miała dwieście pojazdów.

Wymagania przychodzą do niej inną drogą i przychodzą prawie zawsze. Zakład przetwórczy, dla którego wozicie towar, jest podmiotem ważnym z załącznika II. Dyrektywa nakazuje mu ocenić bezpieczeństwo własnych dostawców, a Wy jesteście jego dostawcą usługi transportowej z dostępem do jego danych o dostawach. W efekcie dostajecie wymagania w załączniku do umowy, z terminem i z prawem do kontroli, i nie ma znaczenia, że w rejestrze podmiotów Was nie ma.

Kto podlega wprost, a kto przez umowę?

Profil firmy spod Lublina	Podstawa	Co z tego wynika
Przewóz rzeczy, dowolna wielkość	brak w części drogowej załącznika I	brak obowiązku wprost, wymagania z umów z odbiorcami
Zakład przetwórstwa żywności, powyżej progu	załącznik II, podmiot ważny	rejestracja, pełen katalog środków, nadzór po sygnale
Producent maszyn albo elektroniki, powyżej progu	załącznik II, podmiot ważny	rejestracja i te same obowiązki co wyżej
Gospodarowanie odpadami, powyżej progu	załącznik II, podmiot ważny	rejestracja, dodatkowo wymagania od gmin i zakładów
Firma poniżej progu w sektorze z załącznika	wielkość poniżej średniego przedsiębiorstwa	brak obowiązku wprost, zostaje łańcuch dostaw
Dostawca usług IT dla podmiotu z załącznika	zarządzanie usługami ICT, załącznik I	obowiązek wprost przy przekroczeniu progu

Ostatni wiersz dotyczy również nas i traktujemy go poważnie, bo trudno przygotowywać kogoś do wymagań, których się samemu nie spełnia. Przedostatni jest najczęstszy w regionie i bywa źle rozumiany. Brak obowiązku ustawowego nie oznacza braku wymagań, bo klauzula w umowie handlowej wiąże tak samo mocno, tylko egzekwuje ją kontrahent, a nie organ.

Co robimy z wymaganiami, które przysłał zleceniodawca?

Nie odsyłamy wypełnionego formularza. Rozkładamy go na punkty i przy każdym zapisujemy stan faktyczny, brakującą część oraz nakład potrzebny na jej uzupełnienie. Dopiero z tego powstaje odpowiedź, w której da się obronić każde zdanie.

Trzy punkty sprawiają w firmie przewozowej najwięcej kłopotu i pojawiają się niemal w każdym takim załączniku. Pierwszy to czas zgłoszenia naruszenia dotyczącego danych odbiorcy, zwykle krótszy niż terminy z samej dyrektywy. Drugi to wykaz osób mających dostęp do jego danych, który w firmie z wymianą ludzi kilka razy w roku wymaga bieżącej ewidencji, a nie tabelki zrobionej raz. Trzeci to zdolność do wykazania, że kopie działają, potwierdzona odtworzeniem, a nie oświadczeniem.

Żaden z nich nie jest wygórowany. Wszystkie trzy są jednak niemożliwe do spełnienia w firmie, w której nikt nie prowadzi rejestru dostępów, i to zwykle ta obserwacja uruchamia cały projekt.

Jak ma wyglądać zgłoszenie, gdy zdarzenie zaczyna się w nocy?

Doba na wczesne ostrzeżenie liczy się od wykrycia, więc zdarzenie o pierwszej w nocy zjada jedną trzecią terminu, zanim ktokolwiek usiądzie do biurka. W firmie transportowej pracującej całą dobę mamy tu przewagę nad zakładem pracującym na jedną zmianę, bo w dyspozytorni zawsze ktoś jest. Warunkiem jest jednak, żeby ta osoba wiedziała, co robić.

Procedura zaczyna się więc od progu. Zapisujemy, co dyspozytor uznaje za zdarzenie wymagające telefonu, i formułujemy to językiem obserwacji, a nie definicji. Systemy nie odpowiadają. Na ekranie pojawia się żądanie okupu. Pliki mają zmienione nazwy. Ktoś dzwoni i mówi, że wysłaliśmy dziwną wiadomość. Klient zgłasza, że dostał od nas fałszywe konto do przelewu.

Dalej idą nazwiska. Kto podnosi telefon, kto decyduje o zgłoszeniu, kto pisze treść, kto informuje zleceniodawcę i kto rozmawia z pracownikami. Do każdej roli dopisujemy zastępstwo, bo urlop jednej osoby nie może zatrzymać terminu. Ćwiczenie na sucho robimy raz i mierzymy, ile czasu zajmuje przejście całej ścieżki. Wynik pierwszej próby bywa zaskoczeniem częściej niż raz na dwa razy.

Od czego zaczynamy w firmie z bazą i oddziałem?

Od rozstrzygnięcia zakresu, bo bez niego reszta może dotyczyć niewłaściwego reżimu. Rozstrzygnięcie zapisujemy, podpisujemy datą i wkładamy do akt, żeby za dwa lata dało się odtworzyć, na jakiej podstawie firma uznała, że podlega albo nie podlega.

Potem idzie analiza braków, prowadzona osobno dla bazy i dla oddziału, bo w firmie rozłożonej na dwa adresy to praktycznie dwa różne środowiska. Wynik układamy tak, żeby dało się z niego zrobić budżet na kwartały, z pierwszą kolumną wypełnioną pracami, które nie kosztują nic poza czasem.

Warstwy techniczne wchodzą zwykle w kolejności kopie z blokadą zapisu, drugi składnik przy logowaniu, przegląd uprawnień, podział sieci i zbieranie logów. Dokumentacja powstaje równolegle i opisuje to, co już działa. Polityka napisana przed wdrożeniem opisuje życzenia, a przy kontroli życzenia obciążają.

Czego w tym projekcie nie bierzemy na siebie?

Nie reprezentujemy Was przed organem nadzoru i nie wydajemy opinii prawnych, bo to praca dla kancelarii. Chętnie pracujemy z Waszym prawnikiem i dostarczamy mu opis stanu technicznego, którego potrzebuje.

Nie sprzedajemy paczki gotowych dokumentów. Zestaw polityk kupiony i podpisany bez zmiany czegokolwiek w firmie jest przy kontroli dowodem, że obowiązek potraktowano formalnie, i pogarsza sytuację zamiast ją poprawiać.

Nie wystawiamy też zaświadczeń o zgodności, bo nikt takich nie wystawia. Zgodność wykazuje sam podmiot, dowodami z własnej pracy, a naszą rolą jest doprowadzić do tego, żeby te dowody istniały.

Stan wyjściowy pokazuje audyt bezpieczeństwa IT, warstwę techniczną prowadzi bezpieczeństwo IT dla firm, a wymóg odporności na wymuszenie realizuje ochrona przed ransomware.

Treść sprawdzona i zaktualizowana: 14 sierpnia 2026