NIS 2 dla firm Olsztyn

Kto na Warmii podlega tym przepisom, a kto tylko tak sądzi?

Rozmowa zaczyna się zwykle od maila od dużego kontrahenta i od przekonania, że skoro pyta, to znaczy, że firma podlega. Bywa odwrotnie. Załączniki wymieniają konkretne sektory, a wśród nich energetykę, wodę pitną, ścieki, gospodarowanie odpadami, transport, infrastrukturę cyfrową oraz produkcję, przetwarzanie i dystrybucję żywności. Prowadzenie ośrodka wypoczynkowego czy hotelu w żadnym z tych punktów nie występuje.

Na Warmii i Mazurach oznacza to podział, który przebiega w poprzek lokalnej gospodarki. Mleczarnia, zakład przetwórstwa ryb, piekarnia dostarczająca do sieci handlowych i gminna spółka wodociągowa mają realny powód, żeby sprawdzić swoją kwalifikację. Obiekt turystyczny zwykle nie, chyba że działa w grupie z takim podmiotem albo sam prowadzi ujęcie wody i oczyszczalnię obsługującą nie tylko siebie.

Rozstrzygamy to w pierwszym tygodniu i na dokumentach, a nie na deklaracji. Bywa, że praca kończy się właśnie wtedy, krótkim pismem z uzasadnieniem, i to jest uczciwszy wynik niż projekt sprzedany firmie, której przepisy nie dotyczą. Firmy, które przy okazji chcą uporządkować bezpieczeństwo bez związku z nadzorem, kierujemy do audytu bezpieczeństwa IT.

Jak wyglądają terminy, gdy zdarzenie wypada w niedzielę w sierpniu?

Etap	Termin	Kto to wykonuje w firmie sezonowej	Co zwykle blokuje
Wykrycie i pierwsza ocena	natychmiast	kierownik zmiany na miejscu	brak progu, po którym wolno kogoś obudzić
Wczesne ostrzeżenie	doba od wykrycia	osoba kwalifikująca albo zastępca	nieaktualny numer i urlop jedynej osoby wskazanej
Zgłoszenie właściwe	trzy doby	osoba kwalifikująca z inżynierem	brak ustaleń technicznych, bo nikt nie zbierał zapisów
Informacja dla odbiorców	bez zwłoki	zarząd	brak gotowej treści i listy adresatów
Raport końcowy	miesiąc	zarząd i wykonawca techniczny	wnioski spisane po fakcie, z pamięci
Wnioski do procedury	po zamknięciu	osoba kwalifikująca	sezon trwa, więc nikt do tego nie wraca

Kolumna czwarta jest w tej tabeli najważniejsza, bo pokazuje, że terminy same w sobie nie są trudne. Trudna jest pierwsza godzina, w której ktoś musi zdecydować, że to już jest zdarzenie, a nie zwykła awaria, i że wolno zadzwonić do właściciela w środku niedzieli. Bez zapisanego progu ta decyzja nie zapada, a doba mija.

Kto kwalifikuje zdarzenie, skoro zimą w biurze są trzy osoby?

Firma pracująca sezonowo ma dwa zupełnie różne stany obsady i przepis nie przewiduje dla nich osobnych zasad. Latem na miejscu jest kilkadziesiąt osób, z czego większość na umowach kończących się we wrześniu. Zimą zostaje właściciel, księgowość i ktoś od utrzymania, a systemy pracują dalej, przyjmują rezerwacje na następny sezon i przechowują dane z poprzedniego.

Procedura, którą piszemy, wskazuje więc nie jedną osobę, tylko obsadę na cały rok. Kto kwalifikuje zdarzenie w lipcu, kto w listopadzie, kto w czasie urlopu tej pierwszej osoby. Do listy dopisujemy kierownika zmiany, bo w obiekcie otwartym całą dobę to on pierwszy zobaczy, że coś się dzieje, i to on ma przycisk w postaci numeru telefonu.

Do tego dochodzi próg, czyli zdanie mówiące, kiedy wolno obudzić właściciela. Brzmi banalnie, a w praktyce rozstrzyga wszystko, bo ludzie nie dzwonią nocą z obawy przed reakcją. Zapisujemy go przykładami z Waszej firmy: nie działa system rezerwacyjny, pliki mają zmienione nazwy, ktoś obcy wysłał wiadomość z Waszego adresu. Sama technika reagowania to osobna warstwa, opisana w ochronie przed ransomware.

Co przepisy zmieniają w rozmowach z dostawcami?

Więcej, niż się spodziewa większość firm, bo bezpieczeństwo łańcucha dostaw jest jednym z wymaganych obszarów, a nie dodatkiem. Zakład na Warmii pracuje zwykle z kilkoma dostawcami, którzy mają dostęp do jego systemów: integrator systemu produkcyjnego albo rezerwacyjnego, serwis maszyn ze zdalnym wejściem do sterowników, firma prowadząca stronę i firma rozliczająca płatności.

Każde z tych połączeń jest drogą do środka i każde powinno mieć zapisane warunki: kto ma dostęp, na jakich zasadach, w jakim oknie, jak zgłasza własne zdarzenie i w jakim czasie. Praktyka pokazuje, że dostęp serwisowy ustawiony przy uruchomieniu maszyny działa potem latami, otwarty na okrągło, i nikt w firmie nie pamięta, że istnieje.

Drugą stroną tej samej rozmowy jest to, o co pyta Was odbiorca. Sieć handlowa albo duży klient instytucjonalny przenosi wymagania w dół umową, więc odpowiadanie na jego ankietę staje się warunkiem sprzedaży, niezależnie od tego, czy podlegacie nadzorowi. Dokumenty powstające w tym projekcie służą w obu sytuacjach.

Od czego zaczynamy, gdy nie ma spisu ani dokumentacji?

Od spisu i tak zaczyna większość projektów, więc nie jest to powód do wstydu. Bez wykazu systemów, danych i połączeń nie da się wykazać niczego, bo każde zdanie o zabezpieczeniach dotyczyłoby czegoś nienazwanego. Przy jednej lokalizacji zajmuje to kilka dni i zostaje w firmie na lata, przydając się przy każdej kolejnej inwestycji.

Potem układamy analizę ryzyka, ale w postaci użytecznej, czyli krótkiej listy zdarzeń, które w tej konkretnej firmie mogą się wydarzyć, z oceną skutku dla sprzedaży i produkcji. Dokument opisujący ryzyka teoretyczne robi wrażenie na nikim i nie pomaga przy żadnej decyzji o wydatku.

Na końcu powstaje plan z terminami dopasowanymi do rytmu firmy. Zmiany wymagające przerwy idą na jesień i zimę, prace możliwe bez zatrzymania systemów w dowolnym momencie. Terminarz, który każe przebudować sieć w lipcu, nie zostanie wykonany i obie strony wiedzą o tym przy podpisywaniu.

Gdzie kończy się nasza część tego projektu?

Rejestracji podmiotu dokonuje zarząd, bo jest to oświadczenie, a nie czynność techniczna. Wykładnia przepisów i ewentualne postępowanie należą do kancelarii, której dostarczamy ustalony stan faktyczny. Przy kwalifikacji budzącej wątpliwości mówimy o tym wprost i proponujemy potwierdzenie u prawnika, zamiast rozstrzygać samemu.

Nie piszemy dokumentów opisujących rzeczy, których w firmie nie ma. Polityka mówiąca o comiesięcznych testach, których nikt nie wykonuje, przy kontroli działa przeciwko Wam, dlatego każdy dokument powstaje po uruchomieniu tego, co opisuje. Wymagane warstwy techniczne utrzymujemy dalej jako bezpieczeństwo IT dla firm, a wymóg drugiego składnika zamyka logowanie wieloskładnikowe. Rozmowę o zakresie umawiacie przez kontakt.

Treść sprawdzona i zaktualizowana: 14 sierpnia 2026