NIS 2 dla firm Poznań

Czy próg liczy się dla centrali, czy dla całej spółki

Pytanie brzmi formalnie, a przesądza o całym projekcie. Poznańska firma dystrybucyjna ma zwykle trzydzieści osób w biurze centrali i drugie tyle rozrzucone po magazynach w regionie. Zarząd liczy pierwszą liczbę, dyrektywa liczy obie razem, bo obowiązek przypisany jest spółce, a nie adresowi.

Do tego dochodzi kilka pozycji, które w rachunku łatwo pominąć.

Co liczycie	Czy wchodzi do progu	Na co uważać
Etaty w centrali i w oddziałach	tak, razem	oddział nie jest osobnym podmiotem
Pracownicy sezonowi	proporcjonalnie do przepracowanego czasu	trzy miesiące szczytu to ułamek etatu, nie zero
Osoby na umowach cywilnoprawnych	zależnie od faktycznego charakteru pracy	liczy się sposób wykonywania, nie nazwa umowy
Spółka zależna powyżej połowy udziałów	w całości	próg przekracza grupa, nie pojedyncza spółka
Spółka partnerska od jednej czwartej udziałów	proporcjonalnie do udziału	dotyczy także obrotu, nie tylko zatrudnienia
Roczny obrót	alternatywnie wobec zatrudnienia	wystarczy przekroczyć jedno z dwóch kryteriów

Wynik zapisujemy w jednym dokumencie z datą i podpisem zarządu. Bywa, że brzmi on „nie podlegacie” i wtedy praca kończy się w pierwszym tygodniu. To uczciwszy wynik niż sprzedanie wdrożenia komuś, kogo obowiązek w ogóle nie dotyczy.

Skąd wziąć dowody, gdy firma stoi pod pięcioma adresami

Skoro kwalifikacja obejmuje spółkę, organ nadzoru też patrzy na spółkę, a nie na najlepiej prowadzoną lokalizację. Każdy magazyn i każde biuro oddziału dostaje więc własną kartę stanu: co tam stoi, kto wchodzi do sieci, jak wygląda kopia i kto zamyka szafę z przełącznikiem.

Rozstrzał między lokalizacjami bywa spory. W centrali stoi serwerownia z kontrolą wejścia, jest zasilanie awaryjne i ktoś od IT na miejscu. W magazynie szafa wisi w kantorku, przełącznik nie ma podtrzymania, obok pracuje drukarka etykiet i komputer obsługujący całą zmianę. Katalog środków z artykułu 21 dotyczy obu miejsc jednakowo, a różnica w stanie faktycznym potrafi być kilkukrotna.

Przegląd prowadzimy więc objazdem, a nie zza biurka. Nasze biuro w Poznaniu jest punktem startu takiej trasy, a kolejność adresów układamy pod godziny pracy magazynów, bo o szóstej rano zastaniemy tam więcej ludzi i więcej działających procesów niż o trzeciej po południu.

Kto dzwoni, gdy zdarzenie zaczyna się w magazynie o piątej rano

Zegar rusza w chwili wykrycia, a wykrywa najczęściej osoba, która w zakresie obowiązków nie ma słowa incydent. Magazynier widzi, że terminal przestał skanować. Dzwoni do kierownika zmiany. Kierownik dzwoni do centrali, gdzie o tej porze nikt jeszcze nie zaczął pracy.

Procedura pisana dla firmy rozproszonej ma trzy poziomy: kto zauważa i zgłasza, kto w centrali kwalifikuje zdarzenie i kto wysyła wczesne ostrzeżenie do właściwego zespołu CSIRT. Do każdego poziomu przypisujemy człowieka, numer telefonu, godziny dostępności i zastępcę. Ćwiczenie przeprowadzamy potem od strony oddziału, nie centrali, bo ścieżka urywa się właśnie tam.

Same terminy są proste: doba na wczesne ostrzeżenie, trzy dni na pełne zgłoszenie, miesiąc na raport końcowy. Trudna jest pierwsza godzina, w której nikt nie wie jeszcze, czy patrzy na awarię, czy na atak.

Jak odpytać własnych dostawców, skoro sami dostajecie takie ankiety

Firma handlowa siedzi w łańcuchu dostaw z dwóch stron naraz. Od góry przychodzi kwestionariusz od odbiorcy objętego dyrektywą. Od dołu są własni dostawcy informatyczni, których trzeba ocenić, i ta część zostaje zwykle nietknięta, bo nie przypomina o niej żaden mail z terminem.

Lista wychodzi dłuższa, niż się wydaje: producent systemu handlowo-magazynowego, integrator sklepu internetowego, serwis wag i drukarek etykiet, dostawca terminali, agencja z dostępem do panelu sklepu, biuro rachunkowe wpięte do systemu. Prawie każdy z nich ma wejście zdalne, a część pracuje na jednym koncie współdzielonym przez cały swój zespół.

Porządkujemy to jednym zestawieniem: kto, do czego, na jakich poświadczeniach, czy dostęp jest stały, czy włączany na zgłoszenie. Potem dopisujemy wymagania do umów przy najbliższym przedłużeniu i zamykamy wejścia, z których od dawna nikt nie korzysta. Bywa to jedyna praca w całym projekcie z efektem widocznym w tym samym tygodniu.

Kiedy w firmie handlowej da się w ogóle ruszyć systemy

Prace wynikające z analizy braków dotykają tego, na czym stoi sprzedaż: podziału sieci, drugiego składnika logowania, konfiguracji kopii, wymiany urządzenia brzegowego w oddziale. W handlu jest okres, w którym nikt tego nie tknie i wszyscy o tym wiedzą, czyli od października do końca stycznia, między szczytem sprzedaży a falą zwrotów.

Zostaje osiem miesięcy, a zgodność buduje się od trzech do sześciu. Dlatego z firmami handlowymi ustawiamy start na luty albo marzec, tak żeby warstwa techniczna zamknęła się przed wrześniem, a jesień była już tylko utrzymaniem. Kalendarz targowy dokładamy osobno, bo tydzień targów wyjmuje z każdej rozmowy połowę działu handlowego.

Czego ten projekt nie obejmuje

Rejestracja podmiotu w wykazie zostaje po stronie zarządu, bo jest oświadczeniem woli, a nie czynnością techniczną. Wykładnię przepisów i ewentualny spór z organem prowadzi kancelaria, której dostarczamy stan faktyczny i dokumentację.

Nie piszemy dokumentacji na zapas. Polityka opisująca stan, którego u Was nie ma, przy kontroli świadczy przeciwko Wam, więc dokument powstaje po wdrożeniu tego, co opisuje, a nie przed nim.

Nie potwierdzamy też niczyjej zgodności papierem z własnym logo. Certyfikat ISO/IEC 27001 wydaje akredytowana jednostka po własnym badaniu, a dla samej dyrektywy taki dokument w ogóle nie istnieje. Co z tego wynika w praktyce, rozpisuje ISO 27001 a NIS 2.

Jeżeli nie wiecie jeszcze, w jakim stanie jest środowisko, zacznijcie od audytu bezpieczeństwa IT. Bieżące utrzymanie warstw wymaganych przez dyrektywę prowadzimy jako bezpieczeństwo IT dla firm, a wymóg drugiego składnika zamyka logowanie wieloskładnikowe.

Treść sprawdzona i zaktualizowana: 7 września 2026