NIS 2 dla firm Rzeszów

Czy producent części wchodzi w zakres dyrektywy?

Rozstrzyga to, co faktycznie wytwarzacie, i wielkość firmy, a nie to, jak o sobie mówicie w ofercie. Załącznik drugi wymienia między innymi produkcję maszyn i urządzeń, sprzętu transportowego, komputerów i elektroniki, sprzętu elektrycznego oraz wyrobów medycznych. Zakład produkujący podzespoły mieszczące się w którejś z tych grup wchodzi w zakres po przekroczeniu progu średniego przedsiębiorstwa, czyli od pięćdziesięciu pracowników albo dziesięciu milionów euro obrotu.

Podkarpacki poddostawca bywa tu w sytuacji niejednoznacznej i to jest sedno pierwszego etapu pracy. Wytwarzanie gotowych podzespołów kwalifikuje się inaczej niż usługowa obróbka powierzonego materiału, mimo że w hali stoją te same obrabiarki i pracują ci sami ludzie. Dlatego kwalifikację opieramy na przedmiocie działalności i na opisie procesu, a wniosek dostajecie na piśmie.

Druga droga jest częstsza i nie zależy od Waszej klasyfikacji. Odbiorca objęty dyrektywą musi zadbać o bezpieczeństwo swojego łańcucha dostaw, więc przenosi wymagania na dostawców umową. Skutek bywa podobny, tylko rozliczacie się z nich przed nim, a nie przed organem nadzoru, i wolno Wam zrobić dokładnie tyle, ile zapisano w kontrakcie.

Co z artykułu 21 macie już pod inną nazwą?

Wymaganie dyrektywy	Co zwykle działa w systemie jakości	Czego zwykle brakuje
Analiza ryzyka i polityka bezpieczeństwa	ocena ryzyka procesu, przegląd zarządzania	ryzyko systemów informatycznych ujęte osobno
Obsługa incydentów	zgłaszanie niezgodności i działania korygujące	definicja incydentu teleinformatycznego i terminy zgłoszenia
Ciągłość działania i zarządzanie kryzysowe	plan na awarię maszyny, rezerwowe zdolności	dopuszczalny czas przestoju systemów i test odtworzenia
Bezpieczeństwo łańcucha dostaw	ocena i kwalifikacja dostawców materiału	wymagania wobec firm z dostępem zdalnym do Waszych systemów
Bezpieczeństwo w nabywaniu i utrzymaniu systemów	nadzór nad wyposażeniem pomiarowym	zasady zakupu i aktualizacji oprogramowania
Ocena skuteczności środków	audyty wewnętrzne z harmonogramem	zakres techniczny w programie audytu
Higiena i szkolenia	szkolenia stanowiskowe z listą obecności	kampanie sprawdzające odruch przy wiadomościach
Kryptografia	brak odpowiednika	szyfrowanie sprzętu i nośników wynoszonych z zakładu
Kontrola dostępu i zarządzanie aktywami	ewidencja środków trwałych	wykaz kont, uprawnień i przeglądów
Uwierzytelnianie wieloskładnikowe	brak odpowiednika	drugi składnik na poczcie i dostępie zdalnym

Kolumna środkowa jest powodem, dla którego ten projekt w zakładzie z działającym systemem jakości kosztuje mniej niż w firmie usługowej tej samej wielkości. Połowa wymagań to kwestia rozszerzenia procedur, które już macie, o obszar teleinformatyczny. Budowanie obok drugiego systemu z własnym obiegiem dokumentów kończy się tym, że jeden z nich przestaje być prowadzony, i zwykle jest to ten nowy.

Kiedy zdarzenie w hali staje się incydentem do zgłoszenia?

Rozgraniczenie jest praktyczne, bo od niego zależy, czy zaczyna biec doba na wczesne ostrzeżenie. Awaria jednego komputera, zablokowane konto, zepsuty skaner to zwykłe zgłoszenia serwisowe. Incydentem jest zdarzenie poważnie zakłócające to, co dostarczacie, albo powodujące dotkliwe straty.

W zakładzie oznacza to najczęściej trzy sytuacje. Zatrzymanie systemu, bez którego nie da się produkować lub wysyłać. Utratę albo zaszyfrowanie dokumentacji technicznej i programów. Wyciek materiału powierzonego przez odbiorcę. Pierwsza jest widoczna od razu, dwie pozostałe potrafią być zauważone dopiero po kilku dniach, dlatego w procedurze opisujemy również to, co uznajemy za moment wykrycia.

Terminy liczą się od wykrycia, nie od zebrania zarządu. Dlatego w dokumencie stoi nazwisko osoby, która ma prawo podjąć decyzję o zgłoszeniu, oraz jej zastępcy, a obok numer telefonu do osoby kontaktowej u odbiorcy. Zawiadomienie kontrahenta bywa zresztą pilniejsze niż zgłoszenie urzędowe, bo jego własny termin biegnie od chwili, w której go poinformujecie.

Od czego zaczynamy analizę braków?

Od dwóch rozmów i jednego przeglądu technicznego. Pierwsza rozmowa dotyczy tego, co firma dostarcza i komu, bo to wyznacza zakres. Druga toczy się z pełnomocnikiem systemu jakości i służy zebraniu procedur nadających się do rozszerzenia. Przegląd techniczny obejmuje sieć, serwery, kopie, konta i dostępy firm zewnętrznych.

Wynikiem jest rejestr, w którym każda pozycja ma stan faktyczny, wymaganie, lukę, szacunek nakładu i propozycję terminu. Kolejność ustalamy dwoma kryteriami naraz: co grozi zatrzymaniem produkcji i co będzie sprawdzone najwcześniej, czyli zwykle to, o co pyta odbiorca w najbliższej ankiecie.

Raport przekazujemy na spotkaniu w sali u Was, z zarządem i pełnomocnikiem jakości. Przegląd techniczny prowadzimy na miejscu wcześniej, zwykle w tym samym tygodniu, bo inżynier prowadzący analizę pracuje w Rzeszowie i wraca do Was zawsze, gdy trzeba coś doprecyzować przy szafie albo przy dokumencie.

Co dzieje się po raporcie?

Wdrożenie dzieli się na trzy strumienie, które idą równolegle. Techniczny zamykamy my: segmentacja sieci, kopie odporne na skasowanie, drugi składnik, porządek w dostępach zdalnych, monitoring. Dokumentacyjny prowadzi pełnomocnik jakości przy naszym wsparciu, bo to rozszerzenie istniejących procedur, a nie pisanie ich od zera. Trzeci to ludzie: warsztat dla zarządu i szkolenia dla załogi.

Na końcu przeprowadzamy ćwiczenie: zgłoszony zostaje incydent, który się nie wydarzył, i sprawdzamy, czy ścieżka działa. To jedyny sposób, żeby dowiedzieć się przed prawdziwym zdarzeniem, że osoba decyzyjna jest wtedy na urlopie, a numer do odbiorcy prowadzi do kogoś, kto zmienił pracę.

Prace techniczne można prowadzić w jednej umowie z bieżącą ochroną, którą opisuje bezpieczeństwo IT dla firm Rzeszów, a stan wyjściowy pokazuje audyt bezpieczeństwa IT Rzeszów.

Czego w tym projekcie nie robimy?

Nie wydajemy opinii prawnych i nie reprezentujemy Was przed organem nadzoru, bo to praca dla kancelarii. Nie jesteśmy jednostką certyfikującą i nie wydajemy zaświadczeń o zgodności, bo takie zaświadczenie wystawione przez wykonawcę wdrożenia nie ma wobec nikogo wartości.

Nie sprzedajemy też paczki gotowych dokumentów. Polityka opisująca środki, których w zakładzie nie ma, przy kontroli i przy audycie odbiorcy działa przeciwko Wam, więc piszemy wyłącznie to, co odpowiada stanowi faktycznemu, nawet jeśli lista wychodzi krótsza od oczekiwanej. Zakres ustalimy przez kontakt.

Treść sprawdzona i zaktualizowana: 7 września 2026