NIS 2 dla firm Szczecin

Kto w łańcuchu portowym wchodzi w zakres, choć się tego nie spodziewa

Rozmowa zaczyna się zwykle od zdania, że przepisy dotyczą operatorów infrastruktury, a nie zwykłej firmy przewozowej. W praktyce granica przebiega inaczej, bo transport jest w dyrektywie wymieniony, a wokół portu pracuje wiele podmiotów, które trudno jednoznacznie zaszufladkować.

Firma obsługująca przeładunek, operator magazynu, spedytor prowadzący własne awizacje, przewoźnik z dużą flotą, agencja obsługująca odprawy, dostawca oprogramowania używanego przez wszystkie te podmioty. Każdy z nich zadaje sobie to samo pytanie i każdy dostaje inną odpowiedź, bo zależy ona od sektora, progu wielkości i roli w łańcuchu.

Dlatego pierwszym produktem tej pracy nie jest lista zabezpieczeń, tylko dokument kwalifikacyjny. Krótki, na kilka stron, z uzasadnieniem i wskazaniem, jako kto podlegacie albo dlaczego nie podlegacie wcale. Kosztuje najmniej ze wszystkiego, a rozstrzyga o całym budżecie.

Dwie drogi, którymi wymagania trafiają do firmy

Droga	Kto egzekwuje	Co trzeba wykazać	Kiedy się zaczyna
Obowiązek własny	organ nadzoru	pełny zakres środków	z mocy przepisów
Umowa ze zleceniodawcą	Wasz kontrahent	zakres z kontraktu	przy podpisaniu lub aneksie
Ankieta odbiorcy	dział zakupów kontrahenta	odpowiedzi plus dowody	przy przetargu lub przeglądzie
Wymóg ubezpieczyciela	ubezpieczyciel	wybrane zabezpieczenia	przy odnowieniu polisy

Pierwsza droga ma sankcję finansową i termin niezależny od Waszych planów. Pozostałe trzy mają sankcję handlową: brak zlecenia, gorsze warunki albo brak przedłużenia umowy. W praktyce firmy z tej branży spotykają najpierw drugą i trzecią, a dopiero potem sprawdzają pierwszą.

Zgłoszenie incydentu w firmie, która pracuje bez przerwy

Pozornie praca ciągła ułatwia sprawę, bo zawsze ktoś jest przy komputerze. W rzeczywistości komplikuje ją, bo zegar rusza w momencie wykrycia, a osoba wykrywająca nie ma uprawnień do decydowania o zgłoszeniu.

Rozwiązujemy to w trzech krokach. Po pierwsze, spisujemy, co w ogóle jest zdarzeniem wymagającym zgłoszenia, w języku, którym posługuje się dyspozytor, a nie w cytatach z przepisu. Po drugie, ustalamy listę dyżurów: kto o każdej porze może zakwalifikować zdarzenie i kto powiadamia zarząd. Po trzecie, przygotowujemy wzory zgłoszeń wypełnione danymi, które i tak macie, żeby w pierwszej dobie nie zbierać ich od zera.

Na koniec przeprowadzamy ćwiczenie bez zapowiedzi. Wybieramy losowy moment, podajemy opis zdarzenia i sprawdzamy, ile czasu upływa do momentu, w którym właściwa osoba wie o sprawie. Wynik pierwszego ćwiczenia bywa nieprzyjemny i właśnie dlatego robimy je przed, a nie po.

Jak wygląda analiza braków i co z niej wynika

Przechodzimy przez katalog środków wymaganych przepisami i przy każdym zapisujemy trzy rzeczy: stan faktyczny, ocenę ryzyka wynikającą z braku i szacowany koszt zamknięcia pozycji. Nie oceniamy, czy firma jest zgodna, tylko ile pracy dzieli ją od zgodności.

Raport kończy się harmonogramem podzielonym na trzy okresy. Pozycje pilne, czyli takie, których brak jest ryzykiem tu i teraz. Pozycje do zamknięcia w kwartale. Pozycje rozłożone na rok, zwykle wymagające budżetu inwestycyjnego albo zmiany umowy z dostawcą.

Część pozycji zamyka się usługami, które i tak trzeba mieć niezależnie od przepisów. Ciągłość działania opiera się na ochronie przed ransomware, kontrola dostępu na logowaniu wieloskładnikowym, a stan wyjściowy pokazuje audyt bezpieczeństwa IT.

Co zrobić z dostawcami, którzy nie chcą niczego podpisać

To pytanie wraca w każdym projekcie. Odpowiedź nie brzmi, że trzeba ich zmienić, bo w części przypadków nie ma czym. Odpowiedź brzmi, że trzeba udokumentować, o co poproszono, co odpowiedzieli i jakie środki zastosowano po Waszej stronie, żeby ograniczyć ryzyko mimo braku zapewnień.

W praktyce najczęściej oznacza to ograniczenie zakresu dostępu, wprowadzenie kont czasowych, rejestrowanie sesji i osobny plan na wypadek niedostępności tego dostawcy. Organ nadzoru pyta o zarządzanie ryzykiem, a nie o idealny łańcuch dostaw.

Gdzie kończy się nasza rola

Nie reprezentujemy Was przed organem nadzoru i nie wydajemy opinii prawnych. Nie rozstrzygamy sporów interpretacyjnych, a przy wątpliwej kwalifikacji mówimy o tym wprost i proponujemy potwierdzenie u prawnika.

Nie wystawiamy też żadnego zaświadczenia zgodności, bo takiego dokumentu w przepisach nie ma. Certyfikacja jest osobną ścieżką i porównanie obu opisuje ISO/IEC 27001 a NIS 2, a samą normę strona o ISO 27001. Kwalifikację zaczniemy od rozmowy przez kontakt.

Treść sprawdzona i zaktualizowana: 31 lipca 2026