NIS 2 dla firm Toruń

Dlaczego w toruńskim zakładzie pytanie o zakres wygląda inaczej?

W większości branż rozmowa o dyrektywie zaczyna się od zdania „to chyba nie o nas”. W przetwórstwie żywności ten argument nie działa, bo sektor jest wymieniony wprost: załącznik II obejmuje produkcję, przetwarzanie i dystrybucję żywności. Pozostaje więc jedno kryterium, czyli wielkość.

To zmienia charakter pierwszego spotkania. Nie ustalamy, czy branża pasuje, tylko liczymy ludzi i obrót, i to razem z księgowością, bo próg średniego przedsiębiorstwa liczy się według reguł, w których zatrudnienie sezonowe przelicza się na etaty w skali roku. Zakład, który przez trzy miesiące kampanii zatrudnia dwa razy więcej osób niż poza nią, potrafi wyjść poniżej albo powyżej progu w zależności od tego, jak to policzyć.

Wniosek zapisujemy i podpisujemy. Nie dlatego, że ktoś go od Was żąda, tylko dlatego, że przy kontroli pytanie brzmi „na jakiej podstawie uznaliście, że nie podlegacie”, a odpowiedź „nikt nam nie powiedział” nie jest odpowiedzią.

Co się dzieje, gdy przepis Was nie obejmuje, a odbiorcę obejmuje?

To jest w Toruniu sytuacja częstsza niż objęcie wprost. Sieć handlowa albo duży producent, dla którego pracujecie, podlega dyrektywie i ma obowiązek zadbać o bezpieczeństwo swojego łańcucha dostaw. Realizuje go jedynym dostępnym sposobem, czyli przenosi wymagania na dostawców aneksem do umowy handlowej.

Skutek jest praktyczny i bywa dotkliwszy niż sam przepis. Wymagania przychodzą bez okresu przejściowego, bez wykładni i bez organu, do którego można napisać z pytaniem. Do tego bywają sformułowane językiem skopiowanym z normy, więc zakład dostaje żądanie „zarządzania podatnościami” bez informacji, co to znaczy przy pięćdziesięciu komputerach i dwóch serwerach.

Naszą pracą jest wtedy przełożenie tych zapisów na listę prac z terminami i kosztem, oraz odesłanie odbiorcy odpowiedzi, które da się poprzeć dowodem. Punkt wyjścia najszybciej ustala audyt bezpieczeństwa IT.

Które zdarzenie na hali jest incydentem, a które zwykłą awarią?

Klasyfikację ustalamy przed zdarzeniem i wpisujemy do procedury, bo zegar biegnie od wykrycia, a nie od momentu, w którym ktoś dojdzie do wniosku, że sprawa jest poważna.

Zdarzenie w zakładzie	Jak je traktujemy	Co uruchamia
Zaszyfrowany serwer planowania produkcji	poważny incydent	pełna ścieżka zgłoszenia i tryb pracy awaryjnej
Utrata zapisów z rejestracji temperatur przez działanie w systemie	poważny incydent	ścieżka zgłoszenia i powiadomienie działu jakości
Awaria pojedynczego czujnika w komorze	zdarzenie jakościowe	procedura reklamacyjna, bez zgłoszenia
Przejęcie skrzynki działu zamówień	poważny incydent, gdy dotyczy danych odbiorców	ścieżka zgłoszenia i ostrzeżenie kontrahentów
Wyciek dokumentacji technologicznej	incydent wewnętrzny, ocena indywidualna	postępowanie wyjaśniające i przegląd uprawnień
Zatrzymanie linii przez usterkę sterownika	awaria techniczna	utrzymanie ruchu i serwis producenta
Niedostępność poczty przez awarię łącza	zdarzenie do oceny po skutku	powiadomienie wewnętrzne, decyzja po godzinie

Wiersz o dokumentacji technologicznej jest tym, który najczęściej trzeba dopisywać ręcznie. Przepis go nie wymienia, bo receptura nie jest ani daną osobową, ani usługą kluczową. Dla właściciela zakładu jest natomiast zdarzeniem najdroższym z całej tabeli i procedura powinna to odzwierciedlać.

Jak ma wyglądać ścieżka zgłoszenia w firmie pracującej na zmiany?

Doba na wczesne ostrzeżenie wygląda na dużo do momentu, w którym zdarzenie wypada w nocy z soboty na niedzielę w środku kampanii. Wtedy okazuje się, że procedura opisuje role, a nie ludzi, i nikt nie wie, kogo obudzić.

Piszemy ją więc od końca. Najpierw nazwiska i numery telefonów osoby decyzyjnej oraz jej zastępcy, w formie niezależnej od poczty firmowej, bo poczta bywa jednym z systemów, które właśnie przestały działać. Potem jedno zdanie dla brygady: kogo powiadomić i co zapisać. Dopiero dalej definicje, formularze i adres właściwego zespołu CSIRT.

Na koniec projektu przeprowadzamy ćwiczenie. Zgłaszamy zdarzenie fikcyjne i mierzymy, ile czasu upływa od jego wykrycia do wysłania wczesnego ostrzeżenia. Pierwszy przebieg zwykle pokazuje, że procedura leży w systemie, do którego przy odciętej informatyce nie ma dostępu, i że trzeba ją wydrukować.

Jak układamy harmonogram wokół kampanii?

Prace dzielą się na dwie grupy i to jest jedyny podział, który w zakładzie sezonowym ma znaczenie. Pierwsza grupa to wszystko, co da się zrobić przy pracujących liniach: kwalifikacja, analiza braków, dokumentacja, procedury, klauzule dla dostawców, szkolenie kierownictwa, kopie i drugi składnik logowania. Druga to prace wymagające wyłączenia albo przerwy: podział sieci, wymiana urządzenia brzegowego, ingerencja w stanowiska przy maszynach.

Harmonogram układamy tak, żeby druga grupa mieściła się w przerwie technologicznej, nawet jeśli oznacza to rozciągnięcie projektu na dwa kwartały. Termin z dyrektywy jest jeden dla wszystkich, ale kolejność prac zostaje po Waszej stronie i nie ma powodu, żeby zgodność kosztowała firmę postój w najgorszym możliwym tygodniu.

Warstwę techniczną, na której stoi większość wymagań, opisuje bezpieczeństwo IT dla firm, ciągłość działania ochrona przed ransomware, a drogę do certyfikatu, gdy odbiorca go oczekuje, wdrożenie ISO 27001.

Czego w tym projekcie nie bierzemy na siebie?

Nie reprezentujemy Was przed organem nadzoru i nie wydajemy opinii prawnych. Nie oceniamy też zgodności maszyn ani ich oprogramowania z wymaganiami bezpieczeństwa produktu, bo to zupełnie inna dziedzina i inne przepisy.

Nie sprzedajemy paczki gotowych dokumentów do podpisania. Polityka opisująca procedurę, której u Was nikt nie stosuje, przy kontroli działa przeciwko Wam, bo dowodzi, że wiedzieliście, jak powinno być, i tego nie zrobiliście. Piszemy wyłącznie to, co faktycznie działa w zakładzie, i tyle, ile da się utrzymać w ruchu. Pierwsze spotkanie umawiamy przez kontakt albo w biurze przy Grudziądzkiej 136.

Treść sprawdzona i zaktualizowana: 14 sierpnia 2026