NIS 2 dla firm Warszawa

Dlaczego ten projekt kończy się na stole zarządu

Poprzednie przepisy adresowały wymagania do organizacji, a organizacja delegowała je do informatyków. Nowa dyrektywa przesuwa punkt ciężkości: środki zarządzania ryzykiem zatwierdza organ kierowniczy, on nadzoruje ich wdrożenie i on ponosi konsekwencje, gdy tego nie zrobi. Do sankcji finansowej dochodzi możliwość czasowego zakazu pełnienia funkcji kierowniczych wobec podmiotu kluczowego.

Ma to praktyczny skutek w firmie, w której zarząd siedzi w Warszawie, a działalność toczy się w kilku województwach. Decyzja o budżecie i decyzja o przyjęciu ryzyka przestają być osobnymi sprawami, bo obie podpisuje ta sama osoba. Projekt, który wcześniej wracał z adnotacją o odłożeniu na kolejny rok, zaczyna być prowadzony z terminem.

Co konkretnie musi zrobić kierownictwo

Obowiązek	Co to znaczy w praktyce	Czym się to wykazuje
Zatwierdzenie środków zarządzania ryzykiem	uchwała albo decyzja z listą przyjętych środków	dokument z datą i podpisem
Nadzór nad wdrożeniem	cykliczny przegląd postępu, nie jednorazowa akceptacja	protokoły przeglądów
Przyjęcie ryzyka rezydualnego	świadoma decyzja o tym, czego nie zamykamy i dlaczego	wpis w rejestrze ryzyk z uzasadnieniem
Odbycie szkolenia	udział w szkoleniu dotyczącym zarządzania ryzykiem	lista obecności i zakres zajęć
Zapewnienie zasobów	budżet i osoby przypisane do zadań	plan z pozycjami i terminami
Decyzja o zgłoszeniu incydentu	ktoś z imienia, dostępny również poza godzinami pracy	procedura z obsadą i zastępcami
Wymagania wobec dostawców	zapisy w umowach i przegląd podmiotów z dostępem	rejestr dostawców i klauzule

Kolumna trzecia jest tą, o którą pyta się przy kontroli. Wdrożone zabezpieczenie bez zapisu wygląda przy przeglądzie tak samo jak brak zabezpieczenia, więc dowody zbieramy od pierwszego dnia projektu, a nie odtwarzamy je po roku z pamięci.

Jak sprawdzamy, czy w ogóle podlegacie

Kwalifikacja liczy się z dwóch rzeczy naraz: przynależności do sektora wymienionego w załącznikach dyrektywy oraz progu wielkości, zaczynającego się od średniego przedsiębiorstwa. Do progu wliczają się spółki powiązane kapitałowo, co w warszawskich strukturach holdingowych bywa rozstrzygające: podmiot zatrudniający trzydzieści osób wchodzi w zakres przez udziały, o których dział IT nic nie wie.

Osobno sprawdzamy rolę, jaką pełnicie wobec innych. Firma świadcząca usługi informatyczne dla podmiotów objętych obowiązkiem dostaje wymagania z dwóch stron: własne, jeśli sama podlega, i umowne, przenoszone przez klientów w ramach łańcucha dostaw. Te dwa zakresy nie są identyczne i mylenie ich kosztuje pieniądze, bo umowa potrafi żądać więcej niż przepis.

Wynik zapisujemy w krótkim dokumencie z datą, uzasadnieniem i wskazaniem reżimu. Czasem odpowiedź jest przecząca i wtedy projekt zamyka się po siedmiu dniach. To uczciwszy rezultat niż wdrożenie sprzedane komuś, kogo obowiązek nie dotyczy.

Skąd biorą się dowody, gdy systemy stoją u dostawców

Warszawska spółka usługowa rzadko ma własną serwerownię. Poczta i dokumenty są w Microsoft 365, aplikacja u producenta, dane kadrowe w usłudze kupionej przez dział personalny, a infrastruktura u dostawcy chmury. Katalog środków z artykułu 21 dotyczy tego wszystkiego jednakowo, tylko dowód nie leży wtedy u Was, lecz w konfiguracji i w umowie.

Pracujemy więc w dwóch warstwach. W konfiguracji ustawiamy zapisy zdarzeń z retencją dłuższą niż domyślna, bo domyślna bywa krótsza niż czas potrzebny na zauważenie problemu. W umowach dopisujemy wymagania przy najbliższym przedłużeniu i zbieramy oświadczenia dostawców, a tam, gdzie dostawca niczego nie podpisze, dokumentujemy, o co poproszono, co odpowiedział i jakie środki zastosowaliście po swojej stronie.

Kiedy zaczynać i ile to trwa

Dojście do zgodności zajmuje średniej firmie od trzech do sześciu miesięcy. Analiza braków to dwa do trzech tygodni, uzupełnianie zabezpieczeń kilka do kilkunastu, dokumentacja i ćwiczenie zamykają całość. Potem zaczyna się utrzymanie, które nie ma daty końcowej.

Ćwiczenie robimy zawsze, bo procedura nieprzetestowana jest tylko dokumentem. Podajemy opis zdarzenia w losowo wybranym momencie i mierzymy, ile czasu mija do chwili, w której właściwa osoba wie o sprawie i ma komplet danych do wczesnego ostrzeżenia. Pierwszy wynik bywa nieprzyjemny i właśnie dlatego robimy to przed, a nie po.

Gdzie kończy się nasza rola

Rejestracja podmiotu w wykazie zostaje po stronie zarządu, bo jest oświadczeniem woli. Nie reprezentujemy Was przed organem nadzoru i nie wydajemy opinii prawnych, a przy wątpliwej kwalifikacji mówimy o tym wprost i proponujemy potwierdzenie u prawnika. Nie wystawiamy zaświadczenia zgodności, bo takiego dokumentu przepisy nie przewidują.

Stan wyjściowy pokazuje audyt bezpieczeństwa IT, bieżące utrzymanie wymaganych warstw prowadzi bezpieczeństwo IT dla firm, ciągłość działania opiera się na ochronie przed ransomware, a wymóg drugiego składnika zamyka logowanie wieloskładnikowe. Kwalifikację zaczniemy od rozmowy przez kontakt.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026