NIS 2 dla firm Wrocław

Dlaczego firma cyfrowa podlega wcześniej, niż zakłada

Rozmowa o dyrektywie zaczyna się zwykle od obrazu zakładu produkcyjnego albo wodociągów. Tymczasem katalog sektorów kluczowych obejmuje między innymi infrastrukturę cyfrową i zarządzanie usługami ICT świadczone dla innych podmiotów, a katalog podmiotów ważnych dostawców usług cyfrowych. Wrocławska spółka, która utrzymuje środowiska klientów albo sprzedaje usługę w modelu abonamentowym, mieści się tam częściej, niż sądzi jej zarząd.

Drugi element to próg wielkości, liczony od średniego przedsiębiorstwa, czyli od pięćdziesięciu pracowników albo dziesięciu milionów euro obrotu. Firma, która rośnie w tempie kilkunastu osób rocznie, przekracza go w trakcie roku obrotowego i nikt jej o tym nie powiadomi, bo kwalifikacja jest samodzielna.

Co wynika z tego, po której stronie jesteście

Sytuacja firmy	Co z tego wynika	Pierwszy krok
Utrzymujecie systemy innych podmiotów, powyżej progu	prawdopodobnie podmiot kluczowy	kwalifikacja na piśmie i rejestracja
Sprzedajecie usługę cyfrową, powyżej progu	prawdopodobnie podmiot ważny	kwalifikacja i analiza braków
Jesteście poniżej progu	obowiązek nie dotyczy Was wprost	przygotowanie na wymagania od klientów
Wasz klient jest podmiotem objętym	wymagania spłyną umową	przegląd zapisów umownych i dostępów
Wasz dostawca ma dostęp do Waszych systemów	odpowiadacie za jego ocenę	wymagania i klauzule w umowie z nim
Rośniecie i zbliżacie się do progu	kwalifikacja zmieni się w trakcie roku	analiza braków z zapasem czasu

Wiersz pierwszy różni się od drugiego trybem nadzoru. Podmiot kluczowy podlega kontroli z urzędu, ważny dopiero po sygnale o nieprawidłowości. Zakres samych środków jest w obu przypadkach ten sam.

Co się zmienia, gdy incydent dotyczy systemu klienta

W firmie, która utrzymuje cudze środowiska, zdarzenie ma dwóch adresatów. Pierwszym jest organ, drugim klient, który sam podlega przepisom i musi zdążyć ze swoim zgłoszeniem. Jego termin biegnie od momentu, w którym się dowie, więc zwłoka po Waszej stronie przenosi się bezpośrednio na jego ryzyko.

Dlatego ścieżkę budujemy dwutorowo, z listą kontaktów u każdego klienta przygotowaną wcześniej i z ustaloną treścią pierwszej wiadomości. Zapisy o terminach informowania trafiają do umów, zanim ktokolwiek o nie zapyta, bo przy podpisywaniu kolejnego kontraktu i tak się pojawią.

Jak wygląda analiza braków bez własnej serwerowni

Zamiast obchodu po pomieszczeniach robimy przegląd konfiguracji i procesów. Rozdzielenie środowisk, uprawnienia w panelach dostawców, sposób przechowywania kopii i ich odporność na skasowanie, rejestrowanie zdarzeń i czas przechowywania logów, zarządzanie podatnościami w wytwarzanym oprogramowaniu, uwierzytelnianie dostępu do produkcji.

Wynikiem jest tabela odpowiadająca katalogowi środków z artykułu 21, w której każdy wiersz ma jeden z trzech stanów, koszt i termin. To zestawienie służy potem jako podstawa budżetu, a przy okazji odpowiada na większość pytań z ankiet bezpieczeństwa przysyłanych przez klientów.

Ćwiczenie zgłoszenia, czyli test całej procedury

Na koniec zgłaszamy zdarzenie, którego nie było, i mierzymy czas przejścia ścieżki od wykrycia do wysłania wczesnego ostrzeżenia. Sprawdzamy przy tym trzy rzeczy: czy osoba decyzyjna jest osiągalna, czy dane potrzebne do zgłoszenia da się zebrać z posiadanych zapisów i czy ktokolwiek wie, gdzie te zgłoszenia się wysyła.

Wynik pierwszego ćwiczenia jest zwykle gorszy od oczekiwań i to jest jego cała wartość. Doba wygląda na dużo czasu do momentu, w którym decyzja wymaga zebrania trzech osób, z których jedna jest na urlopie, a druga u klienta.

Czego w tym projekcie nie robimy

Nie występujemy w Waszym imieniu przed organem nadzoru i nie wydajemy opinii prawnych, bo to zadanie dla kancelarii. Nie sprzedajemy gotowej paczki dokumentów do podpisania, bo polityka, której nikt u Was nie stosuje, przy kontroli działa przeciwko Wam. Na papier trafia u nas tylko to, co w firmie realnie się dzieje.

Stan wyjściowy pokazuje audyt bezpieczeństwa IT, warstwę techniczną bezpieczeństwo IT dla firm, a porównanie z normą ISO 27001 a NIS 2. Kwalifikację zaczynamy od rozmowy przez kontakt.

Treść sprawdzona i zaktualizowana: 31 lipca 2026