NIS 2 dla firm Zielona Góra

Kto w Zielonej Górze wchodzi w zakres wcześniej, niż zakłada

Trzy typy firm, z którymi pracujemy po tej stronie województwa, mają z tą dyrektywą trzy zupełnie różne sprawy.

Producent elektroniki znajduje swój sektor w załączniku II wprost, bo wymieniona jest tam produkcja komputerów oraz wyrobów elektronicznych i optycznych. Pytanie sprowadza się u niego do progu wielkości i do tego, czy liczyć samą spółkę, czy całą grupę.

Spółka z parku technologicznego w Nowym Kisielinie, która utrzymuje cudze środowiska, administruje kontami klientów i odpowiada za ich kopie, trafia zupełnie gdzie indziej: dostawcy zarządzanych usług ICT stoją w załączniku I, po stronie podmiotów kluczowych. To bywa najtrudniejszą rozmową w całym projekcie, bo firma o kilkudziesięciu osobach nie widzi siebie w jednym rzędzie z operatorem energetycznym, a przepis widzi.

Firma usługowa poniżej progu nie podlega wcale i mówimy jej to od razu. Dostaje za to ten sam komplet pytań, tylko przysłany przez dział zakupów odbiorcy zamiast przez organ, więc praca jest krótsza, tańsza i nadal potrzebna.

Co w tym projekcie jest dowodem, a co tylko deklaracją

Organ nadzoru i zakupy Waszego kontrahenta pytają o dokładnie to samo: pokażcie. Odpowiedzią nie jest opis intencji, tylko dokument, przy którym da się wskazać osobę i datę.

Dokument	Kto go podpisuje	Kiedy powstaje
Kwalifikacja podmiotu	zarząd albo właściciel	pierwszy tydzień projektu
Analiza braków z harmonogramem	zarząd, po omówieniu	po obchodzie i rozmowach
Procedura zgłoszenia zdarzenia	osoba wskazana w niej z imienia	przed pracami technicznymi
Rejestr zdarzeń	dyżurny z procedury	prowadzony od dnia jej wejścia
Wymagania dla dostawców	zakupy razem z zarządem	przed najbliższym odnowieniem umów
Notatka ze zdarzenia testowego	prowadzący ćwiczenie	raz w roku, po zdarzeniu testowym

Wiersz czwarty jest tym, który najczęściej zostaje pusty. Rejestr założony i nieprowadzony jest przy kontroli gorszy od braku rejestru, bo pokazuje, że procedura istniała i nikt jej nie stosował. Dlatego przy wdrożeniu ustalamy nie tylko wzór, ale też moment, w którym ktoś do niego zagląda.

Jak prowadzimy taki projekt z drugiego biura w regionie

Biuro przy Objazdowej 35A jest naszym drugim biurem w województwie. Nie ma tam magazynu części ani inżynierów mieszkających w mieście, więc obecności na miejscu nie rozdrabniamy na krótkie wpadnięcia. Zbieramy ją w całodniowe zjazdy, zaplanowane z wyprzedzeniem i wypełnione po brzegi.

Pierwszy dzień to obchód i rozmowy: z utrzymaniem, z zakupami, z osobą odpowiedzialną za systemy. Drugi to warsztat kierownictwa i zdarzenie testowe przeprowadzone w normalnym dniu pracy. Wszystko pozostałe, czyli dokumenty, konfiguracje i przeglądy, robimy zdalnie, bo do tego przyjazd nie jest potrzebny nikomu.

Ten układ ma jedną zaletę, o której klienci mówią dopiero po fakcie: dzień zapowiedziany na miesiąc wcześniej daje się obsadzić ludźmi. Wizyta umówiona na jutro zastaje połowę osób poza firmą i kończy się drugą wizytą.

Co zrobić, gdy odbiorca pyta szybciej niż ustawodawca

W praktyce to zdarza się częściej niż kontrola. Kupujący z zagranicy przysyła kwestionariusz bezpieczeństwa z terminem na dziesięć dni i informacją, że od odpowiedzi zależy przedłużenie umowy ramowej.

Robimy wtedy pracę odwróconą: najpierw odpowiedź, potem projekt. Wypełniamy kwestionariusz tym, co u Was faktycznie działa, przy brakach wpisujemy datę i osobę, a osobno przygotowujemy krótkie zestawienie dla Waszego handlowca, żeby rozmowa z kupującym nie odbywała się na poziomie pojęć technicznych.

Ta droga jest tańsza od pełnego wdrożenia i częściej wystarcza, bo kwestionariusz sprawdza kilkanaście rzeczy, a nie cały katalog dyrektywy. Jeżeli po drodze okaże się, że podlegacie wprost, wracamy do normalnej kolejności.

Co zostaje w firmie po zakończeniu prac

Zostaje sześć dokumentów z tabeli wyżej, komplet ustawień, które za nimi stoją, i jedna rzecz trudniejsza do zapisania: wiedza, kto podejmuje decyzję. Projekty zgodności psują się zwykle nie na technice, tylko w chwili, w której trzeba zdecydować, czy zdarzenie jest incydentem podlegającym zgłoszeniu, a osoba od tego wyjechała.

Utrzymanie jest już procesem, nie projektem. Raz w roku odświeżamy analizę braków, przeglądamy rejestr, powtarzamy zdarzenie testowe i sprawdzamy, czy wymagania trafiły do umów podpisanych w międzyczasie. To około dwóch dni pracy rocznie i mniej więcej tyle wystarcza, żeby dokumentacja nie rozjechała się ze stanem faktycznym.

Czego w tym projekcie nie robimy

Nie reprezentujemy Was przed organem nadzoru i nie wydajemy opinii prawnych, bo to zadanie dla kancelarii. Nie składamy też rejestracji w Waszym imieniu, skoro jest oświadczeniem woli zarządu. Nie sprzedajemy paczki gotowych polityk: zestaw dokumentów bez pokrycia w ustawieniach czyta się przy kontroli jako świadome wprowadzanie w błąd.

Nie wydajemy żadnego certyfikatu, bo nie ma do tego prawa żadna firma informatyczna.

Stan wyjściowy pokazuje audyt bezpieczeństwa IT, warstwę techniczną utrzymuje bezpieczeństwo IT dla firm, wymóg drugiego składnika zamyka logowanie wieloskładnikowe, a cykliczną naukę załogi prowadzą szkolenia i testy phishingowe.

Treść sprawdzona i zaktualizowana: 31 lipca 2026