Twój klient jest w Wykazie KSC. Sześć kroków, zanim przyjdzie ankieta bezpieczeństwa

Bezpieczeństwo łańcucha dostaw w NIS2 to obowiązek podmiotu kluczowego albo ważnego, żeby uwzględnić ryzyko po stronie swoich dostawców - a to oznacza, że wymagania trafiają do firm, które same w Wykazie KSC nie figurują. Dostawca dostaje je przez umowę i ankietę bezpieczeństwa, nie przez wpis do wykazu.

Poniżej sześć kroków dla firmy po stronie dostawcy, pytania kontrolne do każdego i wskazanie miejsc, w których najłatwiej stracić kontrakt.

Czy to dotyczy firmy spoza wykazu?

Ustawa o krajowym systemie cyberbezpieczeństwa nie nakłada obowiązków na dostawcę, który nie spełnia kryteriów z art. 5. Nakłada je na jego klienta, a jednym z nich jest uwzględnienie ryzyk związanych z dostawcami usług i produktów ICT (art. 21 ust. 2 lit. d dyrektywy NIS2). Biznes.gov.pl mówi to wprost: firmy spoza zakresu ustawy mogą zostać zobowiązane do wdrożenia odpowiednich standardów jako część łańcucha dostaw podmiotu objętego przepisami. Wniosek o wpis do wykazu trzeba złożyć do 3 października 2026, a na wdrożenie środków zarządzania ryzykiem ustawa daje dwanaście miesięcy, czyli do 3 kwietnia 2027.

Krok 1: Klienci - który z nich podlega ustawie?

Zacznijcie od własnej listy klientów, nie od przepisów. To ona mówi, ile czasu zostało i kto zapyta pierwszy.

Pytania kontrolne: Którzy klienci działają w sektorach z załącznika nr 1 albo nr 2 do ustawy - energetyka, transport, bankowość, zdrowie, infrastruktura cyfrowa, administracja, odpady, żywność, produkcja? Czy któryś z nich jest dla nas kluczowy przychodowo? Czy nasza usługa dotyka ich systemów, danych albo ciągłości działania? Czy ktoś u nas odpowiada za kontakt w sprawach bezpieczeństwa?

Jeśli choć jeden duży klient mieści się w tych sektorach, pytanie nie brzmi „czy", tylko „kiedy" przyjdzie ankieta.

Krok 2: Umowy - co już podpisaliśmy?

Wymagania z ustawy najczęściej docierają do dostawcy jako aneks albo nowa klauzula przy odnowieniu kontraktu. Warto wiedzieć, co już obiecaliście.

Pytania kontrolne: Czy w umowach są zapisy o bezpieczeństwie informacji, a jeśli tak, to jakie konkretnie? Czy zobowiązaliśmy się do jakiegoś czasu reakcji albo do powiadomienia o incydencie? Czy klient ma prawo do audytu lub do żądania dokumentacji? Czy ktoś sprawdził, czy jesteśmy w stanie te zapisy realnie wykonać?

Najgorszy wariant to klauzula podpisana rok temu, której nikt nie przełożył na procedurę - przy pierwszym incydencie wychodzi w ciągu godzin.

Krok 3: Incydenty - czy zdążymy w terminach klienta?

Klient objęty ustawą ma na zgłoszenie poważnego incydentu 24 godziny na wczesne ostrzeżenie, 72 godziny na zgłoszenie właściwe i 30 dni na sprawozdanie końcowe, liczone od wykrycia. Jeśli źródłem jest wasza usługa, jego zegar rusza, gdy wy go powiadomicie.

Pytania kontrolne: Czy mamy jeden kanał, którym klient zostaje powiadomiony, i kto go uruchamia? Ile godzin zajmie nam potwierdzenie, że coś się stało, poza godzinami pracy? Czy wiemy, jakie informacje klient musi podać w pierwszym zgłoszeniu? Czy ktokolwiek przećwiczył to choć raz?

Terminy klienta są ustawowe, więc wasz czas reakcji musi być od nich krótszy. Rozpisaliśmy je w tekście o zgłaszaniu incydentu NIS2.

Krok 4: Pakiet odpowiedzi - co musimy umieć pokazać?

Ankiety bezpieczeństwa różnią się formą, ale pytają o to samo. Przygotowany raz pakiet skraca odpowiedź z dwóch tygodni do dnia.

Pytania kontrolne: Czy potrafimy opisać, jak chronimy dane klienta i kto ma do nich dostęp? Czy mamy wskazaną osobę odpowiedzialną za cyberbezpieczeństwo? Czy wiemy, gdzie fizycznie leżą dane i kto jest naszym dostawcą chmury? Czy pracownicy przechodzą szkolenia i czy da się to wykazać? Czy mamy kopie zapasowe i kiedy ostatnio sprawdzaliśmy ich odtwarzanie?

Odpowiedź „pracujemy nad tym, termin to marzec" jest do obrony. Milczenie albo ogólnik nie są.

Krok 5: Poddostawcy - gdzie kończy się nasz łańcuch?

Dyrektywa każe patrzeć na jakość praktyk dostawcy i na jego własne podatności (art. 21 ust. 3). W praktyce klient pyta o firmy, które stoją za wami.

Pytania kontrolne: Kto z naszych podwykonawców ma dostęp do danych albo systemów klienta? Czy przenieśliśmy na nich te same wymagania umowne? Czy wiemy, gdzie nasze narzędzia przetwarzają dane i czy dostawca nie został uznany za dostawcę wysokiego ryzyka? Czy mamy listę tych podmiotów w jednym miejscu, aktualną?

Łańcuch kończy się tam, gdzie kończy się wasza wiedza o nim - i dokładnie tam zwykle zaczyna się pytanie klienta.

Krok 6: Dowody - co zostaje po tej pracy?

Ankieta jest deklaracją. Wartość ma to, co za nią stoi, bo przy incydencie albo audycie klient sięgnie po dokumenty, nie po formularz.

Po tym kroku organizacja powinna dysponować:

• listą klientów z sektorów objętych ustawą i oceną, jak krytyczna jest dla nich wasza usługa;
• przeglądem umów z zaznaczonymi zobowiązaniami dotyczącymi bezpieczeństwa;
• procedurą powiadamiania klienta z czasem reakcji krótszym niż jego terminy;
• gotowym opisem zabezpieczeń, ról i lokalizacji danych;
• listą poddostawców z dostępem do danych klienta;
• zapisami ze szkoleń i testów odtwarzania kopii zapasowych.

Podmioty kluczowe mają dwadzieścia cztery miesiące na pierwszy audyt, czyli do 3 kwietnia 2028. Wtedy pytania o dostawców przestaną być ankietą, a staną się częścią czyjegoś audytu.

Samodzielnie czy z narzędziem?

Sześć kroków powyżej da się przejść bez żadnego systemu: lista klientów, przegląd umów, jedna procedura i kilka zapisów. Trudność zaczyna się przy utrzymaniu, bo dochodzą nowi klienci, zmieniają się podwykonawcy, a szkolenia trzeba powtarzać i umieć wykazać.

Tę część obsługuje Cyber TrustCERT: szkolenia załogi i kierownictwa z egzaminem, wzory polityk i procedur oraz raportowanie, którym odpowiada się na pytania klienta. Jeśli nie wiecie, od czego zacząć, Cyber Ready Check daje wstępną diagnozę w kilka minut - wynik liczy się w Waszej przeglądarce i nigdzie nie jest zapisywany.

Podsumowanie

Przygotowanie dostawcy to sześć pytań: którzy klienci podlegają ustawie, co już podpisaliśmy w umowach, czy zdążymy powiadomić klienta przed jego terminem, co umiemy pokazać w ankiecie, kto stoi za nami w łańcuchu i jakie dowody zostają po tej pracy.

Obowiązek ustawowy ma klient, ale koszt jego niespełnienia ponosi też dostawca, który nie umie odpowiedzieć. Firma przygotowana odsyła pakiet w jeden dzień i wygrywa porównanie z konkurencją. Firma nieprzygotowana dowiaduje się o wymaganiach przy przetargu, w którym już nie zdąży.

Ten tekst prowadzi przez przygotowanie, ale nie rozstrzyga statusu konkretnej organizacji ani zakresu umowy - to ustalają strony, a przy wątpliwościach warto potwierdzić ocenę z prawnikiem.

✦ Ten artykuł powstał z wykorzystaniem sztucznej inteligencji, a przed publikacją został zweryfikowany przez autora, który ponosi za niego odpowiedzialność redakcyjną.