NIS2 dla małej firmy: co zmienia się, gdy Twój klient podlega ustawie
Większość małych firm nie podlega nowym przepisom o cyberbezpieczeństwie bezpośrednio. Dostaje je pośrednio: w aneksie do umowy albo w ankiecie, którą klient przysyła przed przedłużeniem współpracy.
Autor: Szymon Łakomy. Aktualizacja:
Co weszło w życie i kogo dotyczy ustawa
Polska wdrożyła dyrektywę NIS2 nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa, która obowiązuje od 3 kwietnia 2026. Obejmuje podmioty kluczowe i ważne z kilkunastu sektorów, między innymi energetyki, transportu, zdrowia, infrastruktury cyfrowej, produkcji wybranych wyrobów, gospodarki odpadami i żywności. Co do zasady chodzi o średnie i duże firmy, ale część podmiotów jest objęta niezależnie od wielkości. Nikt nie przysyła w tej sprawie pisma: firma sama ocenia, czy podlega ustawie.
Objęte firmy muszą zarządzać ryzykiem, prowadzić system zarządzania bezpieczeństwem informacji, dbać o ciągłość działania i zgłaszać incydenty, a odpowiedzialność za to ponosi kierownictwo. Jednym z obowiązków jest bezpieczeństwo łańcucha dostaw i właśnie ono sprowadza temat do małych firm.
Dwa terminy, z których jeden już minął
| Termin | Czego dotyczy | Znaczenie dla małego dostawcy |
|---|---|---|
| 3 października 2026 | wniosek o wpis do wykazu, składany w ciągu 6 miesięcy od wejścia nowelizacji w życie | termin minął; jeśli firma mogła być objęta i się nie zgłosiła, powinna niezwłocznie sprawdzić swój status |
| 3 kwietnia 2027 | dostosowanie systemów i procedur | klienci porządkują do tej daty swoich dostawców, więc ankieta lub aneks mogą trafić do Ciebie w najbliższych miesiącach |
Ankieta od klienta: o co zwykle pyta
Firma objęta ustawą musi wiedzieć, czy dostawcy nie są jej słabym ogniwem. Dlatego biuro rachunkowe, agencja, programista, serwisant albo hurtownia z dostępem do systemów klienta dostaje ankietę bezpieczeństwa lub nowe zapisy w umowie. Pytania krążą zwykle wokół pięciu spraw:
Logowanie
Czy konta z dostępem do danych klienta mają drugi składnik i czy nikt nie dzieli się hasłami.
Kopie
Gdzie leży kopia danych i kiedy ostatnio sprawdzono, że da się z niej odtworzyć pracę.
Aktualizacje
Czy systemy dostają poprawki na bieżąco i czy nie pracują komputery bez wsparcia producenta.
Incydenty
Jak i kiedy poinformujesz klienta o wycieku, włamaniu albo zainfekowanym komputerze.
Dokumentacja
Czy są spisane zasady, rejestr dostępów i osoba odpowiedzialna za bezpieczeństwo.
Pięć kroków IT przed podpisaniem nowej umowy
- Drugi składnik logowania na poczcie, kontach administracyjnych i wszędzie, gdzie są dane klienta. Kolejność opisuję w uwierzytelnianie dwuskładnikowe w firmie.
- Kopie z próbą odtworzenia, bo sama kopia nie odpowiada na pytanie z ankiety. Rozwiązania dla biura opisuje strona kopie zapasowe i NAS dla firmy.
- Aktualizacje pod kontrolą: automatyczne tam, gdzie się da, i sprawdzane raz w miesiącu na liście komputerów.
- Procedura incydentu na jednej stronie: kto decyduje, kogo i kiedy powiadamiasz u klienta, jak zabezpieczasz ślady. Pierwsze ruchy przy problemie opisuje awaria IT w firmie, co robić.
- Dokumentacja, którą da się pokazać: spis sprzętu, kont i dostępów, opis kopii i procedur z datą aktualizacji.
Od czego zacząć i gdzie kończy się moja rola
Najprościej zacząć od przeglądu. Audyt IT w małej firmie pokazuje, które punkty ankiety już spełniasz, a które wymagają pracy. Potem pomagam wypełnić techniczną część ankiety tak, żeby odpowiedzi zgadzały się ze stanem faktycznym. Pilnowanie tego porządku na co dzień to zadanie stałej obsługi IT, która dla małego biura zaczyna się od 399 zł netto miesięcznie.
Najczęstsze pytania
Skąd mam wiedzieć, czy moja firma podlega ustawie?
Firma ocenia to sama, na podstawie sektora, rodzaju działalności i wielkości. Część podmiotów jest objęta niezależnie od wielkości, więc przy wątpliwościach sprawdź to z prawnikiem. Ja pomagam w części technicznej.
Klient przysłał ankietę. Czy muszę ją wypełnić?
To zależy od umowy, ale brak odpowiedzi zwykle utrudnia dalszą współpracę. Lepiej odpowiedzieć zgodnie z prawdą i dołączyć plan uzupełnienia braków z datami, niż deklarować coś, czego firma nie robi.
Czy jednoosobowa firma też dostanie takie wymagania?
Może, jeśli ma dostęp do systemów lub danych klienta objętego ustawą, na przykład jako księgowa, programista albo serwisant. Zakres bywa mniejszy, ale dotyczy tych samych podstaw: logowania, kopii i zgłaszania incydentów.
Ile kosztuje przygotowanie firmy?
Wycena po rozmowie, bo zależy od liczby osób, kont i tego, co już działa. Audyt pokazuje braki, a stała obsługa IT małego biura zaczyna się od 399 zł netto miesięcznie.
Powiązane strony
Dostałeś ankietę bezpieczeństwa od klienta?
Prześlij pytania albo opisz, czego dotyczą. Odpowiem, co już spełniasz i od czego zacząć.