Czy Twoja firma podlega NIS2/KSC? Checklista dla prawnika, zarządu i compliance

KSC/NIS2 nie kończy się na wdrożeniu firewalla, zakupie systemu monitoringu albo podpisaniu umowy z dostawcą SOC. Dla firmy to przede wszystkim pytanie o kwalifikację podmiotu, odpowiedzialność kierownictwa, obowiązki organizacyjne, procedury incydentowe oraz relacje z dostawcami usług cyfrowych.

W praktyce prawnik dostaje dziś od zarządu krótkie pytanie: czy nas to obejmuje? Odpowiedź rzadko mieści się w jednym zdaniu. Trzeba sprawdzić sektor, rozmiar przedsiębiorcy, rodzaj usług, zależność od systemów sieciowych i informatycznych oraz to, czy podmiot może być uznany za kluczowy albo ważny.

Najbardziej praktyczne podejście zaczyna się od krótkiego testu kwalifikacyjnego. Po pierwsze: czy firma działa w sektorze, który może być objęty krajowym systemem cyberbezpieczeństwa, np. energetyka, transport, ochrona zdrowia, bankowość, infrastruktura cyfrowa, usługi pocztowe, żywność, chemikalia, odpady lub wybrane usługi ICT?

Po drugie: czy skala działalności przekracza progi istotne dla objęcia obowiązkami? Po trzecie: czy firma świadczy usługę, której zakłócenie mogłoby mieć znaczenie dla innych podmiotów albo większej grupy odbiorców? Po czwarte: czy korzysta z dostawców IT, chmury, operatorów lub podwykonawców, których umowy trzeba będzie dostosować do nowych wymogów bezpieczeństwa?

Jeżeli odpowiedź na dwa lub więcej pytań brzmi „tak”, warto przejść z rozmowy ogólnej do formalnej analizy prawnej.

W pierwszym tygodniu projektu nie trzeba tworzyć pełnej polityki cyberbezpieczeństwa od zera. Trzeba zebrać dokumenty, które pokażą realny stan organizacji:

• umowy z dostawcami IT, chmury, hostingu, backupu, systemów księgowych i ERP,
• regulaminy bezpieczeństwa, polityki dostępu i procedury zarządzania uprawnieniami,
• procedury zgłaszania incydentów oraz wewnętrzne kanały eskalacji,
• umowy powierzenia przetwarzania danych i dokumentację RODO,
• uchwały, pełnomocnictwa i zakresy odpowiedzialności członków zarządu lub dyrektorów.

To właśnie na styku tych dokumentów powstaje większość ryzyk: dostawca obiecuje dostępność, ale nie opisuje reakcji na incydent; procedura mówi o zgłoszeniu do IT, ale nie wskazuje osoby odpowiedzialnej biznesowo; zarząd ma odpowiadać za nadzór, ale nie ma cyklicznego raportowania.

Najczęstszy błąd to potraktowanie KSC/NIS2 jako projektu technicznego bez właściciela prawnego. Drugi błąd to skupienie się wyłącznie na zakupie narzędzia, bez uporządkowania odpowiedzialności i dokumentacji. Trzeci błąd to brak aktualizacji umów z dostawcami, którzy w praktyce kontrolują najważniejsze systemy firmy.

Ryzykowna jest także nadmierna pewność, że „jesteśmy za mali”. W nowych obowiązkach znaczenie ma nie tylko rozmiar firmy, ale również sektor, typ usługi i rola w łańcuchu dostaw. Dlatego analiza powinna zaczynać się od mapy działalności, a nie od ogólnego przekonania zarządu.

1. Ustal sektor działalności i potencjalną kategorię podmiotu.
2. Sprawdź, czy firma może podlegać wpisowi do Wykazu KSC.
3. Zrób listę krytycznych systemów oraz dostawców IT.
4. Przejrzyj umowy pod kątem incydentów, audytu, SLA i odpowiedzialności.
5. Ustal, kto w organizacji podejmuje decyzje po wykryciu incydentu.
6. Przygotuj krótką notatkę dla zarządu: status, luki, priorytety, terminy.

Opisz profil firmy w PrawMi, a narzędzie pomoże przejść od ogólnego pytania „czy nas to obejmuje?” do listy przepisów, dokumentów i ryzyk wymagających analizy.