Bezpieczeństwo łańcucha dostaw w NIS2: poradnik dla podmiotu kluczowego

Co dokładnie nakazuje NIS2 i ustawa o KSC

Art. 21 dyrektywy (UE) 2022/2555 wymienia dziesięć obszarów środków zarządzania ryzykiem. Jednym z nich jest bezpieczeństwo łańcucha dostaw, w tym relacje z bezpośrednimi dostawcami i usługodawcami. Dyrektywa każe uwzględniać podatności typowe dla każdego dostawcy oraz ogólną jakość jego praktyk cyberbezpieczeństwa.

Polska wdrożyła dyrektywę ustawą z 23 stycznia 2026 r., opublikowaną w Dz.U. 2026 poz. 252, w mocy od 3 kwietnia 2026 r. Ustawa wymaga systemu zarządzania bezpieczeństwem informacji, w którym mieszczą się polityka szacowania ryzyka, analiza zasobów oraz bezpieczeństwo łańcucha dostaw ICT. Obowiązki rozdziału 3 podmioty, które spełniały przesłanki w dniu wejścia ustawy w życie, realizują do 3 kwietnia 2027 r.

Z perspektywy zakładu przemysłowego pojęcie dostawcy jest szersze niż firma dostarczająca oprogramowanie. Obejmuje integratora sterowników, serwis zdalny linii, dostawcę chmury, firmę utrzymania ruchu z laptopem serwisowym i podwykonawcę, który wchodzi na teren zakładu. Każdy z nich może stać się drogą wejścia do sieci IT albo OT.

• dostawcy usług ICT i oprogramowania, w tym usługi chmurowe i zdalny serwis
• integratorzy i producenci komponentów OT: sterowniki, panele, bramki, czytniki
• podwykonawcy z dostępem fizycznym do hal, rozdzielni i serwerowni
• dostawcy usług zarządzanych: monitoring, helpdesk, utrzymanie sieci

Dlaczego zarząd nie może zostawić tematu działowi zakupów

Art. 20 NIS2 nakłada na organy zarządzające obowiązek zatwierdzania środków zarządzania ryzykiem i nadzoru nad ich wdrożeniem. W ustawie o KSC kierownik podmiotu podejmuje decyzje dotyczące systemu zarządzania bezpieczeństwem informacji, planuje środki finansowe i podlega obowiązkowemu corocznemu szkoleniu z cyberbezpieczeństwa. Odpowiedzialność za dostawców jest więc częścią odpowiedzialności zarządu, nie wyłącznie zakupów.

Stawka jest określona w art. 34 dyrektywy: kary do 10 mln EUR lub 2% światowego obrotu dla podmiotów kluczowych oraz do 7 mln EUR lub 1,4% dla ważnych. Polski przepis przewiduje kwotę wyższą z dwóch, a kary z art. 73 ust. 1–4 można nakładać po raz pierwszy po dwóch latach od wejścia ustawy w życie, czyli od 3 kwietnia 2028 r. Okres przejściowy nie zwalnia jednak z budowy dowodów, bo pierwszy audyt cyberbezpieczeństwa podmiotu kluczowego przypada na ten sam termin.

Jak spełnić obowiązek: sześć kroków

Poniższa kolejność działa w zakładach, w których dostawców są setki, a dział bezpieczeństwa liczy kilka osób. Każdy krok kończy się dokumentem, który można okazać audytorowi.

Krok 1. Inwentaryzacja i rejestr

Zacznij od listy wszystkich dostawców, którzy dotykają systemów, danych albo terenu. Źródłem są umowy, faktury, kontrola dostępu, konta zdalne w VPN i lista firm zewnętrznych. Dla każdego zapisz zakres usługi, osobę odpowiedzialną po stronie podmiotu i rodzaj dostępu.

Krok 2. Klasyfikacja krytyczności

Podziel dostawców na grupy według wpływu na ciągłość procesu i poufność danych. Prosty podział na dostawców krytycznych, istotnych i pozostałych wystarcza, jeśli kryteria są opisane i stosowane jednakowo. Krytyczny to taki, którego awaria lub kompromitacja zatrzymuje proces albo ujawnia dane objęte tajemnicą.

Krok 3. Ocena ryzyka dostawcy

Dla grupy krytycznej i istotnej przeprowadź ocenę: kwestionariusz, wgląd w certyfikaty i raporty, w razie potrzeby audyt. W środowisku przemysłowym punktem odniesienia jest seria norm ISA/IEC 62443: część 2-4 opisuje wymagania wobec integratorów i dostawców usług, część 4-1 bezpieczny cykl rozwoju produktu, a część 3-3 wymagania systemowe oparte na siedmiu wymaganiach podstawowych i poziomach bezpieczeństwa SL 1–4. Seria jest dobrowolna, ale stanowi uznany wzorzec oceny.

Krok 4. Wymagania w umowie

Wnioski z oceny zamień na zapisy: zgłaszanie incydentów w terminach zgodnych z własnymi obowiązkami, prawo audytu, zasady dostępu zdalnego, zwrot lub usunięcie danych, wymagania wobec podwykonawców dostawcy. Szczegóły pokazuje poradnik o zapisach umownych.

Krok 5. Kontrola dostępu w czasie

Ocena na papierze nie zastępuje kontroli bieżącej. Dostęp zdalny nadawaj na czas zadania, konta imienne zamiast wspólnych, a uprawnienia fizyczne firm zewnętrznych powiąż z aktualnym szkoleniem i zezwoleniem na pracę.

Krok 6. Przegląd i ponowna ocena

Dostawcę krytycznego oceniasz ponownie co najmniej raz w roku oraz po każdym incydencie, zmianie właściciela, przeniesieniu usługi do innego kraju lub zmianie podwykonawcy. Wynik trafia do rejestru z datą i właścicielem.

Dowód dla audytora: co zebrać

Audytor nie pyta, czy podmiot ma dobre intencje wobec dostawców, tylko prosi o ślady. Pierwszy audyt cyberbezpieczeństwa podmiotu kluczowego przypada na 3 kwietnia 2028 r., a potem odbywa się nie rzadziej niż raz na trzy lata. Zestaw dokumentów, który wspiera spełnienie wymogu, powinien być gotowy wcześniej, bo zbierany w ostatniej chwili ujawnia luki.

Najczęściej oczekiwany jest łańcuch: polityka bezpieczeństwa dostawców, rejestr, klasyfikacja, wyniki oceny, umowa z wymaganymi zapisami, protokoły zmian i przeglądów, rejestr dostępu oraz zapis szkoleń osób zewnętrznych. Dla dostępu fizycznego dowodem jest cyfrowa ścieżka: szkolenie, zezwolenie, kontrola w terenie, z datą i osobą potwierdzającą.

• polityka i procedura oceny dostawców zatwierdzona przez kierownika podmiotu
• rejestr dostawców z klasyfikacją krytyczności i właścicielem
• wypełnione kwestionariusze i dowody od dostawców krytycznych
• umowy z zapisami o incydentach, audycie i dostępie
• zapis przeglądów rocznych i decyzji po incydentach
• ślad szkoleń i zezwoleń firm zewnętrznych wchodzących na teren

Dostawca wysokiego ryzyka i niepewność prawna

Ustawa zawiera także przepisy o dostawcach wysokiego ryzyka, czyli postępowaniu uznającym dostawcę za takiego i ograniczeniach dla podmiotów korzystających z jego wyrobów. Przepisy te objęto wnioskiem Prezydenta do Trybunału Konstytucyjnego o kontrolę następczą. Według sprawdzonych źródeł rozstrzygnięcia nie ma, więc zasadnie jest traktować te przepisy jako obowiązujące, a jednocześnie nie budować decyzji zakupowych na przewidywaniu orzeczenia.

Praktyczny wniosek: w rejestrze dostawców dodaj pole pochodzenia kapitałowego i lokalizacji przetwarzania dla dostawców krytycznych oraz opis tego, jak szybko można dostawcę wymienić. Ocenę ryzyka dostawcy powinna wspierać także lista alternatyw, bo obowiązek zmiany może przyjść z decyzji administracyjnej, nie z awarii.

Jak narzędzie wspiera dowód po stronie dostępu fizycznego

Część łańcucha dostaw to ludzie z firm zewnętrznych na terenie zakładu. InnerWeb, producent oprogramowania z Bielska-Białej, dostarcza moduł szkoleniowy wraz z kartoteką firm i uprawnień oraz cyfrowe zezwolenia na pracę z kontrolą kodu QR w terenie. Wspiera to spełnienie wymogu w obszarze dostępu fizycznego i dostarcza zapisu do audytu, kto, kiedy i na jakiej podstawie wszedł do pracy. Rozwiązanie jest niezależne od istniejących systemów klienta i uzupełnia je.