NIS2 — unijna dyrektywa o cyberbezpieczeństwie — formalnie dotyczy podmiotów średnich i dużych w kluczowych sektorach. W praktyce do małej firmy trafia inaczej: jako kwestionariusz na czternaście stron, przysłany mailem przez głównego klienta, z deadline'em za sześć tygodni.
Od początku 2025 ten scenariusz powtarza się u nas niemal co miesiąc. Firma 20–40-osobowa, dostawca lub podwykonawca dużej korporacji, dostaje załącznik zatytułowany „Ocena dostawcy w zakresie cyberbezpieczeństwa". Pytań kilkadziesiąt, znaczna część o rzeczy, których nikt w firmie nigdy nie nazywał słowem „polityka". Pierwsza reakcja: panika. Druga: szukanie konsultanta. Trzecia, jeśli ten konsultant jest uczciwy: spokojna lista pięciu–ośmiu ruchów, z których większość kosztuje godziny pracy, a nie kilkadziesiąt tysięcy złotych.
Ten tekst jest o tym, jak nie dać sobie wcisnąć enterprise'owego rozwiązania, gdy realnie potrzebujecie porządnych podstaw.
Kogo NIS2 dotyczy bezpośrednio
Dyrektywa NIS2 (wdrożona do polskiego prawa w 2024 jako nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa) co do zasady obejmuje podmioty „średnie i większe" — w uproszczeniu: powyżej 50 pracowników i 10 mln euro obrotu — działające w sektorach takich jak energetyka, transport, ochrona zdrowia, bankowość, infrastruktura cyfrowa, administracja publiczna, gospodarka wodno-ściekowa, produkcja chemikaliów i żywności, dostawcy usług ICT.
Jeśli macie 25-osobową firmę produkcyjną, biuro rachunkowe, hurtownię budowlaną albo agencję marketingową — prawdopodobnie nie podlegacie bezpośrednio. I to jest dobra wiadomość.
Zła wiadomość jest taka, że NIS2 wprowadza obowiązek zarządzania ryzykiem w łańcuchu dostaw. Każdy duży podmiot, który podlega bezpośrednio, musi sprawdzać swoich dostawców. Także was. I tu zaczyna się prawdziwa rozmowa.
Jak NIS2 trafia do małej firmy
Typowy przypadek z ostatnich miesięcy. Do 30-osobowej firmy logistycznej, świadczącej usługi transportowe dla sieci handlowej, przychodzi mail. Załącznik: kwestionariusz na 14 stron. Pytania konkretne — czy istnieje udokumentowana polityka bezpieczeństwa informacji, czy jest procedura zgłaszania incydentów z czasem reakcji do 24 godzin, czy sieć jest segmentowana, czy backupy są testowane przez realne odtworzenie, czy istnieje rejestr dostawców z dostępem do danych, czy pracownicy przechodzą szkolenia z phishingu.
Deadline: 6 tygodni. Konsekwencja niewypełnienia: ryzyko nieprzedłużenia kontraktu w styczniu.
Stan startowy był typowy. Antywirus — tak, ten sam od czterech lat. Backup — na NAS-ie w serwerowni, raz w nocy. Procedura incydentu — żadna. Segmentacja sieci — żadna, jedna płaska sieć dla wszystkich. Rejestr dostawców — Excel sprzed dwóch lat. Szkolenia z bezpieczeństwa — nikt nie pamięta kiedy.
Po trzech miesiącach pracy odpowiedzieli na kwestionariusz uczciwie. Z 13 wymaganych obszarów mieli realnie zamknięte 8: włączyli MFA na pocztę i konta administratorów, wprowadzili podstawową segmentację (osobny VLAN dla księgowości i osobny dla floty), spisali jednostronicową procedurę incydentu, zrobili pierwszy test odtworzenia z backupu (który ujawnił, że pełne odtworzenie zajmuje 9 godzin, nie 2 jak zakładali w głowie), uruchomili menedżer haseł i przeprowadzili godzinne szkolenie z phishingu dla całego zespołu. Pozostałe 5 obszarów — pełna polityka, rejestr dostawców, testy phishingowe, DLP i formalne klauzule w umowach z podwykonawcami — wpadło do roadmapy na kolejne 9 miesięcy.
Klient kontrakt utrzymał. Co istotne — nie dlatego, że firma miała wszystko. Klient nie oczekiwał, że MŚP w łańcuchu dostaw będzie miało dojrzałość banku. Oczekiwał, że firma będzie wiedziała, gdzie jest, gdzie chce być i jak tam dojdzie. To są dwa różne pytania i tylko jedno z nich jest realne dla małej firmy.
Co najczęściej pojawia się w kwestionariuszach
Niezależnie od branży klienta i jego konkretnej polityki, pytania koncentrują się wokół ośmiu obszarów. Warto je znać, bo to też są dokładnie te same rzeczy, których będzie wymagało od was ubezpieczenie cyber, jeśli kiedyś zechcecie je kupić.
- Polityka bezpieczeństwa informacji — udokumentowana, podpisana przez zarząd, przeglądana raz w roku.
- Inwentaryzacja zasobów — komputery, serwery, aplikacje SaaS, dostawcy z dostępem do danych.
- Zarządzanie tożsamością i dostępem — MFA na pocztę i kluczowe systemy, jasne reguły onboardingu i offboardingu.
- Backup i ciągłość działania — strategia 3-2-1, testy odtworzenia, opisane RTO i RPO.
- Reagowanie na incydenty — kto, co, w jakim czasie, kogo informujemy.
- Bezpieczeństwo sieci — segmentacja, firewall, kontrola ruchu wychodzącego.
- Świadomość pracowników — szkolenia, testy phishingowe.
- Zarządzanie dostawcami — rejestr, ocena ryzyka, klauzule w umowach.
Żadnego z tych obszarów nie da się załatwić wyłącznie zakupem licencji. To są procesy, nie produkty.
Od czego zacząć — pięć ruchów bez dużego budżetu
Jeśli kwestionariusz właśnie wpadł na biurko, oto pięć rzeczy, które kosztują głównie czas i pokazują klientowi dobrą wiarę:
- Spiszcie, co macie. Inwentaryzacja IT — sprzęt, oprogramowanie, dostawcy z dostępem — na jeden Excel. Dwie do czterech godzin pracy. Bez tego żadna polityka nie ma sensu, bo nie wiadomo, czego dotyczy.
- Włączcie MFA tam, gdzie jeszcze go nie ma. Poczta, panele administratora, RDP, VPN. Microsoft 365 i Google Workspace mają to w cenie. Pół dnia roboty dla zespołu IT plus krótki komunikat do ludzi.
- Spiszcie jednostronicową procedurę incydentu. Kto dzwoni do kogo, kiedy odłączamy kable, kogo informujemy w pierwsze 24 godziny i 72 godziny. Jedna kartka A4 jest lepsza niż 80-stronicowy dokument na wzór ISO, którego nikt nie przeczyta o trzeciej w nocy.
- Zrróbcie test odtworzenia z backupu. Nie wtedy, gdy serwer padnie, tylko teraz, w piątek o 14:00, z notatką ile to trwało i co realnie udało się odtworzyć.
- Wyznaczcie jedną osobę odpowiedzialną za bezpieczeństwo. Nie etat — funkcję. Może to być kierownik IT, prezes albo zewnętrzny doradca, ale musi mieć nazwisko i kwartalny przegląd na kalendarzu.
Te pięć ruchów odpowiada zwykle na 60–70% pytań w typowym kwestionariuszu dostawcy. Pozostałe 30% to roadmapa, którą można uczciwie pokazać klientowi.
Czego nie robić
W odpowiedzi na NIS2 zacznie do was pukać kilku dostawców z gotową ofertą. „Kompleksowa zgodność z NIS2 w jednym pakiecie" — z reguły będzie kosztować 30–80 tys. zł rocznie i obejmować enterprise'owy GRC, którego nie ma kto obsługiwać w 25-osobowej firmie. To nie jest złe oprogramowanie. To jest złe oprogramowanie dla tej skali.
Dla MŚP w łańcuchu dostaw realna zgodność to porządne podstawy: spisana polityka, MFA, segmentacja, backup z testami, procedura incydentu, szkolenia. Trzy–pięć dni roboczych konsultanta, kilkanaście godzin pracy zespołu, dwa–trzy miesiące kalendarzowe. Koszt liczony w tysiącach, nie dziesiątkach tysięcy.
Drugie, czego nie robić: nie kłamcie w kwestionariuszu. Klient, który sprawdza dostawców pod kątem NIS2, coraz częściej wraca z prośbą o dowody — kopię polityki, log szkolenia, screen z konfiguracji MFA. „Tak, mamy" bez backupu w postaci dokumentu jest gorsze niż uczciwe „nie mamy, planujemy wdrożyć do Q3, oto roadmapa".
Co dalej
NIS2 dla 10–50-osobowej firmy to nie regulacyjny ciężar nałożony przez Brukselę. To rozmowa, którą i tak prowadzą z wami wasi klienci — tylko teraz ma oficjalną nazwę i wspólny słownik. Jeśli zrobicie podstawy porządnie, ta sama praca odpowie na większość kwestionariuszy dostawcy, niezależnie od tego, czy klient powołuje się na NIS2, na ISO 27001, na DORA czy na własną politykę.
Jeśli właśnie dostaliście taki kwestionariusz i nie wiecie, od którego końca zacząć — pół godziny rozmowy często wystarczy, żeby zobaczyć, gdzie naprawdę macie luki, a gdzie tylko nie macie ich jeszcze nazwanych.
Klient nie oczekuje, że MŚP ma wszystko. Oczekuje, że MŚP wie, gdzie jest, gdzie chce być i jak tam dojdzie.