NIS2/KSC · Poznań
Audyt NIS2 i KSC dla organizacji z Poznania i Wielkopolski przygotowuje zespół Innovix z Wrocławia: wywiady, warsztaty i szkolenie zarządu prowadzimy w Twojej siedzibie, a dokumenty przeglądamy zdalnie. Punktem wyjścia w regionie jest kwalifikacja: przetwórca żywności, operator magazynu i firma kurierska podlegają ustawie o krajowym systemie cyberbezpieczeństwa na różnych zasadach albo wcale, a starostwa i większe urzędy gmin są podmiotami kluczowymi.
01Kwalifikacja
Sama branża nie przesądza o statusie. Liczy się rodzaj działalności wymieniony w załączniku i wielkość przedsiębiorstwa razem z podmiotami powiązanymi i partnerskimi - według Ministerstwa Cyfryzacji także wtedy, gdy ta działalność jest tylko pomocnicza (Q&A MC, pyt. 2.8). Wyjątki wynikają z brzmienia załączników: w zaopatrzeniu w wodę pitną i jej dystrybucji oraz w zbiorowym odprowadzaniu ścieków ustawa wyłącza podmioty, dla których ta działalność jest inną niż istotną częścią ich ogólnej działalności (załącznik nr 1), a w gospodarowaniu odpadami - przedsiębiorstwa, dla których usługi te nie stanowią podstawowej działalności gospodarczej (załącznik nr 2).
| Profil firmy | Czy ustawa wymienia tę działalność | Co rozstrzygamy w kwalifikacji |
|---|---|---|
| Zakład przetwórstwa żywności (np. mięsa, mleka, pieczywa przemysłowego) | Tak - sektor żywności w załączniku nr 2, ale tylko przemysłowa produkcja i przetwarzanie; średnie i duże przedsiębiorstwo jest podmiotem ważnym | Wielkość razem z przedsiębiorstwami powiązanymi i partnerskimi; organ właściwy - minister właściwy do spraw rolnictwa |
| Hurtownia i dystrybutor spożywczy | Tak - hurtowa dystrybucja żywności (załącznik nr 2); handel detaliczny i gastronomia według Ministerstwa Cyfryzacji do sektora nie należą | Czy sprzedaż hurtowa jest prowadzona faktycznie, a nie widnieje tylko jako kod PKD w rejestrze |
| Operator magazynu, spedycja, przewoźnik drogowy | Nie wprost - magazynów, spedycji i przewoźników drogowych w załącznikach nie ma | Czy firma nie prowadzi działalności z innego sektora, np. hurtowej dystrybucji żywności albo usług ITS (zarządzanie flotą świadczone innym) |
| Firma kurierska | Tak, jeśli jest wpisana do rejestru operatorów pocztowych - usługi pocztowe w załączniku nr 2 | Status w rejestrze i wielkość; organ właściwy - Prezes UKE |
| Producent maszyn, urządzeń elektrycznych albo pojazdów | Tak - sektor produkcji (działy 26-30 NACE) w załączniku nr 2 | Rodzaj produkcji i wielkość; granica między siecią biurową a systemami sterowania |
| Producent mebli | Nie - produkcji mebli w załącznikach nie ma | Czy w grupie nie ma spółki z sektora objętego ustawą i jakie wymagania stawiają odbiorcy objęci ustawą |
Skalę widać w rejestrze REGON: w dziale 10 PKD, czyli produkcji artykułów spożywczych, Wielkopolska ma 3 782 podmioty - 10,9% krajowej liczby i drugie miejsce po Mazowszu (GUS, 2025). To liczba podmiotów, a nie firm objętych ustawą: o statusie decydują przemysłowy charakter produkcji i wielkość przedsiębiorstwa liczona z grupą.
Podobnie z logistyką. Region ma ok. 3,9 mln m² nowoczesnych magazynów - piąty co do wielkości zasób w kraju (Cushman & Wakefield, II kw. 2026) - ale sam magazyn nie jest sektorem z ustawy. Operator, który prowadzi też dział kurierski albo hurtową sprzedaż żywności, może jednak podlegać ustawie z tego tytułu.
02Samorządy
W województwie wielkopolskim jest 35 powiatów - 31 ziemskich i 4 miasta na prawach powiatu - oraz 226 gmin (Wielkopolski Urząd Wojewódzki). Każde z 31 starostw jest podmiotem kluczowym i przechodzi audyt z art. 15.
Sektor podmiotów publicznych jest w obu załącznikach do ustawy, a status jednostki samorządu zależy od jej rodzaju, nie od wielkości gminy czy powiatu:
W praktyce gmina z kilkunastoma jednostkami ma kilkanaście osobnych podmiotów i zwykle jeden niewielki zespół informatyków. Dlatego proponujemy wspólne polityki i procedury dla urzędu i jednostek, uproszczony system zarządzania bezpieczeństwem informacji z załącznika nr 4 dla podmiotów ważnych będących podmiotami publicznymi, a dla urzędu, starostwa czy urzędu marszałkowskiego - przygotowanie do pierwszego audytu z art. 15.
Wszystkie reguły z odwołaniami do przepisów zebraliśmy na stronie NIS2 w samorządach, a różnicę między statusami - w artykule podmiot kluczowy czy ważny.
03Współpraca
Spełnienie wymagań ustawy widać w wywiadach z pracownikami, w dokumentacji i w ustawieniach systemów - stąd podział pracy na wizyty i etapy zdalne.
Status każdej spółki albo jednostki z wyliczeniem wielkości i sektora oraz lista dokumentów, które warto zebrać przed wizytą.
Rozmowy z IT, utrzymaniem ruchu, działem prawnym i zarządem - w zakładzie, magazynie, urzędzie albo starostwie, tam gdzie działają systemy.
Polityki, umowy z dostawcami i wybrane konfiguracje przekazane kanałem, który zaakceptuje Twój dział bezpieczeństwa.
Lista luk z macierzą zgodności i planem działań uszeregowanym według ryzyka - omawiamy ją z zarządem na miejscu albo podczas wideokonferencji.
Z Wrocławia do Poznania jedziemy pociągiem albo samochodem drogą S5 - to ok. 185 km. Krótki dojazd pozwala rozłożyć wywiady na kilka wizyt zamiast jednego długiego dnia, co w zakładzie pracującym na zmiany zwykle ułatwia rozmowy z utrzymaniem ruchu. W starostwie czy urzędzie gminy wywiady układamy wokół godzin obsługi interesantów, tak żeby informatyk i sekretarz mogli rozmawiać z nami bez ciągłego przerywania.
Szkolenie kierownika podmiotu prowadzimy jako warsztat dla jednej organizacji w Poznaniu albo online - program: szkolenie NIS2 dla zarządu. Zabezpieczenia techniczne sprawdzają nasze testy penetracyjne w Poznaniu.
04Przykłady
Ilustracje typowych pytań organizacji z regionu - scenariusze, a nie opisy projektów dla klientów.
Przetwórstwo mięsa
Linie produkcyjne obsługuje zewnętrzny integrator, a dane o partiach trafiają do ERP i systemu identyfikowalności. Audyt zerowy obejmuje też umowę z integratorem, a szkolenie zarządu porządkuje podział obowiązków.
Starostwo powiatowe
Starostwo jest podmiotem kluczowym, a powiatowe jednostki - ważnymi. Plan obejmuje wspólne procedury, przegląd kopii zapasowych i kont uprzywilejowanych oraz wybór audytora, który nie wspierał wdrożenia.
Operator logistyczny
Sam magazyn nie jest w załącznikach, ale spółka z grupy wpisana do rejestru operatorów pocztowych już tak. Kwalifikacja rozdziela obowiązki między spółki i wskazuje, które systemy są wspólne.
Producent mebli
Zakład nie podlega ustawie, ale klient z sektora objętego ustawą przysyła ankietę bezpieczeństwa i nowe zapisy w umowie. Przegląd luk pod kątem tych wymagań i test penetracyjny dają odpowiedzi poparte dowodami.
Ankiety od odbiorców nie biorą się znikąd: podmioty kluczowe i ważne muszą zadbać o bezpieczeństwo i ciągłość dostaw produktów, usług i procesów ICT, oceniając podatności i jakość dostawców (art. 8 ust. 1 pkt 2 lit. e i ust. 2 ustawy o KSC). Dla poddostawcy, który sam ustawie nie podlega, taka ankieta bywa pierwszym kontaktem z jej wymaganiami.
05Kolejny krok
Grupa przetwórcza albo logistyczna zaczyna od listy spółek z działalnością faktycznie wykonywaną i wielkością liczoną razem z podmiotami powiązanymi - każdą spółkę możesz wstępnie przejść przez sprawdzenie, czy podlegasz NIS2. Starostwo jest podmiotem kluczowym z mocy ustawy, a urząd gminy ustala status, licząc etaty na 1 stycznia, więc samorząd może od razu przejść do etapu, na którym audyt zerowy wskaże luki w urzędzie i jego jednostkach, a potem do wsparcia wdrożenia NIS2. Daty, które wyznaczają kolejność prac, zebraliśmy w artykule nowelizacja KSC - harmonogram; co wpływa na zakres i koszt, opisuje strona od czego zależy cena audytu NIS2/KSC.
Gdy wdrożenie wymaga zmian w systemach, na przykład w zarządzaniu dostępem czy rejestrowaniu zdarzeń, pomoże nasz software house dla firm z Poznania. Jak pracujemy z organizacjami spoza Wrocławia, opisujemy na stronie obszar działania.
Tak samo pracujemy na miejscu z organizacjami z innych miast - zobacz audyt NIS2 i KSC we Wrocławiu i audyt NIS2 i KSC w Warszawie.
Pierwszy audyt podmioty kluczowe - w regionie m.in. starostwa, urząd marszałkowski i urzędy gmin zatrudniające co najmniej 50 osób w przeliczeniu na pełne etaty - przechodzą do 3 kwietnia 2028 r. (art. 33 ust. 2 nowelizacji z 23 stycznia 2026 r.). Może go przeprowadzić akredytowana jednostka oceniająca zgodność, co najmniej dwóch audytorów z wymaganymi certyfikatami albo praktyką lub CSIRT sektorowy (art. 15 ust. 2 ustawy). My prowadzimy audyt razem z partnerem, którego audytorzy spełniają te wymagania. Jeśli w ciągu roku przed audytem wspieraliśmy urząd we wdrożeniu systemu zarządzania bezpieczeństwem, audytu w nim nie przeprowadzimy - pomożemy zaplanować, kto wdraża, a kto audytuje. Przebieg audytu opisuje artykuł audyt bezpieczeństwa systemu informacyjnego.
Wtedy, gdy są powiązane z obsługą hurtowni. Systemy sklepów w pełni od niej odseparowane, które nie mają wpływu na sprzedaż hurtową, obowiązkiem wdrożenia nie są objęte. System zarządzania bezpieczeństwem informacji wdraża się w systemie informacyjnym wykorzystywanym w procesach wpływających na świadczenie usługi (art. 8 ust. 1 ustawy o KSC), a według Ministerstwa Cyfryzacji obejmuje się nim systemy związane z działalnością wymienioną w załączniku - tu z hurtową dystrybucją żywności (Q&A MC, pyt. 3.4). Wspólny ERP, magazyn danych albo sieć, z których korzystają i sklepy, i sprzedaż hurtowa, trzeba więc nim objąć. Dlatego w audycie zerowym najpierw opisujemy, które systemy obsługują hurtownię, a dopiero potem piszemy polityki.
W sektorze żywności organem właściwym do spraw cyberbezpieczeństwa jest minister właściwy do spraw rolnictwa (art. 41 i 41a ustawy o KSC). Średni przetwórca prowadzący przemysłową produkcję jest podmiotem ważnym, więc audyt z art. 15 przechodzi tylko na decyzję organu, ale system zarządzania bezpieczeństwem informacji musi wdrożyć. Zobacz NIS2 w produkcji.
Tak. Urząd gminy, szkoły publiczne, ośrodek pomocy społecznej, biblioteka czy spółka komunalna są odrębnymi podmiotami. Według Ministerstwa Cyfryzacji publiczna szkoła prowadzona przez gminę jest podmiotem ważnym wpisywanym do wykazu z urzędu, odrębnie od urzędu. Wspólne procedury dla urzędu i jednostek ograniczają pracę - zobacz NIS2 w samorządach.
Tak. Wywiady, warsztaty analizy ryzyka i szkolenie kierownika prowadzimy w Twojej siedzibie w Poznaniu albo w regionie, a przegląd dokumentów - zdalnie. Udokumentowane szkolenie raz w roku kalendarzowym obowiązuje kierownika podmiotu kluczowego lub ważnego i osobę, której powierzył obowiązki w zakresie cyberbezpieczeństwa (art. 8e ustawy).
NIS2/KSC · Audyt zerowy
Audyt zerowy NIS2 - analiza luk względem ustawy o KSC: zakres, metoda, raport luk, macierz zgodności i plan wdrożenia do 3.04.2027.
NIS2/KSC · Produkcja
NIS2 w produkcji: które zakłady (NACE 26-30, wyroby medyczne, chemia, żywność) są podmiotem ważnym, jak liczyć wielkość z grupą, organy, systemy OT i terminy.
NIS2/KSC · Samorządy
NIS2 dla JST: które urzędy, szkoły, instytucje kultury i spółki komunalne są podmiotem kluczowym lub ważnym, załącznik nr 4, wpis z urzędu i terminy KSC.
Opisz krótko, czego potrzebujesz - wrócimy z propozycją kolejnych kroków.
lub zadzwoń pod numer +48 575 621 877