NIS2 i UKSC: weryfikacja dostawców i łańcucha dostaw

Ustawa o krajowym systemie cyberbezpieczeństwa (UKSC, nazywana także ustawą o KSC) wdraża dyrektywę NIS2 i obejmuje bezpieczeństwo łańcucha dostaw. Weryfikacja dostawców polega na ocenie ryzyka, jakie zewnętrzne produkty i usługi wnoszą do cyberbezpieczeństwa organizacji. Zakres badania powinien odpowiadać zależności od dostawcy oraz skutkom zakłócenia jego działania.

Kogo dotyczą wymagania

Najpierw należy ustalić, czy organizacja jest podmiotem kluczowym lub ważnym. Znaczenie mają działalność, sektor, wielkość i szczególne przesłanki ustawowe. Sama współpraca z takim klientem nie oznacza, że dostawca automatycznie podlega całemu KSC. Może natomiast uzasadniać wymagania umowne dotyczące zabezpieczeń i informacji o usłudze. Wyjątki oraz relację z DORA określają m.in. art. 8 ust. 3 i art. 8i ustawy o KSC.

Co wynika z przepisów

Art. 21 ust. 2 lit. d i ust. 3 NIS2 obejmuje bezpieczeństwo relacji z bezpośrednimi dostawcami, ich podatności, jakość produktów oraz praktyki bezpieczeństwa. W Polsce art. 8 ust. 1 pkt 1 i pkt 2 lit. e KSC dotyczy systematycznej oceny ryzyka oraz bezpieczeństwa i ciągłości dostaw ICT. Dodatkowe kryteria zawiera ust. 2. Powierzenie zadań nie usuwa odpowiedzialności kierownika wynikającej z art. 8c do 8d.

Dla kategorii wymienionych w art. 1 rozporządzenia 2024/2690 obowiązują szczegółowe wymagania załącznika, pkt 5: polityka, kryteria wyboru, umowy, przeglądy i rejestr dostawców. Dotyczy to m.in. chmury, centrów danych i usług zarządzanych. Całego załącznika nie należy przypisywać każdej firmie.

Wejście w życie i terminy dostosowania

Polska nowelizacja obowiązuje od 3 kwietnia 2026 r. Podmioty spełniające kryteria tego dnia otrzymały zasadniczo czas do 3 kwietnia 2027 r. na obowiązki rozdziału 3. Szczegóły i wyjątki określają art. 25 i 33 nowelizacji KSC. Zgłoszenie odpowiednich istniejących podmiotów do wykazu ma odrębny termin: 3 października 2026 r., wskazany w komunikacie ministerstwa. Termin zgłoszenia nie jest terminem wdrożenia zabezpieczeń.

Jak przygotować ocenę: dobra praktyka

Karta dostawcy może łączyć opis usługi z materiałami potwierdzającymi zabezpieczenia. Kolejne kroki opisuje praktyczna lista weryfikacji dostawcy. Poniższe pytania są propozycją organizacji pracy, a nie ustawowym formularzem.

Przy każdym ustaleniu zapisz źródło, datę i zakres dowodu. Oddziel deklaracje od sprawdzonych dokumentów oraz wyników testów. Ocenę zakończ decyzją: akceptacja, uzupełnienie materiału, ograniczenie dostępu, plan naprawczy albo wybór alternatywy. Dla braków wyznacz właściciela i termin. Q&A Ministerstwa Cyfryzacji podkreśla znaczenie rzeczywiście działających środków, a nie samego zakupu dokumentacji.

Co może potwierdzić OSINT lub atest

Publiczne źródła pomagają potwierdzić tożsamość firmy i wskazać pytania do dalszej oceny. Nie pokazują automatycznie konfiguracji systemów ani skuteczności odtwarzania danych. Brak publicznego opisu incydentu nie dowodzi jego braku. OSINT nie zastępuje audytu z art. 15 KSC, a raport komercyjny nie nadaje statusu dostawcy wysokiego ryzyka.

Prywatny atest SCSA może być materiałem pomocniczym w granicach opisanego badania. Nie jest sam w sobie wymagany przez NIS2 lub KSC i nie gwarantuje zgodności. Mechanizm europejskiej certyfikacji z art. 24 NIS2 należy odróżniać od prywatnego oznaczenia.

Opracowanie informacyjne o obowiązkach wskazanych grup podmiotów. Zakres zastosowania zależy od działalności i konkretnej relacji z dostawcą. Opinia SCSA może być materiałem pomocniczym w ocenie ryzyka; nie zastępuje wymaganej prawem analizy, audytu ani decyzji organizacji.