Weryfikacja dostawcy to uporządkowane sprawdzenie, czy partner może wykonać określoną usługę na akceptowalnych warunkach. Łączy ocenę tożsamości, zależności, ryzyka i dowodów. Jej zakres powinien wynikać z przepisów dotyczących relacji oraz potrzeb biznesowych.
Najpierw oddziel obowiązek prawny od własnej praktyki
Nie istnieje jeden ustawowy formularz oceny każdego dostawcy. Poniższe zestawienie pomaga wybrać właściwy punkt wyjścia; szczegółowy zakres wymaga sprawdzenia przesłanek i wyjątków konkretnej regulacji. Zasady dla relacji związanych z cyberbezpieczeństwem rozwija poradnik NIS2 i UKSC: weryfikacja dostawców.
| Sytuacja | Co sprawdzić |
|---|---|
| Dostawy ICT do podmiotu kluczowego lub ważnego | KSC, art. 8: bezpieczeństwo i ciągłość dostaw |
| Dostawca krytyczny podmiotu krytycznego | UZK, art. 6zzo do 6zzq: rejestr, ryzyko i zastępowalność |
| Usługa ICT dla podmiotu finansowego | DORA, art. 28 do 30: ocena, umowa i nadzór |
| Przetwarzanie danych w imieniu administratora | RODO, art. 28: gwarancje i powierzenie |
| Klient instytucji obowiązanej | AML, art. 33 do 37: środki bezpieczeństwa finansowego |
| Zamówienie publiczne | PZP oraz właściwe podstawy sankcyjne |
Kontrola sankcyjna może być potrzebna również poza zamówieniami publicznymi i AML. Zakaz udostępniania środków podmiotom objętym sankcjami określa m.in. art. 2 rozporządzenia 269/2014. Nie należy utożsamiać jej z pełną procedurą AML.
Lista weryfikacji: proponowany sposób pracy
Poniższe kroki stanowią dobrą praktykę organizacyjną. Nie każdy element jest samodzielnym obowiązkiem każdej firmy.
- Potwierdź tożsamość partnera. Zestaw dane umowy z właściwym rejestrem i identyfikatorami firmy. Sprawdź, który podmiot faktycznie ma dostarczyć usługę oraz kto go reprezentuje.
- Opisz usługę i zależność. Ustal dostęp do danych i systemów, skutki niedostępności, dopuszczalną przerwę oraz możliwość zastąpienia dostawcy.
- Rozpoznaj powiązania. Zbadaj strukturę własności lub podwykonawstwo w zakresie potrzebnym do oceny. Wyjaśnij rozbieżności między dokumentami a deklaracją partnera.
- Dobierz dowody. Poproś o materiały odnoszące się do zamawianej usługi: opis zabezpieczeń, właściwy raport audytowy, wynik testu albo potwierdzenie kompetencji.
- Połącz ocenę z umową. Uzgodnij odpowiedzialność operacyjną, kontakty, informowanie o zmianach i incydentach oraz zasady zakończenia współpracy w potrzebnym zakresie.
- Zapisz wynik i dalsze działania. Wskaż ustalenia, braki, decyzję, właściciela relacji oraz termin lub zdarzenie uruchamiające ponowny przegląd.
Jak oceniać siłę dowodu
Oddziel informację publiczną, deklarację dostawcy i wynik sprawdzenia. Każdy z tych materiałów może być użyteczny, ale potwierdza coś innego. Dla dokumentu sprawdź autora, datę, badaną usługę, okres, wyłączenia i nierozwiązane ustalenia.
Przykładowo polityka opisuje zamierzony sposób działania. Raport z próby odtworzenia może dodatkowo pokazać, co rzeczywiście zadziałało w badanym scenariuszu. Żaden z tych materiałów nie powinien być opisany szerzej, niż pozwala jego treść. Brak odpowiedzi zapisz jako lukę, a nie jako automatyczny dowód nieskuteczności zabezpieczenia.
Decyzja ma odpowiadać ustaleniom
Ocena może zakończyć się akceptacją, warunkową akceptacją po usunięciu wskazanych braków, ograniczeniem zakresu usługi lub wyborem alternatywy. Przy warunkach wskaż odpowiedzialną osobę i sposób potwierdzenia wykonania. Warto również zapisać, kto świadomie zaakceptował pozostałe ryzyko w ramach przyjętego procesu.
Wewnętrzny przegląd można uruchamiać po zmianie właściciela dostawcy, ważnego podwykonawcy, zakresu dostępu albo po istotnym zdarzeniu. Jest to propozycja praktyki. Gdy prawo określa konkretny termin, trzeba stosować właśnie ten termin; data raportu nie zmienia dat obowiązków ustawowych.
Gdzie kończy się OSINT i prywatny atest
OSINT pomaga zebrać i porównać dostępne informacje. Sam nie potwierdza działania wewnętrznych zabezpieczeń ani wykonania obowiązków umownych. Jeżeli dla danej relacji wymagany jest audyt, potrzebne są również czynności i dowody odpowiadające jego zakresowi. Prywatny atest SCSA nie jest sam w sobie wymagany przez wskazane przepisy i nie gwarantuje zgodności. O jego wykorzystaniu decydują zakres badania, aktualność i związek z konkretną decyzją zakupową.
Najczęstsze pytania
Od czego zacząć weryfikację dostawcy?
Od ustalenia tożsamości partnera, zakresu usługi, skutków jej niedostępności i przepisów dotyczących relacji. Dopiero potem należy dobrać pytania i dowody.
Czy każdemu dostawcy wysyłać tę samą ankietę?
Można użyć wspólnej części identyfikacyjnej, ale dalszy zakres warto dopasować do usługi, dostępu i ryzyka. Jedna ankieta nie rozstrzyga wszystkich obowiązków sektorowych.
Jak często ponawiać ocenę dostawcy?
Najpierw trzeba sprawdzić terminy wynikające z właściwego prawa. Pozostałe przeglądy warto planować według ryzyka i zdarzeń, np. zmian usługi, podwykonawców lub istotnych incydentów.
Czy brak publicznych informacji o incydentach oznacza bezpieczeństwo?
Nie. Oznacza jedynie, że w zbadanym materiale nie znaleziono takiej informacji. OSINT nie daje pełnego wglądu w wewnętrzne zdarzenia i zabezpieczenia.
Źródła i podstawa prawna
- Ustawa o krajowym systemie cyberbezpieczeństwa: tekst ujednolicony
- Nowelizacja ustawy o zarządzaniu kryzysowym: Dz.U. 2026 poz. 815
- Rozporządzenie DORA: art. 2 i 28 do 30
- RODO: art. 28, 32 i 99
- Ustawa AML: art. 2 i 33 do 37
- Prawo zamówień publicznych: Dz.U. 2026 poz. 793
- Polska ustawa sankcyjna: art. 7
- Rozporządzenie 269/2014: art. 2
Opracowanie informacyjne o obowiązkach wskazanych grup podmiotów. Zakres zastosowania zależy od działalności i konkretnej relacji z dostawcą. Opinia SCSA może być materiałem pomocniczym w ocenie ryzyka; nie zastępuje wymaganej prawem analizy, audytu ani decyzji organizacji.