Klient podlega KSC, a Ty nie? Czego zażąda od dostawcy – ankieta, umowa, audyt

Twoja firma nie musi wpisywać się do wykazu KSC? To może nie mieć większego znaczenia. Jeśli dostarczasz oprogramowanie, usługi IT, hosting, serwis sprzętu albo masz dostęp do systemów klienta, który jest podmiotem kluczowym lub ważnym, wymagania nowej ustawy dotrą do Ciebie inną drogą – przez ankietę bezpieczeństwa, aneks do umowy albo audyt.

Powód widać w danych. Według raportu Verizon Data Breach Investigations Report 2026 w 48% naruszeń bezpieczeństwa brała udział strona trzecia – dostawca, partner albo usługodawca. To o 60% więcej niż rok wcześniej. Firmy objęte KSC wiedzą, że najsłabsze ogniwo często siedzi poza ich siecią, a ustawa każe im tym ryzykiem aktywnie zarządzać.

Najważniejsze w skrócie:

• Podmiot kluczowy lub ważny odpowiada za bezpieczeństwo całego łańcucha dostaw – także usług, które zleca na zewnątrz.
• Obowiązki z ustawy trzeba wdrożyć do 3 kwietnia 2027 r., więc przegląd dostawców i nowe klauzule trafiają na biurka już teraz.
• Typowe wymagania to prawo do audytu, zgłaszanie incydentów w określonym czasie, minimalne zabezpieczenia techniczne i klauzula wyjścia.
• Dostawca, który nie spełni wymagań, może dostać dodatkowe ograniczenia dostępu albo zostać zastąpiony innym.
• Najlepsza strategia: przygotować dowody zabezpieczeń, zanim klient o nie poprosi.

Dlaczego klient objęty KSC pyta o Twoje zabezpieczenia?

Dyrektywa NIS2, którą wdraża znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa, wymienia bezpieczeństwo łańcucha dostaw wśród obowiązkowych środków zarządzania ryzykiem. Idzie dalej: każe brać pod uwagę podatności właściwe dla każdego bezpośredniego dostawcy, ogólną jakość jego produktów i praktyki cyberbezpieczeństwa – łącznie z procedurami bezpiecznego tworzenia oprogramowania (art. 21 ust. 2 lit. d i ust. 3 dyrektywy).

Kluczowa zasada brzmi: outsourcing usługi nie przenosi odpowiedzialności. Obowiązek dotyczy usługi jako całości – bez względu na to, czy świadczy ją własny zespół, czy firma zewnętrzna. Jeśli incydent zacznie się u dostawcy, a klient nie ocenił ryzyka tej współpracy, to klient tłumaczy się przed organem nadzoru. Przy poważnych naruszeniach w grę wchodzą kary do 10 mln euro lub 2% przychodów dla podmiotów kluczowych.

Do tego dochodzi kalendarz. Firmy objęte ustawą mają czas do 3 kwietnia 2027 r. na wdrożenie obowiązków, a przegląd dostawców to jeden z pierwszych kroków. Dlatego pierwsze ankiety bezpieczeństwa trafiają do dostawców już jesienią 2026 r. Jeśli nie masz pewności, czy Twoja firma sama nie powinna złożyć wniosku, sprawdź nasz poradnik o wpisie do wykazu KSC – zwłaszcza jeśli świadczysz dla firm usługi zarządzane IT lub bezpieczeństwa, bo wtedy możesz podlegać ustawie bezpośrednio.

Czego się spodziewać: ankieta, umowa, audyt

Proces po stronie klienta wygląda zwykle podobnie i składa się z czterech kroków:

1. Inwentaryzacja i klasyfikacja dostawców. Klient spisuje dostawców ICT i dzieli ich na krytycznych i niekrytycznych. Jeśli masz dostęp do jego systemów lub danych albo utrzymujesz usługę, bez której klient nie działa, najpewniej trafisz do pierwszej grupy.
2. Ocena przed podpisaniem umowy. Klient sprawdza Twoje certyfikaty, historię incydentów, miejsce przetwarzania danych i zgodność z przepisami.
3. Klauzule umowne. W umowach z dostawcami krytycznymi pojawiają się: prawo do audytu, obowiązek zgłaszania incydentów w określonym czasie, minimalne wymagania techniczne i klauzula wyjścia, która pozwala bezpiecznie zakończyć współpracę.
4. Stały monitoring. Ocena nie kończy się na podpisie. Zmiana właściciela dostawcy, nowy podwykonawca albo uznanie producenta za dostawcę wysokiego ryzyka to sygnały do ponownej oceny.

Ustawa przewiduje też procedurę uznania określonego producenta sprzętu lub oprogramowania za dostawcę wysokiego ryzyka. Korzystanie z jego produktów w podmiotach kluczowych i ważnych może zostać ograniczone albo wykluczone. Jeśli Twoja usługa opiera się na rozwiązaniach jednego producenta, warto wiedzieć, skąd pochodzą, i mieć plan B.

10 obszarów, o które zapyta klient

Ankiety różnią się formą, ale większość z nich jest zbudowana wokół listy środków z art. 21 dyrektywy NIS2. Poniżej te obszary razem z pytaniem, które najczęściej się za nimi kryje:

1. Polityki analizy ryzyka i bezpieczeństwa systemów – czy masz spisaną politykę bezpieczeństwa i aktualną analizę ryzyka?
2. Obsługa incydentów – jak wykrywasz incydenty i w jakim czasie powiadomisz klienta?
3. Ciągłość działania – kiedy ostatnio testowałeś odtworzenie danych z kopii zapasowej i ile to trwało?
4. Bezpieczeństwo łańcucha dostaw – z jakich podwykonawców korzystasz przy usłudze dla klienta?
5. Bezpieczeństwo pozyskiwania i utrzymania systemów – jak szybko instalujesz krytyczne poprawki i czy robisz testy penetracyjne?
6. Ocena skuteczności zabezpieczeń – jak sprawdzasz, że zabezpieczenia naprawdę działają?
7. Cyberhigiena i szkolenia – czy pracownicy przechodzą szkolenia i testy phishingowe?
8. Kryptografia i szyfrowanie – czy dane i dyski laptopów są szyfrowane?
9. Bezpieczeństwo kadr, kontrola dostępu i zarządzanie zasobami – kto ma dostęp do systemów klienta i jak szybko go odbierasz po odejściu pracownika?
10. Uwierzytelnianie wieloskładnikowe (MFA) i bezpieczna komunikacja – czy wszystkie konta z dostępem do systemów klienta mają MFA?

Jedna rada z praktyki: deklaracja to nie dowód. Na pytanie „czy robicie kopie zapasowe” każdy odpowie „tak”. Coraz częściej klient prosi o potwierdzenie – raport z testu odtworzenia, raport z testów penetracyjnych, zrzut konfiguracji MFA czy listę osób, które przeszły szkolenie. Jak takie szkolenia zorganizować, opisujemy w artykule o tym, jak szkolić pracowników, by stali się pierwszą linią obrony.

Incydent u dostawcy: dlaczego liczy się każda godzina

Podmiot objęty ustawą musi wysłać wczesne ostrzeżenie o incydencie poważnym w ciągu 24 godzin od jego wykrycia, pełne zgłoszenie w 72 godziny i raport końcowy najpóźniej po miesiącu. Jeśli incydent zaczyna się u dostawcy, klient potrzebuje informacji szybciej niż w 24 godziny – bo sam musi jeszcze ocenić skalę i przygotować zgłoszenie. Dlatego spodziewaj się w umowach krótkich terminów powiadomienia o incydencie.

Tu wielu mniejszych dostawców ma realny problem: incydent w nocy z piątku na sobotę zauważy dopiero ktoś w poniedziałek rano. Rozwiązaniem jest monitoring 24/7 – własny albo w modelu SOC as a Service – oraz prosta procedura: kto dzwoni do klienta, z jaką informacją i w jakim czasie. Po czym poznać, że atak już trwa, opisujemy w artykule 10 sygnałów ostrzegawczych cyberataku.

Plan na 90 dni: jak przygotować firmę

Nie potrzebujesz od razu certyfikatu ani rozbudowanego działu bezpieczeństwa. Potrzebujesz podstaw, które działają, i dowodów, że działają. Tak rozkładamy to w czasie:

• Dni 1–30: fundamenty. Lista usług i systemów, z których korzysta klient. MFA na wszystkich kontach administracyjnych i zdalnym dostępie. Test odtworzenia kopii zapasowej. Wyznaczona osoba odpowiedzialna za bezpieczeństwo i kontakt z klientami.
• Dni 31–60: wykrywanie i reakcja. Ochrona komputerów i serwerów klasy EDR lub XDR, centralne logi i monitoring, procedura obsługi i zgłaszania incydentów, polityka dostępu, szkolenie i test socjotechniczny.
• Dni 61–90: dowody. Test penetracyjny usług wystawionych do internetu, raport z planem naprawczym i pakiet bezpieczeństwa dostawcy: jednostronicowe podsumowanie zabezpieczeń, polityki, raporty z testów i wzór klauzuli o zgłaszaniu incydentów.

Ostatni punkt ma znaczenie strategiczne. Dostawca, który sam zaproponuje klauzulę o zgłaszaniu incydentów i pokaże gotowy pakiet dowodów, przestaje być ryzykiem do zarządzania, a staje się partnerem, który ułatwia klientowi spełnienie ustawy. W przetargach i przy odnowieniach umów to realna przewaga.

Co, jeśli nie spełniasz wymagań klienta?

Klient, który wykryje lukę u dostawcy, ma w praktyce trzy drogi: wdrożyć kontrole kompensacyjne (np. segmentację sieci, szyfrowanie, ograniczenie dostępu, wzmocniony monitoring), renegocjować umowę z mocniejszymi klauzulami bezpieczeństwa i prawem wyjścia albo zakończyć współpracę i zmienić dostawcę. Z Twojej perspektywy każda z tych dróg kosztuje: pierwsza utrudnia pracę, druga przenosi ryzyko na Ciebie, trzecia oznacza utratę klienta.

Dlatego lepiej nie czekać na ocenę, tylko przyjść z planem: „tego jeszcze nie mamy, wdrażamy do dnia X, oto harmonogram”. Otwarta rozmowa o luce z terminem naprawy buduje więcej zaufania niż ankieta wypełniona na „tak” bez pokrycia – a nieprawdziwa odpowiedź wyjdzie najpóźniej przy pierwszym audycie.

Jak pomagamy dostawcom firm objętych KSC

W mIT security przygotowujemy dostawców do rozmowy z klientami objętymi KSC tak, żeby ankieta była formalnością, a nie zagrożeniem dla kontraktu:

• audyt i analiza luk pod kątem wymagań NIS2 wobec dostawców – w tym audyt bezpieczeństwa sieci realizowany w ramach grupy mIT,
• pomoc przy ankiecie bezpieczeństwa klienta i przygotowanie dowodów, które da się pokazać,
• testy penetracyjne i socjotechniczne z raportem przygotowanym tak, żeby można go było przekazać klientowi,
• EDR/XDR i monitoring SOC 24/7, dzięki którym spełnisz wymagania dotyczące wykrywania i zgłaszania incydentów,
• wdrożenie wymagań NIS2 i KSC – od polityk po procedury.

Dostałeś ankietę bezpieczeństwa od klienta albo spodziewasz się jej w najbliższych miesiącach? Umów bezpłatną konsultację – przejrzymy pytania razem z Tobą i powiemy, na które możesz odpowiedzieć od razu, a co trzeba wdrożyć, żeby nie stracić kontraktu.

FAQ – dostawca a NIS2 i KSC

Czy mała firma, która nie podlega KSC, musi spełniać wymagania NIS2?

Z ustawy – nie. Z umowy – bardzo często tak. Jeśli klient jest podmiotem kluczowym lub ważnym, przeniesie część wymagań do umowy z dostawcą, a ich niespełnienie może oznaczać utratę kontraktu.

Czy certyfikat ISO/IEC 27001 wystarczy klientowi?

Certyfikat to mocny dowód dojrzałego systemu zarządzania bezpieczeństwem i zwykle skraca rozmowę. Nie zwalnia jednak z odpowiedzi na pytania o konkretną usługę – na przykład o czas zgłaszania incydentów czy o to, kto z Twojego zespołu ma dostęp do systemów klienta.

Czy klient może przeprowadzić audyt w mojej firmie?

Tak, jeśli umowa daje mu takie prawo – a prawo do audytu to jedna z typowych klauzul w umowach z dostawcami krytycznymi. Warto z góry uzgodnić zakres, częstotliwość i formę audytu, np. przegląd dokumentacji zamiast wizyty na miejscu.

Jak szybko muszę zgłosić incydent klientowi?

Tak szybko, jak przewiduje umowa. Sam klient ma 24 godziny od wykrycia incydentu poważnego na wczesne ostrzeżenie, więc od dostawcy zwykle oczekuje informacji w krótszym czasie.

Co to jest dostawca wysokiego ryzyka?

To producent sprzętu lub oprogramowania, którego produkty – po przeprowadzeniu procedury przewidzianej w ustawie – mogą zostać ograniczone lub wykluczone z użycia w podmiotach kluczowych i ważnych.

Od czego zacząć, jeśli nie mam jeszcze żadnej dokumentacji?

Od trzech rzeczy, które dają najwięcej przy najmniejszym koszcie: MFA na wszystkich kontach z dostępem zdalnym, udany test odtworzenia kopii zapasowej i wyznaczona osoba odpowiedzialna za bezpieczeństwo. Dokumentację łatwiej pisać, gdy te podstawy już działają.

Źródła

• Verizon – 2026 Data Breach Investigations Report, informacja prasowa (19.05.2026)
• Dyrektywa (UE) 2022/2555 (NIS2), art. 21 – EUR-Lex
• CyberDefence24 – Outsourcing bez outsourcingu odpowiedzialności (20.09.2026)
• Wolters Kluwer – NIS2: analiza nowelizacji UKSC 2026
• Ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252)

Stan prawny na 29 września 2026 r. Artykuł ma charakter informacyjny i nie stanowi porady prawnej.