Pierwsze pytanie dotyczące NIS2 nie brzmi: „jakie procedury musimy napisać?”. Brzmi: „czy i w jakim zakresie przepisy mogą dotyczyć naszej działalności?”. Odpowiedź bywa mniej oczywista, niż sugerują internetowe testy.
Wyobraźmy sobie producenta opakowań, który zatrudnia 120 osób. Sama liczba pracowników nie daje jeszcze pewnej odpowiedzi. Znaczenie mogą mieć rodzaj produkcji, dane finansowe i powiązania z innymi spółkami. Ocena przeprowadzona dla jednej firmy może więc wyglądać inaczej po uwzględnieniu całej grupy.
Cztery kroki dobrej kwalifikacji
Po pierwsze, warto opisać faktycznie wykonywaną działalność. Kod PKD jest użyteczną wskazówką, ale sam nie musi dawać pełnego obrazu. Ważne jest także to, jakie usługi firma rzeczywiście świadczy i jakie produkty wytwarza.
Po drugie, działalność porównuje się z sektorami i rodzajami podmiotów opisanymi w ustawie o krajowym systemie cyberbezpieczeństwa. Obejmuje ona między innymi wybrane rodzaje produkcji, ochronę zdrowia, transport, energię, żywność, odpady, pocztę i określone usługi cyfrowe.
Po trzecie, sprawdza się wielkość przedsiębiorstwa według zasad właściwych dla danego przypadku. Oprócz zatrudnienia mogą mieć znaczenie dane finansowe oraz relacje z innymi podmiotami.
Po czwarte, trzeba uwzględnić wyjątki i przesłanki szczególne. W niektórych sytuacjach typowy próg wielkości nie będzie jedynym kryterium.
Wynikiem powinna być decyzja, nie odpowiedź z quizu
Dobrze udokumentowana ocena pozostawia po sobie opis działalności, sprawdzone kryteria, wykorzystane dane, przyjęte założenia i wniosek. Warto też określić, kiedy należy do niej wrócić - na przykład po przejęciu spółki, wejściu w nowy sektor lub zmianie modelu usług.
Wynik może wpływać na dalsze kroki, w tym ocenę obowiązków rejestracyjnych, określenie zakresu systemów i usług, budżet oraz harmonogram działań. W przypadkach niejednoznacznych warto potwierdzić ocenę z prawnikiem znającym KSC i sektor działalności firmy.
Chcesz przejść od kwalifikacji do konkretnego planu? Program wdrożeniowy UP² pomaga ustalić zakres, właścicieli i priorytety, a platforma UP² utrzymuje później zadania, terminy, dowody i historię decyzji w jednym miejscu. Zapoznaj się z ofertą wdrożenia i platformy UP².
Źródła
Przełóż wiedzę na uporządkowany plan działania.
UP² łączy program wdrożeniowy, odpowiedzialności, ryzyka i dowody w jednym procesie.
Sprawdź firmę w 3 minuty