Jak wybrać firmę doradczą i oprogramowanie do NIS2: pytania przed podpisaniem umowy

Jedna firma oferuje 200 stron dokumentacji. Druga - audyt i listę rekomendacji. Trzecia - platformę z setkami kontrolek. Każda może dostarczyć wartość, ale żadna z tych rzeczy sama w sobie nie oznacza wdrożenia.

Przed podpisaniem umowy warto zadać kilka konkretnych pytań.

Pytania do firmy doradczej

Jak ustalicie, czy i w jakim zakresie podlegamy KSC? Odpowiedź powinna obejmować działalność, wielkość, powiązania i przesłanki szczególne, a nie wyłącznie kod PKD.

Czy zweryfikujecie stan faktyczny? Sama ankieta deklaratywna nie pokaże, czy kopię można odtworzyć i czy konta administratorów są regularnie przeglądane.

Co dokładnie pozostanie po projekcie? Zapytaj o mapę usług, ryzyka, procedury, listę działań, właścicieli, dowody, ćwiczenia i materiał dla zarządu.

Kto wdroży rekomendacje? Raport może wskazać potrzebę technicznych zmian, których doradca nie wykonuje. To dopuszczalne, ale podział pracy powinien być jasny.

Jakie są granice odpowiedzialności? Wiarygodny partner nie gwarantuje pełnej zgodności ani wyniku audytu bez znajomości organizacji.

Pytania do dostawcy oprogramowania

Czy narzędzie prowadzi proces, czy tylko przechowuje dokumenty? Sprawdź właścicieli, terminy, cykliczne kontrole, akceptacje, dowody i działania naprawcze.

Czy pokaże kontekst? Ryzyko powinno łączyć się z usługą, systemem, dostawcą, kontrolą i decyzją.

Czy można eksportować dane i historię? Organizacja powinna zachować swoją pamięć bez uzależnienia od jednego dostawcy.

Jak rozwiązano bezpieczeństwo samej platformy? Zapytaj o dostęp, kopie, szyfrowanie, podprocesorów, retencję, obsługę incydentów i zakończenie współpracy.

Kto skonfiguruje pierwszy działający cykl? Puste narzędzie do zarządzania ryzykiem i zgodnością może wymagać miesięcy projektowania. Warto sprawdzić, czy sposób pracy odpowiada faktycznej działalności firmy.

Najlepszy test: pokażcie jeden przepływ

Poproś o demonstrację od początku do końca: ryzyko dotyczące krytycznej usługi, przypisana kontrola, termin, dowód, nieudany wynik, działanie naprawcze i decyzja zarządu. Taki pokaz mówi więcej niż lista stu funkcji.

UP² łączy program wdrożeniowy z platformą, która utrzymuje jego rezultat. Pomagamy uruchomić zakres, role, procedury, kontrole i pierwszy cykl, a następnie prowadzić terminy, dowody i decyzje w jednym miejscu. Umów rozmowę i zobacz rzeczywisty przepływ UP².

Źródła