NIS2 a mała firma: klient przysłał ankietę dostawcy. Co teraz?

Dlaczego dostajesz ankietę, skoro ustawa Cię nie obejmuje

Ustawa z 23 stycznia 2026 r. (Dz.U. 2026 poz. 252) obowiązuje od 3 kwietnia 2026 r. Firma jest podmiotem kluczowym albo ważnym, gdy działa w sektorze z załącznika i spełnia próg średniego przedsiębiorcy z rozporządzenia 651/2014: od 50 pracowników albo powyżej 10 mln EUR obrotu lub sumy bilansowej (art. 5). Kilka rodzajów firm, np. dostawcy usług DNS i rejestratorzy domen, podlega bez progu wielkości.

Jeśli nie łapiesz się na żaden z tych warunków, ustawa nie nakłada na Ciebie obowiązków. Twój klient ma jednak wdrożyć system zarządzania bezpieczeństwem informacji, w tym zadbać o bezpieczeństwo i ciągłość łańcucha dostaw produktów, usług i procesów ICT, od których zależy jego usługa (art. 8 ust. 1 pkt 2 lit. e), i ocenić podatności związane z dostawcą oraz jakość jego produktów (art. 8 ust. 2). Ankiety dostają więc firmy IT, dostawcy i wdrożeniowcy oprogramowania, dostawcy sprzętu sieciowego, biura rachunkowe i serwisy ze zdalnym dostępem: każdy, kto ma dostęp do systemu klienta albo dostarcza coś, bez czego jego usługa stanie.

Czego klient ma prawo wymagać, a czego nie

Klient nie jest organem. Nie wpisze Cię do wykazu, nie nałoży kary z ustawy i nie zobowiąże Cię do zgłoszeń do CSIRT. Może za to postawić warunki w umowie, bo to jego rozlicza organ. Pytania w ankietach wynikają wprost z listy środków z art. 8 ust. 1:

Jeśli pytanie nie dotyczy Twojej usługi (np. serwerownia, której nie masz), napisz, że nie dotyczy, i dlaczego.

Jak odpowiedzieć na ankietę dostawcy: 6 kroków

1. Ustal, co dostarczasz i gdzie masz dostęp. Jedno zdanie na usługę: co, jak (zdalnie, na miejscu, przez VPN), na jakich kontach.
2. Odpowiadaj prawdziwie, także na nie. Odpowiedź nie, ale planujemy do końca kwartału jest lepsza niż tak, które klient sprawdzi przy pierwszym incydencie.
3. Dołącz dowody, nie deklaracje. Zrzut z ustawień uwierzytelniania, harmonogram kopii, lista kont z datą ostatniego przeglądu.
4. Spisz procedurę incydentu na jedną stronę. Kto u Ciebie dzwoni do klienta, pod jaki numer, w jakim czasie.
5. Sprawdź, co podpisujesz w umowie. Czas reakcji, prawo klienta do audytu u Ciebie, kary umowne wiążą bardziej niż sama ankieta.
6. Zachowaj kopię odpowiedzi. Następna przyjdzie przy przedłużeniu umowy albo od kolejnego klienta i wypełnisz ją w godzinę.

Terminy i kary, które ma Twój klient

Klient objęty ustawą od 3 kwietnia 2026 r. ma 12 miesięcy na wdrożenie obowiązków, czyli do 3 kwietnia 2027 r., a podmiot kluczowy dodatkowo 24 miesiące na pierwszy audyt, do 3 kwietnia 2028 r. (art. 33). Dlatego ankiety przychodzą teraz: klient porządkuje dostawców przed własnym terminem. Kary z ustawy grożą jemu, nie Tobie: dla podmiotu kluczowego do 10 000 000 EUR albo 2% przychodów, dla podmiotu ważnego do 7 000 000 EUR albo 1,4% przychodów (art. 73), przy czym większość kar organ może nałożyć po raz pierwszy dopiero po 3 kwietnia 2028 r. (art. 35). Pełny tekst: Dz.U. 2026 poz. 252, progi wielkości: rozporządzenie 651/2014 (stan na październik 2026).

Zanim odeślesz ankietę, sprawdź własny status

Firma z sektora z załącznika, która w tym roku przekroczyła 50 pracowników, albo spółka powiązana z większą grupą może sama być podmiotem ważnym. Jak to policzyć, opisaliśmy na stronie NIS2 - kogo dotyczy, a przy kontroli organu i przy incydencie jesteśmy po Twojej stronie.

Najczęstsze pytania