Łańcuch dostaw NIS 2: podstawy
Artykuł 21 ust. 2 lit. d) NIS 2 wymaga od firm regulowanych podjęcia środków bezpieczeństwa łańcucha dostaw, w tym aspektów bezpieczeństwa relacji z bezpośrednimi dostawcami i dostawcami usług. Ta strona obejmuje podstawy: co mówi przepis, kogo dosięga, o co mogą poprosić Twoi klienci i jak dostawcy dowodzą cyberbezpieczeństwa, nie stając się sami podmiotem regulowanym.
Dlaczego mali dostawcy są objęci NIS2
NIS2 (art. 21 ust. 2 lit. d) NIS-2, transponowany w §30 ust. 2 pkt 4 BSIG) wymaga od każdego podmiotu kluczowego i ważnego (według BSI około 29 500 w Niemczech) podjęcia środków bezpieczeństwa łańcucha dostaw, w tym aspektów bezpieczeństwa relacji z bezpośrednimi dostawcami i dostawcami usług. Wybierając te środki, musi uwzględnić specyficzne podatności każdego bezpośredniego dostawcy oraz ogólną jakość produktów dostawców i ich praktyk bezpieczeństwa (art. 21 ust. 3). Zwykłą drogą są umowy: niemieckie uzasadnienie ustawy wymienia jako przykład uzgodnienia umowne z dostawcami.
Jeśli Twoja firma ma mniej niż 50 pracowników, a jej roczny obrót i suma bilansowa nie są obie wyższe niż 10 mln EUR, zwykle nie jesteś bezpośrednio regulowany przez NIS2. Niektóre rodzaje podmiotów podlegają regulacji niezależnie od wielkości, takie jak dostawcy usług zaufania, dostawcy DNS, rejestry TLD, mali dostawcy publicznej łączności elektronicznej i operatorzy instalacji krytycznych (§28 BSIG). Jeśli świadczysz usługi IT, oprogramowanie, komponenty, logistykę lub inną usługę dla firmy regulowanej, wymagania NIS2 mogą Cię dosięgnąć poprzez Twoje umowy.
§30 ust. 2 pkt 4 BSIG: bezpieczeństwo łańcucha dostaw
Podmioty regulowane muszą podjąć środki dotyczące "bezpieczeństwa łańcucha dostaw, w tym aspektów związanych z bezpieczeństwem dotyczących relacji z bezpośrednimi dostawcami lub dostawcami usług" (§30 ust. 2 pkt 4 BSIG, transponujący art. 21 ust. 2 lit. d) NIS-2). Obowiązek pozostaje po stronie podmiotu regulowanego; dostawca przyjmuje zobowiązania tylko poprzez to, co uzgodni z tym klientem.
Wymagania umowne
Wiele firm regulowanych przez NIS2 wykorzystuje umowy z dostawcami do spełnienia obowiązku dotyczącego łańcucha dostaw; niemieckie uzasadnienie ustawy wymienia jako przykłady uzgodnienia dotyczące środków zarządzania ryzykiem, obsługi incydentów i zarządzania poprawkami. Spodziewaj się takich klauzul przy następnej umowie lub jej przedłużeniu.
Audyty i kwestionariusze dostawców
Twoi klienci mogą wysyłać kwestionariusze bezpieczeństwa i mogą przeprowadzać audyty. Odpowiedzi, które masz już spisane, można szybko przekazać.
Obowiązki zgłaszania incydentów
Jeśli incydent bezpieczeństwa w Twojej firmie powoduje poważny incydent u klienta regulowanego przez NIS2, klient ten musi zgłosić go do BSI: wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin i raport końcowy miesiąc później (§32 BSIG). Aby dotrzymać tych terminów, musi szybko usłyszeć o tym od Ciebie.
Przewaga konkurencyjna
Gdy firma regulowana wybiera między dwoma dostawcami i jeden potrafi wykazać bezpieczeństwo zgodne z NIS2, a drugi nie: wybór jest oczywisty. Zgodność staje się wyróżnikiem sprzedażowym.
Ocena ryzyka
Zidentyfikuj i udokumentuj ryzyka dla systemów, których używasz do pracy dla klientów. Nie musi być skomplikowana: wystarczy ustrukturyzowana lista z planami postępowania.
Kontrola dostępu
Kto może uzyskać dostęp do danych i systemów klienta? Dostęp oparty na rolach, MFA dla dostępu zdalnego oraz udokumentowane zarządzanie użytkownikami.
Obsługa incydentów
Udokumentowany proces wykrywania, reagowania i zgłaszania incydentów bezpieczeństwa. Żaden przepis nie ustala terminu dla dostawcy; ustala go to, co uzgodnisz z klientem, a zegar samego klienta zaczyna biec od 24 godzin.
Ciągłość działania
Co się dzieje, gdy Twoje systemy padną? Strategia kopii zapasowych, procedury przywracania i przetestowane plany dalszego świadczenia usług klientom.
Polityki i dowody
Pisemne polityki bezpieczeństwa, zapisy szkoleń oraz ścieżka audytu dowodząca, że stosujesz własne zasady. To właśnie sprawdzają audytorzy.
Sprawdź swoje narażenie
Skorzystaj z naszej bezpłatnej kontroli stosowalności, aby potwierdzić swój status NIS2. Nawet jeśli nie jesteś bezpośrednio w zakresie, zidentyfikuj, którzy z Twoich klientów są regulowani przez NIS2: te umowy przyjdą z nowymi wymaganiami.
Przeprowadź ocenę luk
Porównaj swoje obecne praktyki bezpieczeństwa z 10 środkami z §30 BSIG. Większość małych firm już część tego robi nieformalnie: luka dotyczy zwykle dokumentacji, a nie praktyki.
Wdróż podstawy
Zacznij od elementów o największym wpływie: kontrola dostępu, strategia kopii zapasowych, proces reagowania na incydenty. Platforma nisd2.eu prowadzi Cię przez każde wymaganie z gotowymi wzorami.
Zbuduj pakiet dowodowy
Gdy Twój klient wyśle kwestionariusz bezpieczeństwa, potrzebujesz gotowych odpowiedzi. Polityki, zapisy szkoleń, oceny ryzyka i środki techniczne: wszystko udokumentowane i możliwe do wyeksportowania.
Przeglądaj corocznie
Zgodność z NIS2 nie jest projektem jednorazowym. Zaplanuj coroczny przegląd swoich ryzyk, aktualizuj polityki i odświeżaj szkolenia pracowników.
Najczęściej zadawane pytania
Czy jako mały dostawca jestem prawnie zobowiązany do zgodności z NIS2?▾
Nie bezpośrednio: NIS2 ma zastosowanie do firm powyżej unijnego progu średniego przedsiębiorstwa (50+ pracowników LUB (ponad 10 mln EUR obrotu ORAZ ponad 10 mln EUR sumy bilansowej), zgodnie z zaleceniem Komisji 2003/361/WE) w sektorze regulowanym. Niektóre rodzaje podmiotów są objęte niezależnie od wielkości (§28 BSIG). Twoi klienci regulowani przez NIS2 są jednak prawnie zobowiązani do podjęcia środków bezpieczeństwa łańcucha dostaw (§30 ust. 2 pkt 4 BSIG, transponujący art. 21 ust. 2 lit. d) NIS-2). Klient może przekazać Ci wymagania w umowie. BSI nie ukarze Cię grzywną, ale możesz stracić kontrakty.
Co się stanie, jeśli nie zapewnię zgodności?▾
Twoi klienci regulowani przez NIS2 są narażeni na grzywny do 10 mln EUR / 2% globalnego rocznego obrotu (podmioty kluczowe) lub 7 mln EUR / 1,4% (podmioty ważne), jeśli nie spełnią swoich obowiązków bezpieczeństwa łańcucha dostaw (§65 BSIG). Albo zażądają od Ciebie zgodności, albo zastąpią Cię dostawcą, który ją zapewnia. Praktyczną konsekwencją jest utracony biznes, a nie grzywna BSI.
Ile kosztuje zgodność dostawcy?▾
Dla małej firmy głównym kosztem jest czas. Ile go potrzeba, zależy od tego, co już jest wdrożone: prawo wymaga środków proporcjonalnych do narażenia na ryzyko i wielkości firmy (§30 ust. 1 BSIG), a dostawca, który nie jest regulowany, jest winien tylko to, co uzgodni ze swoimi klientami.
Czy mogę wykorzystać zgodność z NIS2 jako argument sprzedażowy?▾
Tak. Gdy potrafisz wykazać praktyki bezpieczeństwa zgodne z NIS2 z udokumentowanym dowodem, ułatwiasz klientowi spełnienie jego obowiązku dotyczącego łańcucha dostaw.
Co, jeśli mój klient jeszcze nie zapytał?▾
Mogą zapytać. Termin rejestracji w BSI upłynął 6 marca 2026 r., a bezpieczeństwo łańcucha dostaw jest jednym z 10 środków z §30 ust. 2 BSIG (pkt 4). Wyprzedzenie zapytania sprawia, że odpowiedź jest łatwa, gdy ono nadejdzie.
W praktyce
Gdzie to pojawia się w przewodniku krok po kroku
Przewodnik zamienia to w kroki do wypełnienia, a przy każdym z nich wyjaśnia przepisy. Otwórz krok, aby zobaczyć jego ekran wypełniony dla fikcyjnej firmy.
Sam przewodnik jest po niemiecku i po angielsku.
Supply Chain Security
Write down who works for you
A list of your suppliers and service providers.
Supply Chain Security
Record what you have agreed with your suppliers
For each supplier: what does the contract say about security?
Masz zająć się NIS2?
Prowadzimy Cię krok po kroku. Ty wypełniasz, my wyjaśniamy każdy punkt prostymi słowami, a na końcu podpisuje kierownictwo.
