Bezpieczeństwo organizacji sięga tylko tak daleko, jak najsłabsze ogniwo w jej łańcuchu dostaw. Nowelizacja ustawy o KSC (wdrażająca dyrektywę NIS2) nakłada na podmioty kluczowe i ważne obowiązek zarządzania ryzykiem w relacjach z dostawcami produktów i usług ICT. Oznacza to, że odpowiedzialność prawna i operacyjna za naruszenia w obszarze IT nie kończy się na granicach własnej infrastruktury przedsiębiorstwa, lecz rozciąga się na zewnętrznych dostawców oprogramowania, chmury, infrastruktury czy usług zarządzanych.
Dlaczego łańcuch dostaw trafił pod lupę regulatora?
Ataki na łańcuchy dostaw stały się jednym z głównych wektorów przełamywania zabezpieczeń w cyfrowej infrastrukturze. Zgodnie z nowymi przepisami, podmioty objęte reżimem KSC muszą brać pod uwagę specyficzne podatności każdego bezpośredniego dostawcy oraz ogólną jakość produktów i praktyk w zakresie cyberbezpieczeństwa. Niedopełnienie obowiązku weryfikacji kontrahenta jest traktowane przez organ nadzorczy na równi z brakiem wdrożenia własnych środków ochrony.
Co musi zmienić się w umowach B2B z dostawcami ICT?
Dotychczasowe, standardowe umowy B2B często ograniczają odpowiedzialność dostawców IT do symbolicznych kwot i zawierają jedynie powierzchowne deklaracje dotyczące bezpieczeństwa. Nowy reżim KSC wymaga wprowadzenia twardych, egzekwowalnych klauzul umownych, obejmujących w szczególności:
- Prawo do audytu (Right to Audit): Gwarancję prawa zamawiającego (oraz organów nadzorczych) do przeprowadzania audytów bezpieczeństwa w siedzibie dostawcy lub weryfikacji jego środowiska teleinformatycznego.
- Rygorystyczne obowiązki raportowania incydentów: Zobowiązanie dostawcy do natychmiastowego powiadamiania o incydentach po jego stronie, które mogą wpływać na ciągłość lub bezpieczeństwo świadczonej usługi (z uwzględnieniem okien czasowych pozwalających zamawiającemu wywiązać się z własnego, 24-godzinnego obowiązku zgłoszenia).
- Minimalne standardy techniczne i organizacyjne: Precyzyjne określenie wymogów w zakresie szyfrowania danych, zarządzania uprawnieniami, wieloskładnikowego uwierzytelniania oraz prowadzenia cyklicznych testów penetracyjnych.
- Kaskadowość obowiązków (dalsi podwykonawcy): Nakaz nałożenia analogicznych wymogów cyberbezpieczeństwa na poddostawców i podwykonawców, z których korzysta główny kontrahent.
Jak skutecznie audytować kontrahentów ICT?
Weryfikacja dostawców nie może ograniczać się do jednorazowego zebrania oświadczeń. Zgodnie z wytycznymi KSC proces ten musi przybrać formę cyklicznej oceny ryzyka, na którą składają się:
- Kategoryzacja dostawców: Podział kontrahentów na grupy w zależności od poziomu ich dostępu do krytycznych systemów i danych organizacji.
- Weryfikacja certyfikatów i norm: Sprawdzanie, czy dostawca posiada uznane certyfikaty rynkowe (np. ISO/IEC 27001, SOC 2) oraz egzekwowanie szczegółowych ankiet samooceny.
- Przeglądy operacyjne: Regularne weryfikowanie wskaźników SLA oraz żądanie przedstawiania wyników niezależnych testów bezpieczeństwa.
- Planowanie ciągłości działania: Analiza procedur BCP dostawcy na wypadek awarii, ataku ransomware lub nagłego zakończenia świadczenia usług.
Wdrożenie nowych zasad nadzoru nad dostawcami ICT wymaga ścisłej współpracy działów prawnych, zakupowych oraz zespołów IT. Czas pozostały do kwietnia 2027 r., kiedy to mija termin na pełne wdrożenie systemu zarządzania ryzykiem w cyberbezpieczeństwie, warto wykorzystać na kompleksowy przegląd portfela umów B2B oraz wdrożenie procedur audytowych, zanim kwestie te zostaną zweryfikowane podczas pierwszej kontroli regulatora.
Niniejszy artykuł ma charakter informacyjny i nie jest to porada prawna.
Stan prawny na dzień 10 września 2026 r.
