Umowy z dostawcami

Ustawa o KSC obowiązuje w nowym brzmieniu od 3 kwietnia 2026 i wykonuje NIS2, unijną dyrektywę 2022/2555 o cyberbezpieczeństwie. Łańcuch dostaw to produkty, usługi i procesy ICT, czyli sprzęt, oprogramowanie i usługi informatyczne, od których zależy Twoja usługa, razem z ich dostawcami. Podmiot kluczowy lub ważny zapewnia bezpieczeństwo i ciągłość tego łańcucha, uwzględniając podatności, czyli luki w zabezpieczeniach, i ogólną jakość produktów każdego dostawcy. Dostawca spoza zakresu ustawy nie ma z niej własnych obowiązków, więc dostaje je zapisane w umowie z Tobą.

Firma objęta ustawą od dnia jej wejścia w życie, 3 kwietnia 2026, ma na wdrożenie obowiązków, także tych wobec dostawców, czas do 3 kwietnia 2027. Od tego terminu zależy, które umowy zdążą z odnowieniem, a które potrzebują aneksu.

Zaczynamy od spisu. Zbieramy umowy z dostawcami chmury, oprogramowania, utrzymania i serwisu oraz z podwykonawcami, o których wiesz. Każdemu przypisujemy usługę firmy, która bez niego się zatrzyma, i oceniamy, czy da się go zastąpić, w jakim czasie i czy dane wrócą. Sprawdzamy też, czy dostawca jest objęty postępowaniem o uznanie za dostawcę wysokiego ryzyka, którego produkty trzeba by wycofać; takiej listy dotąd nie ogłoszono ani nie wszczęto postępowania wobec żadnego dostawcy.

Każdą umowę czytamy pod kątem obowiązków z ustawy i notujemy, gdzie milczy albo mówi za mało. Wymagania mają cztery grupy. Bezpieczeństwo u dostawcy: jak chroni Twoje dane, kto u niego ma do nich dostęp i jak usuwa luki w swoim oprogramowaniu. Zgłaszanie incydentów: termin, w którym dostawca zawiadamia Cię o zdarzeniu u siebie, tak żeby Twoje własne zgłoszenie zdążyło na czas. Dostęp do sprawdzenia: jak potwierdzisz, że dostawca robi to, co obiecał. Wyjście z umowy: w jakiej postaci i w jakim czasie odzyskasz dane i dokumentację.

Dla nowych zamówień piszemy wzór wymagań do zapytań ofertowych: te same cztery grupy jako pytania do oferenta i jako wymagania do przyszłej umowy. Bezpieczeństwo przy zakupie nowego systemu jest w dyrektywie osobnym wymaganiem, obok jego rozwoju i utrzymania. Osoby z zespołu mają zaplecze prawne: my opisujemy wymagania i sprawdzamy dostawców, a brzmienie zapisów umownych i opinie prawne przygotowuje kancelaria.

Czy ustawa obejmuje Twoją firmę, ustala analiza wpływu i luk; procedura incydentu w firmie i zabezpieczenia w systemie to także osobne zakresy.