Stan prawny na: 02.11.2026

Dyrektywa NIS2 trafiła do wielu urzędów najpierw jako hasło w ofertach szkoleń i audytów. Za hasłem stoi jednak konkretny obowiązek, który dotyczy także zakupu zwykłego oprogramowania: bezpieczeństwo łańcucha dostaw. Jeżeli gmina korzysta z systemu rezerwacji, programu do obsługi podatków czy elektronicznego obiegu dokumentów, każdy z tych dostawców jest ogniwem, przez które może przyjść incydent.

W tym artykule wyjaśniamy, czego dotyczy NIS2, jak może przekładać się na gminę i co w praktyce sprawdzić u dostawcy oprogramowania, w szczególności usługi w chmurze. Nie rozstrzygamy, jakie obowiązki ma konkretna gmina. To zależy od aktualnego brzmienia polskich przepisów i wymaga oceny prawnej.

NIS2 i polska ustawa w skrócie

Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555, nazywana NIS2, ustala minimalne wymagania cyberbezpieczeństwa dla podmiotów w sektorach ważnych dla gospodarki i społeczeństwa. Obejmuje między innymi administrację publiczną, przy czym państwa członkowskie decydują, czy i w jakim zakresie włączają do niej administrację na poziomie lokalnym.

W Polsce dyrektywę wdrożyła ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252), która obowiązuje od 3 kwietnia 2026 r. Po nowelizacji urząd gminy zatrudniający co najmniej 50 osób jest podmiotem kluczowym, a samorządowe jednostki budżetowe, zakłady budżetowe i instytucje kultury - podmiotami ważnymi. Ustawa przewiduje obowiązki dla podmiotów publicznych, w tym jednostek samorządu terytorialnego, na przykład wyznaczenie osoby do kontaktu i obsługę incydentów.

Niezależnie od tego, jak ostatecznie zostanie zakwalifikowana dana gmina, bezpieczeństwo dostawców jest elementem, który i tak wynika z innych przepisów: RODO (art. 28 i 32) oraz Krajowych Ram Interoperacyjności. NIS2 porządkuje te wymagania i nadaje im nazwę.

Czym jest bezpieczeństwo łańcucha dostaw

NIS2 wymienia bezpieczeństwo łańcucha dostaw wśród środków zarządzania ryzykiem, w tym aspekty bezpieczeństwa dotyczące relacji z bezpośrednimi dostawcami i usługodawcami. W praktyce chodzi o to, żeby podmiot:

  • wiedział, od kogo kupuje usługi i oprogramowanie, które mają wpływ na bezpieczeństwo jego systemów;
  • ocenił ryzyko związane z każdym dostawcą;
  • uwzględnił wymagania bezpieczeństwa w umowach;
  • monitorował dostawców i reagował na zmiany.

Dla gminy dostawcą w łańcuchu dostaw jest zarówno firma, która utrzymuje sieć w urzędzie, jak i dostawca systemu rezerwacji świetlic. Skala ryzyka jest różna, ale metoda ta sama.

Inwentaryzacja dostawców w gminie

Pracę warto zacząć od listy. W wielu urzędach to pierwsze ćwiczenie pokazuje, że systemów jest więcej, niż wszyscy myśleli.

Kolumna Przykład dla systemu rezerwacji
Usługa / system System rezerwacji obiektów i zapisów na zajęcia
Dostawca [nazwa dostawcy]
Model SaaS (usługa w chmurze)
Właściciel w urzędzie Kierownik referatu / dyrektor OSiR
Dane Dane kontaktowe mieszkańców, rezerwacje, płatności
Krytyczność Średnia: niedostępność utrudnia obsługę, ale istnieje procedura zastępcza (telefon, zeszyt)
Umowy Umowa o świadczenie usługi, umowa powierzenia
Przegląd Raz w roku i przy zmianie podwykonawców

Krytyczność warto ocenić realistycznie. System rezerwacji świetlic nie jest systemem dziedzinowym urzędu, ale przetwarza dane mieszkańców i jego wyciek albo przejęcie konta administratora byłoby incydentem.

Pytania do dostawcy oprogramowania

  1. Czy dostawca ma opisane zasady bezpieczeństwa i kto u niego za nie odpowiada?
  2. Gdzie są przetwarzane dane i kto jest podwykonawcą (hosting, poczta, płatności)?
  3. Jak dostawca zabezpiecza dostęp swojego personelu do danych jednostki?
  4. Jak wygląda proces aktualizacji i usuwania podatności? Jak szybko dostawca reaguje na krytyczne luki?
  5. Czy oprogramowanie jest testowane pod kątem bezpieczeństwa? Kiedy był ostatni test?
  6. Jak dostawca informuje o incydentach i w jakim terminie?
  7. Jakie są kopie zapasowe i jak szybko można przywrócić działanie?
  8. Co się dzieje z danymi po zakończeniu umowy?
  9. Czy dostawca udostępni informacje potrzebne do audytu jednostki?

Lista pokrywa się w dużej części z pytaniami o KRI i RODO. Szerzej: KRI a usługi w chmurze i Umowa powierzenia przetwarzania danych w usłudze chmurowej.

Co zapisać w umowie

Umowa z dostawcą oprogramowania, także w modelu abonamentowym, może zawierać:

  • opis środków bezpieczeństwa w załączniku, z zobowiązaniem do ich utrzymania;
  • termin powiadomienia o incydencie, który pozwala gminie dotrzymać własnych terminów;
  • obowiązek informowania o zmianach podwykonawców i istotnych zmianach w usłudze;
  • prawo do informacji i audytu;
  • zasady zakończenia współpracy: eksport danych i ich usunięcie;
  • odpowiedzialność za naruszenia.

Wiele z tych elementów wymaga już umowa powierzenia z art. 28 RODO. W praktyce warto, żeby wymagania bezpieczeństwa były w jednym miejscu i nie przeczyły sobie w dwóch dokumentach.

Incydent u dostawcy: terminy

NIS2 przewiduje wczesne ostrzeżenie o poważnym incydencie w ciągu 24 godzin od jego wykrycia i zgłoszenie incydentu w ciągu 72 godzin. RODO wymaga od administratora zgłoszenia naruszenia ochrony danych do organu nadzorczego w ciągu 72 godzin (art. 33 RODO).

Jeżeli incydent wystąpi u dostawcy, gmina dowie się o nim od dostawcy. Termin, w którym dostawca ma powiadomić gminę, musi więc być krótszy niż terminy gminy. Umowa powinna określać ten termin, kanał zgłoszenia i minimalny zakres informacji.

ZAJMIJ.TO jako dostawca

ZAJMIJ.TO jest dla jednostki dostawcą w łańcuchu dostaw. Spółka jest mikroprzedsiębiorstwem i nie jest podmiotem kluczowym ani ważnym w rozumieniu ustawy o krajowym systemie cyberbezpieczeństwa; jako dostawca jednostek stosuje środki opisane w pakiecie KRI.

Umowa powierzenia usługi ZAJMIJ.TO przewiduje powiadamianie jednostki o naruszeniu ochrony danych osobowych bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od jego stwierdzenia. Umowa subskrypcji dodaje zawiadomienie w tym samym terminie o poważnym incydencie bezpieczeństwa bez danych osobowych - do inspektora ochrony danych i osoby wskazanej przez jednostkę do spraw cyberbezpieczeństwa. Wzory umowy powierzenia i umowy subskrypcji są opublikowane na stronie, a ich zmiany zapowiadamy z wyprzedzeniem. Załącznik do umowy opisuje środki techniczne i organizacyjne.

Zabezpieczenia usługi opisujemy na stronie bezpieczeństwo danych i RODO. Na prośbę inspektora ochrony danych albo pełnomocnika do spraw bezpieczeństwa przygotujemy odpowiedzi na pytania z tej listy na piśmie.

Wyślij zgłoszenie

Źródła

Powiązane wpisy