praca
ryzyko dostawców
Awarie Twoich dostawców liczą się jako Twoje. NIS2, DORA i RODO wymagają tego samego: wiedzieć, kim są dostawcy, sprawdzać ich proporcjonalnie i wpisać bezpieczeństwo do umowy.
co to znaczy w praktyce
Wszystkie trzy przepisy wymagają tej samej pracy, więc zbuduj jeden rejestr i niech każdy przepis z niego czerpie. Jeśli obejmuje Cię DORA, buduj według rejestru DORA i używaj go do wszystkiego, bo wymaga najwięcej.
Jeśli sprzedajesz bankowi lub innemu regulowanemu klientowi, spodziewaj się tej strony w odwróconej wersji: ich warunki przyjdą jako zmiany umowy do zaakceptowania.
co przechodzi wzdłuż łańcucha dostaw
- warunki umowy, ankiety
- Twoje zgłoszenia incydentów
- Twoje dane, Twój dostęp
- warunki bezpieczeństwa, prawa audytu
- ich zgłoszenia incydentów, sprawozdania
- te same warunki, przekazane dalej
- często także Twoje dane
podstawa NIS2 art. 21(2)(d), 21(3); RODO art. 28(1), 28(3), 28(4); IR 2024/2690 załącznik 5.1.4 jako punkt odniesienia
Odpowiadasz tak czy inaczej. Polski organ, UODO, w 2025 r. nałożył na administratora znacznie wyższą karę niż na podmiot przetwarzający.
podstawa DORA art. 28(1), 30(2); NIS2 art. 21(2)(d); RODO art. 28(1)
co zdecydować
- Kto prowadzi rejestr dostawców?wskazany właściciel, zwykle zakupy lub IT
- Jak dokładnie sprawdzać każdą grupę dostawców?wskazany właściciel, zatwierdzone przez organ zarządzający
- Które klauzule są nienegocjowalne w nowych umowach?dział prawny, wspólnie z właścicielem
- Którzy dostawcy wymagają planu wyjścia?operacje
podstawa NIS2 art. 21(2)(d), 21(3); DORA art. 28(3). Grupy dostawców są praktyką.
jak uważnie patrzeć na którego dostawcę
- lekko
- średnio
- ciężko
podstawa praktyka
co zbudować
- Wyeksportuj wszystkich dostawców z zobowiązań księgowych, potem dodaj narzędzia z listy aplikacji w Twoim dostawcy tożsamości. To Twój rejestr na start.
- Oznacz każdego: czy przechowuje Twoje dane, czy ma dostęp do Twoich systemów, czy firma stanęłaby bez niego. Kto nie dostanie żadnego znaku, wypada z listy.
- Zapisz przy każdym oznaczonym dostawcy właściciela, datę umowy, dane, których dotyczy, miejsce działania usługi i osobę, do której dzwonić przy incydencie.
- Zbierz certyfikat lub raport, który pierwsza dziesiątka już ma, i przeczytaj jego zakres, albo wyślij krótki kwestionariusz. Zanotuj datę.
- Napisz jeden zestaw klauzul do nowych umów i odnowień: wymagania bezpieczeństwa, zgłaszanie incydentów do Ciebie, prawa do audytu lub raportów, podwykonawcy, zwrot danych przy wyjściu.
- Ustal coroczny przegląd, bo sprawdzenie zrobione raz i nigdy więcej nie wytrzymuje próby.
podstawa NIS2 art. 21(3); RODO art. 28(1), 28(3); IR 2024/2690 załącznik 5.1.4, 5.2 jako punkt odniesienia; DORA art. 30(2)
dowody, które zostają
| co możesz pokazać | kto jest właścicielem | odświeżanie |
|---|---|---|
| rejestr dostawców ze znacznikami krytyczności | zakupy lub szef IT | dwa razy w roku |
| zapisy ocen z datami | biznesowy opiekun dostawcy | raz w roku dla dostawców krytycznych |
| podpisane umowy powierzenia przetwarzania | dział prawny lub inspektor ochrony danych | przy podpisaniu i przy zmianie |
| zestaw klauzul i lista umów, które go zawierają | dział prawny | raz w roku |
| plan wyjścia dla dostawców krytycznych | szef IT | raz w roku |
podstawa RODO art. 28(3), 5(2); DORA art. 28(3)
gdzie to się psuje
zaufanie do starej współpracy
Polski administrator oparł się na wcześniejszej pracy agencji PR i nie sprawdził jej zdolności do zabezpieczenia danych.
prawa do audytu, z których nikt nie korzysta
Klauzula pomaga tylko wtedy, gdy ktoś czyta raporty. Wpisz przy niej nazwisko i datę.
certyfikat, który obejmuje coś innego
Raport o jednym produkcie nic nie mówi o usłudze, którą kupujesz. Przeczytaj zakres.
darmowe narzędzia poza listą
Zobowiązania wobec dostawców pomijają wszystko, co nic nie kosztuje, a nadal przechowuje Twoje dane.
podstawa RODO art. 28(1), tak jak zastosował je UODO 21 lipca 2025 r.; reszta jest praktyką
co przepisy zostawiają otwarte
- Jak głęboko sięgać. NIS2 mówi o dostawcach bezpośrednich. Podwykonawcy wchodzą przez warunki Twojej umowy.
- Czy certyfikat dostawcy wystarcza. Żaden przepis tego nie mówi. Przeczytaj zakres i zapisz powód przyjęcia.
- Które funkcje są krytyczne lub ważne w rozumieniu DORA. Test stosujesz Ty, a Twój nadzorca może go zakwestionować.
podstawa NIS2 art. 21(2)(d); DORA art. 28(3)
sprawdź sam
co mówi każdy tekst, dla osoby sprawdzającej tę stronę
| tekst | mówi |
|---|---|
| NIS2 art. 21(2)(d) | Bezpieczeństwo łańcucha dostaw, w tym relacje z bezpośrednimi dostawcami i usługodawcami. |
| NIS2 art. 21(3) | Uwzględnić podatności każdego bezpośredniego dostawcy oraz jakość jego produktów i praktyk. |
| IR 2024/2690 załącznik 5.1.4 | Wymienieni dostawcy usług cyfrowych: warunki umowy dotyczące bezpieczeństwa, zgłaszania incydentów, praw do audytu, podatności, podwykonawstwa i zakończenia umowy. |
| IR 2024/2690 załącznik 5.2 | Wymienieni dostawcy usług cyfrowych: wykaz dostawców. |
| DORA art. 28(1) | Zachowujesz pełną odpowiedzialność, gdy korzystasz z dostawców usług ICT. |
| DORA art. 28(3) | Rejestr wszystkich umów w zakresie ICT, z wyodrębnieniem tych, które wspierają funkcje krytyczne lub ważne. |
| DORA art. 30(2) | Minimalne postanowienia umowy: lokalizacje, ochrona danych, zwrot danych, poziomy usług, pomoc. |
| RODO art. 28(1) | Korzystaj wyłącznie z podmiotów przetwarzających, które dają wystarczające gwarancje. |
| RODO art. 28(3) | Umowa z wymienionymi postanowieniami, w tym o bezpieczeństwie, pomocy i audytach. |
| RODO art. 28(4) | Te same obowiązki przekazane umownie każdemu dalszemu podmiotowi przetwarzającemu. |
- Dyrektywa (UE) 2022/2555 (NIS2) (EUR-Lex)
- Rozporządzenie wykonawcze Komisji (UE) 2024/2690 (EUR-Lex)
- Rozporządzenie (UE) 2022/2554 (DORA) (EUR-Lex)
- Rozporządzenie (UE) 2016/679 (RODO) (EUR-Lex)
twój następny krok
Wyeksportuj płatności na rzecz dostawców z zeszłego roku i oznacz pierwszych dziesięciu, jeszcze dziś.