Możesz mieć wzorowo zabezpieczoną infrastrukturę, świetne kopie i MFA na każdym koncie — i wpaść przez kogoś zupełnie innego. Przez dostawcę oprogramowania, firmę hostingową albo zewnętrznego informatyka, który ma zdalny dostęp do Twoich systemów. To właśnie ryzyko łańcucha dostaw, i NIS2 traktuje je wyjątkowo poważnie.
To jeden z najczęściej pomijanych obszarów zgodności w małych firmach — a zarazem jeden z tych, które realnie ratują przed cudzymi błędami. Zobaczmy, jak podejść do tego bez korporacyjnego aparatu audytowego.
Dlaczego dostawca to Twoje ryzyko
Głośne ataki ostatnich lat pokazały schemat: przestępcy nie atakują dobrze chronionego celu wprost, tylko jego słabiej zabezpieczonego dostawcę, a przez niego wchodzą dalej. Zaufany dostawca z dostępem do Twojej sieci to dla atakującego skrót.
Dlatego NIS2 wymaga, by zarządzanie ryzykiem obejmowało także relacje z dostawcami — to naturalne rozszerzenie Twojej analizy ryzyka. Pytanie „co może pójść nie tak?” musi obejmować również „a co, jeśli to nasz dostawca zostanie zhakowany?”.
Krok 1: zrób mapę dostawców
Nie ocenisz ryzyka, którego nie widzisz. Spisz, kto ma dostęp do Twoich systemów lub danych:
- Dostawcy IT — hosting, chmura, oprogramowanie, firma serwisowa, zewnętrzny administrator.
- Integracje — systemy połączone API, narzędzia przetwarzające Twoje dane.
- Dostęp fizyczny i zdalny — kto może wejść do serwerowni lub zalogować się zdalnie.
Przy każdym zaznacz, do czego ma dostęp i jak bardzo jest krytyczny dla Twojego działania.
Krok 2: oceń krytycznych dostawców
Nie musisz audytować wszystkich tak samo. Skup energię na tych z dostępem do wrażliwych danych lub kluczowych systemów. Prosta lista pytań do dostawcy:
- ✅ Czy posiadają certyfikaty lub potwierdzone praktyki bezpieczeństwa (np. ISO 27001)?
- ✅ Jak zabezpieczają dostęp do Twoich danych? Czy stosują MFA i szyfrowanie?
- ✅ Jak i w jakim czasie powiadomią Cię o incydencie u siebie?
- ✅ Gdzie przechowują dane i kto ma do nich dostęp (podwykonawcy)?
- ✅ Czy mają plan ciągłości działania i kopie zapasowe?
Dla małej firmy taka „ankieta bezpieczeństwa” w zupełności wystarcza — nie potrzebujesz drogiego audytu zewnętrznego, żeby oddzielić dostawców solidnych od niepokojących.
Krok 3: zabezpiecz to w umowach
Najskuteczniejsze narzędzie małej firmy to zapisy w umowie. Warto, by kontrakt z krytycznym dostawcą zawierał:
- Obowiązek zgłaszania incydentów w określonym czasie.
- Minimalne wymagania bezpieczeństwa (szyfrowanie, kontrola dostępu, MFA).
- Zasady dostępu zdalnego — tylko imienne konta, najlepiej przez VPN, z 2FA.
- Prawo do weryfikacji i jasne zasady przy zakończeniu współpracy (odebranie dostępów!).
Krok 4: kontroluj dostęp na bieżąco
Bezpieczeństwo dostawcy to nie jednorazowy formularz. W praktyce:
- Konta imienne, nie współdzielone — wiesz, kto i kiedy się logował.
- Najmniejsze potrzebne uprawnienia — dostawca widzi tylko to, co musi.
- Monitoring i logi — Zabbix, Grafana i centralne logi pokażą nietypową aktywność konta zewnętrznego.
- Natychmiastowe odbieranie dostępów po zakończeniu współpracy — to klasyczna, kosztowna luka.
Druga strona medalu: sam jesteś czyimś dostawcą
Jeśli świadczysz usługi większym firmom, ten sam mechanizm dotyczy Ciebie — Twoi klienci będą wymagać dowodów bezpieczeństwa. Wtedy zgodność z NIS2 przestaje być kosztem, a staje się przewagą handlową: „jesteśmy bezpiecznym dostawcą” to dziś realny argument w przetargach. Pisaliśmy o tym, dlaczego NIS2 dotyczy także małych firm właśnie przez łańcuch dostaw.
Co dalej w tym cyklu
To domyka wątek zgodności: od tego, kogo NIS2 obejmuje, przez analizę ryzyka i różnice wobec RODO, po łańcuch dostaw. Na finał cyklu przygotowaliśmy praktyczne case study wdrożenia z konkretnymi liczbami.
Chcesz ocenić ryzyko swoich dostawców albo przygotować się do bycia „bezpiecznym dostawcą” dla większych klientów? Napisz do nas — pomożemy zmapować łańcuch dostaw, przygotować ankiety i zapisy umowne oraz wdrożyć kontrolę dostępu.