DGP | NIS2 uderza w łańcuch dostaw. Jak zmienią się umowy z dostawcami IT?

Znowelizowane przepisy o krajowym systemie cyberbezpieczeństwa obowiązują od 3 kwietnia 2026 r. Przepisy wprost mówią o podmiotach kluczowych i ważnych, ale ich skutki poczuje znacznie szersze grono firm. Dostawcy IT, chmury i outsourcingu, którzy sami ustawie nie podlegają często są zaskoczeni, że muszą dostosować się do jej wymogów. Dla jednych to kłopot, dla innych sposób, żeby wyprzedzić konkurencję.

Ustawa mówi, co osiągnąć, a nie co wpisać do umowy

Zacznijmy od tego, czego przepisy naprawdę wymagają. System zarządzania bezpieczeństwem informacji ma zapewniać „bezpieczeństwo i ciągłość łańcucha dostaw produktów ICT, usług ICT i procesów ICT, od których zależy świadczenie usługi”. Wdrażając ten obowiązek, firma bierze pod uwagę cztery obszary. Są to słabe punkty konkretnego dostawcy, ogólna jakość tego, co on dostarcza, wynik wspólnej oceny bezpieczeństwa prowadzonej na poziomie unijnym oraz to, czy wobec dostawcy nie toczy się postępowanie o uznanie go za dostawcę wysokiego ryzyka.

Co to oznacza z perspektywy dostawcy? Powinien wiedzieć, że jest i będzie oceniany. Kryteria tej oceny pojawią się w formie klauzul umownych. Ustawa nie mówi, co dokładnie ma znaleźć się w umowie z dostawcą. Zatem czego się spodziewać?

Punktem odniesienia może być rozporządzenie wykonawcze 2024/2690 do dyrektywy NIS2. Jego załącznik wskazuje, jakie elementy powinna określać umowa z dostawcą ICT. Rozporządzenie to wiąże jednak wprost tylko wąską grupę podmiotów, a i wobec nich te wymagania stosuje się „w stosownych przypadkach” i zależnie od ryzyka. Dla wszystkich pozostałych podmiotów – nie ma określonych wymagań co do treści umowy. Trzeba jednak pamiętać, że umowa jest po prostu najlepszym dokumentem, na podstawie którego można wykazać wymagany rezultat bezpieczeństwa dostawcy. Papier przyjmie wszystko, więc projektowane klauzule umowne czerpią inspirację ze wspomnianego rozporządzenia niezależnie od tego, jakiego dostawcy dotyczą. Czy każdy dostawca musi je spełnić?

W idealnym świecie ocena poziomu krytyczności danego dostawcy, powinna być kierunkowskazem do ustalania adekwatnych wymogów wobec danego dostawcy.  Jak to wygląda w praktyce? Na rynku zaczynają funkcjonować gotowe zestawy klauzul, które dostawca akceptuje albo nie. Niezależnie od tego, jaki jak bardzo jest ważny dla klienta.

Dlaczego wymogi NIS2 poczują podmioty, które pod NIS2 nie podlegają?

Tu zaczyna się najważniejsza kwestia dla rynku IT. Skoro podmiot kluczowy lub ważny musi zadbać o bezpieczeństwo całego swojego łańcucha dostaw, to jednym z najprostszych, a zarazem wygodnych sposobów jest przełożenie tych wymagań z ustawy na umowy z dostawcami. Takie rozwiązanie jest opisane (a nawet polecane!) w opublikowanym przez Ministerstwo Cyfryzacji FAQ (https://cyber.gov.pl/faq).

W umowach z dostawcami widzimy więc coraz częściej  postanowienia o cyberbezpieczeństwie, w tym zobowiązanie do zachowania poufności, zasady zgłaszania incydentów i informowanie o podatnościach. Dostawca, który sam ustawie nie podlega, dostaje jej ciężar umownie od klienta. I nie wystarczą zapisy, które funkcjonowały z „czasów wdrażania zgodności z RODO”. Bezpieczeństwo informacji to pojęcie znacznie szersze niż bezpieczeństwo danych osobowych.

Wielkość przedsiębiorstwa dostawcy też nie ma tu żadnego znaczenia. „Bycie małym” – nie powoduje taryfy ulgowej. To właśnie małe i średnie przedsiębiorstwa coraz częściej padają celem ataków na łańcuch dostaw, ponieważ mają słabsze zabezpieczenia i niejednokrotnie mniejsze możliwości budżetowe na wdrażanie innowacyjnych zabezpieczeń. Bycie małym dostawcą nie chroni więc przed wymaganiami. Jest raczej odwrotnie.

W przetargach publicznych widać to jeszcze wyraźniej. Zamawiający, który sam jest podmiotem kluczowym lub ważnym, przenosi wymogi cyberbezpieczeństwa do opisu zamówienia, kryteriów oceny ofert i wzoru umowy, ponieważ inaczej nie wywiąże się z własnego obowiązku. Dodatkowo podmiot udzielający zamówień publicznych nie może kupować sprzętu, usług ani procesów ICT od dostawcy uznanego za dostawcę wysokiego ryzyka. Dla wykonawcy znaczy to tyle, że brak wykazanych zabezpieczeń może być powodem odrzucenia oferty. 

Kto przygotuje się pierwszy, ten wygrywa

W tym miejscu gdzie jedni dostawcy widzą zagrożenie  – dla innych pojawia się wręcz okazja biznesowa. Dostawca, który dopasuje stosowane zabezpieczenia do wymagań klientów, zanim poprosi o to pierwszy z nich, szybciej przechodzi weryfikację, łatwiej trafia na listy zatwierdzonych dostawców i wygrywa postępowania. Gotowość do pokazania, że spełnia wymogi, staje się argumentem sprzedażowym i przy zbliżonej cenie może przesądzić o zawarciu umowy.

Zaniedbanie kosztuje. Kto nie przygotuje się już teraz – musi liczyć się z tym, że będzie prowadzić negocjacje z klientem pod presją i dosyłać dowody na ostatnią chwilę. To może nie wystarczyć – pojawia się ryzyko przegrania z lepiej ułożoną konkurencją. Podobne wyzwanie może pojawić się w relacjach z dotychczasowymi klientami, którzy zorientują się, że muszą wykazać bezpieczeństwo łańcucha dostaw. Dobrze napisana umowa umożliwi łatwą zmianę dostawcy, który nie dostosuje się do wymagań.

Deklaracja bez pokrycia to „strzał w kolano”

Niektórzy dostawcy ICT mogą rozważać zadeklarowanie zgodności na wyrost – w ofercie lub nawet w umowie. To jednak bardzo ryzykowne. Błędne jest przekonanie, że, weryfikacja prawdziwości takich deklaracji następuje dopiero po poważnym incydencie, w trakcie kontroli organu. Taka weryfikacja dzieje się znacznie wcześniej.

Zadeklarowany poziom bezpieczeństwa może sprawdzić sam klient.. Przepisy dają mu prawo do kształtowania umowy z dostawcą tak aby zagwarantować sobie prawo do audytu, do wglądu w sprawozdania z audytu i do pozyskiwania konkretnych, udokumentowanych dowodów zgodności. Klient, który musi udowodnić bezpieczeństwo swojego łańcucha, nie tylko może, ale w praktyce musi prosić o dowody. Jeśli dostawca nie wskazał rzeczywistego  poziomy zgodności, a dojdzie do incydentu – braki wyjdą od razu. Zgłoszenia w 24 i 72 godziny oraz sprawozdanie końcowe odtwarzają przebieg zdarzenia, a oświadczenia, które nie są zgodne ze stanem faktycznym – oznaczają łatwiejsze przypisanie dostawcy winy. Może to skutkować wypowiedzeniem umowy w trybie natychmiastowym, roszczeniami odszkodowawczymi oraz często trudną do wyceny utratę reputacji dostawcy. A w zamówieniach publicznych to realne ryzyko wykluczenia z postępowań.

Dostawca wysokiego ryzyka. Gdy w grę wchodzi decyzja administracyjna

W kontekście ryzyka – warto pamiętać o jeszcze jednym niuansie z ustawy. Minister właściwy do spraw informatyzacji może, dla ochrony bezpieczeństwa państwa albo porządku publicznego, wydać decyzję administracyjną, na mocy której uzna dostawcę sprzętu lub oprogramowania za dostawcę wysokiego ryzyka. Chodzi o dostawców, z których korzystają podmioty kluczowe i ważne, więksi operatorzy telekomunikacyjni oraz podmioty finansowe, z pewnymi wyjątkami.

Skutki są poważne. Po takiej decyzji firmy, które korzystają z rozwiązań tego dostawcy, muszą je wycofać i nie mogą wdrażać ich ponownie. To wyłącza dostawcę z rynku nawet na kilka lat.

Co zrobić już teraz?

Możesz czekać, aż każdy z twoich klientów zaproponuje aneks do umowy, w którym wskaże swoje wymagania w zakresie bezpieczeństwa, a następnie – z każdym z takich klientów prowadzić oddzielne negocjacje, wyjaśniać, tłumaczyć i zbierać dowody. Możesz też już teraz sprawdzić, jakie wymagania spełniasz, a jakie możesz wdrożyć w określonym czasie. Poniżej lista najważniejszych działań, które  warto podjąć, aby przygotować się na wyzwania z rynku. 

1. Sprawdź własny status. Najpierw upewnij się, że sam nie jesteś podmiotem kluczowym ani ważnym. Jeśli jesteś, to podlegasz wprost obowiązkom ustawowym  (łącznie z terminem zgłoszenia do wykazu – 3.10.2026), i nie wystarczy odpowiadać na oczekiwania klientów.
2. Zmapuj klientów. Ustal, którzy odbiorcy są podmiotami kluczowymi lub ważnymi i jakie wymagania z tego dla ciebie wynikną. 
3. Przejrzyj umowy i dotychczasowe gwarancje. Sprawdź obecne umowy, poziomy usług, oświadczenia oraz zapisy o poufności i audycie pod kątem nowych przepisów. Zobacz, do czego już się zobowiązałeś i gdzie są luki.
4. Przygotuj własny załącznik o bezpieczeństwie. Przygotuj  dokument z opisem swoich zabezpieczeń, który sam proponujesz klientowi. W wielu przypadkach mocno skraca to negocjacje, bo to ty ustalasz punkt wyjścia zamiast bronić się przed cudzym wzorem.
5. Rozważ wdrożenie systemu zarządzania bezpieczeństwem informacji zgodnie z uznanym na rynku frameworkiem, np. ISO/IEC 27001:2022. System zarządzania bezpieczeństwem informacji może odpowiadać na ustawowy wymóg bezpieczeństwa łańcucha dostaw. Ważny certyfikat i raport z audytu jednostki akredytowanej powinny zostać uznane w przypadku audytu przeprowadzanego przez klienta. Jeden dobrze wydany budżet na skuteczny system oszczędza środki i czas związane z  rezerwowaniem dostępności personelu na kolejne audyty klientów.

Jak zatem mogą brzmieć klauzule w umowie od klienta?

Ustawa nie precyzuje treści klauzul – swoboda umów pozwala zaproponować treść, która może wymóg ustawowy potraktować jeszcze bardziej restrykcyjnie, często w zgodzie z własnymi wewnętrznymi procedurami i standardami klienta. Klient będący podmiotem kluczowym lub ważnym układa często nienegocjowalną – jego zdaniem – wersję umowy. Jeśli jakaś klauzula jest nie do zaakceptowania – warto o niej rozmawiać. Może się okazać, że ocena istotności danego dostawcy ICT, a tym samym – wymagania co do bezpieczeństwa – zostaną zweryfikowane w wyniku prowadzonych negocjacji.

Jedną z klauzul, która najczęściej pojawia się w umowach z dostawcami, jest obowiązek niezwłocznego zgłaszania incydentów i uzasadnionych podejrzeń incydentu oraz przekazywania informacji potrzebnych klientowi do realizacji jego obowiązków raportowych. Umowa może także wymagać od dostawcy przedstawiania dowodów stosowania środków bezpieczeństwa oraz poddawania się audytom okresowym, a po incydencie także audytom doraźnym. Istotnymi postanowieniami umownymi są takżę te dotyczące audytu dostawcy i kontroli jego podwykonawców. Dostawca powinien pozostawać odpowiedzialny za działania podwykonawców jak za własne, a często zostaje także zobowiązany do prowadzenia aktualnego ich rejestru. W celu zapewnienia egzekwowalności tych obowiązków umowa może przewidywać kary umowne za opóźnienie w notyfikacji, prawo natychmiastowego rozwiązania umowy w razie nieprawdziwych oświadczeń o bezpieczeństwie oraz możliwość czasowego zawieszenia dostępu dostawcy do systemów przy uzasadnionym podejrzeniu aktywnego incydentu. Uzupełnieniem może być obowiązek zwolnienia zamawiającego z odpowiedzialności za kary regulatora i roszczenia osób trzecich w zakresie szkód wynikających z zawinionego naruszenia po stronie dostawcy.

NIS2 zmienia sytuację nie tylko podmiotów kluczowych i ważnych, ale całego rynku dostaw IT. Kto potraktuje bezpieczeństwo łańcucha jako część swojej oferty, a nie koszt wymuszony przez klienta – ten zamieni obowiązek w przewagę konkurencyjną. Podmiot, który odłoży na później oczekiwane przez rynek wymagania – może przekonać się o konsekwencjach swoich decyzji już przy pierwszym straconym kliencie.

Artykuł pt. „NIS2 uderza w łańcuch dostaw. Jak zmienią się umowy z dostawcami IT, chmurowymi i outsourcerami” ukazał się 24 sierpnia 2026 r. w „Dzienniku Gazecie Prawnej”.