NIS2 2026 – certyfikat cyberbezpieczeństwa dostawcy, odstępstwo i ponowne testowanie | Word/PDF/Excel

Twój ważny dostawca systemów twierdzi, że bezpieczeństwo jest zapewnione – ale nie może przedstawić aktualnego testu konta administratora, aktualizacji bezpieczeństwa ani procedury odzyskiwania danych. Jak dokumentujecie niezgodność, stajecie rozsądne wymagania, otrzymujecie rzeczywisty ponowny test i raportujecie ryzyko do kierownictwa? Ten pakiet specjalistyczny NIS2 zawiera szablony do kontroli cyberbezpieczeństwa dostawców opartej na ryzyku – od opartej na faktach oświadczenia własnego dostawcy, przez pismo z wezwaniem do działań naprawczych, ponowny test, aż po decyzję.

Aktualne przepisy prawne: Szwedzka ustawa o cyberbezpieczeństwie (2025:1506) weszła w życie 15 stycznia 2026 r.. W rozdz. 2, ust. 3, pkt 4 bezpieczeństwo w łańcuchu dostaw jest wskazane jako jeden z obszarów odpowiednich i proporcjonalnych środków bezpieczeństwa dla podmiotów objętych ustawą. Zgodnie z art. 21.2 lit. d i 21.3 dyrektywy NIS2, należy oceniać ryzyka związane z bezpośrednimi dostawcami i świadomcami usług, w tym ich specyficzne podatności oraz praktyki cyberbezpieczeństwa. MCFFS 2026:11 obowiązuje od 1 października 2026 r. i uszczegółnia środki bezpieczeństwa dla dotkniętych podmiotów. Zobacz ustawę o cyberbezpieczeństwie oraz obowiązujący rozporządzenie NCSC.

Ważne zastrzeżenie: Nie wszystkie szwedzkie podmioty ani ich dostawcy są automatycznie objęci ustawą o cyberbezpieczeństwie. Dotknięty podmiot musi najpierw ocenić zakres własnego podlegania przepisom oraz konkretne ryzyka związane z dostawcami. Nie istnieje ogólne, obowiązkowe, wydawane przez organy administracji „certyfikat dostawcy NIS2” ani uniwersalne 14- lub 30-dniowe terminy na zwykłe prywatne pisma z wezwaniem do działań naprawczych. Wypełniony formularz nie certyfikuje cyberbezpieczeństwa ani nie zastępuje testu technicznego.

Kompletny cyfrowy plik ZIP za 79 SEK: pięć szwedzkich szablonów roboczych oraz jeden szwedzki i jeden angielski przewodnik użytkownika – wszystkie w edytowalnym formacie Word (DOCX) i w formie przeszukiwalnego, nadającego się do druku pliku PDF A4. Ponadto arkusz Excel (XLSX) z dziewięcioma zakładkami, 612 administracyjnymi formułami i 36 zatwierdzonymi testami scenariuszowymi. Łącznie 7 DOCX + 7 PDF + 1 XLSX = 15 plików dla klienta. Pięć szwedzkich dokumentów roboczych, dwa przewodniki, siedem niezależnych dokumentów; kopie PDF nie są interaktywnymi formularzami do wypełniania.

Dla kogo przeznaczone jest badanie dostawców NIS2?

Dla podmiotów, które sprawdziły, że podlegają ustawie o cyberbezpieczeństwie – np. niektóre podmioty z branży energetyki, transportu, żywności, infrastruktury cyfrowej i innych istotnych dla funkcjonowania społeczeństwa sektorów – oraz które korzystają z usług utrzymania IT, SaaS, chmury, deweloperów systemów, usług bezpieczeństwa lub innych dostawców, którzy mogą mieć wpływ na sieci i systemy informacyjne. Grupy docelowe to w szczególności CISO, osoby odpowiedzialne za bezpieczeństwo IT, działy zakupów, zgodności, ryzyka i zarządzające podmioty, audyt wewnętrzny oraz osoby odpowiedzialne za zamówienia publiczne.

Może być również używany przez dostawcę, który musi przygotować konkretną podstawę dla klienta objętego regulacjami NIS2, ale dostawca nie powinien twierdzić, że klient lub dostawca zostali automatycznie certyfikowani. Samą umowę oraz ewentualne szczególne przepisy sektorowe należy sprawdzić.

Dokładny spis plików – 15 plików dla klienta

Excel – dziewięć zakładek i 36 zweryfikowanych testów funkcjonalnych

Arkusz zawiera zakładki: Czytaj mnie, Przegląd, Dostawcy, Certyfikat, Kontrole, Niezgodności, Ponowny test, Decyzja i Źródła. Każda sprawa jest powiązana z unikalnym wewnętrznym identyfikatorem i rzeczywistymi odniesieniami do dowodów. Rejestr jest zresetowany przy dostawie i nie zawiera danych klientów ani spraw demonstracyjnych.

612 formuły mogą generować administracyjne sygnały takie jak „SPRAWDŹ ŁAŃCUCH DOSTAW”, „SPRAWDŹ ZASTOSOWANIE”, „WERYFIKUJ DOWÓD ŹRÓDŁOWY”, „BRAK SPRAWDZENIA”, „BRAK BEZPIECZEŃSTWA”, „WYJAŚNI UMOWĘ”, „USTAL TERMIN RĘCZNIE”, „UDOKUMENTUJ WYSYŁKĘ”, „POZOSTAŁY BŁĄD” i „ESKALUJ WYSOKIE RYZYKO”. W przypadku kompletnych wpisów zamiast tego wyświetlany jest materiał do ręcznego sprawdzenia, nigdy „zatwierdzony przez NIS2”.

36 z 36 testów scenariuszowych technicznych zostało zaliczonych po naprawieniu błędu w obsłudze liczników przeglądu. Test weryfikuje w szczególności, że wysokie ryzyko nie może zostać oznaczone jako automatycznie zamknięte, nawet gdy wszystkie pola decyzji i potwierdzenia są wypełnione, a użytkownik chce zamknąć sprawę. 12 wartości przeglądu klienta wynosi 0 przed zarejestrowaniem pierwszego rzeczywistego dostawcy.

Praktyczny przebieg pracy z dostawcą z brakiem bezpieczeństwa

1. Oceń zakres. Czy Twój podmiot jest istotny lub ważny zgodnie z ustawą o cyberbezpieczeństwie? Udokumentuj decyzję, branżę i źródło w formularzu 01.
2. Wyznacz zakres istotnej usługi. Zidentyfikuj bezpośrednią stronę umowy, jakie systemy dociera dostawca, dotknięte dane i konsekwencje przerwy w działaniu sieci.
3. Poproś o proporcjonalne dowody bezpieczeństwa. Zapytaj o rzeczywistą wersję i próbkę MFA, uprzywilejowany dostęp, procedury zarządzania podatnościami, kopie zapasowe lub ścieżkę incydentu w zależności od zidentyfikowanego ryzyka.
4. Oceń ewentualny certyfikat. Podpisana odpowiedź „tak”, oświadczenie ISO lub polityka dostawcy nie jest tym samym, co zweryfikowany test rzeczywistego systemu.
5. Wyślij konkretne wezwanie do działań naprawczych. Wskaż, na jakiej umowie i jaki merytoryczny wynik kontroli opiera się wymaganie. Ustal realistyczny termin zgodnie z umową; nie wymyślaj uniwersalnego ustawowego czasu odpowiedzi.
6. Przeprowadź ponowny test i zachowaj łańcuch dowodowy. Sprawdź rzeczywiste konfiguracje, wykonane działania, daty i pozostałe ryzyka. Nie udostępniaj tajnych kluczy ani haseł w otwartych arkuszach kalkulacyjnych.
7. Podjęte decyzję oddzielnie. Uprawniony właściciel ryzyka ocenia kontynuację działania, środki kompensacyjne, eskalację, zmianę umowy lub wyjście – bez automatycznie pozytywnej decyzji z Excela.

Podstawa prawna – co tak naprawdę oznaczają przepisy

Ustawa o cyberbezpieczeństwie (2025:1506), rozdz. 2, ust. 3: środki bezpieczeństwa techniczne, organizacyjne i związane z działalnością muszą być odpowiednie, proporcjonalne i oparte na ryzyku. Punkt 4 dotyczy bezpieczeństwa w łańcuchu dostaw, a punkt 6 – oceny skuteczności środków bezpieczeństwa. Przeczytaj pełny tekst w parlamencie.

Dyrektywa NIS2, art. 21.2 lit. d i 21.3: należy uwzględnić podatności specyficzne dla dostawców oraz jakość pracy bezpieczeństwa bezpośrednich dostawców, w tym bezpieczne wytwarzanie. Stanowią one podstawę do kontroli opartej na ryzyku – nie są uniwersalnym, ustawowym formularzem dla wszystkich dostawców. Oficjalna dyrektywa UE.

MCFFS 2026:11: przepisy i ogólne zalecenia dotyczące środków bezpieczeństwa i szkolenia kierownictwa dla istotnych i ważnych podmiotów obowiązują od 1 października 2026 r.. Zweryfikuj również odpowiednie przepisy szczególne dla własnej branży. Oficjalne źródło NCSC.

Granica odpowiedzialności: oświadczenie dostawcy o wykonaniu określonych kontroli nie zwalnia klienta z samodzielnej oceny, czy własne bezpieczeństwo jest wystarczające. Oprócz NIS2, np. RODO, przepisy branżowe, umowy lub specyficzne przepisy UE dla danego sektora mogą nakładać inne obowiązki. Ten pakiet nie jest zgłoszeniem incydentu, formularzem organu administracji, usługą testów penetracyjnych ani decyzją o nałożeniu sankcji.

Różnica w stosunku do innych produktów Mallbutiken

NIS2 Mallpaket – Ustawa o cyberbezpieczeństwie 2026 to szerszy materiał dotyczący zarządzania cyberbezpieczeństwem własnej organizacji. Audyt dostawcy & Audyt dostawcy to ogólna kontrola dostawcy/jakości. Umowy dostawcy IT DORA mają zastosowanie finansowe DORA. Ten nowy produkt skupia się konkretnie na dowodach cyberbezpieczeństwa istotnych dla NIS2, pisemnym wezwaniu do działań naprawczych i zweryfikowanym ponownym teście u konkretnego dostawcy.

Często zadawane pytania dotyczące certyfikatu cyberbezpieczeństwa dostawcy NIS2

Czy wszyscy dostawcy muszą podpisać certyfikat NIS2?

Nie. Nie istnieje uniwersalny oficjalny certyfikat dostawcy, który wszyscy dostawcy muszą wypełnić. Przedsiębiorstwo wybiera odpowiednie i proporcjonalne środki kontroli na podstawie rzeczywistego ryzyka i stosowalnych umów.

Czy mały dostawca SaaS jest automatycznie objęty obowiązkami NIS2, jeśli klient jest objęty?

Nie. Własne obowiązki dostawcy należy oceniać oddzielnie. Klient objęty regulacjami NIS2 może jednak nadal stawiać kontraktowe i oparte na ryzyku wymagania bezpieczeństwa.

Czy szablon może być używany jako certyfikat ISO 27001?

Nie. Własne oświadczenie dostawcy lub wypełniony formularz pytań nie jest certyfikacją ISO 27001, niezależnym audytem ani formalną oceną organu administracji.

Co się dzieje, gdy dostawca twierdzi, że niezgodność została naprawiona?

Udokumentuj oświadczenie dostawcy i sprawdź rzeczywisty dowód oraz ponowny test w odniesieniu do właściwego systemu/wersji. Pozostałe błędy należy oznaczyć i wymagać oddzielnego stanowiska.

Czy dostawca musi odpowiedzieć na wezwanie do działań naprawczych w ciągu 30 dni?

Nie. Ogólne wymagania dotyczące dostawców w ustawie o cyberbezpieczeństwie nie określają takiego uniwersalnego terminu dla prywatnych pism z wezwaniem do działań naprawczych. Opieraj się na umowie, rzeczywistym stanie bezpieczeństwa i rozsądnym harmonogramie.

Czy Excel może automatycznie zatwierdzić bezpieczeństwo dostawcy?

Nie. Formuły identyfikują administracyjne potrzeby kontroli i nigdy nie mogą wyświetlić „zatwierdzone prawnie” ani „certyfikowane”. Wymagane jest rzeczywiste techniczne i prawne sprawdzenie.

Czy obejmuje zgłaszanie incydentów do organu administracji?

Nie. Jeśli wystąpił istotny incydent cybernetyczny, należy oddzielnie ocenić przepisy ustawy dotyczące incydentów oraz rozporządzenia. Ten pakiet dotyczy kontroli dostawcy, a nie oficjalnego zgłaszania incydentów.

Czy wszystkie szablony są po angielsku?

Nie. Pięć szablonów roboczych, szwedzki przewodnik i Excel są po szwedzku. W zestawie znajduje się angielski przewodnik użytkownika do użytku, ale nie jest to pełne tłumaczenie pięciu głównych szablonów.

Czy pliki PDF można wypełniać cyfrowo?

Nie. Pliki PDF są przeszukiwalnymi i nadającymi się do druku wersjami A4. Edytuj pliki Word, wypełniając własne dane.

Oficjalne źródła prawne i przejrzystość

Źródła: Ustawa o cyberbezpieczeństwie 2025:1506; Rozporządzenie o cyberbezpieczeństwie 2025:1507; Dyrektywa NIS2 2022/2555; MCFFS 2026:11; Wskazówki NCSC dotyczące środków bezpieczeństwa.

Wersja 1.0. Kontrola źródeł prawnych wspomagana przez AI i techniczne QA plików 9 listopada 2026 r. Materiał nie został zatwierdzony przez zewnętrznego prawnika, organ administracji, certyfikatora ani technicznego audytora. Tekst PDF i wszystkie 14 stron A4 zostały sprawdzone, Excel zawiera 612 formuł, 36/36 testów scenariuszowych zostało zatwierdzonych, a plik ZIP został sprawdzony pod kątem integralności. Używaj szablonów jako podstawy do rzeczywistych, oddzielnych decyzji dotyczących zastosowania, bezpieczeństwa, umów i ryzyka.