Art. 21(2)(d) dyrektywy NIS2 wprost obejmuje „bezpieczeństwo łańcucha dostaw, w tym aspekty związane z bezpieczeństwem w relacjach między każdym podmiotem a jego bezpośrednimi dostawcami lub usługodawcami”. Art. 21(3) idzie dalej — zobowiązuje duże podmioty do oceny podatności każdego bezpośredniego dostawcy oraz ogólnej jakości praktyk cyberbezpieczeństwa swoich dostawców. Recital 85 doprecyzowuje intencję wprost: podmiot objęty NIS2 nie może „wyoutsourcować się” ze swoich obowiązków — ryzyko dostawcy musi być mierzone, ujęte w umowach i nadzorowane.
To oznacza, że nawet firma formalnie poza zakresem NIS2 — mały podwykonawca montażowy, budowlany czy podzespołowy — może zostać objęta wymaganiami bezpieczeństwa pośrednio, przez klauzule umowne narzucone przez większego klienta z sektora energetyki, ciężkiego przemysłu czy infrastruktury krytycznej.
Co się zmieniło w Polsce
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC), wdrażająca NIS2 do polskiego prawa, przeszła pełną ścieżkę legislacyjną w 2026 roku: Senat przyjął ją bez poprawek 28 stycznia, Prezydent podpisał 19 lutego, publikacja w Dzienniku Ustaw nastąpiła 2 marca (Dz.U. 2026 poz. 252), a po miesięcznym vacatio legis ustawa weszła w życie 3 kwietnia 2026. Podmioty spełniające kryteria mają 12 miesięcy — do 3 kwietnia 2027 — na wdrożenie systemu zarządzania bezpieczeństwem informacji. Ustawa wprowadza podział na podmioty kluczowe i ważne oraz kary do 10 mln euro.
Które systemy stają się „słabym ogniwem” w oczach audytora
Gdy duży podmiot zobowiązany przez NIS2 zaczyna oceniać ryzyko swoich dostawców, patrzy dokładnie na te miejsca, gdzie dane firmowe wychodzą poza kontrolowaną infrastrukturę. Publiczne narzędzia AI, do których pracownik wkleja dokumentację projektową, oraz darmowe usługi chmurowe bez umowy powierzenia danych są dokładnie tym rodzajem słabego ogniwa, o którym mówi Art. 21(3) — nie dlatego, że dyrektywa wymienia je z nazwy, ale dlatego, że to typowe kanały, którymi dane opuszczają firmę bez żadnego nadzoru.
Uczciwie — czego jeszcze nie wiemy na pewno
Nie znaleźliśmy konkretnej, nazwanej statystyki ani udokumentowanego przypadku z lat 2025–2026 pokazującego, że duże podmioty już masowo żądają od podwykonawców dowodów zgodności z NIS2. Mechanizm — ankiety bezpieczeństwa, klauzule kontraktowe, audyty dostawców — opisują na poziomie ogólnym firmy doradcze (EY) i ENISA w wytycznych „Good Practices for Supply Chain Cybersecurity” z 2023 roku, ale bez twardych liczb pokazujących skalę zjawiska dzisiaj. To narzędzie prawne już istnieje i już obowiązuje — pytanie, jak szybko duzi odbiorcy zaczną go egzekwować wobec łańcucha dostaw, pozostaje otwarte.
Audytowalność: co dyrektywa mówi, a czego nie mówi wprost
Tu warto sprostować częste uproszczenie. Art. 21(2) NIS2 nie zawiera punktu, który wprost nakazuje prowadzenie logów czy monitorowanie dostępu — to lista dziesięciu punktów (a)–(j), z których najbliżej tematu są punkt (i), dotyczący polityk kontroli dostępu, i punkt (f), dotyczący procedur oceny skuteczności zarządzania ryzykiem. Wyraźny, techniczny wymóg logowania i monitorowania określa dopiero rozporządzenie wykonawcze Komisji (UE) 2024/2690 z 17 października 2024, wydane na podstawie Art. 21(5) — i dotyczy ono konkretnie podmiotów infrastruktury cyfrowej i ICT, nie każdego podwykonawcy z automatu.
Niezależnie od tego, który dokładnie przepis się stosuje, praktyka audytu dostawcy wygląda podobnie: klient chce zobaczyć, kto, kiedy i do jakich danych miał dostęp. System, który od początku prowadzi pełny log dostępu — kto zadał jakie pytanie, do jakiego dokumentu sięgnął model — odpowiada wprost na ten rodzaj pytania, niezależnie od tego, czy formalnie wynika ono z Art. 21(2), z rozporządzenia wykonawczego, czy po prostu z ankiety bezpieczeństwa przesłanej przez większego klienta.
Jeśli Twoja firma jest podwykonawcą podmiotu objętego NIS2 i spodziewa się pytań o bezpieczeństwo danych — opisz sytuację w formularzu kontaktowym. Pełny zakres usługi wewnętrznego systemu AI znajdziesz na stronie wewnętrznego systemu AI.