Zaufanie i zgodność dla organizacji z sektorów regulowanych

Dyrektywa NIS2, czyli dyrektywa (UE) 2022/2555, wymaga od podmiotów kluczowych i ważnych zarządzania ryzykiem cyberbezpieczeństwa ich sieci i systemów informatycznych. Bezpieczeństwo łańcucha dostaw jest jednym ze środków minimalnych z art. 21 ust. 2, a art. 21 ust. 3 nakazuje uwzględniać praktyki bezpieczeństwa bezpośrednich dostawców i usługodawców. W Polsce dyrektywę wdraża ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252), obowiązująca od 3 kwietnia 2026 r.

Jako Państwa dostawca ułatwiamy wykazanie tej części obowiązków. Klauzule bezpieczeństwa, kanały zgłaszania incydentów i obsługę podatności uzgadniamy w każdej umowie, a zabezpieczenia obowiązujące w danym projekcie dokumentujemy tak, aby Państwa proces oceny ryzyka dostawców mógł je ocenić. Czy i jak ustawa o KSC dotyczy Państwa organizacji, pozostaje Państwa oceną.

Rozporządzenie DORA w sprawie operacyjnej odporności cyfrowej, czyli rozporządzenie (UE) 2022/2554, stosuje się od 17 stycznia 2025 r. Banki, zakłady ubezpieczeń, firmy inwestycyjne, instytucje płatnicze i inne podmioty finansowe muszą zarządzać ryzykiem ze strony zewnętrznych dostawców usług ICT jako elementem swoich ram zarządzania ryzykiem związanym z ICT, prowadzić rejestr informacji o wszystkich umowach na usługi ICT (art. 28) i zawierać w tych umowach najważniejsze postanowienia umowne (art. 30). W Polsce właściwym organem w rozumieniu art. 46 DORA jest Komisja Nadzoru Finansowego (KNF).

Świadcząc usługi ICT na rzecz podmiotu finansowego, uzgadniamy postanowienia wymienione w art. 30: pełny opis usług, lokalizacje ich świadczenia i przetwarzania danych, pomoc w razie incydentu ICT, współpracę z właściwymi organami i prawo wypowiedzenia umowy. Przy usługach wspierających funkcje krytyczne lub istotne umowa obejmuje także strategie wyjścia i nasz udział w Państwa testach odporności.

Dostarczamy informacje potrzebne do rejestru informacji i od początku dokumentujemy plany wyjścia, aby zmiana dostawcy pozostała realną opcją.

Akt w sprawie sztucznej inteligencji, czyli rozporządzenie (UE) 2024/1689, stosuje się etapami. Zakazane praktyki i kompetencje w zakresie AI obowiązują od lutego 2025 r., a obowiązki przejrzystości z art. 50 od sierpnia 2026 r. Po zmianie wprowadzonej w 2026 r. rozporządzeniem (UE) 2026/1744 przepisy o systemach wysokiego ryzyka wymienionych w załączniku III stosuje się od 2 grudnia 2027 r.

Dla systemów wysokiego ryzyka akt wymaga dokumentacji technicznej (art. 11), automatycznego rejestrowania zdarzeń (art. 12) i projektu umożliwiającego skuteczny nadzór ze strony człowieka (art. 14), a podmioty stosujące muszą powierzyć ten nadzór osobom o odpowiednich kompetencjach i uprawnieniach (art. 26). Budujemy z myślą o tym od pierwszego wydania: kroki zatwierdzania i możliwość zmiany decyzji są tam, gdzie decyzje dotyczą ludzi, a dokumentację piszemy razem z kodem.

W Polsce obowiązuje ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003), z Komisją Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) jako organem nadzoru rynku; jej przepisy o kontroli, postępowaniu i karach stosuje się od 28 października 2026 r. Czy Państwa organizacja działa jako dostawca, czy jako podmiot stosujący, zależy od sposobu oddania systemu do użytku. To pytanie należy do oceny prawnej, która pozostaje po stronie Państwa prawników; my dostarczamy potrzebne fakty techniczne.

Działy zakupów, bezpieczeństwa i prawne potrzebują dowodów przed podpisaniem umowy. Na życzenie udostępniamy certyfikat ISO/IEC 27001 wraz z zakresem, odpowiedzi na kwestionariusz bezpieczeństwa dostawcy i warunki powierzenia przetwarzania danych, które miałyby zastosowanie w Państwa projekcie.

Prośbę prosimy przesłać przez stronę kontaktową z informacją, według jakich wymagań oceniają Państwo dostawców, na przykład ustawy o KSC, DORA lub wewnętrznych standardów bezpieczeństwa. Odpowiedzą właściwe osoby.