NIS2 a łańcuch dostaw: obowiązki dostawców usług IT obsługujących firmy objęte regulacją

Łańcuch dostaw w NIS2 to wymagania bezpieczeństwa, które firma podlegająca NIS2 przenosi w umowach na swoich dostawców usług IT i AI. Podstawą prawną jest art. 21 dyrektywy NIS2 (UE) 2022/2555: podmioty objęte regulacją muszą oceniać ryzyka w swoim łańcuchu dostaw i się przed nimi zabezpieczać. Właśnie w ten sposób obowiązki obejmują także dostawców, którzy sami nie wchodzą w zakres stosowania, ale świadczą usługi firmom objętym regulacją.

• Kogo to dotyczy? Nie przede wszystkim samej agencji, lecz jej klienta objętego regulacją. To on musi zabezpieczyć swoich dostawców i przenosi wymagania do umów.
• Na czym się to opiera? Na art. 21 (środki zarządzania ryzykiem, w tym bezpieczeństwo łańcucha dostaw) oraz na art. 20 i motywie 137 (odpowiedzialność organów zarządzających).
• Jakie są skutki? Dostawcy usług IT i AI muszą zapewnić możliwe do wykazania środki techniczne i organizacyjne, choć formalnie nie są adresatami przepisów.

Dlaczego regulacja dotyczy także dostawców, którzy jej nie podlegają

NIS2 reguluje podmioty z określonych sektorów, które przekraczają określone progi wielkości. Wyspecjalizowana agencja AI lub agencja internetowa z reguły sama nie wchodzi w zakres stosowania. Dźwignia znajduje się poziom wyżej: art. 21 dyrektywy wprost zobowiązuje podmioty kluczowe i ważne do uwzględnienia w zarządzaniu ryzykiem bezpieczeństwa łańcucha dostaw oraz relacji z bezpośrednimi dostawcami i usługodawcami.

W praktyce oznacza to, że firma objęta regulacją musi ocenić praktyki bezpieczeństwa swoich dostawców, zdefiniować wymagania i zapewnić ich przestrzeganie. Ponieważ może wypełnić ten obowiązek tylko wtedy, gdy dostawcy współpracują, przenosi wymagania do umów. W ten sposób dostawca nieobjęty regulacją zostaje de facto związany tymi samymi standardami, które obowiązują jego klienta. Obowiązek nie wynika więc bezpośrednio z ustawy, lecz z umowy z firmą objętą regulacją.

Strategicznie sprawę zaostrza logika odpowiedzialności zapisana w dyrektywie. Art. 20 wymaga, aby organ zarządzający zatwierdzał środki zarządzania ryzykiem i nadzorował ich wdrażanie. Motyw 137 uzasadnia to wysokim poziomem odpowiedzialności, który dyrektywa ma zapewnić w podmiotach. Zgodnie z art. 20 ust. 1 organy zarządzające mogą ponadto ponosić odpowiedzialność za naruszenia art. 21 przez swój podmiot. Udany atak nie jest do tego warunkiem. Odpowiedzialność wiąże się więc z naruszeniem obowiązków, a nie z powstałą szkodą. W praktyce oznacza to, że zarządy firm objętych regulacją mają twardy, własny interes w rzetelnej weryfikacji dostawców i wiązaniu ich umowami, bo każde zaniedbanie obciąża właśnie je.

Ramy prawne w regionie DACH: ten sam cel, różne wdrożenia

NIS2 jest dyrektywą i musi zostać wdrożona do prawa krajowego. Dla łańcuchów dostaw w regionie DACH (Niemcy, Austria, Szwajcaria) obowiązują więc różne ramy odniesienia, które dostawca usług powinien znać.

• Niemcy: Ustawa wdrażająca NIS2UmsuCG została uchwalona przez Bundestag 13 listopada 2025 r., ogłoszona 5 grudnia 2025 r. i weszła w życie 6 grudnia 2025 r. bez okresu przejściowego. Zakres stosowania rozszerza się z około 4500 do około 29 500 firm objętych regulacją. Portal rejestracyjny BSI uruchomiono 6 stycznia 2026 r., a termin pierwszej rejestracji upłynął 6 marca 2026 r. W wersji krajowej obowiązki dotyczące łańcucha dostaw zakotwiczono w ustawie BSIG.
• Austria: Ustawa NISG 2026 została uchwalona przez Radę Narodową 12 grudnia 2025 r., ogłoszona 23 grudnia 2025 r. i weszła w życie dziewięć miesięcy później, 1 października 2026 r. Obejmuje około 4000 firm w 18 sektorach. Charakterystyczna jest zmiana systemu: samoklasyfikacja i samodeklaracja zamiast decyzji administracyjnej, a także utworzenie Federalnego Urzędu ds. Cyberbezpieczeństwa w Ministerstwie Spraw Wewnętrznych (BMI). Podmioty kluczowe muszą zakotwiczyć cyberbezpieczeństwo na poziomie organu zarządzającego.
• Szwajcaria: Szwajcaria nie jest związana NIS2, ale znowelizowana ustawa o bezpieczeństwie informacji tworzy równoległy system. Od 1 kwietnia 2025 r. operatorzy infrastruktury krytycznej muszą zgłaszać poważne cyberataki w ciągu 24 godzin do Federalnego Urzędu ds. Cyberbezpieczeństwa (BACS). Szwajcarskie spółki zależne często faktycznie trafiają w kontekst łańcucha dostaw NIS2 poprzez spółki matki z UE lub relacje z klientami z UE.

W regulowanym sektorze finansowym istnieje DORA (rozporządzenie (UE) 2022/2554), pokrewny i surowszy model dla ryzyka ze strony podmiotów trzecich: art. 28–30 regulują ryzyko związane z zewnętrznymi dostawcami usług ICT, wprowadzając wiążące wymogi umowne, takie jak prawa do audytu, klauzule wyjścia i kontrola podwykonawców. 18 listopada 2025 r. europejskie organy nadzoru po raz pierwszy wyznaczyły 19 kluczowych zewnętrznych dostawców usług ICT, w tym AWS, Microsoft Azure i Google Cloud. Kto obsługuje instytucje finansowe, powinien wiedzieć, że wymagania umowne dotyczące łańcucha dostaw są tam jeszcze znacznie surowsze.

Co konkretnie musi zapewnić agencja AI lub dostawca usług IT

Przenoszenie obowiązków w umowach nie jest abstrakcyjną konstrukcją, lecz przekłada się na weryfikowalne dowody. Poniższa tabela przypisuje typowe wymagania z katalogu zarządzania ryzykiem z art. 21 do odpowiedzialnej strony i konkretnego działania.

W przypadku dostawców AI dochodzi jeszcze jedna szczególna kwestia: ich własny łańcuch dostaw często obejmuje dostawców modeli i chmury jako podwykonawców. Kto integruje LLM przez API, wprowadza do łańcucha klienta kolejnego podprocesora. Tych podprocesorów trzeba ujawnić i uwzględnić w ocenie w ramach własnej koncepcji bezpieczeństwa, ponieważ klient objęty regulacją odpowiada za cały łańcuch. W regionie DACH właściwym punktem odniesienia jest AIC4 (AI Cloud Service Compliance Criteria Catalogue) BSI, gdy usługi AI świadczone są za pośrednictwem usługi chmurowej; rozszerza on BSI C5 o kontrole specyficzne dla AI.

Przykład z praktyki: jak obowiązek przekłada się na przetarg

Mechanizm dobrze ilustruje konkretny, typowy scenariusz z przemysłu. Firma przemysłowa z Niemiec lub Austrii zatrudniająca około 1200 osób kwalifikuje się jako podmiot ważny w rozumieniu NIS2. Zleca zewnętrznej agencji budowę portalu klienta opartego na AI.

Pseudokod łańcucha obowiązków:

```
Zleceniodawca (podmiot ważny)
-> spełnia art. 21: zarządzanie ryzykiem, w tym łańcuch dostaw
-> warunek: każdy dostawca musi wykazać bazowy poziom bezpieczeństwa
IF Agencja.certyfikowana(ISO_27001) == false:
Agencja wypełnia kwestionariusz bezpieczeństwa
Agencja akceptuje klauzule umowne (środki techniczne i organizacyjne, MFA, IR, lista podprocesorów)
Agencja.ujawnij(podprocesorzy = [dostawca chmury, dostawca LLM])
-> Zleceniodawca weryfikuje, dokumentuje, monitoruje (art. 20)
```

W praktyce agencja otrzymuje więc specyfikację wymagań dotyczącą projektu i funkcji, a do tego załącznik dotyczący bezpieczeństwa. Musi przedstawić swój system zarządzania bezpieczeństwem informacji, wskazać podwykonawców, zagwarantować procedurę reagowania na incydenty i przyznać prawo do audytu. Agencja, która może od razu przedstawić te dowody, przechodzi wstępną weryfikację; agencja bez odpowiedniej struktury często odpada jeszcze przed prezentacją merytoryczną. Obowiązek compliance spoczywający na zleceniodawcy staje się w ten sposób kryterium wyboru dostawców.

Ocena ryzyka dostawców: perspektywa zleceniodawcy

Z perspektywy firmy objętej regulacją ocena dostawców nie jest jednorazowym aktem, lecz procesem ciągłym. Typowe elementy to ustalenie krytyczności dostawcy (do jakich systemów i danych ma dostęp?), weryfikacja dowodów bezpieczeństwa, zapisanie wymagań w umowie i regularny monitoring. Im głębiej dostawca jest włączony w krytyczne procesy, tym surowsza jest weryfikacja. Dostawca AI, który produkcyjnie korzysta z danych klientów lub automatyzuje procesy, jest oceniany surowiej niż dostawca bez dostępu do danych.

Dla dostawców wynika z tego jasny wniosek: kto zapewnia przejrzystość własnej architektury bezpieczeństwa i własnego łańcucha podprocesorów, zmniejsza obciążenie klienta związane z weryfikacją i staje się atrakcyjniejszym partnerem. W sektorze BFSI w regionie DACH dostawcy bez uznanych dowodów, takich jak ISO/IEC 27001, SOC 2, BSI C5 czy AIC4, zazwyczaj nie dochodzą do finałowej rundy wyboru.

Dla agencji i decydentów B2B

Dla agencji i dostawców usług IT w Europie NIS2 zmienia logikę konkurencji: możliwe do wykazania bezpieczeństwo informacji nie jest już czynnikiem higieny, lecz warunkiem dostępu do zleceń od firm objętych regulacją. Kto wdroży SZBI, udokumentuje swój łańcuch podprocesorów i spełni standardy takie jak ISO/IEC 27001 czy AIC4, zyskuje trwałą przewagę w przetargach. Dla decydentów B2B po stronie zleceniodawcy jest odwrotnie: weryfikacja dostawców należy do ich własnych obowiązków i powinna zostać wcześnie wbudowana w procesy zakupowe. Jako agencja AI i digital z Wiednia Blck Alpaca pomaga tak przygotować projekty AI, aby pasowały do zarządzania ryzykiem w łańcuchu dostaw firm objętych regulacją, od przejrzystej dokumentacji podprocesorów po czytelny interfejs dla obowiązków zgłoszeniowych.

Uwaga: ten artykuł służy orientacji merytorycznej i nie stanowi porady prawnej. Konkretne objęcie regulacją, dokładną wykładnię art. 21, klauzule umowne, terminy i możliwe sankcje należy wyjaśnić z wykwalifikowanymi doradcami w danej jurysdykcji.