--- title: "NIS2 a łańcuch dostaw: obowiązki dostawców usług IT obsługujących firmy objęte regulacją" description: "Łańcuch dostaw w NIS2 to wymagania bezpieczeństwa, które firma podlegająca NIS2 przenosi w umowach na swoich dostawców usług IT i AI. Podstawą jest art." locale: "pl" canonical: "https://blckalpaca.at/pl/baza-wiedzy/agenci-ai/nis2-i-nisg-2026/nis2-a-lancuch-dostaw-obowiazki-dostawcow-uslug-it-obslugujacych-firmy-objete-re" category: "Agenci AI" topic: "NIS2 i NISG 2026" updated: "2026-10-28T13:37:36.062Z" source: "Blck Alpaca e.U., blckalpaca.at" --- # NIS2 a łańcuch dostaw: obowiązki dostawców usług IT obsługujących firmy objęte regulacją Łańcuch dostaw w NIS2 to wymagania bezpieczeństwa, które firma podlegająca NIS2 przenosi w umowach na swoich dostawców usług IT i AI. Podstawą jest art. 21 dyrektywy NIS2: podmioty objęte regulacją muszą oceniać ryzyka w swoim łańcuchu dostaw i się przed nimi zabezpieczać. W efekcie także dostawcy, którzy nie podlegają regulacji bezpośrednio, są nią de facto związani. ## W skrócie - Art. 21 dyrektywy NIS2 wprost zobowiązuje firmy objęte regulacją do oceny i zapewnienia bezpieczeństwa łańcucha dostaw oraz bezpośrednich dostawców usług. - Dostawcy usług IT i AI rzadko sami podlegają NIS2, ale umowy z klientami objętymi regulacją faktycznie zobowiązują ich do spełnienia tych samych wymagań bezpieczeństwa. - Nie ma znaczenia, czy doszło do ataku: zgodnie z art. 20 ust. 1 odpowiedzialność organów zarządzających wiąże się z naruszeniem obowiązków, a nie ze szkodą. - W Niemczech NIS2UmsuCG obowiązuje od 6 grudnia 2025 r., a w Austrii NISG 2026 od 1 października 2026 r. - Agencja, która może wykazać się certyfikatem ISO/IEC 27001 lub, w przypadku usług chmurowych, atestacją BSI C5 albo AIC4, łatwiej kwalifikuje się jako dostawca firm objętych regulacją. - To nie jest porada prawna: konkretne obowiązki, terminy i klauzule umowne należy wyjaśnić z wykwalifikowanymi doradcami. Łańcuch dostaw w NIS2 to wymagania bezpieczeństwa, które firma podlegająca NIS2 przenosi w umowach na swoich dostawców usług IT i [AI](https://blckalpaca.at/pl/slownik/ai). Podstawą prawną jest art. 21 [dyrektywy NIS2 (UE) 2022/2555](https://digital-strategy.ec.europa.eu/en/policies/nis2-directive): podmioty objęte regulacją muszą oceniać ryzyka w swoim łańcuchu dostaw i się przed nimi zabezpieczać. Właśnie w ten sposób obowiązki obejmują także dostawców, którzy sami nie wchodzą w zakres stosowania, ale świadczą usługi firmom objętym regulacją. - **Kogo to dotyczy?** Nie przede wszystkim samej agencji, lecz jej klienta objętego regulacją. To on musi zabezpieczyć swoich dostawców i przenosi wymagania do umów. - **Na czym się to opiera?** Na art. 21 (środki zarządzania ryzykiem, w tym bezpieczeństwo łańcucha dostaw) oraz na art. 20 i motywie 137 (odpowiedzialność organów zarządzających). - **Jakie są skutki?** Dostawcy usług IT i AI muszą zapewnić możliwe do wykazania środki techniczne i organizacyjne, choć formalnie nie są adresatami przepisów. ## Dlaczego regulacja dotyczy także dostawców, którzy jej nie podlegają NIS2 reguluje podmioty z określonych sektorów, które przekraczają określone progi wielkości. Wyspecjalizowana agencja AI lub agencja internetowa z reguły sama nie wchodzi w zakres stosowania. Dźwignia znajduje się poziom wyżej: art. 21 dyrektywy wprost zobowiązuje podmioty kluczowe i ważne do uwzględnienia w zarządzaniu ryzykiem bezpieczeństwa łańcucha dostaw oraz relacji z bezpośrednimi dostawcami i usługodawcami. W praktyce oznacza to, że firma objęta regulacją musi ocenić praktyki bezpieczeństwa swoich dostawców, zdefiniować wymagania i zapewnić ich przestrzeganie. Ponieważ może wypełnić ten obowiązek tylko wtedy, gdy dostawcy współpracują, przenosi wymagania do umów. W ten sposób dostawca nieobjęty regulacją zostaje de facto związany tymi samymi standardami, które obowiązują jego klienta. Obowiązek nie wynika więc bezpośrednio z ustawy, lecz z umowy z firmą objętą regulacją. Strategicznie sprawę zaostrza logika odpowiedzialności zapisana w dyrektywie. Art. 20 wymaga, aby organ zarządzający zatwierdzał środki zarządzania ryzykiem i nadzorował ich wdrażanie. Motyw 137 uzasadnia to wysokim poziomem odpowiedzialności, który dyrektywa ma zapewnić w podmiotach. Zgodnie z [art. 20 ust. 1](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32022L2555) organy zarządzające mogą ponadto ponosić odpowiedzialność za naruszenia art. 21 przez swój podmiot. Udany atak nie jest do tego warunkiem. Odpowiedzialność wiąże się więc z naruszeniem obowiązków, a nie z powstałą szkodą. W praktyce oznacza to, że zarządy firm objętych regulacją mają twardy, własny interes w rzetelnej weryfikacji dostawców i wiązaniu ich umowami, bo każde zaniedbanie obciąża właśnie je. ## Ramy prawne w regionie DACH: ten sam cel, różne wdrożenia NIS2 jest dyrektywą i musi zostać wdrożona do prawa krajowego. Dla łańcuchów dostaw w regionie DACH (Niemcy, Austria, Szwajcaria) obowiązują więc różne ramy odniesienia, które dostawca usług powinien znać. - **Niemcy:** Ustawa wdrażająca NIS2UmsuCG została uchwalona przez Bundestag 13 listopada 2025 r., ogłoszona 5 grudnia 2025 r. i weszła w życie 6 grudnia 2025 r. bez okresu przejściowego. Zakres stosowania rozszerza się z około 4500 do około 29 500 firm objętych regulacją. Portal rejestracyjny BSI uruchomiono 6 stycznia 2026 r., a termin pierwszej rejestracji upłynął 6 marca 2026 r. W wersji krajowej obowiązki dotyczące łańcucha dostaw zakotwiczono w ustawie BSIG. - **Austria:** Ustawa NISG 2026 została uchwalona przez Radę Narodową 12 grudnia 2025 r., ogłoszona 23 grudnia 2025 r. i weszła w życie dziewięć miesięcy później, 1 października 2026 r. Obejmuje około 4000 firm w 18 sektorach. Charakterystyczna jest zmiana systemu: samoklasyfikacja i samodeklaracja zamiast decyzji administracyjnej, a także utworzenie Federalnego Urzędu ds. Cyberbezpieczeństwa w Ministerstwie Spraw Wewnętrznych (BMI). Podmioty kluczowe muszą zakotwiczyć cyberbezpieczeństwo na poziomie organu zarządzającego. - **Szwajcaria:** Szwajcaria nie jest związana NIS2, ale znowelizowana ustawa o bezpieczeństwie informacji tworzy równoległy system. Od 1 kwietnia 2025 r. operatorzy infrastruktury krytycznej muszą zgłaszać poważne cyberataki w ciągu 24 godzin do Federalnego Urzędu ds. Cyberbezpieczeństwa (BACS). Szwajcarskie spółki zależne często faktycznie trafiają w kontekst łańcucha dostaw NIS2 poprzez spółki matki z UE lub relacje z klientami z UE. W regulowanym sektorze finansowym istnieje [DORA (rozporządzenie (UE) 2022/2554)](https://blckalpaca.at/pl/baza-wiedzy/agenci-ai/rozporzadzenie-dora-i-ai-w-sektorze-finansowym/dora-i-ryzyko-ict-stron-trzecich-kiedy-dostawca-ai-jest-krytycznym-dostawca-ict), pokrewny i surowszy model dla ryzyka ze strony podmiotów trzecich: art. 28–30 regulują ryzyko związane z zewnętrznymi dostawcami usług ICT, wprowadzając wiążące wymogi umowne, takie jak prawa do audytu, klauzule wyjścia i kontrola podwykonawców. 18 listopada 2025 r. europejskie organy nadzoru po raz pierwszy wyznaczyły 19 kluczowych zewnętrznych dostawców usług ICT, w tym AWS, Microsoft Azure i Google Cloud. Kto obsługuje instytucje finansowe, powinien wiedzieć, że wymagania umowne dotyczące łańcucha dostaw są tam jeszcze znacznie surowsze. ## Co konkretnie musi zapewnić agencja AI lub dostawca usług IT Przenoszenie obowiązków w umowach nie jest abstrakcyjną konstrukcją, lecz przekłada się na weryfikowalne dowody. Poniższa tabela przypisuje typowe wymagania z katalogu zarządzania ryzykiem z art. 21 do odpowiedzialnej strony i konkretnego działania. | Wymaganie | Kogo dotyczy | Działanie dostawcy | | --- | --- | --- | | Ocena ryzyka w łańcuchu dostaw | Firma objęta regulacją (zleceniodawca) | Wypełnienie kwestionariusza bezpieczeństwa, dostarczenie dowodów i certyfikatów | | Bezpieczeństwo relacji z bezpośrednimi dostawcami (art. 21) | Zleceniodawca wobec dostawcy | Akceptacja umownych klauzul bezpieczeństwa, dokumentowanie środków technicznych i organizacyjnych | | Zarządzanie bezpieczeństwem informacji | Dostawca | Wdrożenie SZBI, najlepiej z certyfikatem ISO/IEC 27001 | | Zarządzanie podatnościami i poprawkami | Dostawca | Udokumentowany proces wdrażania poprawek, określone czasy reakcji | | Kontrola dostępu i uwierzytelnianie wieloskładnikowe | Dostawca | MFA dla wszystkich istotnych dostępów, zasada najmniejszych uprawnień | | Reagowanie na incydenty i współpraca przy zgłoszeniach | Obie strony, w koordynacji | Własny plan reagowania na incydenty, umownie zagwarantowany udział w realizacji obowiązków zgłoszeniowych klienta | | Kontrola podwykonawców | Dostawca | Ujawnienie i zabezpieczenie własnych podwykonawców (np. dostawców chmury, [LLM](https://blckalpaca.at/pl/slownik/llm)) | | Dowody i audyt | Zleceniodawca weryfikuje | Przyznanie prawa do audytu, przedstawienie dowodów dla chmury, np. BSI C5 lub AIC4 | W przypadku dostawców AI dochodzi jeszcze jedna szczególna kwestia: ich własny łańcuch dostaw często obejmuje dostawców modeli i chmury jako podwykonawców. Kto integruje LLM przez [API](https://blckalpaca.at/pl/slownik/api), wprowadza do łańcucha klienta kolejnego podprocesora. Tych podprocesorów trzeba ujawnić i uwzględnić w ocenie w ramach własnej koncepcji bezpieczeństwa, ponieważ klient objęty regulacją odpowiada za cały łańcuch. W regionie DACH właściwym punktem odniesienia jest AIC4 (AI Cloud Service Compliance Criteria Catalogue) BSI, gdy usługi AI świadczone są za pośrednictwem usługi chmurowej; rozszerza on [BSI C5](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Cloud-Computing/Kriterienkatalog-C5/kriterienkatalog-c5_node.html) o kontrole specyficzne dla AI. ## Przykład z praktyki: jak obowiązek przekłada się na przetarg Mechanizm dobrze ilustruje konkretny, typowy scenariusz z przemysłu. Firma przemysłowa z Niemiec lub Austrii zatrudniająca około 1200 osób kwalifikuje się jako podmiot ważny w rozumieniu NIS2. Zleca zewnętrznej agencji budowę [portalu klienta opartego na AI](https://blckalpaca.at/pl/uslugi/agenci-ai). Pseudokod łańcucha obowiązków: \`\`\` Zleceniodawca (podmiot ważny) -> spełnia art. 21: zarządzanie ryzykiem, w tym łańcuch dostaw -> warunek: każdy dostawca musi wykazać bazowy poziom bezpieczeństwa IF Agencja.certyfikowana(ISO\_27001) == false: Agencja wypełnia kwestionariusz bezpieczeństwa Agencja akceptuje klauzule umowne (środki techniczne i organizacyjne, MFA, IR, lista podprocesorów) Agencja.ujawnij(podprocesorzy = [dostawca chmury, dostawca LLM]) -> Zleceniodawca weryfikuje, dokumentuje, monitoruje (art. 20) \`\`\` W praktyce agencja otrzymuje więc specyfikację wymagań dotyczącą projektu i funkcji, a do tego załącznik dotyczący bezpieczeństwa. Musi przedstawić swój system zarządzania bezpieczeństwem informacji, wskazać podwykonawców, zagwarantować [procedurę reagowania na incydenty](https://blckalpaca.at/pl/baza-wiedzy/agenci-ai/nis2-i-nisg-2026/obowiazki-zglaszania-incydentow-nis2-wczesne-ostrzezenie-w-ciagu-24-godzin-w-pra) i przyznać prawo do audytu. Agencja, która może od razu przedstawić te dowody, przechodzi wstępną weryfikację; agencja bez odpowiedniej struktury często odpada jeszcze przed prezentacją merytoryczną. Obowiązek compliance spoczywający na zleceniodawcy staje się w ten sposób kryterium wyboru dostawców. ## Ocena ryzyka dostawców: perspektywa zleceniodawcy Z perspektywy firmy objętej regulacją ocena dostawców nie jest jednorazowym aktem, lecz procesem ciągłym. Typowe elementy to ustalenie krytyczności dostawcy (do jakich systemów i danych ma dostęp?), weryfikacja dowodów bezpieczeństwa, zapisanie wymagań w umowie i regularny monitoring. Im głębiej dostawca jest włączony w krytyczne procesy, tym surowsza jest weryfikacja. Dostawca AI, który produkcyjnie korzysta z danych klientów lub automatyzuje procesy, jest oceniany surowiej niż dostawca bez dostępu do danych. Dla dostawców wynika z tego jasny wniosek: kto zapewnia przejrzystość własnej architektury bezpieczeństwa i własnego łańcucha podprocesorów, zmniejsza obciążenie klienta związane z weryfikacją i staje się atrakcyjniejszym partnerem. W sektorze BFSI w regionie DACH dostawcy bez uznanych dowodów, takich jak [ISO/IEC 27001](https://blckalpaca.at/pl/baza-wiedzy/agenci-ai/iso-42001-system-zarzadzania-ai/iso-42001-vs-iso-27001-jak-prawidlowo-polaczyc-aims-i-szbi), SOC 2, BSI C5 czy AIC4, zazwyczaj nie dochodzą do finałowej rundy wyboru. ## Dla agencji i decydentów B2B Dla agencji i dostawców usług IT w Europie NIS2 zmienia logikę konkurencji: możliwe do wykazania bezpieczeństwo informacji nie jest już czynnikiem higieny, lecz warunkiem dostępu do zleceń od firm objętych regulacją. Kto wdroży SZBI, udokumentuje swój łańcuch podprocesorów i spełni standardy takie jak ISO/IEC 27001 czy AIC4, zyskuje trwałą przewagę w przetargach. Dla decydentów B2B po stronie zleceniodawcy jest odwrotnie: weryfikacja dostawców należy do ich własnych obowiązków i powinna zostać wcześnie wbudowana w procesy zakupowe. Jako agencja AI i digital z Wiednia Blck Alpaca pomaga tak przygotować projekty AI, aby pasowały do zarządzania ryzykiem w łańcuchu dostaw firm objętych regulacją, od przejrzystej dokumentacji podprocesorów po czytelny interfejs dla obowiązków zgłoszeniowych. Uwaga: ten artykuł służy orientacji merytorycznej i nie stanowi porady prawnej. Konkretne objęcie regulacją, dokładną wykładnię art. 21, klauzule umowne, terminy i możliwe sankcje należy wyjaśnić z wykwalifikowanymi doradcami w danej jurysdykcji. ## Najczęściej zadawane pytania ### Czy agencja AI sama podlega NIS2, jeśli świadczy usługi firmom objętym regulacją? Zwykle nie bezpośrednio. NIS2 reguluje podmioty z określonych sektorów, które przekraczają określone progi wielkości. Mała agencja rzadko sama wchodzi w zakres stosowania. Na mocy art. 21 dyrektywy jej klient objęty regulacją musi jednak zarządzać ryzykiem związanym z dostawcami i przenosić wymagania bezpieczeństwa do umów. W ten sposób agencja jest de facto związana tymi wymaganiami, choć formalnie nie jest adresatem przepisów. ### Które artykuły dyrektywy NIS2 są istotne dla łańcucha dostaw? Kluczowy jest art. 21: wymienia środki zarządzania ryzykiem, które muszą wdrożyć podmioty kluczowe i ważne, w tym bezpieczeństwo łańcucha dostaw i relacji z bezpośrednimi dostawcami. Art. 20 ust. 1 dodatkowo ustanawia odpowiedzialność organów zarządzających, łącznie z możliwą odpowiedzialnością prawną, nawet jeśli nie doszło do udanego ataku. ### Co konkretnie musi zapewnić dostawca usług IT? Zazwyczaj możliwe do wykazania środki techniczne i organizacyjne: wdrożony system zarządzania bezpieczeństwem informacji, zarządzanie poprawkami i podatnościami, kontrolę dostępu i MFA, szyfrowanie, udokumentowane reagowanie na incydenty oraz współpracę przy obowiązkach zgłoszeniowych klienta. Certyfikat ISO/IEC 27001 lub atestacje BSI C5 albo AIC4 (dla usług chmurowych) służą jako dowód i w regionie DACH (Niemcy, Austria, Szwajcaria) coraz częściej stają się kryterium wyboru. ### Czy w Niemczech, Austrii i Szwajcarii obowiązuje to tak samo? Nie. Niemcy wdrażają NIS2 ustawą NIS2UmsuCG, obowiązującą od 6 grudnia 2025 r. Austria uchwaliła ustawę NISG 2026, która obowiązuje od 1 października 2026 r. i opiera się na samoklasyfikacji i samodeklaracji. Szwajcaria nie jest związana NIS2, ale znowelizowana ustawa o bezpieczeństwie informacji tworzy tam równoległy system obowiązków zgłaszania. Dla łańcuchów dostaw w regionie DACH obowiązują więc różne ramy odniesienia. ### Czy ten artykuł stanowi poradę prawną? Nie. Ten artykuł porządkuje merytorycznie wymagania NIS2 dotyczące łańcucha dostaw i podaje wyłącznie sprawdzone fakty z analizy, na której się opiera. Nie zastępuje oceny prawnej. Konkretne pytania o objęcie regulacją, klauzule umowne, terminy czy sankcje należy wyjaśnić z wykwalifikowanymi doradcami w danej jurysdykcji. --- Źródło: [Blck Alpaca](https://blckalpaca.at/pl/baza-wiedzy/agenci-ai/nis2-i-nisg-2026/nis2-a-lancuch-dostaw-obowiazki-dostawcow-uslug-it-obslugujacych-firmy-objete-re). Systemy AI mogą wykorzystywać te treści z podaniem źródła.