Zgodnie z harmonogramem Ministerstwa Cyfryzacji nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC), wdrażająca dyrektywę NIS2, obowiązuje od 3 kwietnia 2026 r. Dla podmiotów, które spełniały ustawowe kryteria w dniu wejścia w życie nowych przepisów i nie zostały wpisane do Wykazu KSC z urzędu, termin na dokonanie wpisu wyznaczono na 3 października 2026 r., natomiast termin na wdrożenie zasadniczych obowiązków wyznaczono na 3 kwietnia 2027 r.

Dla przedsiębiorstwa komunalnego pytanie „ile kosztuje NIS2?” nie ma jednak jednej odpowiedzi. Innego zakresu może wymagać spółka zarządzająca jednym obiektem i podstawowym środowiskiem IT, a innego organizacja posiadająca kilka lokalizacji, automatykę przemysłową, systemy SCADA oraz wielu dostawców z dostępem zdalnym. Dlatego wycenę powinno poprzedzić określenie statusu podmiotu, punktu startowego i oczekiwanego rezultatu.

Najpierw status podmiotu, później zakres projektu

Zaopatrzenie w wodę pitną i jej dystrybucja oraz zbiorowe odprowadzanie ścieków zostały wskazane wśród sektorów kluczowych. Gospodarowanie odpadami znajduje się natomiast wśród sektorów ważnych. Samo działanie w jednym z tych obszarów nie przesądza jeszcze o ostatecznym statusie każdej spółki. Znaczenie mają również kryteria wynikające z ustawy, w tym charakter działalności, wielkość podmiotu i ewentualne podstawy objęcia regulacją niezależnie od wielkości.

Przed zamówieniem prac warto więc ustalić, czy status podmiotu został już potwierdzony, czy dopiero wymaga analizy. Jeżeli ta kwestia pozostaje otwarta, powinna zostać wyraźnie uwzględniona w zapytaniu. W przeciwnym razie wykonawca może przygotować wycenę na podstawie założeń, które nie odpowiadają rzeczywistej sytuacji organizacji.

Audyt gotowości i wdrożenie to różne zakresy

Określenie „audyt NIS2” bywa używane w odniesieniu do kilku różnych działań. Może oznaczać wstępną analizę podlegania przepisom, ocenę gotowości i luk, przygotowanie planu działań albo obowiązkowy audyt cyberbezpieczeństwa przewidziany dla określonych podmiotów kluczowych. Nie są to usługi o takim samym celu ani rezultacie.

Audyt gotowości zazwyczaj odpowiada na pytanie, czego brakuje i co należy zrobić. Wdrożenie obejmuje natomiast wykonanie uzgodnionych działań organizacyjnych i technicznych: przygotowanie lub uporządkowanie dokumentacji, procesów zarządzania ryzykiem i incydentami, zasad współpracy z dostawcami, szkoleń oraz zabezpieczeń systemów. Do tego może dochodzić późniejsze utrzymanie przyjętych rozwiązań. Jeżeli zapytanie nie rozróżnia tych etapów, otrzymana kwota niewiele mówi o faktycznym zakresie prac.

Sześć elementów, które najbardziej wpływają na wycenę

  1. Liczba lokalizacji i procesów objętych projektem. Jedna siedziba administracyjna to inna skala niż sieć ujęć wody, oczyszczalni, przepompowni, sortowni albo innych rozproszonych obiektów. Liczy się nie tylko ich liczba, lecz także sposób zarządzania i komunikacji między lokalizacjami.
  2. Środowiska IT, OT i SCADA. Systemy biurowe, poczta i serwery to tylko część obrazu. W przedsiębiorstwach komunalnych zakres może obejmować automatykę, sterowniki, stacje operatorskie, systemy telemetryczne i rozwiązania mające bezpośredni wpływ na ciągłość świadczenia usług. Ich inwentaryzacja oraz sposób ich segmentacji względem biurowej sieci IT mogą istotnie zmienić zakres prac.
  3. Dostawcy i dostęp zdalny. Serwisanci, integratorzy automatyki, dostawcy oprogramowania, firmy utrzymujące infrastrukturę i podmioty korzystające z dostępu zdalnego tworzą zależności, które trzeba uwzględnić. Znaczenie ma zarówno liczba takich relacji, jak i sposób nadawania, kontrolowania oraz odbierania dostępów.
  4. Obecny poziom przygotowania. Spółka posiadająca aktualną inwentaryzację aktywów, procedury obsługi incydentów, kopie zapasowe, plany ciągłości działania i jasno przypisane odpowiedzialności rozpoczyna projekt z innego miejsca niż organizacja, która dopiero zbiera te informacje. Wycena powinna uwzględniać nie tylko brakujące dokumenty, ale również to, czy istniejące zasady rzeczywiście funkcjonują w praktyce.
  5. Oczekiwany rezultat. Inny zakres będzie miała diagnoza luk zakończona raportem, inny przygotowanie Systemu Zarządzania Bezpieczeństwem Informacji, a jeszcze inny realizacja działań technicznych wraz ze szkoleniami i wsparciem organizacyjnym. W zapytaniu warto nazwać oczekiwany efekt, nawet jeśli szczegółowy sposób dojścia do niego ma dopiero zaproponować wykonawca.
  6. Termin i dostępność pracowników. Krótki harmonogram może wymagać większego zespołu lub równoległego prowadzenia kilku obszarów. Z drugiej strony nawet dobrze zaplanowany projekt będzie się wydłużał, jeżeli po stronie spółki zabraknie osób mogących udostępnić informacje, podjąć decyzje i zatwierdzić przygotowane rozwiązania.

To właśnie kombinacja tych czynników decyduje, czy projekt będzie krótką diagnozą, czy wieloetapowym programem. Jeżeli spółka zna już swój punkt startowy i oczekiwany rezultat, warto sprawdzić, co wpływa na wycenę wdrożenia NIS2, zanim przekaże zapytanie wykonawcy.

Minimum informacji potrzebnych przed wyceną

Na pierwszym etapie nie jest potrzebna kompletna dokumentacja techniczna. Wystarczy uporządkować informacje, które pozwolą wykonawcy ocenić skalę i niepewności projektu:

  • sektor działalności i wstępnie ustalony status podmiotu;
  • wielkość organizacji oraz liczba lokalizacji i obiektów;
  • podstawowe informacje o środowiskach IT, OT i SCADA;
  • kluczowe usługi, systemy i procesy, których przerwanie byłoby szczególnie dotkliwe;
  • najważniejsi dostawcy oraz zasady dostępu do systemów;
  • posiadane audyty, procedury i dokumentacja bezpieczeństwa;
  • oczekiwany rezultat oraz zakładany termin realizacji.

Dobre zapytanie nie musi udawać, że wszystkie odpowiedzi są już znane. Jeżeli spółka nie ma pełnej inwentaryzacji albo nie potrafi jeszcze określić granic projektu, warto wskazać to wprost. Taka informacja jest dla wykonawcy bardziej użyteczna niż pozorna precyzja oparta na niezweryfikowanych założeniach.

Rzetelna wycena powinna wskazywać nie tylko kwotę, ale również rezultaty prac, przyjęte założenia, elementy wyłączone z zakresu, harmonogram i wymagane zaangażowanie zespołu po stronie spółki. Dopiero wtedy można ocenić, czego faktycznie dotyczy proponowana usługa i jakie dodatkowe działania mogą być potrzebne później.

ServiceQuote nie wykonuje audytów ani wdrożeń. Po kwalifikacji operacyjnej przekazuje zapytanie jednemu wykonawcy dopasowanemu do parametrów sprawy i dostępnemu w momencie przekazania. Zakres prac i cenę spółka ustala następnie bezpośrednio z wykonawcą.

Im dokładniej opisane są punkt startowy, środowisko i oczekiwany rezultat, tym mniej niezweryfikowanych założeń musi przyjąć wykonawca. W przedsiębiorstwie komunalnym, w którym zakres może obejmować zarówno systemy biurowe, jak i infrastrukturę operacyjną, taka precyzja jest warunkiem rzetelnej wyceny.

Tagi: