Certyfikacje pod NIS2, wymagane, rekomendowane, najczęściej pytane

W rozmowach z firmami przygotowującymi się do NIS2 prawie zawsze pojawia się pytanie: “czy musimy mieć ISO 27001?”. Odpowiedź jest niejednoznaczna, i to celowo. NIS2 nie wymaga formalnie żadnej konkretnej certyfikacji, ale tworzy mocną presję rynkową na ich posiadanie. Artykuł 24 dyrektywy mówi o “europejskich systemach certyfikacji cyberbezpieczeństwa” jako narzędziu ułatwiającym wykazanie zgodności. W praktyce, kontrola NIS2 firmy z aktualnym ISO 27001 trwa krócej i przebiega łagodniej niż firmy bez certyfikacji, nawet jeśli obie spełniają te same wymagania techniczne.

Ten tekst rozkłada krajobraz certyfikacji w kontekście NIS2: które są realnie wymagane (sektorowo), które rekomendowane, które tylko marketingowo użyteczne. Pokazuje koszty, timeline, wybór jednostki certyfikującej i najczęstsze pułapki.

Co NIS2 dosłownie mówi o certyfikacjach

Dyrektywa nie wymaga konkretnej certyfikacji jako warunku compliance. Artykuł 24 wprowadza pojęcie “europejskich systemów certyfikacji cyberbezpieczeństwa” zgodnie z rozporządzeniem 2019/881 (EU Cybersecurity Act). Państwa członkowskie mogą wymagać konkretnych certyfikacji od podmiotów określonych sektorów, jeśli uzasadnione krytycznością.

W polskiej transpozycji (nowelizacja KSC 2024): brak ogólnego wymogu certyfikacji. Sektor finansowy ma własne wymogi przez DORA i wytyczne KNF. Sektor energetyczny, przez wytyczne URE. Pozostałe sektory, bez formalnego wymogu, ale z silnymi rekomendacjami.

Praktyczny stan rzeczy: certyfikacja nie jest wymogiem prawnym, ale jest:

• ułatwieniem dla audytów NIS2 (krótszy proces, mniej pytań);
• wymogiem rynkowym dla wielu kontraktów B2B (klienci pytają w przetargach);
• mocnym sygnałem dla organu nadzorczego, że firma traktuje cyber poważnie;
• elementem oceny ryzyka łańcucha dostaw przez Twoich kontrahentów.

ISO/IEC 27001, standard, który najczęściej ma sens

To najszerzej rozpowszechniona międzynarodowa certyfikacja systemu zarządzania bezpieczeństwem informacji (ISMS). Wersja aktualna: ISO/IEC 27001:2022.

Co obejmuje: kompleksowy system zarządzania bezpieczeństwem informacji, kontekst organizacji, przywództwo, planowanie, wsparcie, działania operacyjne, ocena działania, doskonalenie. Obowiązkowe Aneks A z 93 kontrolami bezpieczeństwa (zaktualizowane w wersji 2022).

Mapowanie do NIS2: ISO 27001 pokrywa większość 10 obszarów artykułu 21 NIS2, analiza ryzyka, obsługa incydentów, ciągłość działania, łańcuch dostaw, kontrola dostępu, kryptografia, bezpieczeństwo personelu, MFA. Niedopokryte przez ISO 27001 (wymagają osobnego wzmocnienia w kontekście NIS2): konkretne wymagania trójstopniowego raportowania incydentów, specyficzna odpowiedzialność zarządu z artykułu 20.

Ścieżka certyfikacji: 1. Decyzja zarządu (1 tydzień). 2. Wybór doradcy/konsultanta (opcjonalnie ale zalecane dla pierwszej certyfikacji): 2-4 tygodnie. 3. Gap analysis, porównanie obecnego stanu z wymogami: 4-6 tygodni. 4. Implementacja brakujących elementów, polityki, procedury, ewidencje: 3-6 miesięcy. 5. Audyt wewnętrzny, pierwszy: 4 tygodnie. 6. Działania korygujące: 4-6 tygodni. 7. Wybór jednostki certyfikującej: 2-4 tygodnie. 8. Audyt certyfikacyjny etap 1 (audyt dokumentacji): 1 tydzień. 9. Audyt certyfikacyjny etap 2 (audyt operacji): 1 tydzień. 10. Działania korygujące pomiędzy etapami: 2-4 tygodnie. 11. Wydanie certyfikatu: 2-4 tygodnie po pozytywnym etapie 2.

Łącznie: 6-12 miesięcy od decyzji do certyfikatu (typowo 8-10).

Koszty:

• doradca (wsparcie wdrożenia): 60 000-250 000 zł w zależności od skali firmy i zakresu;
• jednostka certyfikująca (audyt i certyfikat): 25 000-80 000 zł na pierwszą certyfikację, plus audyty roczne nadzorcze 12 000-30 000 zł rocznie;
• czas wewnętrzny: 200-600 godzin pracy wewnętrznej (głównie Cybersecurity Officer i kierownictwo);
• narzędzia (jeśli wymagane): 10 000-80 000 zł rocznie.

Łącznie pierwsza certyfikacja: koszt zależy od skali organizacji i zakresu certyfikacji. Utrzymanie: 30 000-80 000 zł rocznie. Recertyfikacja co 3 lata.

Wybór jednostki certyfikującej: kluczowa decyzja. Jednostka musi być akredytowana, w Polsce przez PCA (Polskie Centrum Akredytacji), za granicą przez krajowe organy akredytujące podpisujące porozumienia IAF. Lista jednostek akredytowanych dla ISO 27001 w Polsce: BSI Group, DEKRA, TÜV Nord, TÜV SÜD, TÜV Rheinland, Bureau Veritas, DNV, SGS, Lloyd’s Register, plus mniejsze polskie jednostki (Quality Austria, IMQ, kilka innych). Cena rynkowa porównywalna; różnice w jakości audytorów, w branżowej specjalizacji i w czasie oczekiwania.

Najczęstszy błąd: zakup certyfikatu od jednostki nieakredytowanej. Takie certyfikaty są warte tyle co papier. Sprawdzaj zawsze akredytację, strona PCA: https://www.pca.gov.pl.

SOC 2, gdy klienci to wymagają

System and Organization Controls 2 (SOC 2) to amerykański standard kontroli wewnętrznych dla firm usługowych, opracowany przez AICPA. Bardzo popularny w sektorze technologicznym i wśród dostawców SaaS.

Co obejmuje: raport audytu kontroli organizacji w pięciu obszarach (Trust Services Criteria): bezpieczeństwo, dostępność, integralność przetwarzania, poufność, prywatność. Można certyfikować w wybranym podzbiorze (zwykle minimum bezpieczeństwo).

Dwa typy raportu:

• SOC 2 Type I, opis kontroli na konkretny moment (snapshot);
• SOC 2 Type II, opis kontroli plus ich operacyjna skuteczność w okresie 6-12 miesięcy.

Type II ma znacznie większą wartość rynkową.

Mapowanie do NIS2: SOC 2 pokrywa wiele obszarów artykułu 21, ale jest mniej kompleksowe niż ISO 27001. Skupia się na kontrolach operacyjnych, mniej na systemie zarządzania.

Kiedy ma sens:

• firma świadczy usługi (SaaS, hosting, BPO) klientom z USA lub międzynarodowym, którzy wymagają SOC 2 w przetargach;
• firma sprzedaje do enterprise customerów, którzy formalnie wymagają SOC 2 jako warunek due diligence;
• firma chce uzupełnić ISO 27001 dla rynków, gdzie SOC 2 jest preferowany.

Koszty: SOC 2 Type I, 50 000-150 000 zł. SOC 2 Type II, 100 000-300 000 zł na pierwszy raport. Raporty następne, 60 000-180 000 zł rocznie.

Najczęstsza praktyka polskich firm tech: ISO 27001 jako baza zarządzania, SOC 2 Type II jako narzędzie sprzedażowe dla klientów anglojęzycznych.

ISO 22301, ciągłość działania

Standard zarządzania ciągłością działania (Business Continuity Management System, BCMS). Dotyka bezpośrednio obszaru 3 NIS2 (ciągłość działania i zarządzanie kryzysowe).

Co obejmuje: identyfikacja krytycznych procesów biznesowych, analiza wpływu (Business Impact Analysis), plany ciągłości działania (BCP), plany odzyskiwania po awarii (DRP), zarządzanie kryzysowe, regularne testy.

Kiedy ma sens dla NIS2:

• podmioty kluczowe w sektorach o wysokiej krytyczności (energia, ochrona zdrowia, transport, finanse), często rekomendowane;
• firmy, dla których utrata ciągłości operacyjnej oznacza katastrofalne konsekwencje;
• firmy budujące pełen ekosystem zarządzania ryzykiem (zwykle łączone z ISO 27001).

Koszty: podobne do ISO 27001-70 000-200 000 zł na pierwszą certyfikację, 25 000-60 000 zł rocznie na utrzymanie.

W praktyce wiele firm certyfikuje jednocześnie ISO 27001 i ISO 22301 w pakiecie, koszty audytu rocznego można połączyć i część kontroli się pokrywa.

ISO 27701, rozszerzenie o RODO

Rozszerzenie ISO 27001 o system zarządzania prywatnością informacji. Stanowi most między cyberbezpieczeństwem (ISO 27001) a ochroną danych osobowych (RODO).

Kiedy ma sens: dla firm, które już mają ISO 27001 i chcą wzmocnić compliance RODO przez formalną certyfikację. Polska praktyka: ISO 27701 nie jest popularny, większość firm uznaje, że audyty RODO przez prawników wystarczają. Jednak dla podmiotów świadczących usługi międzynarodowe certyfikacja ISO 27701 ma rosnące znaczenie sprzedażowe.

Koszty: dodatkowo 30 000-100 000 zł nad bazą ISO 27001.

Sektorowe certyfikacje krytyczne

W niektórych sektorach NIS2 nakłada się na inne reżimy regulacyjne wymagające specyficznych certyfikacji.

Sektor finansowy, DORA: Digital Operational Resilience Act wymaga formalnych testów odporności (TLPT, Threat-Led Penetration Testing) dla instytucji systemowo ważnych. Certyfikacje wymagane sektorowo przez KNF.

Sektor energetyczny: standardy NIS-D (sektorowo ENISA dla energy), wytyczne URE.

Sektor ochrony zdrowia: w niektórych krajach UE wymagane sektorowe certyfikacje. W Polsce, wciąż w fazie kształtowania, ale szpitale i NFZ-zależne podmioty są pod silną presją wdrożenia ISO 27001.

Operatorzy infrastruktury krytycznej: krajowe wymogi dotyczące zarządzania ryzykiem, pełniejsze niż NIS2.

Każdy podmiot z sektora regulowanego sektorowo powinien sprawdzić, czy jego organ nadzorczy wprowadził specyficzne wymogi certyfikacyjne.

Krajowy System Cyberbezpieczeństwa, KSC

W Polsce funkcjonuje też Krajowy System Cyberbezpieczeństwa, który nie jest “certyfikacją” w sensie międzynarodowym, ale formalną rejestracją w systemie CSIRT NASK z określonymi zobowiązaniami sprawozdawczymi. Każdy podmiot kluczowy i ważny musi się zarejestrować, to nie certyfikacja, lecz obowiązek.

Dodatkowo polskie organy rozwijają sektorowe schematy cyberbezpieczeństwa zgodnie z rozporządzeniem EU Cybersecurity Act 2019/881. Pierwsze schematy europejskie (EUCC dla produktów, EUCS dla usług chmurowych) są w fazie wdrażania.

Wybór strategii certyfikacyjnej dla MŚP

Średnia firma 60-150-osobowa, podlegająca NIS2 jako podmiot ważny. Praktyczne rekomendacje:

Wariant minimalny (compliance bez certyfikacji formalnej): wdrożenie wszystkich 10 obszarów NIS2 zgodnie z wytycznymi, dokumentacja na poziomie umożliwiającym kontrolę, bez zewnętrznej certyfikacji. Koszty: 80 000-200 000 zł na wdrożenie, 25 000-50 000 zł rocznie. Ryzyko: dłuższe i głębsze audyty NIS2, brak narzędzia rynkowego dla klientów.

Wariant balansowy (ISO 27001 jako baza): pełne wdrożenie systemu zgodnego z ISO 27001 plus certyfikacja. Koszt: 150 000-400 000 zł na pierwszą certyfikację, 50 000-80 000 zł rocznie na utrzymanie. Korzyści: krótsze audyty NIS2, narzędzie sprzedażowe, formalny system zarządzania.

Wariant kompleksowy (ISO 27001 + ISO 22301 + sektorowe): pełen ekosystem zarządzania ryzykiem. Koszt: 250 000-600 000 zł na pierwszą fazę, 80 000-150 000 zł rocznie. Korzyści: maksymalna wiarygodność, pełne pokrycie NIS2 i pokrewnych regulacji.

Wariant tech (ISO 27001 + SOC 2): dla firm tech sprzedających enterprise. Koszt: 300 000-700 000 zł na pierwszą fazę, 100 000-250 000 zł rocznie. Korzyści: wymagane sprzedażowo dla wielu kontraktów.

Realistyczna rekomendacja dla większości polskich MŚP podlegających NIS2: wariant balansowy. Inwestycja w ISO 27001 zwykle zwraca się przez ułatwione audyty, narzędzie sprzedażowe i mocniejszą pozycję w przetargach.

Najczęstsze pułapki certyfikacji

Pułapka 1: kupowanie certyfikatu zamiast budowania systemu. Niektóre jednostki “konsultingowe” oferują “certyfikat ISO 27001 w 30 dni za 50 000 zł”. Z reguły wystawiają certyfikaty nieakredytowane lub akredytowane przez jednostki o wątpliwej reputacji. Wartość rynkowa: zerowa. Wartość regulacyjna: ujemna (jeśli organ nadzoru wykryje fikcyjny system).

Pułapka 2: certyfikacja jako jednorazowy projekt. Po wydaniu certyfikatu firma “zamyka temat”. Po dwóch latach system jest nieaktualny, dokumenty się rozjechały, audyt nadzorczy ujawnia problemy. Recertyfikacja wymaga prawie ponownego wdrożenia.

Pułapka 3: zbyt wąski zakres certyfikacji. Firma certyfikuje tylko jeden dział (np. IT) lub jedną lokalizację, żeby obniżyć koszty. Klienci pytają w przetargach o certyfikat obejmujący usługi, które kupują, okazuje się że zakres certyfikacji ich nie obejmuje. Wartość sprzedażowa praktycznie zerowa.

Pułapka 4: ignorowanie aktualizacji norm. ISO 27001 zaktualizowane w 2022 roku, firmy z certyfikatem na podstawie wersji 2013 muszą przejść na nową wersję do października 2025. Brak aktualizacji = utrata certyfikatu.

Pułapka 5: konsultant prowadzący wdrożenie i audyt jednocześnie. Konflikt interesów, auditor nie może być stroną wdrażającą. Niezależność jednostki certyfikującej jest fundamentem akredytacji.

Lista decyzji zarządu w sprawie certyfikacji

Sześć pytań do podjęcia:

1. Czy nasz sektor wymaga sektorowo certyfikacji (KNF, URE, inne)?
2. Czy nasi kluczowi klienci wymagają konkretnej certyfikacji w przetargach?
3. Jaki budżet jesteśmy w stanie przeznaczyć na pierwszą certyfikację (100 tys.? 300 tys.? więcej?)
4. Jaki budżet na utrzymanie roczne (50 tys.? 100 tys.?)
5. Mamy wewnętrzne kompetencje do utrzymania systemu, czy potrzebujemy outsourcingu?
6. Jaki timeline, czy potrzebujemy certyfikatu do konkretnego terminu (np. przetarg), czy mamy elastyczność?

Odpowiedzi na te pytania wyznaczają strategię.

Bibliografia

• Komisja Europejska. (2022). Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. (NIS2), art. 24 (certyfikacje). https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32022L2555
• Parlament Europejski i Rada UE. (2019). Rozporządzenie (UE) 2019/881 z dnia 17 kwietnia 2019 r. (Cybersecurity Act). https://eur-lex.europa.eu/eli/reg/2019/881/oj
• ISO. (2022). ISO/IEC 27001:2022, Information security, cybersecurity and privacy protection, Information security management systems, Requirements. International Organization for Standardization. https://www.iso.org/standard/27001
• ISO. (2019). ISO 22301:2019, Security and resilience, Business continuity management systems. International Organization for Standardization. https://www.iso.org/standard/75106.html
• ISO. (2019). ISO/IEC 27701:2019, Security techniques, Extension to ISO/IEC 27001 and ISO/IEC 27002 for privacy information management. https://www.iso.org/standard/71670.html
• AICPA. (2017). SOC 2 Reports, Trust Services Criteria. American Institute of CPAs. https://www.aicpa-cima.com/topic/audit-assurance/audit-and-assurance-greater-than-soc-2
• Polskie Centrum Akredytacji. (2024). Wykaz akredytowanych jednostek certyfikujących systemy zarządzania. PCA. https://www.pca.gov.pl/

---

Decyzja o certyfikacji to inwestycja kilkuset tysięcy złotych. W cotygodniowym newsletterze TestNIS2.pl publikujemy analizy konkretnych przypadków certyfikacji, porównania jednostek certyfikujących, szablony wymagań przetargowych. Zapisz się, bezpłatnie.