NIS2 zmienia wymagania
Twoich klientów —
czy kancelaria jest gotowa?
Kancelaria prawna może nie podlegać NIS2 bezpośrednio — ale Twoi klienci korporacyjni już tak. Banki, firmy energetyczne, podmioty ochrony zdrowia muszą weryfikować bezpieczeństwo zewnętrznych doradców. Kancelaria bez odpowiednich zabezpieczeń wypadnie z ich łańcucha dostawców.
- ✓Potwierdzenie wdrożonych środków bezpieczeństwa IT
- ✓Dokumentacja polityk i procedur bezpieczeństwa
- ✓Zgodność z RODO i ochrona danych osobowych
- ✓Procedura reagowania na incydenty
- ✓Zarządzanie dostępami i kontrola uprawnień
- ✓Możliwość poddania się audytowi bezpieczeństwa
Krótka, konkretna odpowiedź
To pytanie słyszymy najczęściej. Odpowiedź jest dwuwarstwowa — jedno dotyczy obowiązków prawnych, drugie realiów biznesowych.
✅ Bezpośrednio — zazwyczaj NIE
Kancelarie prawne co do zasady nie należą do sektorów objętych NIS2 (bankowość, energetyka, zdrowie, transport). Nie masz obowiązku rejestracji ani raportowania do CSIRT jako podmiot NIS2. To dobra wiadomość jeśli chodzi o formalności.⚠️ Pośrednio — często TAK
Jeśli obsługujesz klientów z sektorów objętych NIS2 — banki, firmy energetyczne, szpitale, operatorów telco — oni mają obowiązek weryfikować bezpieczeństwo swoich zewnętrznych dostawców, w tym kancelarii. Twoje bezpieczeństwo staje się ich wymogiem regulacyjnym.Jak klienci korporacyjni weryfikują bezpieczeństwo kancelarii
NIS2 zobowiązuje podmioty objęte dyrektywą do weryfikacji bezpieczeństwa całego łańcucha dostawców — w tym zewnętrznych kancelarii prawnych.
Ankiety bezpieczeństwa
Klient przesyła szczegółową ankietę dotyczącą polityk bezpieczeństwa, zabezpieczeń technicznych i procedur. Brak odpowiedzi lub słabe wyniki = brak zlecenia.
Audyty bezpieczeństwa u dostawców
Duże podmioty mogą przeprowadzać audyty bezpieczeństwa bezpośrednio w siedzibie kancelarii. Brak dokumentacji i procedur oznacza negatywny wynik audytu.
Klauzule kontraktowe
Kontrakty z podmiotami objętymi NIS2 zawierają klauzule dotyczące bezpieczeństwa IT zewnętrznych doradców — wymogi szyfrowania, kontroli dostępu i zgłaszania incydentów.
Wymóg certyfikacji lub standardu
Część klientów wymaga ISO 27001 lub spełnienia konkretnych standardów bezpieczeństwa jako warunek podjęcia współpracy z kancelarią.
Reputacja na rynku korporacyjnym
W środowisku korporacyjnym informacja o poziomie bezpieczeństwa kancelarii rozchodzi się szybko. Kancelaria znana z wysokich standardów IT jest preferowanym partnerem.
Cykliczne weryfikacje
Weryfikacja bezpieczeństwa to nie jednorazowy wymóg — klienci objęci NIS2 mogą wymagać regularnych potwierdzeń stanu bezpieczeństwa kancelarii.
Co robimy, żeby kancelaria spełniała wymagania klientów objętych NIS2
Nie wdrażamy NIS2 jako taki — przygotowujemy kancelarię na wymagania bezpieczeństwa które stawiają podmioty objęte NIS2 swoim zewnętrznym dostawcom.
Gap analysis — co brakuje
Sprawdzamy aktualny stan bezpieczeństwa kancelarii względem typowych wymagań klientów NIS2 — identyfikujemy luki i priorytetyzujemy działania.
Polityki i procedury bezpieczeństwa
Pisemna polityka bezpieczeństwa informacji, procedura reagowania na incydenty, polityka zarządzania dostępami — dokumenty gotowe do przedstawienia klientowi.
Odpowiedzi na ankiety bezpieczeństwa
Pomagamy wypełnić security questionnaires od klientów korporacyjnych — wiemy czego szukają i jak odpowiadać żeby wypaść pozytywnie.
Zabezpieczenia techniczne
Wdrożenie podstawowych zabezpieczeń technicznych wymaganych przez NIS2 — szyfrowanie, kontrola dostępu, 2FA, backup, monitoring incydentów.
Reprezentacja podczas audytów klientów
Uczestniczymy w audytach bezpieczeństwa prowadzonych przez Twoich klientów jako vCISO kancelarii — odpowiadamy na pytania audytorów i reprezentujemy kancelarię.
Dokumentacja dla przetargów
Przygotowujemy pakiet dokumentacji bezpieczeństwa do załączenia przy ofertach i przetargach — gotowy do użycia przy każdym zapytaniu klienta.
"NIS2 nie dotyczy kancelarii bezpośrednio.
Ale Twoi klienci korporacyjni zapytają
o bezpieczeństwo — i musisz mieć odpowiedź."
Znam wymagania bezpieczeństwa z obu stron — jako doradca kancelarii i jako konsultant podmiotów objętych NIS2 i DORA. Wiem czego konkretnie szukają podczas weryfikacji zewnętrznych dostawców i jak przygotować kancelarię na te pytania.
Rafał Dobrosielski
Founder & Lead Auditor, PushSec Legal
Najczęstsze pytania o NIS2 i kancelarie
Pytania które słyszymy od prawników gdy temat NIS2 pojawia się u ich klientów.
Co do zasady nie. Kancelarie prawne nie są wymienione wśród sektorów objętych NIS2 (ani jako podmiot kluczowy, ani ważny). Wyjątek mogą stanowić bardzo duże kancelarie świadczące usługi infrastruktury cyfrowej lub obsługujące sektor krytyczny. W praktyce obowiązek jest pośredni — przez wymagania klientów, nie przez bezpośrednie przepisy.
To klasyczna sytuacja. Ankiety bezpieczeństwa od klientów korporacyjnych zawierają pytania o polityki, zabezpieczenia techniczne, certyfikacje i procedury. Jeśli nie masz tych dokumentów — nie możesz odpowiedzieć pozytywnie. Pomagamy zarówno przygotować brakującą dokumentację jak i wypełnić ankietę. Skontaktuj się — przejrzymy ankietę i ocenimy co wymaga działania.
Nie zawsze — ale coraz częściej. Część klientów akceptuje inne dowody zgodności (wypełnione ankiety, audyt, pisemne polityki). Inne firmy, szczególnie banki i instytucje finansowe, coraz częściej wymagają certyfikacji ISO 27001 lub SOC 2 jako twardego wymogu. Zależy od sektora i skali klienta. ISO 27001 daje największą pewność że przejdziesz każdą weryfikację.
Zależy od punktu startowego. Jeśli kancelaria ma już podstawy (RODO, backup, hasła) — uzupełnienie brakującej dokumentacji i zabezpieczeń zajmuje 4–8 tygodni. Jeśli zaczynamy od zera — 2–3 miesiące na pełne przygotowanie. Jeśli masz pilną ankietę od klienta — możemy przygotować odpowiedź w ciągu tygodnia bazując na tym co już masz.
Audyt bezpieczeństwa to diagnoza — ocena stanu IT z raportem i rekomendacjami. Przygotowanie na wymagania NIS2 klientów to wdrożenie — budowanie dokumentacji, polityk i zabezpieczeń które kancelaria może przedstawić klientom. Często zaczynamy od audytu, a potem wdrażamy wymagane elementy. Można też zamówić oba w jednym projekcie.
Twoi klienci korporacyjni zapytają o bezpieczeństwo IT — czy jesteś gotowy?
Porozmawiajmy — sprawdzimy czy kancelaria spełnia wymagania bezpieczeństwa podmiotów objętych NIS2 i przygotujemy dokumentację gotową na ich weryfikacje.
Bez zobowiązań · Odpowiedź w 24h · Pierwsza konsultacja bezpłatna