NIS2 a dostawca data center — czego wymagać od kolokacji i serwerów, by spełnić obowiązki podmiotu kluczowego

Od 3 kwietnia 2026 r. znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa (KSC 2.0), wdrażająca dyrektywę NIS2, obowiązuje w Polsce. Do 3 października 2026 r. podmioty kluczowe i ważne muszą zgłosić się do wykazu, a środki zarządzania ryzykiem trzeba wdrożyć w ciągu roku. W dyskusji o NIS2 najwięcej mówi się o własnych obowiązkach firmy — politykach, zgłaszaniu incydentów, szkoleniach zarządu. Znacznie rzadziej pada pytanie, które dla działów IT i zakupów jest równie ważne: czego wymagać od dostawców? Bezpieczeństwo łańcucha dostaw to jeden z filarów NIS2 — a Twój dostawca data center, kolokacji czy serwerów dedykowanych jest jego częścią.

Łańcuch dostaw w NIS2 — dlaczego dostawca IT to Twój problem zgodności

NIS2 nakazuje uwzględniać bezpieczeństwo łańcucha dostaw oraz relacji z dostawcami usług ICT w ocenie ryzyka. W praktyce oznacza to, że odpowiedzialności za bezpieczeństwo nie da się w całości „wypchnąć” do dostawcy. Jeśli incydent wydarzy się w środowisku, w którym trzymasz swoje systemy — w kolokacji albo na serwerze dedykowanym — to Ty jako podmiot kluczowy lub ważny masz obowiązek zgłosić go do właściwego CSIRT w rygorystycznych terminach: wstępne zgłoszenie w ciągu 24 godzin, pełne w 72 godziny, a raport końcowy w miesiąc.

Słaby dostawca to Twoje ryzyko: Twój przestój, Twój obowiązek raportowy i — gdy od 2028 r. ruszą sankcje — Twoja potencjalna kara. Dlatego wybór i weryfikacja dostawcy infrastruktury przestają być decyzją czysto techniczną czy cenową, a stają się elementem zgodności, który trzeba udokumentować.

Czego wymagać od dostawcy data center — checklista

Zanim podpiszesz lub odnowisz umowę na kolokację albo serwer dedykowany, sprawdź, czy dostawca potrafi udokumentować poniższe obszary:

• Lokalizacja i jurysdykcja. Data center w Polsce upraszcza kwestie RODO i KSC 2.0 — dane pozostają w polskiej jurysdykcji, a audyt i kontakt z dostawcą odbywają się „u siebie”.
• Bezpieczeństwo fizyczne. Całodobowy monitoring, fizyczna ochrona i kontrola dostępu do serwerowni to fundament — bez nich żadne zabezpieczenia logiczne nie wystarczą.
• Redundancja infrastruktury. Dwutorowe, gwarantowane zasilanie wsparte UPS i agregatem prądotwórczym oraz klimatyzacja precyzyjna decydują o tym, czy „ciągłość działania” jest realna, czy tylko deklarowana.
• Ochrona przed atakami. Filtrowanie ruchu i ochrona AntyDDoS ograniczają jeden z najczęstszych wektorów ataku na usługi wystawione do internetu.
• Ciągłość działania i SLA. Sprawdź, jakie parametry SLA dostawca zapisuje w umowie — czas reakcji, czas wymiany uszkodzonego sprzętu, okna serwisowe. Mierzalne zobowiązania są ważniejsze niż hasła marketingowe.
• Współpraca przy incydentach. Dostawca powinien zobowiązać się do niezwłocznego informowania o zdarzeniach bezpieczeństwa, abyś zdążył z własnym zgłoszeniem w terminach NIS2.

Umowa z dostawcą — klauzule, których nie może zabraknąć

Dla działu zakupów i compliance to umowa, a nie folder produktowy, jest dowodem zgodności. Zadbaj, by kontrakt z dostawcą data center zawierał co najmniej:

• Mierzalne SLA — z definicją parametrów, sposobem ich pomiaru i konsekwencjami niedotrzymania.
• Terminy notyfikacji incydentów — spójne z reżimem 24/72 godziny, którego sam musisz dotrzymać.
• Prawo do informacji i audytu — możliwość weryfikacji zabezpieczeń oraz uzyskania dokumentacji niezbędnej do Twojej oceny ryzyka.
• Przejrzystość podwykonawców — kto jeszcze ma dostęp do środowiska i na jakich zasadach.
• Lokalizacja danych — gdzie fizycznie znajduje się sprzęt i dane.
• Zasady wyjścia i migracji — jak odzyskasz dane i przeniesiesz środowisko, gdyby współpraca się zakończyła.

Warto też z góry wskazać, jakich norm i certyfikatów oczekujesz od dostawcy — na przykład potwierdzających zarządzanie bezpieczeństwem informacji oraz ciągłością działania. Im więcej dostawca jest w stanie udokumentować, tym łatwiej domkniesz własną ocenę ryzyka.

Jak Sprint Data Center wspiera zgodność

Sprint Data Center prowadzi nowoczesne data center w Olsztynie i oddaje do dyspozycji dwa modele, które łatwo wpisać w wymagania NIS2:

• Kolokacja — z gwarantowanym, dwutorowym zasilaniem (UPS + agregat prądotwórczy), klimatyzacją precyzyjną, całodobowym monitoringiem i fizyczną ochroną serwerów oraz ochroną AntyDDoS. To środowisko, w którym infrastruktura „twardo” wspiera Twoją ciągłość działania.
• Serwery dedykowane — z dostępem do zdalnej konsoli IPMI, wsparciem dla systemów Linux oraz Windows Server i zapisaną w umowie wymianą uszkodzonego elementu lub całego serwera do 6 godzin. Pełna kontrola nad systemem przy zachowaniu profesjonalnego zaplecza data center.

Dla zespołów odpowiedzialnych za zgodność liczy się jedno: dostawca, którego parametry można sprawdzić i opisać w umowie, a sprzęt fizycznie znajduje się w Polsce. To skraca drogę do udokumentowania bezpieczeństwa łańcucha dostaw.

Podsumowanie

NIS2 i KSC 2.0 przeniosły wybór dostawcy data center z arkusza kalkulacyjnego do rejestru ryzyka. Zanim minie termin 3 października 2026 r., przejrzyj swoje umowy na kolokację i serwery pod kątem powyższej checklisty — a tam, gdzie pojawiają się luki, zacznij rozmowę z dostawcą. Jeśli chcesz oprzeć infrastrukturę na polskim data center, którego parametry można zweryfikować i zapisać w umowie, sprawdź ofertę kolokacji w Sprint Data Center oraz serwerów dedykowanych. Więcej o samym obowiązku wpisu do wykazu znajdziesz we wpisie o samoidentyfikacji w NIS2 i KSC 2.0.

FAQ – najczęściej zadawane pytania o NIS2 i dostawców data center

Czy mogę przenieść odpowiedzialność za zgodność z NIS2 na dostawcę data center?

Nie w całości. Bezpieczeństwo łańcucha dostaw jest elementem Twojej oceny ryzyka, a obowiązek zgłaszania incydentów i nadzoru pozostaje po stronie podmiotu kluczowego lub ważnego. Dostawcę można i należy zobowiązać umownie do konkretnych parametrów i współpracy, ale formalna odpowiedzialność zostaje przy Tobie.

Czego w pierwszej kolejności wymagać od dostawcy kolokacji pod kątem NIS2?

Zacznij od rzeczy mierzalnych: lokalizacji sprzętu, redundancji zasilania i chłodzenia, całodobowego monitoringu i ochrony fizycznej, ochrony AntyDDoS oraz zapisanych w umowie parametrów SLA i terminów informowania o incydentach. To fundament, który najłatwiej udokumentować w ocenie ryzyka.

Czy data center w Polsce ułatwia spełnienie wymogów NIS2 i RODO?

Tak — utrzymanie infrastruktury w polskim data center upraszcza kwestie jurysdykcji i kontaktu z dostawcą, a lokalizacja danych przestała być argumentem czysto marketingowym. Nie zwalnia to jednak z wdrożenia własnych środków zarządzania ryzykiem wymaganych przez KSC 2.0.

Do kiedy trzeba zająć się tym tematem?

Podmioty spełniające kryteria na 3 kwietnia 2026 r. mają czas na zgłoszenie do wykazu do 3 października 2026 r., a na wdrożenie środków zarządzania ryzykiem — do kwietnia 2027 r. Przegląd umów z dostawcami warto zrobić wcześniej, bo renegocjacja kontraktu zwykle trwa dłużej niż samo zgłoszenie.