Pakiet zgodności CER + NIS2
Dyrektywy CER (UE 2022/2557) i NIS2 (UE 2022/2555) obowiązują od 18 października 2024. Większość podmiotów krytycznych podlega obu reżimom równolegle. Multicert oferuje audyt zintegrowany trzech norm — ISO 22301 (BCM, fundament CER art. 13), ISO 27001 (ISMS, fundament NIS2 art. 21), ISO 22361 (zarządzanie kryzysowe). Rabat zintegrowany 25-35% względem trzech osobnych postępowań.
Mapa wymagań CER + NIS2 → normy ISO
Każde wymaganie dyrektywy mapuje się na konkretną normę ISO, którą Multicert auditujе. Audyt zintegrowany pokrywa równolegle obie dyrektywy.
| Wymaganie regulacyjne | Norma ISO | Rola |
|---|---|---|
| CER art. 12 — ocena ryzyka co 4 lata | ISO 22301 + ISO 31000 | Fundament BIA + RA |
| CER art. 13 — ciągłość świadczenia usług | ISO 22301 | Plany BCP/DRP, testy ćwiczeniowe |
| CER art. 13 — środki ochrony cyber | ISO 27001 | 93 kontrole z Załącznika A |
| CER art. 15 — powiadamianie incydentów (24 h) | ISO 22361 | Zarządzanie kryzysowe, komunikacja |
| NIS2 art. 21 ust. 2 lit. a-j — środki zarządzania ryzykiem cyber | ISO 27001 | Pełen system SZBI |
| NIS2 art. 21 lit. c — ciągłość działania, kopie zapasowe | ISO 22301 | BCM dla cyber-incydentów |
| NIS2 art. 21 lit. d — bezpieczeństwo łańcucha dostaw | ISO 28000 / 27036 | Supply chain security |
| NIS2 art. 23 — raportowanie incydentów (24/72 h) | ISO 22361 | Procedury reagowania |
| CER + NIS2 — odporność organizacyjna | ISO 22316 | Resilience kultury organizacyjnej |
Trzy poziomy pakietu zgodności
Pakiet dobiera się na podstawie sektora podmiotu i zakresu reżimów. Ścieżka rośnie organicznie — w pierwszym roku można zacząć od fundamentu, dodawać normy w kolejnych cyklach.
Tylko NIS2
Dla podmiotów objętych wyłącznie NIS2 (sektor IT, telekom, e-commerce, część finansów).
- ISO 27001 — system zarządzania bezpieczeństwem informacji
- + opcjonalnie ISO 27017/27018 (chmura)
Czas wdrożenia: 6-9 mies.
CER + NIS2 zintegrowany
Dla podmiotów krytycznych (banki, energetyka, telekom, zdrowie, infrastruktura cyfrowa).
- ISO 22301 — ciągłość działania (BCM)
- ISO 27001 — bezpieczeństwo informacji
- ISO 22361 — zarządzanie kryzysowe
Czas wdrożenia: 9-12 mies. Rabat audytu zintegrowanego: 25-35%
CER + NIS2 + supply chain
Dla operatorów infrastruktury krytycznej z złożonym łańcuchem dostaw (energia, kosmos, sektor finansowy).
- ISO 22301 + ISO 27001 + ISO 22361
- ISO 22316 — odporność organizacyjna
- ISO 28000 — supply chain security
- + opcjonalnie ISO 31000 (risk)
Czas wdrożenia: 12-18 mies. Rabat: 30-40%
Korzyści audytu zintegrowanego
- 1 Niższy koszt o 25-35% — wspólne sekcje HLS norm ISO są audytowane jednorazowo (kontekst, przywództwo, planowanie, wsparcie, ocena efektów). Tylko wymagania specyficzne dla każdej normy realizuje się odrębnie.
- 2 Krótszy czas audytu o 30-40% — jeden zespół audytorski, jeden raport, jedna wizyta on-site zamiast trzech osobnych.
- 3 Spójna dokumentacja — jeden zestaw procedur, jedna polityka, jedna macierz ryzyk dla całego systemu zarządzania. Niższy koszt utrzymania.
- 4 Argumenty audytowe wobec organów nadzorczych — krajowe organy nadzorcze CER i NIS2 (w Polsce: nowy organ ustanowiony nowelizacją ustawy o KSC) preferują udokumentowane systemy zarządzania nad ad-hoc deklaracjami zgodności.
- 5 Sygnał dla klientów korporacyjnych — element raportowania CSRD/ESRS S4 (społeczeństwo) i G1 (zarządzanie). Dostawcy do banków, energetyki, sektora publicznego są coraz częściej oceniani pod kątem odporności operacyjnej.
Wycena pakietu zgodności CER + NIS2
Bezpłatna analiza zakresu w 2 godziny. Pisemna wycena pakietu w ciągu 1-2 dni roboczych. Spotkanie z audytorem wiodącym w Twojej siedzibie lub online.
Dyrektywa CER 2024 — kogo obejmuje, obowiązki, kary
11 sektorów krytycznych, ocena ryzyka co 4 lata, terminy. Tabela CER vs NIS2.
BlogNIS2 obowiązuje, Polska spóźniona
Dyrektywa NIS2 — zakres podmiotów kluczowych i ważnych, obowiązki, kary do 10 mln €.
BlogISO 27001:2022 — co to jest, 93 kontrole z Załącznika A
Międzynarodowa norma SZBI — fundament zgodności z NIS2 i RODO.