1. Kiedy podmiot może podlegać pośrednio pod NIS 2 / UKSC?

• Co to znaczy być w łańcuchu dostaw podmiotu kluczowego lub ważnego, nie mając własnych obowiązków ustawowych?
• Skąd biorą się żądania dotyczące konkretnych wymogów w zakresie cyberbezpieczeństwa?
• Analogia i różnice względem relacji administrator–procesor z RODO;
• Kluczowe rozróżnienie: wymóg prawny vs. wymóg biznesowy zamawiającego.

2. Zarządzanie podatnościami: czego wolno wymagać, a co można i powinno się udostępniać?

• Czy zamawiający może żądać okresowych raportów o podatnościach — i z jaką częstotliwością (kwartalnie? po każdym skanie? tylko na żądanie?). Wszystkie podatności czy tylko istotne (Critical/High wg CVSS)?
• Typowe SLA remediacji: Critical/High 24 h–7 dni, Medium 14–30 dni, Low 60–90 dni — kiedy są proporcjonalne?
• Czy zamawiający może wymagać konkretnych certyfikatów (ISO/IEC 27001) i co zrobić, gdy dostawca ich nie ma?
• Gdzie przebiega granica między uzasadnionym wymogiem a żądaniem ponad miarę?

3. Audyt bezpieczeństwa usługi dostawcy ICT: zakres i co można udostępnić?

• Jakiego zakresu audytu można zasadnie wymagać od dostawcy ICT?
• Które informacje realnie muszą trafić do zamawiającego, a które są tajemnicą przedsiębiorstwa lub ryzykiem dla samego bezpieczeństwa (mapa podatności = mapa ataku)?
• Czy wystarczy podsumowanie audytu / potwierdzenie jego przeprowadzenia, czy zamawiający może oczekiwać pełnego raportu?
• Model warstwowy udostępniania: certyfikat → executive summary → bridge letter → pełny raport pod NDA. SOC 2 Type II, pentest, atestacja niezależnego audytora jako dowody zastępcze.

4.  Inne uzasadnione wymagania łańcucha dostaw i klauzule umowne

• Poza podatnościami i audytem: jakie jeszcze wymagania bezpieczeństwa łańcucha dostaw są proporcjonalne — notyfikacja incydentu i poddostawców, prawo do audytu, wymogi lokalizacji danych, obowiązki podwykonawców (flow-down).
• Które klauzule to standard rynkowy, a które są nadużyciem pozycji zamawiającego (nielimitowana odpowiedzialność, audyt bez ograniczeń, natychmiastowe łatanie każdej podatności)?
• Jak dostawca może odpowiadać kontrpropozycją zamiast odmową?

5. Praktyczny plan minimum: jak przygotować się, zanim przyjdzie ankieta?

• Minimalny zestaw, który odpowie na 80% pytań — polityka zarządzania podatnościami, rejestr, skanowanie, SLA remediacji, podstawowa notyfikacja.
• Jak zbudować „paczkę dowodową” (trust package), którą wysyłasz raz zamiast odpowiadać na każdą ankietę od zera?
• Czego nigdy nie należy udostępniać?
• Dla zamawiającego: jak sformułować wymagania, żeby były egzekwowalne i obroniły się jako proporcjonalne?

6. Sesja QA

Szkolenie skierowane jest w szczególności do:

- dostawców produktów i usług ICT, którzy są podmiotami spoza zakresu UKSC/NIS2, ale jednocześnie pozostają w łańcuchu dostaw podmiotu kluczowego lub ważnego;

- podmiotów kluczowych i ważnych, które muszą zarządzać ryzykiem dostawców ICT i chcą wiedzieć, jakie wymagania wobec dostawców są proporcjonalne, a jakie zostaną słusznie odrzucone jako nadmiarowe.