// NIS2 · KSC · DORA · RODO · incydenty · spory
Zgodność z NIS2, DORA i RODO, umowy technologiczne, obsługa incydentów i spory po cyberatakach. Zespół kancelarii Tax Fin Law prowadzi prawną stronę bezpieczeństwa Twojej firmy, od polityk i umów po postępowanie przed organem i sądem.
Telefon kancelarii: 507 954 406
Nie złożyłeś wniosku o wpis do rejestru, bo nie wiedziałeś, że ustawa Cię obejmuje? Wniosek trzeba złożyć mimo upływu terminu. Zaczynamy od oceny, czy i w jakiej kategorii podlegasz ustawie.
wstępny test →Od zgodności z przepisami, przez umowy i incydenty, po spory i postępowania karne. Część techniczną realizuje Twój dział IT albo wybrany audytor, a my uzgadniamy z nim zakres tak, żeby spełniał wymagania prawa.
Od oceny, czy ustawa Cię obejmuje, do gotowości na audyt.
Zgodność, dokumentacja i kontakt z UODO.
Dla finansów, producentów oprogramowania i urządzeń oraz dostawców AI.
NIS2 i DORA wymagają zarządzania ryzykiem dostawców. To zadanie dla umów.
Gdy dojdzie do ataku, wycieku albo ransomware.
Po ataku liczy się szybka reakcja prawna.
Odpowiedzialność za cyberbezpieczeństwo spoczywa na zarządzie.
Większość wycieków zaczyna się wewnątrz firmy.
// dla kogo
Energia, transport, zdrowie, woda, infrastruktura cyfrowa, produkcja i inne sektory objęte ustawą.
Firmy z sektora finansowego i ich dostawcy usług ICT.
Twórcy oprogramowania, urządzeń i systemów AI sprzedawanych w UE.
Średnie firmy, w których zarząd sam odpowiada za bezpieczeństwo.
Terminy zgłoszeń według dyrektywy NIS2 i RODO. Biegną od momentu, w którym dowiedziałeś się o incydencie poważnym lub naruszeniu ochrony danych.
Zabezpieczenie dowodów i logów, ustalenie zakresu, decyzja, czy incydent jest poważny. To najlepszy moment na telefon do prawnika.
procedura wewnętrznaPierwsze zgłoszenie do właściwego CSIRT, z informacją, czy incydent może wynikać z działania bezprawnego.
art. 23 ust. 4 lit. a NIS2Pełniejsze zgłoszenie do CSIRT. Jeśli naruszone są dane osobowe, w tym samym terminie zgłoszenie do Prezesa UODO.
art. 23 ust. 4 lit. b NIS2 · art. 33 RODOOpis incydentu, przyczyny, zastosowane środki i skutki transgraniczne.
art. 23 ust. 4 lit. d NIS2Gdy naruszenie może powodować wysokie ryzyko dla osób, trzeba je też zawiadomić bez zbędnej zwłoki (art. 34 RODO). Polska ustawa o KSC wskazuje właściwy CSIRT i formę zgłoszenia. Ustalamy to razem w pierwszych godzinach.
Zadzwoń: 507 954 406NIS2 przenosi odpowiedzialność za cyberbezpieczeństwo z działu IT na zarząd.
Maksymalny poziom kar dla podmiotów kluczowych w dyrektywie. Dla podmiotów ważnych: 7 mln EUR lub 1,4% obrotu. W Polsce kary można nakładać po dwóch latach od wejścia w życie ustawy.
art. 34 NIS2Organy zarządzające zatwierdzają środki zarządzania ryzykiem, nadzorują ich wdrożenie i muszą przechodzić szkolenia.
art. 20 NIS2Podmiot objęty ustawą ocenia bezpieczeństwo swoich dostawców. Firmy spoza ustawy dostaną te wymagania w umowach od klientów.
art. 21 ust. 2 lit. d NIS2Trzy pytania, wynik od razu. Test daje orientację, a nie kwalifikację prawną. Ostateczna ocena wymaga analizy działalności i struktury grupy.
Wynik pojawi się tutaj od razu po zaznaczeniu odpowiedzi. Zobaczysz, czy firma prawdopodobnie podlega ustawie i jaki jest najbliższy termin.
Omów wynik: 507 954 406Niektóre podmioty podlegają ustawie niezależnie od wielkości, np. dostawcy usług DNS, rejestry domen, dostawcy usług zaufania. Organ może też wskazać podmiot indywidualnie.
Wycenę każdego etapu poznasz przed rozpoczęciem prac.
Ustalamy, czy i w jakiej kategorii firma podlega ustawie, oraz co jest już zrobione.
Zestawiamy wymagania z ustawy z Twoją dokumentacją i umowami. Dostajesz listę zadań z priorytetami.
Przygotowujemy polityki, procedury, uchwały zarządu i aneksy do umów z dostawcami.
Aktualizacje po zmianach prawa, wsparcie przy incydentach i przygotowanie do audytu.
Jestem radcą prawnym i założycielem kancelarii Tax Fin Law. Odpowiadam za strategię spraw i kontakt z klientem. Za Paragraf72 stoi zespół kancelarii, który przygotowuje analizy, dokumentację, umowy i pisma procesowe.
Zaczynałem w Izbie Administracji Skarbowej w Warszawie, a potem przez lata doradzałem klientom korporacyjnym. Znam postępowanie, kontrolę i sposób myślenia organu. To się przydaje, gdy firma ma do czynienia z CSIRT, Prezesem UODO albo organem nadzoru.
Na co dzień obsługuję spółki z sektorów regulowanych: ochrona danych, umowy z dostawcami IT, chmury i narzędzi AI, zgodność z przepisami, ład korporacyjny. Reprezentuję też spółki pokrzywdzone w postępowaniach karnych.
Cyberbezpieczeństwo łączy wszystkie te obszary. Większość obowiązków z NIS2, DORA czy RODO realizuje się przez dokumenty, umowy i decyzje zarządu, czyli przez prawo.
Najwięcej ryzyka widzę nie w serwerowni, lecz w umowach, procedurach i w tym, czy zarząd wie, co i w jakim terminie zgłosić.Daniel Borzym
Nie. Zajmujemy się obowiązkami prawnymi, dokumentacją, umowami i kontaktem z organami. Część techniczną wykonuje Twój dział IT albo wybrany przez Ciebie audytor, a my uzgadniamy z nim zakres tak, żeby spełniał wymagania ustawy.
Wniosek o wpis do rejestru trzeba złożyć niezależnie od upływu terminu. Najpierw potwierdzamy, czy firma podlega ustawie i jako jaki podmiot, potem składamy wniosek i planujemy wdrożenie przed kwietniem 2027 r.
Co do zasady ustawa obejmuje średnie i duże podmioty z wymienionych sektorów, a wielkość liczy się z uwzględnieniem powiązań w grupie. Są wyjątki, np. dostawcy usług DNS czy usług zaufania. Nawet poza ustawą wymagania NIS2 mogą trafić do Ciebie przez umowy z klientami, którzy jej podlegają.
Działać od razu: zawiadomić swój bank i bank odbiorcy z prośbą o blokadę środków, zabezpieczyć korespondencję i złożyć zawiadomienie o przestępstwie. Równolegle oceniamy roszczenia wobec banku, kontrahenta i ubezpieczyciela. Szanse na odzyskanie środków maleją z każdą godziną.
Nie wyłączaj systemów bez konsultacji z IT, zabezpiecz logi i komunikację, zapisz godzinę wykrycia i zadzwoń do prawnika. Od tej godziny liczą się terminy 24 i 72 godzin na zgłoszenia.
Zależy od wielkości firmy, liczby spółek w grupie i stanu dokumentacji. Wycenę przedstawiamy po pierwszej rozmowie i ocenie, przed rozpoczęciem prac.
Pierwsza rozmowa służy ocenie sytuacji i ustaleniu zakresu. Przy incydencie dzwoń od razu.
ul. Solec 38, Warszawa
Tax Fin Law Kancelaria Radcy Prawnego Daniel Borzym
ul. Malborska 16F lok. 24, 03-286 Warszawa
NIP 5691838055