Ocena dostawców IT i chmury po nowych materiałach z 2026 roku: praktyczna ankieta bezpieczeństwa dla polskiego MŚP

Dlaczego temat dostawców IT dotyczy także MŚP

Mała firma nie musi być podmiotem kluczowym ani podmiotem ważnym, aby odczuwać skutki problemów po stronie zewnętrznego dostawcy. W materiale opublikowanym na gov.pl wskazano, że coraz więcej organizacji opiera działalność na usługach i rozwiązaniach dostarczanych przez podmioty zewnętrzne, a bezpieczeństwo tych podmiotów jest równie ważne jak ochrona własnych systemów. Ten sam materiał opisuje też obowiązek zarządzania ryzykiem związanym z dostawcami produktów, usług i procesów ICT oraz potrzebę oceny ryzyka dostawców i świadczonych przez nich usług. Dla MŚP to praktyczna wskazówka, że rozmowa o bezpieczeństwie dostawcy nie jest dodatkiem do zakupu, lecz elementem samej decyzji o wyborze usługi.

W realiach mniejszej organizacji problem zwykle nie polega na braku narzędzi, ale na braku prostego sposobu zadawania właściwych pytań. Źródła z gov.pl i KNF pokazują kierunek myślenia: trzeba wiedzieć, od których dostawców organizacja jest zależna, ocenić skutki niedostępności usług lub dostaw, a także zadbać o jasne przypisanie praw i obowiązków w dokumentach współpracy. Proponujemy więc potraktować krótką ankietę bezpieczeństwa jako narzędzie porządkujące rozmowę handlową, techniczną i umowną jeszcze przed podpisaniem kontraktu.

Co potwierdzają źródła z 2026 roku i jak ostrożnie przełożyć to na MŚP

Artykuł z bazy wiedzy gov.pl z 22 października 2026 r. omawia cyberbezpieczeństwo dostawców i usług zewnętrznych. Wprost wskazuje on na potrzebę zarządzania ryzykiem związanym z dostawcami produktów, usług i procesów ICT, zapewnienia bezpieczeństwa i ciągłości łańcucha dostaw, oceny ryzyka dostawców i usług, weryfikacji jakości wykorzystywanych produktów, usług i procesów ICT oraz monitorowania dostawców i zarządzania zależnościami od podmiotów zewnętrznych. To źródło nie jest poradnikiem wyłącznie dla dużych organizacji, ale opisuje sposób myślenia, który można zastosować również w mniejszej firmie podczas zakupu hostingu, usług administracyjnych, backupu, utrzymania poczty czy outsourcingu IT.

Osobny komunikat Ministerstwa Cyfryzacji dotyczący konsultacji projektu ankiety bezpieczeństwa łańcuchów dostaw potwierdza, że podmioty kluczowe i podmioty ważne muszą uzyskiwać informacje od swoich bezpośrednich dostawców sprzętu lub oprogramowania o stosowanych przez nich środkach zapewniających cyberbezpieczeństwo dostarczanych produktów ICT lub usług ICT. Komunikat mówi również, że przygotowano projekt wzoru ankiety bezpieczeństwa łańcuchów dostaw, a stosowanie finalnego wzoru ankiety ma być dobrowolne. Co ważne, ten sam komunikat dodaje, że także inne podmioty kluczowe i podmioty ważne mogą wykorzystać projekt ankiety do realizacji swoich obowiązków. Na potrzeby MŚP nie należy z tego wyprowadzać szerszych tez o formalnym obowiązku po stronie wszystkich firm. Bezpieczniej jest potraktować ten materiał jako potwierdzenie, że model pracy oparty na ankiecie ma uzasadnienie praktyczne i legislacyjne, nawet jeśli mniejsza firma stosuje go dobrowolnie.

Materiał KNF dotyczący identyfikacji, przeglądu i dostosowania umów z zewnętrznymi dostawcami usług ICT odnosi się do rozporządzenia DORA i podmiotów finansowych. Nie można więc przenosić go wprost na każde MŚP. Można jednak ostrożnie wykorzystać ogólną lekcję płynącą z tego źródła: umowy z zewnętrznymi dostawcami usług ICT powinny jasno przypisywać prawa i obowiązki stron na piśmie, a proces identyfikacji umów i ich przeglądu nie powinien być odkładany na koniec wdrożenia. Dla mniejszej firmy to argument, aby kwestie bezpieczeństwa, dostępu, incydentów i zakończenia współpracy omawiać przed zawarciem umowy, a nie dopiero po problemie.

Propozycja minimalnej ankiety due diligence przed zakupem usługi

Na podstawie potwierdzonych źródeł proponujemy prostą ankietę dla MŚP. Nie jest to oficjalny wzór żadnego urzędu, lecz redakcyjna lista pytań inspirowana tematami, które źródła rzeczywiście poruszają: zależności od dostawców, ocena ryzyka, jakość usług ICT, monitorowanie dostawców oraz umowne przypisanie praw i obowiązków.

Pierwszy blok pytań powinien ustalić, od czego firma będzie zależna po podpisaniu umowy. Proponujemy zapytać: jaka dokładnie usługa będzie świadczona, które procesy firmy będą od niej zależne, czy dostawca zapewnia usługę samodzielnie czy z udziałem innych podmiotów, oraz jakie elementy środowiska klienta będą objęte obsługą. Celem nie jest techniczna drobiazgowość, lecz ustalenie, czy dana usługa staje się elementem krytycznym dla codziennej pracy.

Drugi blok powinien dotyczyć oceny skutków niedostępności. Materiał gov.pl zachęca, by zastanowić się, jakie byłyby skutki niedostępności usług lub dostaw. Dlatego proponujemy pytać: co stanie się z firmą, jeśli usługa nie będzie działać przez kilka godzin lub kilka dni, jakie dane lub procesy przestaną być dostępne oraz czy istnieje alternatywny sposób kontynuacji pracy. Nawet krótka odpowiedź dostawcy pomaga ocenić, czy rozumie on znaczenie swojej usługi dla klienta.

Trzeci blok warto poświęcić monitorowaniu i zmianom. Skoro źródło mówi o monitorowaniu dostawców oraz powtarzaniu oceny ryzyka w trakcie współpracy, proponujemy pytać, jak dostawca komunikuje istotne zmiany w usłudze, w jaki sposób informuje o problemach wpływających na dostępność lub bezpieczeństwo oraz kto po obu stronach odpowiada za kontakt operacyjny i kontakt w sprawach incydentów.

Pytania o dostęp, odpowiedzialność i sposób świadczenia usługi

W udostępnionych źródłach nie ma szczegółowej listy środków technicznych takich jak konkretne konfiguracje MFA, PAM czy separacja klientów. Z tego powodu nie należy przypisywać takim wymaganiom statusu potwierdzonych przez wskazane strony standardów. Można jednak zgodnie z logiką źródeł zadawać pytania opisowe o to, jakie środki bezpieczeństwa dostawca stosuje przy świadczeniu usługi oraz jak ogranicza ryzyko związane z obsługą klienta.

Proponujemy pytać dostawcę, kto po jego stronie ma dostęp do systemów lub danych klienta, w jakich sytuacjach taki dostęp jest wykorzystywany, jak jest nadawany i odbierany oraz czy działania personelu są rejestrowane. W pytaniach warto unikać zbyt wąskich założeń technicznych, jeśli nie są one potrzebne do decyzji zakupowej. Dla MŚP ważniejsze od deklaracji marketingowych jest uzyskanie prostego, zrozumiałego opisu modelu dostępu i odpowiedzialności.

Warto też zapytać o udział podwykonawców, ponieważ zarówno materiał gov.pl o dostawcach i usługach zewnętrznych, jak i materiał KNF o umowach z zewnętrznymi dostawcami usług ICT kierują uwagę na zależności od podmiotów zewnętrznych oraz na ustalenia umowne. Proponujemy sprawdzić, czy dostawca korzysta z dalszych podmiotów przy realizacji usługi, za które elementy odpowiada sam, a za które odpowiadają inni usługodawcy, oraz czy klient zostanie poinformowany o zmianie takiego modelu.

Pytania o ciągłość działania, incydenty i zakończenie współpracy

Źródło z gov.pl wprost łączy temat dostawców z bezpieczeństwem i ciągłością łańcucha dostaw. Dlatego w rozmowie z dostawcą warto przejść od ogólnej deklaracji bezpieczeństwa do kwestii praktycznych. Proponujemy zapytać, jak dostawca utrzymuje ciągłość świadczenia usługi, jak informuje o niedostępności lub zakłóceniach oraz jaki jest przewidziany sposób współpracy przy usuwaniu skutków incydentu po stronie klienta.

Dobrą praktyką redakcyjną w ankiecie jest także pytanie o zakończenie współpracy. Nie wynika to z jednego literalnego obowiązku dla wszystkich MŚP w przytoczonych źródłach, ale jest logicznym rozwinięciem wymogu zarządzania zależnościami od podmiotów zewnętrznych. Proponujemy więc sprawdzić, w jaki sposób klient odzyska swoje dane lub dokumentację po rozwiązaniu umowy, jak długo dostępne będą materiały niezbędne do migracji oraz które obowiązki stron obowiązują jeszcze po zakończeniu świadczenia usługi.

Jeżeli firma kupuje usługę szczególnie ważną dla działania organizacji, warto poprosić dostawcę o opis procedury zgłaszania incydentów i ścieżki eskalacji. Taki opis nie musi być bardzo obszerny. Dla małej firmy często wystarczy wiedzieć, gdzie zgłaszać problem, kto odpowiada po stronie dostawcy, w jakich godzinach działa wsparcie oraz jakie informacje klient powinien przekazać, aby przyspieszyć reakcję.

Jak ocenić odpowiedzi dostawcy i kiedy wrócić do umowy

Nie każda odpowiedź musi być bardzo szczegółowa, ale powinna być spójna. Jeśli dostawca nie potrafi wyjaśnić zakresu usługi, zależności od innych podmiotów, sposobu kontaktu przy incydencie albo zasad zakończenia współpracy, jest to sygnał, że ryzyko organizacyjne może być wyższe niż wynika z samej oferty. Materiał gov.pl podkreśla potrzebę oceny ryzyka dostawców i usług oraz monitorowania dostawców. Z perspektywy MŚP oznacza to, że brak jasnych odpowiedzi sam w sobie jest elementem tej oceny.

Warto oddzielić dwa poziomy oceny. Pierwszy to odpowiedzi merytoryczne: czy dostawca rozumie swoją rolę i potrafi opisać sposób świadczenia usługi. Drugi to warstwa umowna: czy najważniejsze ustalenia da się wpisać do umowy lub załącznika. Tutaj pomocna jest ostrożna lekcja płynąca z materiału KNF, zgodnie z którą prawa i obowiązki stron powinny być wyraźnie przypisane i określone na piśmie. Jeśli dostawca składa zapewnienia wyłącznie ustnie albo w korespondencji sprzedażowej, proponujemy poprosić o wprowadzenie kluczowych ustaleń do dokumentów kontraktowych.

Rozmowy warto zakończyć lub zawiesić wtedy, gdy odpowiedzi pozostają niejasne mimo doprecyzowania, gdy dostawca unika wskazania zakresu odpowiedzialności albo gdy nie chce potwierdzić podstawowych zasad współpracy na piśmie. Odwrotnie, jeśli odpowiedzi są rzeczowe, a istotne warunki można opisać w umowie, MŚP zyskuje prostą, udokumentowaną podstawę do świadomej decyzji zakupowej. Taka ankieta nie zastąpi pełnego audytu, ale pomaga uporządkować wybór dostawcy zgodnie z kierunkiem pokazanym w przywołanych źródłach.