Dostawca, którego można ocenić

Ustawa o krajowym systemie cyberbezpieczeństwa każe podmiotom kluczowym i ważnym oceniać dostawców. Ta strona zbiera to, czego do takiej oceny potrzeba: jak pracujemy, co przekażemy do dokumentacji i gdzie zgłosić podatność.

Co ustawa wymaga od Państwa wobec dostawców

Ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252), wdrażająca dyrektywę NIS2, obowiązuje od 3 kwietnia 2026 r. Podmiot kluczowy albo ważny ma zarządzać ryzykiem w łańcuchu dostaw – czyli wiedzieć, komu powierza dane i systemy, i umieć to wykazać przed organem.

Terminy biegną: samoocena i wpis do wykazu KSC do 3 października 2026 r., wdrożenie systemu zarządzania bezpieczeństwem informacji do 3 kwietnia 2027 r., pierwszy audyt podmiotu kluczowego do kwietnia 2028 r. Ocena dostawców jest częścią każdego z tych kroków, więc dostawca, który nie ma nic do pokazania, staje się w tej ocenie pozycją do wyjaśnienia.

Jesteśmy dostawcą usług ochrony danych i systemu eAURA, więc te wymagania dotyczą także nas – po stronie, którą klient ocenia. Wolimy odpowiedzieć na pytania, zanim zostaną zadane.

Jak pracujemy

Sześć obszarów, o które pytają Państwa audytorzy

Tożsamość i dostęp

Jedno konto firmowe na osobę w Microsoft Entra ID, uwierzytelnianie wieloskładnikowe, dostęp do danych klientów nadawany na czas zadania i przeglądany okresowo. Konta osób odchodzących wygasają w dniu zakończenia współpracy.

Urządzenia

Komputery i telefony służbowe są własnością firmy, zarządzane centralnie (Intune), z szyfrowaniem dysków i ochroną punktów końcowych Microsoft Defender. Telefony pracują w trybie w pełni zarządzanym, bez prywatnych profili.

Dane klientów

Przetwarzane wyłącznie na terytorium Europejskiego Obszaru Gospodarczego, w systemie eAURA i usługach Microsoft 365. Kopie zapasowe wygasają w cyklu zapisanym w umowie; po zakończeniu współpracy dane zwracamy albo usuwamy protokolarnie.

Incydenty

Zgłoszenie podatności przyjmujemy pod adresem security@auraco.pl, opisanym w pliku security.txt. Incydent u klienta obsługujemy tak, jak wymagają tego ustawa o KSC i RODO: wczesne ostrzeżenie w 24 godziny, zgłoszenie właściwe w 72.

Podwykonawcy

Wykaz podprocesorów przekazujemy razem z umową powierzenia i zgłaszamy każdą jego zmianę. Podmiot spoza Europejskiego Obszaru Gospodarczego nie wchodzi do wykazu bez wskazania podstawy przekazania.

Ciągłość obsługi

Za każdym projektem stoi zespół, nie jedna osoba: zastępstwo na czas urlopu albo choroby jest ustalone z góry. Odpowiedzialność zawodowa jest ubezpieczona na 5 000 000 zł.

Potwierdzony sposób pracy

Certyfikaty ISO 27001 i ISO 9001

Obejmują całą działalność, nie wybrany proces. To, jak pracujemy, sprawdza co roku jednostka zewnętrzna. dane przykładowe

Do Państwa dokumentacji

Co przekazujemy do oceny dostawcy

01 Ankieta bezpieczeństwa dostawcy

Wypełniamy Państwa formularz albo przekazujemy własny opis środków – w układzie, którego wymaga Państwa procedura oceny.

02 Umowa powierzenia i wykaz podprocesorów

Zgodnie z art. 28 RODO, z wykazem dostawców uczestniczących w obsłudze i zobowiązaniem do zgłaszania zmian.

03 Opis zabezpieczeń systemu eAURA

Architektura, model uprawnień, miejsce przetwarzania i zasady kopii – omawiane indywidualnie przed podpisaniem umowy.

04 Potwierdzenie ubezpieczenia OC

Polisa odpowiedzialności zawodowej z sumą gwarancyjną 5 000 000 zł.

05 Certyfikaty ISO/IEC 27001 i ISO 9001

Po wydaniu przez jednostkę certyfikującą – numer, zakres i termin ważności będą widoczne na tej stronie.

Zgłoszenie podatności

Znaleźli Państwo lukę? Prosimy o wiadomość

Zgłoszenia podatności w serwisie auraco.pl, w systemie eAURA albo w serwisie klauzul przyjmujemy pod adresem security@auraco.pl. Ten sam adres wskazuje plik /.well-known/security.txt, zgodny z RFC 9116.

Potwierdzamy przyjęcie zgłoszenia, informujemy o wyniku i nie podejmujemy kroków prawnych wobec osób, które zgłaszają w dobrej wierze i nie naruszają danych.

Trwający incydent

Jeżeli sprawa dotyczy trwającego incydentu u Państwa, prosimy o telefon zamiast wiadomości. Liczy się czas.

22 207 21 87