Dostawcy spółki wod-kan pod ustawą o KSC: jak ich sprawdzać, co wpisać do aneksu i jak to pogodzić z Pzp?

Integrator automatyki, serwis SCADA, biling, telemetria: od nich zależy woda w kranie. Jak spółka wod-kan ocenia dostawców, aneksuje umowy i kupuje według Pzp.

Autor: Paweł Rosół
Data: 23.10.2026
Czytanie: 19 min
Kategoria: Zarządzanie ryzykiem

Stan prawny sprawdzony: 23.10.2026

Spis treści

Którzy dostawcy spółki wod-kan naprawdę się liczą?
Jak sprawdzać dostawcę przed umową i w trakcie?
Co wpisać do aneksu z integratorem i serwisem?
Jak sprawdzić, czy dostawca naprawdę to robi?
Jak wymóc raportowanie incydentów po stronie dostawcy?
Co zmienia Prawo zamówień publicznych?
Od czego zacząć w spółce wod-kan?

W spółce wodociągowo-kanalizacyjnej na 40 osób nikt nie programuje sterownikówSterownik PLC Programmable Logic Controller: przemysłowy komputer, który według zapisanego programu bezpośrednio steruje pompą, zaworem albo silnikiem.. Program stacji uzdatniania wody napisał integrator, wizualizację utrzymuje serwis z innego miasta, telemetrię przepompowni obsługuje operator GSM, a biling i e-BOK stoją u dostawcy oprogramowania. Ustawa o KSCUstawa o KSC Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Po nowelizacji z 2026 r. wdraża dyrektywę NIS2 i określa obowiązki podmiotów kluczowych i ważnych. nakłada obowiązek dbania o bezpieczeństwo i ciągłość tego łańcucha na spółkę, nie na tych dostawców. Ogólne zasady opisałem w tekście Łańcuch dostaw w ustawie o KSC. Tu piszę o tym, jak to wygląda w spółce wod-kan: kogo sprawdzać, co wpisać do aneksu, jak kontrolować dostawcę i co z tym wszystkim robi Prawo zamówień publicznych.

W spółce wod-kan najgroźniejszy dostawca to ten, który ma stały zdalny dostęp do sterowników i jako jedyny ma aktualną kopię ich programu.

Którzy dostawcy spółki wod-kan naprawdę się liczą?

Art. 8 ust. 1 pkt 2 lit. e ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (ustawy o KSC) ogranicza obowiązek do dostaw, „od których zależy świadczenie usługi”. Usługą jest tu zbiorowe zaopatrzenie w wodę i zbiorowe odprowadzanie ścieków, a ustawa z dnia 7 czerwca 2001 r. o zbiorowym zaopatrzeniu w wodę i zbiorowym odprowadzaniu ścieków nakazuje przedsiębiorstwu zapewnić dostawy wody i odprowadzanie ścieków „w sposób ciągły i niezawodny” (art. 5 ust. 1 pkt 3). Pytanie o dostawcę brzmi więc: czy jego awaria, włamanie u niego albo jego zniknięcie z rynku przerwie wodę.

W typowej spółce odpowiedź „tak” pada przy pięciu grupach:

Integrator i serwis automatyki: ma programy sterowników, projekty paneli operatorskich i wizualizacji, zwykle stały dostęp zdalny do stacji uzdatniania, oczyszczalni i przepompowni.
Operator telemetrii: karty SIM w szafach sterowniczych, sieć prywatna albo jej brak, routery brzegowe.
Dostawca systemu bilingowego, e-BOK i odczytu zdalnego: dane odbiorców, często w chmurze dostawcy.
Zewnętrzny administrator IT albo firma od kopii zapasowych: hasła administracyjne do wszystkiego.
Producenci sterowników i oprogramowania SCADASystem SCADA Supervisory Control and Data Acquisition: system nadzoru i zbierania danych, przez który dyspozytor widzi rozproszoną instalację, na przykład sieć wodociągową, i nią steruje.: aktualizacje, koniec wsparcia, czasem zdalny dostępZdalny dostęp Dostęp do systemu spoza sieci organizacji, na przykład serwisanta do sterownika przez internet. Bezpieczny tylko wtedy, gdy wiadomo, kto się łączy i przez jaki kanał. serwisowy przez integratora.

Pełnomocnik Rządu do Spraw Cyberbezpieczeństwa w rekomendacji nr 2026-67-8 z 18 września 2026 r. opisuje ten stan wprost: systemy OTTechnologia operacyjna Systemy, które sterują procesami fizycznymi: sterowniki, SCADA, automatyka w wodociągach i energetyce. W tekstach zostaje angielski skrót OT. „są często połączone z systemami IT i udostępniane zdalnie pracownikom, integratorom oraz podmiotom odpowiedzialnym za ich utrzymanie”, a szczególne ryzyko tworzy bezpośrednia dostępność paneli administracyjnych z internetu. Co rekomendacja zaleca po stronie spółki, opisałem w tekście o wodociągach i zdalnym dostępie do sterowników. Ten tekst jest o drugiej stronie tego samego kabla: o dostawcy, który z tego dostępu korzysta.

Słowo „ciągłość” w art. 8 ust. 1 pkt 2 lit. e ma w wod-kan konkretne znaczenie. Jeśli jedyna aktualna kopia programu sterownika leży na laptopie jednego inżyniera u integratora, to spółka nie odtworzy stacji po awarii bez niego. To ryzyko nie wymaga żadnego ataku, wystarczy, że ten inżynier zmieni pracę. Dlatego w ocenie dostawcy pytam o ciągłość tak samo poważnie, jak o hasła.

Jeśli spółka odbiera także odpady, ta część działalności nie zmienia zasad wobec dostawców. Zbieranie, transport i przetwarzanie odpadów są w załączniku nr 2 do ustawy o KSC, w sektorach ważnych, a obowiązek z art. 8 obejmuje system informacyjny wykorzystywany w procesach wpływających na świadczenie usługi, więc system do obsługi odpadów i jego dostawcę oceniam według tych samych pytań.

Jak sprawdzać dostawcę przed umową i w trakcie?

Art. 8 ust. 2 ustawy o KSC wymienia cztery rzeczy, które spółka uwzględnia, wdrażając środki wobec łańcucha dostawŁańcuch dostaw Dostawcy sprzętu, oprogramowania i usług ICT, od których zależy świadczenie usługi. Ich bezpieczeństwo podmiot uwzględnia w swoim zarządzaniu ryzykiem.: podatnościPodatność Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV. związane z dostawcą sprzętu lub oprogramowania, ogólną jakość jego produktów ICT, usług ICT i procesów ICT, wyniki skoordynowanej oceny bezpieczeństwa Grupy Współpracy z art. 22 ust. 1 dyrektywy NIS2Dyrektywa NIS2 Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. o cyberbezpieczeństwie w Unii. W Polsce wdraża ją ustawa o KSC po nowelizacji z 2026 r. oraz wyniki postępowania o uznanie za dostawcę wysokiego ryzyka z art. 67b ustawy o KSC. Rekomendacja Pełnomocnika nr 2026-67a-9 z 15 października 2026 r. rozpisuje to w pkt 5 na proces: ocena ryzyka przed wyborem dostawcy, okresowa ocena w trakcie współpracy, identyfikacja zależności od podmiotów trzecich, analiza skutków niedostępności usług, wymagania cyberbezpieczeństwa, poziomy świadczenia usług i uprawnienia audytowe w umowach, kontrola zakresu dostępów, ograniczanie koncentracji usług u jednego dostawcy, uwzględnianie decyzji o dostawcach wysokiego ryzyka oraz przesłanek odrzucenia ofert z art. 226 ust. 1 pkt 16, 17 i 19 Pzp. Stosowanie rekomendacji jest dobrowolne (art. 67a ust. 5 ustawy o KSC), ale w kontroli trudno będzie wyjaśnić, dlaczego spółka zrobiła mniej, niż zalecił Pełnomocnik.

Ocena dostawcy w spółce wod-kan to w praktyce jedna kartka z pytaniami, na które odpowiada dostawca, i druga, na której ktoś ze spółki sprawdza, czy to prawda. Pytania, które zadaję integratorowi automatyki, serwisowi SCADA i firmie od IT:

Pytanie	Dlaczego	Jak sprawdzam
Kto imiennie ma dostęp do naszych systemów i jakim kanałem?	art. 8 ust. 1 pkt 2 lit. e i n (kontrola dostępu); rekomendacja nr 2026-67-8 pkt 2	lista osób, przegląd kont na urządzeniach, konfiguracja VPN po stronie spółki
Czy dostęp zdalny jest stały, czy włączany na czas prac?	rekomendacja nr 2026-67-8 pkt 1	logi koncentratora VPN albo routera
Gdzie są kopie programów sterowników, projektów HMI i SCADA i kto może je odtworzyć bez was?	ciągłość z art. 8 ust. 1 pkt 2 lit. e; plany odtworzenia z lit. f	próba odtworzenia z kopii przekazanej spółce
Które z dostarczonych urządzeń i wersji oprogramowania straciły albo tracą wsparcie producenta?	podatności z art. 8 ust. 2 pkt 1; rekomendacja nr 2026-67-8 pkt 4	wykaz od dostawcy zestawiony z inwentaryzacją spółki
Czy korzystacie z podwykonawców z dostępem do naszych systemów?	art. 8 ust. 1 pkt 2 lit. e mówi o związkach z dostawcą bezpośrednim; podwykonawca jest poza umową	oświadczenie, lista podwykonawców
Gdzie przechowujecie nasze dane i kopie, kto ma do nich dostęp?	poufność i dostępność danych, art. 8 ust. 1 pkt 5 lit. a	opis lokalizacji, protokół próby odtworzenia
Jakie incydenty mieliście w ostatnich dwóch latach i jak o nich informowaliście klientów?	jakość procesów ICT z art. 8 ust. 2 pkt 2	odpowiedź dostawcy, komunikaty publiczne
Czy wasz sprzęt albo oprogramowanie jest objęte postępowaniem z art. 67b?	art. 8 ust. 2 pkt 4; art. 67c	Biuletyn Informacji Publicznej ministra właściwego do spraw informatyzacji

Do osób, które realizują dla spółki zadania z art. 8 lub art. 11, dochodzi warunek z art. 8f ust. 1: przed rozpoczęciem tych zadań osoba przedstawia informację z Krajowego Rejestru Karnego o niekaralności za przestępstwa przeciwko ochronie informacji, a kierownik dopuszcza ją dopiero po otrzymaniu tej informacji. Czytam ten przepis tak, że obejmuje zewnętrznego administratora, który u mnie zarządza podatnościami albo obsługuje incydenty, i wpisuję to do umowy, żeby dostawca wiedział, zanim wyśle człowieka.

Od małego integratora nie dostanę certyfikatu ISO 27001 i nie ma sensu go żądać. Poradnik NASK i Uniwersytetu Jagiellońskiego „Zabezpieczenie łańcucha dostaw w zamówieniach publicznych” z 2025 r. (autorzy: Monika Bratek-Charzyńska, Piotr Rolek i Szymon Skalski) podaje w rozdziale 3.7 wzór oświadczenia wykonawcy o systemie równoważnym: przyjęta polityka bezpieczeństwa, ocena ryzyka, zarządzanie dostępem, ochrona fizyczna i techniczna, reagowanie na incydenty, szkolenia, audyty i doskonalenie. Taki opis praktyk mogę sprawdzić, a certyfikat jedynie obejrzeć.

Ocena dostawcy jest skończona dopiero wtedy, gdy ktoś ze spółki sprawdzi na urządzeniach co najmniej dwie odpowiedzi z ankiety.

Ten sam poradnik opisuje, jak nadzór wygląda potem. Autorzy mówią o monitoringu ciągłym i krótkim zestawie wskaźników ryzyka dostawcy, na przykład terminowości instalowania poprawek zależnie od wagi podatności, czasie reakcji na incydenty, zmianach w łańcuchu podwykonawców i statusie certyfikacji, oraz o rytmie: lekki przegląd co miesiąc, przegląd ryzyka co kwartał, audyt planowy raz w roku. W 40-osobowej spółce skracam to do przeglądu raz na pół roku dla dostawców z pierwszej grupy i raz w roku dla pozostałych, ale zasada zostaje: ocena, która nie ma daty następnego przeglądu, jest jednorazowa.

Co wpisać do aneksu z integratorem i serwisem?

Dla spółki wodociągowo-kanalizacyjnej przygotowałem wzór aneksu do umów z dostawcami krytycznymi. Opisuję jego budowę, bo wynika z niej, co w wod-kan jest inne niż w ogólnej liście klauzul z poprzedniego tekstu. Aneks dodaje do umowy jeden paragraf „Bezpieczeństwo informacji” i jeden załącznik „Wymagania bezpieczeństwa informacji”. Paragraf trzyma to, co prawnik chce mieć w umowie: definicje, termin zgłoszenia incydentu, prawo odcięcia dostępu, osoby kontaktowe, kary umowne, wypowiedzenie i klauzulę aktualizacji przy zmianie przepisów. Załącznik ma część wspólną i trzy moduły włączane zależnie od dostawcy: systemy sterowania i telemetrii, dane i kopie zapasowe w infrastrukturze dostawcy, dokumentacja i poświadczenia administracyjne.

Postanowienia, których w umowie serwisowej z integratorem zwykle nie ma, a bez których obowiązek z art. 8 nie jest wykonany:

Postanowienie	Treść we wzorze	Skąd się bierze
zgłoszenie incydentu	każdy incydent w ciągu 6 godzin od wykrycia; incydent, który wpływa albo może wpłynąć na pracę stacji uzdatniania, oczyszczalni, przepompowni albo rozliczenia z odbiorcami, telefonicznie natychmiast, także poza dniami roboczymi, do dyspozytora	art. 11 ust. 1 pkt 4 daje spółce 24 godziny od wykrycia na wczesne ostrzeżenie; dyspozytor jest jedyną osobą, która odbiera w nocy
dostęp zdalny do sterowania	wyłącznie szyfrowanym kanałem włączanym przez spółkę na czas prac, po zgłoszeniu dyspozytorowi; stały dostęp tylko za pisemną zgodą określającą zakres i zabezpieczenia; zakaz przekazywania dostępu producentowi bez zgody	rekomendacja nr 2026-67-8 pkt 1 i 2
kopie programów	po każdej zmianie programu sterownika, panelu, wizualizacji albo telemetrii dostawca przekazuje w 5 dni roboczych kopię z wersją, datą i autorem, w formacie pozwalającym odtworzyć bez jego udziału; zgoda na korzystanie z kopii także po końcu umowy	ciągłość z art. 8 ust. 1 pkt 2 lit. e; plany odtworzenia z lit. f
wykaz urządzeń	co pół roku wykaz sterowników i oprogramowania z wersjami i datą końca wsparcia producenta oraz propozycją, co z urządzeniami bez wsparcia	art. 8 ust. 2 pkt 1; rekomendacja nr 2026-67-8 pkt 4
aktualizacje	krytyczne w 72 godziny, wysokie w 14 dni, pozostałe w 60 dni od udostępnienia przez producenta, w oknie serwisowym po wykonaniu kopii; informacja o końcu wsparcia 12 miesięcy wcześniej	art. 8 ust. 1 pkt 5 lit. b nakazuje aktualizacje stosownie do zaleceń producenta z analizą wpływu na usługę
telemetria	karty SIM i urządzenia w wydzielonej sieci prywatnej bez publicznych adresów IP; filtrowanie ruchu na wniosek spółki w czasie ataku odmowy usługi	rekomendacja nr 2026-67-8 pkt 1; art. 8 ust. 1 pkt 5 lit. d o ograniczaniu ruchu przychodzącego
próba odtworzenia	raz w roku dostawca uczestniczy w próbie odtworzenia systemu sterowania z kopii i podpisuje protokół	art. 8 ust. 1 pkt 2 lit. f mówi o testowaniu planów
poświadczenia i dokumentacja	hasła najwyższych uprawnień, schemat sieci i konfiguracje urządzeń brzegowych u spółki, aktualizowane po każdej zmianie; licencje i domeny na spółkę	ciągłość: spółka musi móc zmienić dostawcę
kontrola	na dokumentach raz w roku z 14-dniowym uprzedzeniem, po incydencie albo na żądanie organu także w siedzibie dostawcy bez uprzedzenia; nie obejmuje danych innych klientów	rekomendacja nr 2026-67a-9 pkt 5 lit. e
poufność	informacje o systemach, zabezpieczeniach i incydentach nie podlegają udostępnieniu w trybie dostępu do informacji publicznej; zakaz wprowadzania ich do ogólnodostępnych usług generatywnej sztucznej inteligencji	art. 37 ust. 1 ustawy o KSC

Terminy takie jak 6 godzin na zgłoszenie albo 72 godziny na poprawkę krytyczną to moje propozycje do negocjacji, nie przepis; ustawa o KSC nie określa terminu dla dostawcy. Rekomendacje Pełnomocnika są dobrowolne, więc wzór czyni je treścią umowy wprost, z odesłaniem do punktu, żeby dostawca wiedział, skąd wymaganie pochodzi, a audytor widział, że spółka rekomendację wdrożyła.

Autorki artykułu w „Dzienniku Gazecie Prawnej” z 24 sierpnia 2026 r., Adriana Zalewska-Werra i Magdalena Kościelska z kancelarii DSK, zwracają uwagę na coś, co widzę po stronie dostawców: na rynku zaczynają funkcjonować gotowe zestawy klauzul, które dostawca akceptuje albo nie, niezależnie od tego, jak bardzo jest ważny dla klienta. Mój wzór ma moduły właśnie po to, żeby firma, która raz w roku wymienia nam przepływomierz, nie dostawała tego samego załącznika co integrator ze stałym dostępem do oczyszczalni. Nieproporcjonalny aneks zostaje niepodpisany, a ryzyko zostaje u spółki.

Przy dostawcy, który przetwarza dane odbiorców, aneks nie zastępuje umowy powierzenia z art. 28 RODO, tylko do niej odsyła, i odwrotnie. Jeden kanał zgłoszeń obsługuje oba obowiązki: 24 godziny na wczesne ostrzeżenie z art. 11 ust. 1 pkt 4 ustawy o KSC i 72 godziny na zgłoszenie naruszenia do Prezesa UODO z art. 33 ust. 1 RODO.

Jak sprawdzić, czy dostawca naprawdę to robi?

Prawo do kontroli, z którego spółka nie korzysta, nie jest dowodem na nic. Poradnik NASK rozróżnia w rozdziale 4.4 trzy pytania audytu u dostawcy: czy robi to, co obiecał (zgodność), czy to działa (skuteczność) i czy utrzyma to za rok (dojrzałość). Audytu normy u pięcioosobowego integratora nie zrobię. Robię cztery rzeczy, które odpowiadają na te pytania i dają zapisy do dokumentacji operacyjnej z art. 10 ust. 4 ustawy o KSC:

Raz w roku odbieram oświadczenie dostawcy o stosowaniu wymagań z opisem środków, a do niego aktualną listę osób z dostępem. Porównuję listę z kontami na urządzeniach i w VPN; każda różnica to pytanie do dostawcy.
Raz na pół roku przeglądam logi dostępu zdalnego: czy sesje zgadzają się ze zgłoszonymi pracami i czy ktoś nie łączył się o trzeciej w nocy w sobotę bez zgłoszenia.
Raz w roku robimy z dostawcą próbę odtworzenia sterownika albo wizualizacji z kopii, którą spółka ma u siebie. Protokół z czasem odtworzenia i brakami idzie do rejestru.
Po każdym incydencie u dostawcy, także takim, który nas nie dotknął, proszę o raport z przyczyną i środkami naprawczymi i decyduję, czy to zmienia ocenę ryzyka.

Kontrola w siedzibie dostawcy zostaje na incydent albo na żądanie organu właściwego, którym dla sektora zaopatrzenia w wodę pitną i sektora zbiorowego odprowadzania ścieków jest minister właściwy do spraw gospodarki wodnej (art. 41 pkt 7 i 9a ustawy o KSC).

Audyt u dostawcy to coś innego niż audyt bezpieczeństwa własnego systemu z art. 15 ustawy o KSC, który podmiot kluczowy przeprowadza co najmniej raz na 3 lata. Audytor z art. 15 zapyta jednak o dostawców, bo art. 8 ust. 1 pkt 2 lit. e jest częścią SZBI, i poprosi o dowody, że ocena i kontrola się odbyły. Maciej Dadok, specjalista ds. prawnych Izby Gospodarczej „Wodociągi Polskie”, pisze o kosztach nowych obowiązków, że „nie są to wydatki jednorazowe, lecz koszty związane z realizacją obowiązków o charakterze okresowym i ciągłym”. Nadzór nad dostawcami jest tego dobrym przykładem: ankieta kosztuje mało, człowiek, który co pół roku czyta logi VPN, kosztuje co roku.

Audytor nie zapyta, czy spółka ma prawo skontrolować integratora, tylko kiedy ostatnio to zrobiła i co z tego wyszło.

Jak wymóc raportowanie incydentów po stronie dostawcy?

Zegar z art. 11 ust. 1 pkt 4 ustawy o KSC rusza w chwili wykrycia incydentu poważnego przez spółkę, a spółka wykrywa go często z telefonu od dostawcy. Jak zbudować klauzulę o incydencie, opisałem w poprzednim tekście; tu dopisuję to, co w wod-kan dochodzi.

W spółce wod-kan jedyną osobą, która odbiera telefon o drugiej w nocy, jest dyspozytor. Jeśli klauzula każe dostawcy pisać na adres osoby kontaktowej, zgłoszenie poczeka do rana. We wzorze incydent wpływający na obiekt zgłasza się telefonicznie natychmiast, a dyspozytor ma w instrukcji, do kogo dzwoni dalej.

Treść zgłoszenia wynika z ustawy. Wczesne ostrzeżenie z art. 12 ust. 1 wymaga wskazania momentu wystąpienia i wykrycia incydentu, czasu trwania i oceny, czy incydent wywołano działaniem bezprawnym lub w złej wierze, jeżeli taka ocena jest możliwa. Dokładnie te pola dostawca ma podać w zgłoszeniu, a czego nie wie, uzupełnić w 24 godziny. Zgłoszenie incydentu poważnego z art. 12 ust. 3 wymaga opisu przyczyn, przebiegu i działań naprawczych, a sprawozdanie końcowe z art. 12a szczegółowego opisu i środków ograniczających ryzyko. Spółka napisze to sama, ale bez logów i raportu dostawcy nie napisze nic prawdziwego, dlatego wzór nakazuje dostawcy zabezpieczyć dowody na 90 dni i przekazać raport po obsłudze incydentu w 14 dni.

Dochodzą mieszkańcy. Art. 11 ust. 2b nakazuje spółce informować użytkowników usług o incydencie poważnym, jeżeli ma niekorzystny wpływ na świadczenie usługi. Komunikat „przerwa w dostawie wody potrwa do godziny 14” wymaga od dostawcy czasu naprawy, więc klauzula o współdziałaniu obejmuje także informacje do takiego komunikatu.

Zostaje jeszcze milczenie. Dostawca nie informuje o incydencie w systemach spółki osób trzecich ani mediów bez jej zgody. Wyjątkiem jest własny obowiązek ustawowy dostawcy, na przykład gdy sam jest podmiotem kluczowym albo ważnym, o czym informuje spółkę.

Co zmienia Prawo zamówień publicznych?

Tu potrzebny jest prawnik od zamówień, nie pełnomocnik. Zarys odpowiedzi mogę jednak podać, bo od niego zależy, ile z tego tekstu spółka musi przełożyć na dokumenty zamówienia.

Spółka gminna, która dostarcza wodę i odprowadza ścieki, jest zamawiającym sektorowym. Działalnością sektorową w zakresie gospodarki wodnej jest udostępnianie lub obsługa sieci do produkcji, transportu lub dystrybucji wody pitnej, dostarczanie wody do tych sieci oraz odprowadzanie lub oczyszczanie ścieków (art. 5 ust. 4 pkt 1 Pzp). Zamawiającym sektorowym jest zamawiający publiczny w zakresie tej działalności (art. 5 ust. 1 pkt 1) albo podmiot, na który zamawiający publiczni wywierają dominujący wpływ, na przykład mają ponad połowę udziałów (art. 5 ust. 1 pkt 2). Do zamówień sektorowych ustawę stosuje się od progów unijnych (art. 2 ust. 1 pkt 2), a próg dla dostaw i usług wynosi w latach 2026 i 2027 432 000 euro, czyli 1 861 920 zł (M.P. 2025 poz. 1247). Zamówieniem sektorowym jest zamówienie udzielane w celu prowadzenia działalności sektorowej (art. 7 pkt 35).

Umowa serwisowa z integratorem automatyki, licencja na biling czy obsługa IT rzadko przekraczają tę kwotę. O ich treści decyduje wtedy regulamin zakupów spółki, a nie ustawa. Aneks z wymaganiami bezpieczeństwa nie podlega ocenie z art. 454 i 455 Pzp, kary umowne nie mają ustawowego limitu z art. 436 pkt 3 i spółka może wpisać do regulaminu własne warunki wobec dostawców systemów sterowania. Czy konkretne zamówienie służy działalności sektorowej i czy spółka jest zamawiającym publicznym z art. 4 pkt 3 także dla innych zakupów, na przykład odbioru odpadów, gdzie próg dla zamówień klasycznych wynosi 170 000 zł (art. 2 ust. 1 pkt 1), ocenia prawnik. Obowiązek z art. 8 ustawy o KSC obowiązuje niezależnie od tego, w jakim trybie spółka kupiła system.

Większość umów, od których zależy woda w kranie, jest poniżej progu unijnego, więc ich treść ogranicza regulamin spółki, nie Prawo zamówień publicznych.

Nad progiem albo w spółce, która z własnej decyzji prowadzi postępowania według Pzp, narzędzi jest więcej, niż się zwykle używa:

Etap	Narzędzie	Przepis
opis przedmiotu zamówienia	wymagane cechy usługi, także odnoszące się do procesu jej świadczenia: kanał dostępu zdalnego, format i termin przekazywania kopii programów, czas na poprawki	art. 99 ust. 2 Pzp
warunki udziału	zdolność techniczna lub zawodowa wyrażona jako minimalne poziomy, proporcjonalnie do przedmiotu: kwalifikacje osób skierowanych do realizacji, normy zarządzania jakością	art. 112 ust. 1 i ust. 2 pkt 4, art. 116 ust. 1 Pzp
podmiotowe środki dowodowe	wykaz osób z kwalifikacjami, opis środków organizacyjno-technicznych stosowanych w celu zapewnienia jakości, wykaz systemów zarządzania łańcuchem dostaw	§ 9 ust. 1 pkt 3, 4 i 5 rozporządzenia w sprawie podmiotowych środków dowodowych (Dz.U. 2020 poz. 2415)
przedmiotowe środki dowodowe	certyfikat jednostki oceniającej zgodność albo sprawozdanie z badań dla oferowanego produktu	art. 105 ust. 1 Pzp
kryteria oceny ofert	serwis posprzedażny i pomoc techniczna, kwalifikacje osób, jeśli mają znaczący wpływ na jakość; kryteria nie mogą dotyczyć właściwości wykonawcy	art. 242 ust. 2 pkt 5 i 6, art. 241 ust. 3 Pzp
wymagania realizacji	zachowanie poufnego charakteru informacji przekazanych wykonawcy, ze sposobem dokumentowania, kontroli i sankcjami	art. 96 ust. 1 i 4 Pzp
podwykonawcy	żądanie wskazania części zamówienia i nazw podwykonawców, badanie podstaw wykluczenia podwykonawcy, zastrzeżenie osobistego wykonania kluczowych zadań	art. 462 ust. 2, 3 i 5, art. 121 Pzp
zamówienia sektorowe	inne podstawy wykluczenia i warunki udziału niż ustawowe, o obiektywnym charakterze, i inne środki dowodowe	art. 393 ust. 1 pkt 2 i 3 Pzp
umowa	klauzula zmian pozwalająca aktualizować wymagania bezpieczeństwa bez nowego postępowania; łączna maksymalna wysokość kar	art. 455 ust. 1 pkt 1, art. 436 pkt 3 Pzp

Kryteria oceny ofert nie mogą dotyczyć właściwości wykonawcy, w szczególności jego wiarygodności technicznej (art. 241 ust. 3 Pzp). Poradnik NASK zwraca uwagę, że wdrożony u wykonawcy system według ISO 27001 wygląda raczej na właściwość wykonawcy niż cechę przedmiotu zamówienia, więc jego miejsce jest w warunkach udziału albo w podmiotowych środkach dowodowych, a nie w punktacji. Punktować można to, co dotyczy usługi: czas reakcji, zakres wsparcia, okres zapewniania aktualizacji.

Zamawiający sektorowy ma art. 393 ust. 1 pkt 2 i 3 Pzp, o którym spółki wod-kan rzadko pamiętają: może stosować inne podstawy wykluczenia i warunki udziału niż z art. 108, 109 i 112 Pzp, o ile mają obiektywny charakter i są w dokumentach zamówienia, oraz żądać innych środków dowodowych, jeżeli są niezbędne do oceny wykonawców. To jest miejsce na warunek „wykonawca stosuje przy dostępie zdalnym do systemów sterowania imienne konta i uwierzytelnianie wieloskładnikowe” z dowodem w postaci opisu procedury.

Dostawca wysokiego ryzyka to jedyna rzecz, która w Pzp jest bezwzględna. Nowelizacja ustawy o KSC z 23 stycznia 2026 r. zmieniła w art. 17 brzmienie art. 226 ust. 1 pkt 17 Pzp i dodała pkt 19: zamawiający odrzuca ofertę obejmującą produkt ICT, którego typ określono w decyzji z art. 67b ust. 15 ustawy o KSC, albo usługę lub proces ICT z tej decyzji, oraz ofertę obejmującą produkt, usługę lub proces wskazane w rekomendacji z art. 33 ust. 4 stwierdzającej ich negatywny wpływ na podstawowy interes bezpieczeństwa państwa. Podmioty stosujące Pzp nie mogą nabywać produktów objętych decyzją (art. 67c ust. 4 ustawy o KSC), a produkty kupione wcześniej wycofują w ciągu 7 lat od ogłoszenia decyzji w Monitorze Polskim (art. 67c ust. 1 pkt 2 ustawy o KSC). Prezes Urzędu Zamówień Publicznych Agnieszka Olszewska mówiła na KSC Forum w sierpniu 2026 r. o bezwzględnym obowiązku odrzucania ofert podmiotów uznanych za dostawców wysokiego ryzyka i o nakazie wycofywania zagrożonych technologii. Dla spółki wod-kan, która kupuje sterowniki na 15 lat, oznacza to jedno pytanie w każdym postępowaniu i jedną klauzulę w każdej umowie: co się dzieje z kontraktem, jeśli decyzja obejmie kupowany produkt.

Poradnik NASK dodaje do tego rzecz, o której sam bym nie pomyślał: raport z realizacji umowy z art. 446 Pzp jest co do zasady jawny, więc wpisywanie do niego konfiguracji sprzętu albo dat końca wsparcia oprogramowania jest informacją dla tego, kto planuje atak. To samo dotyczy opisu przedmiotu zamówienia. Opisuję wymagania wobec dostawcy, a nie topologię własnej sieci.

Od czego zacząć w spółce wod-kan?

Gdybym wchodził dziś do spółki, która ma segregator umów serwisowych i hasło do wizualizacji u integratora, zrobiłbym w pierwszym kwartale sześć rzeczy:

Spisał dostawców z pięciu grup z początku tekstu, a przy każdym: rodzaj dostępu, czy spółka ma kopię jego pracy, datę końca umowy, wartość roczną.
Sprawdził z prawnikiem, które z tych umów są zamówieniami sektorowymi nad progiem unijnym, a które podlegają regulaminowi spółki.
Wysłał integratorowi i serwisowi SCADA ankietę z tabeli wyżej i umówił wizytę, na której razem przejrzymy konta na sterownikach i konfigurację dostępu zdalnego.
Wysłał tym dwóm dostawcom aneks z modułem OT, zaczynając od zgłaszania incydentów do dyspozytora, dostępu na czas prac i kopii programów w 5 dni.
Wpisał do regulaminu zakupów i do wzoru umowy spółki załącznik z wymaganiami bezpieczeństwa i klauzulę zmian, żeby następny przetarg na biling albo telemetrię już go miał.
Zapisał w kalendarzu półroczny przegląd logów VPN i roczną próbę odtworzenia sterownika z kopii, z nazwiskiem osoby, która to zrobi.

Po tym kwartale spółka nadal ma dostawców, którzy nie odpisali, i umowę z operatorem telemetrii, której nie da się aneksować do końca okresu. Ma za to kopię programu każdej stacji u siebie, listę nazwisk ludzi, którzy mogą się do niej zalogować, i numer telefonu, na który integrator zadzwoni, gdy ktoś włamie się do niego, a nie do spółki.

Pojęcia w tym tekście (22)

Sterownik PLC: Programmable Logic Controller: przemysłowy komputer, który według zapisanego programu bezpośrednio steruje pompą, zaworem albo silnikiem.
Ustawa o KSC: Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Po nowelizacji z 2026 r. wdraża dyrektywę NIS2 i określa obowiązki podmiotów kluczowych i ważnych.
Zdalny dostęp: Dostęp do systemu spoza sieci organizacji, na przykład serwisanta do sterownika przez internet. Bezpieczny tylko wtedy, gdy wiadomo, kto się łączy i przez jaki kanał.
System SCADA: Supervisory Control and Data Acquisition: system nadzoru i zbierania danych, przez który dyspozytor widzi rozproszoną instalację, na przykład sieć wodociągową, i nią steruje.
Technologia operacyjna: Systemy, które sterują procesami fizycznymi: sterowniki, SCADA, automatyka w wodociągach i energetyce. W tekstach zostaje angielski skrót OT.
Łańcuch dostaw: Dostawcy sprzętu, oprogramowania i usług ICT, od których zależy świadczenie usługi. Ich bezpieczeństwo podmiot uwzględnia w swoim zarządzaniu ryzykiem.
Podatność: Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.
Dyrektywa NIS2: Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. o cyberbezpieczeństwie w Unii. W Polsce wdraża ją ustawa o KSC po nowelizacji z 2026 r.
Rekomendacja Pełnomocnika: Dokument Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa o środkach ochrony albo o stosowaniu konkretnego produktu lub usługi ICT. Publikowany w BIP; rekomendacje o środkach ochrony są dobrowolne.
Wirtualna sieć prywatna: Virtual Private Network: szyfrowany tunel, którym pracownik albo oddział łączy się z siecią firmy przez internet. Brama VPN wystawiona do internetu to częsty cel ataków.
Panel operatorski HMI: Human-Machine Interface: ekran albo aplikacja, przez które operator odczytuje stan procesu i wydaje polecenia sterownikom.
Incydent: Zdarzenie, które szkodzi albo może zaszkodzić bezpieczeństwu systemów informacyjnych. Zgłaszać trzeba nie każdy incydent, tylko incydent poważny.
Osoba do kontaktu: Osoba wyznaczona przez podmiot kluczowy lub ważny do kontaktów z CSIRT, organami i innymi podmiotami krajowego systemu cyberbezpieczeństwa. Zwykle co najmniej dwie.
Wczesne ostrzeżenie: Pierwsze zgłoszenie incydentu poważnego do CSIRT sektorowego, niezwłocznie i najpóźniej w ciągu 24 godzin od wykrycia. Pełne zgłoszenie idzie w ciągu 72 godzin.
RODO: Rozporządzenie (UE) 2016/679 o ochronie danych osobowych. Tematy RODO omawiam na pawel.rosol.pl; tutaj pojawia się przy incydentach, które są też naruszeniem ochrony danych.
Urząd Ochrony Danych Osobowych: Urząd obsługujący Prezesa UODO, który jest organem nadzorczym w rozumieniu RODO. Tutaj pojawia się przy incydentach, które są też naruszeniem ochrony danych osobowych.
Audyt bezpieczeństwa: Sprawdzenie, czy system informacyjny używany do świadczenia usługi spełnia wymagania ustawy o KSC. Podmiot kluczowy przeprowadza go na własny koszt co najmniej raz na trzy lata.
Podmiot kluczowy: Podmiot z sektorów ustawy o KSC, który ze względu na wielkość albo rodzaj działalności ma najszersze obowiązki, w tym audyt bezpieczeństwa co najmniej raz na trzy lata.
System zarządzania bezpieczeństwem informacji: Uporządkowany sposób, w jaki podmiot kluczowy lub ważny zarządza bezpieczeństwem systemu używanego do świadczenia usługi, od szacowania ryzyka po obsługę incydentów.
Incydent poważny: Incydent, który poważnie zakłóca usługę, przynosi podmiotowi straty finansowe albo wyrządza poważną szkodę innym. Podmiot kluczowy lub ważny zgłasza go do CSIRT sektorowego.
Uwierzytelnianie wieloskładnikowe: Logowanie, które wymaga więcej niż jednego składnika, na przykład hasła i kodu z aplikacji. Ustawa o KSC wymienia je wśród środków bezpieczeństwa.
Nowelizacja ustawy o KSC z 2026 r.: Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw. Wdraża NIS2, obowiązuje od 3 kwietnia 2026 r.

Najczęściej zadawane pytania

Czy spółka wod-kan musi stosować Prawo zamówień publicznych do umowy serwisowej z integratorem automatyki?

Zależy od wartości umowy i od tego, czy zamówienie służy działalności sektorowej. Spółka gminna, która dostarcza wodę i odprowadza ścieki, jest zamawiającym sektorowym (art. 5 ust. 1 i ust. 4 pkt 1 Pzp), a do zamówień sektorowych ustawę stosuje się od progów unijnych (art. 2 ust. 1 pkt 2 Pzp), czyli w latach 2026 i 2027 od 1 861 920 zł dla dostaw i usług (M.P. 2025 poz. 1247). Umowa poniżej tej kwoty podlega regulaminowi zakupów spółki, a obowiązek z art. 8 ust. 1 pkt 2 lit. e ustawy o KSC obowiązuje niezależnie od trybu zakupu.

Czy aneks z wymaganiami bezpieczeństwa do umowy zawartej w trybie Pzp wymaga nowego postępowania?

Istotna zmiana umowy wymaga nowego postępowania (art. 454 ust. 1 Pzp). Bez niego dopuszczalna jest zmiana przewidziana w dokumentach zamówienia jasnymi postanowieniami (art. 455 ust. 1 pkt 1) albo zmiana o łącznej wartości poniżej progów unijnych i poniżej 10 % wartości pierwotnej umowy na usługi lub dostawy, która nie zmienia ogólnego charakteru umowy (art. 455 ust. 2). Czy konkretny aneks się w tym mieści, ocenia prawnik od zamówień; do nowych wzorów umów wpisuję klauzulę zmian, która ten problem usuwa.

Czy mogę odrzucić ofertę dostawcy uznanego za dostawcę wysokiego ryzyka?

Zamawiający ma obowiązek ją odrzucić. Art. 226 ust. 1 pkt 19 Pzp nakazuje odrzucić ofertę obejmującą produkt ICT, którego typ określono w decyzji o uznaniu dostawcy za dostawcę wysokiego ryzyka z art. 67b ust. 15 ustawy o KSC, albo usługę lub proces ICT określone w tej decyzji. Pkt 17 nakazuje to samo wobec produktu, usługi lub procesu wskazanych w rekomendacji z art. 33 ust. 4 ustawy o KSC stwierdzającej ich negatywny wpływ na podstawowy interes bezpieczeństwa państwa. Podmioty stosujące Pzp nie mogą też nabywać produktów objętych taką decyzją (art. 67c ust. 4 ustawy o KSC).

Źródła

Stan prawny sprawdzony: 23.10.2026. Wpis jest informacją ogólną, nie poradą prawną (zasady publikacji).