Kwestionariusz oceny ryzyka dostawców dla MŚP
Zespół bezpieczeństwa CyberLord Profil autora
W typowej firmie MŚP dostawcy mają dostęp do więcej niż się wydaje: księgowość zewnętrzna widzi faktury i dane pracowników, agencja marketingowa bazę klientów, a dostawca informatyczny trzyma kopie zapasowe i administruje pocztą. Żaden z nich nie jest wrogiem — ale każdy jest osobnym punktem, w którym dane mogą wyciec bez wiedzy zarządu.
Kwestionariusz oceny ryzyka dostawców nie jest dokumentem, który się wypełnia raz i odkłada do teczki audytowej. To narzędzie do podejmowania decyzji: komu dajemy dostęp, na jakich warunkach i jak często sprawdzamy, czy warunki nadal obowiązują. Poniżej znajduje się struktura ankiety, progi oceny oraz lista dowodów, o które warto prosić, zanim podpisze się umowę.
Dostawca z dostępem do danych jest częścią Twojej powierzchni ataku
Raport Verizon DBIR 2025 pokazał, że udział naruszeń, w których brał udział podmiot trzeci, wzrósł z 15% do 30% rok do roku. To nie jest wzrost przypadkowy: atak przez dostawcę pozwala ominąć zabezpieczenia wielu organizacji jednocześnie, a koszt naprawy szkód w łańcuchu dostaw jest w badaniu IBM z 2025 roku szacowany na około 4,9 miliona dolarów — kilkanaście razy więcej niż w przypadku ataku bezpośredniego.
Dla małej firmy wniosek jest praktyczny. Jeśli dostawca padnie ofiarą ataku, Twoje dane wyciekną razem z jego danymi, a obowiązki wobec klientów i regulatora zostają po Twojej stronie. RODO nie przenosi odpowiedzialności na podmiot przetwarzający — administrator odpowiada za wybór dostawcy i zapisy w umowie.
Zanim wyślesz pytania: podziel dostawców na poziomy
Wysłanie osiemdziesięciu pytań do dostawcy artykułów biurowych marnuje czas obu stronom i psuje reputację procesu. Podział na poziomy pozwala skupić wysiłek tam, gdzie ryzyko jest realne.
| Poziom | Kryteria | Zakres oceny |
|---|---|---|
| Krytyczny | Dane osobowe lub finansowe, dostęp do sieci, zależność operacyjna | Pełna ankieta, przegląd raz w roku, wymagane dowody |
| Średni | Ograniczony dostęp do danych, integracja z systemami wewnętrznymi | Skrócona ankieta, przegląd co 18 miesięcy |
| Niski | Brak dostępu do danych, brak integracji, łatwe zastąpienie | Krótka ankieta, przegląd co 24 miesiące |
Poziom przypisuje się przed podpisaniem umowy i aktualizuje przy każdej zmianie zakresu. Dodanie nowej integracji API to nie drobiazg w aneksie — to zmiana poziomu ryzyka i powód do ponownej oceny.
Kwestionariusz w ośmiu obszarach
Poniższa struktura mieści się na kilku stronach i pokrywa to, co decyduje o ryzyku. Pytania są celowo zamknięte, żeby odpowiedź „tak” musiała zostać poparta dokumentem.
Obszar 1: zakres usługi i dane
- Jakie usługi będziecie świadczyć i jakie dane naszej firmy będziecie przetwarzać?
- Czy dane będą przechowywane poza Europejskim Obszarem Gospodarczym?
- Czy korzystacie z podwykonawców, którzy zyskają dostęp do naszych danych?
- Jaki jest przewidywany czas retencji i sposób usunięcia danych po zakończeniu umowy?
Obszar 2: zarządzanie bezpieczeństwem
- Czy macie udokumentowaną politykę bezpieczeństwa informacji i kiedy była ostatnio przeglądana?
- Czy w organizacji istnieje osoba odpowiedzialna za bezpieczeństwo informacji?
- Czy posiadacie certyfikat ISO 27001 — z jakim zakresem i do kiedy?
- Czy w ostatnich dwunastu miesiącach powstał raport SOC 2 Type II?
Obszar 3: kontrola dostępu
- Czy MFA jest wymagane dla wszystkich kont administracyjnych i zdalnych?
- Jak często przeglądacie uprawnienia i jak odbieracie dostęp po odejściu pracownika?
- Czy dostęp do danych klientów jest rejestrowany i przez ile dni przechowywane są logi?
Obszar 4: incydenty i ciągłość działania
- Czy macie plan reagowania na incydenty i kiedy ostatnio go testowano?
- W jakim czasie zawiadomicie nas o naruszeniu dotyczącym naszych danych?
- Jakie są wartości RTO i RPO dla usługi, którą nam dostarczacie?
- Czy posiadacie ubezpieczenie cyber i jaki jest limit odpowiedzialności?
Pozostałe cztery obszary to bezpieczeństwo aplikacji, szyfrowanie i separacja danych, zarządzanie podatnościami oraz zgodność regulacyjna. Nie muszą być rozbudowane w każdej ankiecie, ale pominięcie któregokolwiek wraca przy pierwszym poważniejszym incydencie.
Jak oceniać odpowiedzi, a nie tylko je zbierać
Wypełniona ankieta bez punktacji jest archiwum, nie narzędziem. Model, który działa bez zespołu GRC, to ocena każdego pytania od 1 do 4 i średnia w obrębie obszaru.
| Odpowiedź | Ocena | Znaczenie |
|---|---|---|
| Pełna zgodność potwierdzona dowodem | 1 | Wymaganie spełnione i udokumentowane |
| Zgodność częściowa z planem naprawy | 2 | Luka istnieje, ale jest zarządzana |
| Brak zgodności, brak planu | 3 | Ryzyko wymagające decyzji zarządu |
| Brak odpowiedzi lub odmowa | 4 | Dostawcy nie da się ocenić |
Średnia do 1,5 oznacza ryzyko niskie i standardowy nadzór. Przedział 1,6-2,0 to ryzyko średnie, wymagające planu naprawy i terminu ponownej weryfikacji. Powyżej 2,1 wchodzimy w obszar decyzji: dostawca przedstawia plan domknięcia luk przed startem współpracy albo szukamy alternatywy. Ocena 4 przy pytaniach o dostęp do danych zwykle kończy rozmowę.
Dowody ważniejsze niż deklaracje
Odpowiedź „tak” w ankiecie nie jest dowodem wdrożenia kontroli. Przy dostawcach krytycznych warto poprosić o dokumenty i sprawdzić, czy zakres w nich opisany odpowiada usłudze, którą faktycznie kupujecie. Certyfikat ISO 27001 z zakresem obejmującym inne produkty nie mówi nic o systemie, z którego będziecie korzystać.
Czego warto wymagać:
- raport SOC 2 Type II obejmujący co najmniej sześć miesięcy, a nie tylko Type I;
- certyfikat ISO 27001 wraz z zakresem i datą ważności;
- streszczenie ostatniego testu penetracyjnego, najlepiej wykonanego przez podmiot niezależny;
- plan ciągłości działania i odtwarzania po awarii z wynikami ostatniego testu;
- potwierdzenie ubezpieczenia cyber z limitem odpowiedzialności;
- wzór umowy powierzenia przetwarzania danych zgodny z art. 28 RODO.
W raporcie SOC 2 sekcja o wyjątkach bywa ciekawsza niż sama opinia audytora. Jeśli dostawca nie wskaże, które kontrole obejmują Waszą usługę, to też jest odpowiedź.
Co zrobić, gdy dostawca odmawia wypełnienia ankiety
Odmowa jest sygnałem ryzyka, ale nie zawsze oznacza złą wolę. Duży dostawca oprogramowania odpowiada na takie ankiety setki razy w miesiącu. Wtedy warto zaproponować alternatywę: raport SOC 2, certyfikat ISO 27001, wypełniony kwestionariusz SIG lub pakiet zaufania publikowany na stronie dostawcy.
Jeśli żadna z tych form nie jest dostępna, pozostają trzy drogi: ograniczenie zakresu danych przekazywanych dostawcy, wdrożenie kontroli kompensujących po Waszej stronie albo zmiana dostawcy. Każdą z nich trzeba opisać w rejestrze ryzyka wraz z datą i osobą akceptującą — inaczej po roku nikt nie pamięta, dlaczego tak zdecydowano.
Ryzyko czwartej i dalszej strony
Twoje dane rzadko kończą podróż u dostawcy, z którym podpisujesz umowę. Hosting w chmurze, podwykonawca wsparcia, zewnętrzny zespół analityczny — każdy z nich to kolejne ogniwo, na które nie masz bezpośredniego wpływu. NIST SP 800-161 wprost zaleca mapowanie łańcucha dostaw, a nie tylko relacji bezpośredniej.
W praktyce wystarczy pytanie o podwykonawców w ankiecie i zapis w umowie, że zmiana podwykonawcy wymaga powiadomienia. Przy dostawcach krytycznych poproś o listę podmiotów przetwarzających i sprawdź, czy któryś działa poza EOG.
Zapisy umowne, które warto wynegocjować
Cztery klauzule do negocjacji
Ankieta bez konsekwencji umownych jest deklaracją intencji. Cztery zapisy zmieniają tę relację najbardziej: termin zawiadomienia o naruszeniu, obowiązek przekazania raportu z audytu na żądanie, prawo do audytu oraz termin usunięcia danych po zakończeniu umowy.
Prawo wyjścia z umowy
Warto też zadbać o prawo do rozwiązania umowy bez kary, jeśli dostawca dopuści się istotnego naruszenia bezpieczeństwa lub utraci certyfikat, na podstawie którego go wybrano. To zapis rzadko spotykany w szablonach, a w negocjacjach jeden z łatwiejszych do uzyskania — jeśli pojawia się na początku rozmowy.
Rejestr dostawców i wymogi regulacyjne
Rejestr nie służy audytorowi — odpowiada na pytanie, kto ma dostęp do danych. Dla firm z sektora finansowego punktem odniesienia jest DORA, która nakłada obowiązki w zakresie rejestru umów z dostawcami ICT i nadzoru nad nimi. Logika jest ta sama: rejestr, klauzule i regularna weryfikacja.
Błędy, które powtarzają się w każdym przeglądzie
- Ocena tylko przy onboardingu — dostawcy zmieniają podwykonawców, tracą certyfikaty i przechodzą incydenty; bez przeglądu cyklicznego ankieta opisuje stan z przeszłości.
- Wiara w samoopis — bez dowodów ankieta mierzy umiejętność wypełniania formularzy, nie poziom bezpieczeństwa.
- Jedna ankieta dla wszystkich — osiemdziesiąt pytań do dostawcy papieru i pięć do dostawcy chmury to odwrotność właściwej proporcji.
- Brak rejestru — odpowiedzi rozrzucone po skrzynkach i dyskach współdzielonych uniemożliwiają odpowiedź na pytanie, kto ma dostęp do danych klientów.
- Pominięcie prawnika — wymagania bezpieczeństwa, terminy zawiadomień i obowiązki przy usunięciu danych powinny trafić do umowy, a nie zostać w ankiecie.
Cykl przeglądów: od onboardingu do offboardingu
Dobra praktyka jest nudna. Nowy dostawca przechodzi ankietę przed podpisaniem umowy. Krytyczni są oceniani raz w roku, średni co osiemnaście miesięcy, niscy co dwa lata. Incydent u dostawcy, zmiana zakresu usługi lub zmiana właściciela firmy uruchamia przegląd poza harmonogramem.
Zakończenie współpracy wymaga równie konkretnych kroków: potwierdzenia usunięcia danych, odebrania dostępów i aktualizacji rejestru. Bez tego „były dostawca” pozostaje aktywnym kontem z uprawnieniami do Waszych systemów.
Najczęściej zadawane pytania
Ile pytań powinna mieć ankieta dla dostawcy?
Dla dostawcy krytycznego sensowny zakres to czterdzieści do osiemdziesięciu pytań, dla średniego piętnaście do dwudziestu pięciu, dla niskiego kilkanaście. Liczy się nie liczba, a to, czy każde pytanie wiąże się z decyzją i czy odpowiedzi weryfikujecie dowodami.
Czy certyfikat ISO 27001 wystarcza zamiast ankiety?
Certyfikat potwierdza istnienie systemu zarządzania bezpieczeństwem, ale nie odpowiada na pytania o Waszą konkretną usługę i dane. Traktuj go jako skrót do rozmowy, nie zamiennik — sprawdź zakres i datę ważności.
Czym różni się SOC 2 Type I od Type II?
Type I ocenia projekt kontroli w jednym momencie, Type II — ich skuteczność w okresie sześciu do dwunastu miesięcy. Do oceny dostawcy krytycznego potrzebny jest Type II, bo odpowiada na pytanie, czy kontrole działają na co dzień, a nie tylko na papierze.
Jak oceniać dostawcę, który działa poza Unią Europejską?
Przede wszystkim pod kątem podstawy transferu danych i umowy powierzenia zgodnej z RODO. Drugi element to jurysdykcja, w której dostawca może być zmuszony do ujawnienia danych — warto ją znać przed podpisaniem umowy, nie po pierwszym wniosku organu.
Czy mała firma bez działu compliance poradzi sobie z tym procesem?
Tak, jeśli zacznie od dziesięciu najważniejszych dostawców i arkusza zamiast platformy GRC. Proces na trzech stronach, faktycznie stosowany, bije rozbudowaną metodykę z prezentacji.
Chcesz uporządkować ocenę dostawców przed kolejnym audytem? Porozmawiaj z zespołem.