Budujemy dedykowane aplikacje i moduły dla zespołów compliance, IOD-ów, CISO i działów ryzyka. Pomagamy spełnić wymogi RODO, DORA, NIS2, Data Act i AI Act bez kupowania przerośniętej platformy, której i tak musisz dokonfigurować pod swoją branżę.
Większość organizacji w Polsce próbowała rozwiązać RODO przez kupno gotowego narzędzia. Sześć miesięcy później rejestr czynności jest niezaktualizowany, analiza ryzyka istnieje tylko w prezentacji PowerPoint sprzed dwóch lat, a IOD odpowiada na każde zapytanie podmiotu danych ręcznym przeszukiwaniem dysku.
Z DORA i NIS2 jest jeszcze gorzej: to znacznie bardziej operacyjne regulacje, które wymagają żywych procesów - register of information o dostawcach trzeciej strony, plan testów odporności, formalne procedury raportowania incydentów, oceny ryzyka ICT z konkretną metodyką. Gotowe platformy do tego istnieją, ale są drogie i wymagają dokupywania modułów per regulacja. AI Act dochodzi do tego od 2024–2026 i wymaga inwentarza systemów AI, którego praktycznie nikt jeszcze nie ma.
Projektujemy dedykowane aplikacje i moduły, które realnie żyją wewnątrz Twoich procesów. Nie "kolejny system do uzupełniania na koniec roku", tylko narzędzie, które IOD / compliance / CISO używa w pracy codziennej i które ma w sobie wbudowany audit log gotowy do okazania regulatorowi.
Strukturalny rejestr czynności przetwarzania zgodny z art. 30 RODO, z mapowaniem podstaw prawnych, kategorii danych, odbiorców, terminów retencji. Z workflow akceptacji zmian i automatycznym generowaniem ROPA do audytu.
System przyjmowania i obsługi żądań dostępu, sprostowania, usunięcia, przeniesienia danych. Z routowaniem do właściwych właścicieli systemów, terminami 30-dniowymi, audytem.
Strukturalny szablon DPIA, z biblioteką zagrożeń i środków technicznych, oceną ryzyka 5×5 (lub Twoją własną metodyką), automatycznym generowaniem raportu.
Rejestr dostawców ICT (zwykłych i krytycznych) zgodny z DORA, z mapowaniem funkcji, kategorii ryzyka, kontraktów, exit plans. Ekspory do ESMA / KNF w wymaganym formacie.
Pełen workflow zarządzania incydentem ICT zgodny z DORA: detekcja, klasyfikacja (major / significant / cyber-threat), eskalacja, raport do KNF w wymaganych terminach (4h / 72h / 1 miesiąc).
Procedura raportowania znaczących incydentów cyberbezpieczeństwa do CSIRT zgodnie z NIS2, z workflow notyfikacji wstępnej, raportu wstępnego i końcowego.
Rejestr systemów AI używanych w organizacji, z klasyfikacją ryzyka (zakazane / wysokie / ograniczone / minimalne), dokumentacją techniczną, oceną wpływu i workflow akceptacji nowych wdrożeń AI.
Rejestr umów o dostępie do danych (B2B/B2G), dokumentacja przepływów, mapowanie obowiązków informacyjnych i prawa dostępu użytkownika. Praktyczny moduł - jeszcze ekspresowo nowa regulacja.
Wspólne podstawy dla DORA / NIS2 / RODO: inwentarz systemów, ocen ryzyka (NIST CSF / ISO 27005 / własna metodyka), mapowanie kontrolek, dashboard zgodności.
Compliance software jest na styku dwóch dziedzin, w których pomyłka jest kosztowna: prawa (źle zinterpretowany wymóg = mandat regulatora) i inżynierii (źle zbudowany system = nieaudytowalne logi, brakujące dane, nieobsłużone edge case'y). Dlatego:
Ma sens, jeżeli:
Compliance software rzadko żyje sam - najczęściej zasysa dane z innych systemów (HR, IT asset management, identity provider, systemy biznesowe). Dlatego naturalnie łączymy go z integracjami systemowymi, a dla automatycznego klasyfikowania incydentów / aktów / dokumentów - z systemami AI.
Gotowce sprawdzają się przy bardzo standardowych implementacjach RODO w dużych organizacjach z międzynarodowymi wymaganiami. Dla średniej polskiej organizacji są często przerośnięte, drogie i wymagają długiego implementation projektu - który i tak kończy się dopisywaniem własnych integracji. Dedykowany software ma sens, gdy: (1) masz nietypowe procesy/branżę, (2) chcesz spójności z resztą stacku, (3) potrzebujesz integracji z polskimi rejestrami i systemami, których gotowce nie obsługują, (4) Twoja skala nie uzasadnia rocznych licencji 6-cyfrowych. Często rekomendujemy hybrydę: gotowe dla podstaw, dedykowane moduły dla specyfiki.
DORA dotyczy wszystkich podmiotów rynku finansowego w UE: banki, ubezpieczyciele, TFI, towarzystwa emerytalne, fintechy z licencją KNF, dostawcy usług płatniczych, dostawcy informacji o rachunkach, część firm leasingowych. Plus dostawców ICT krytycznych dla tych podmiotów (TPP). Jeżeli świadczysz software dla banku, DORA Cię dotyczy przez umowę z bankiem. W praktyce DORA = formalne zarządzanie ryzykiem ICT, testy odporności (TLPT), zarządzanie incydentami, rejestr dostawców trzeciej strony.
NIS2 to ogólna dyrektywa cyberbezpieczeństwa dla "podmiotów istotnych i ważnych" - energetyka, transport, zdrowie, telco, infrastruktura cyfrowa, usługi publiczne, część firm średnich i dużych. DORA to lex specialis dla finansów. Wymagania są zbliżone (zarządzanie ryzykiem, incident reporting, governance), ale DORA jest bardziej szczegółowa i bardziej operacyjna (TLPT, register of information o dostawcach). Jeżeli podlegasz obu - DORA ma pierwszeństwo dla wymagań ICT, NIS2 pokrywa resztę.
Tak - to częste zapytanie. AI Act wymaga, żeby organizacje wdrażające AI prowadziły inwentarz systemów AI z klasyfikacją ryzyka (zakazane / wysokie / ograniczone / minimalne), dokumentacją techniczną, oceną wpływu i logami. Budujemy dedykowane moduły (lub osobne aplikacje) zarządzające takim rejestrem - z integracją do systemów źródłowych, audit logiem i workflow akceptacji.
Kod to ok. 60% wartości - reszta to dokumentacja zgodności: opis architektury z mapowaniem na wymogi regulacyjne, register of processing activities (jeśli aplikacja przetwarza dane), data flow diagrams, ocena ryzyka, raport z analizy DPIA (jeśli wymagane), procedura zarządzania incydentem, model dokumentacji do audytu. Wszystko po polsku i angielsku, w formacie gotowym do przedstawienia audytorowi, KNF, UODO albo regulatorowi sektorowemu.
Opisz krótko swoją sytuację - branżę, regulację, obecny stan. W ciągu 1–2 dni roboczych odezwiemy się z propozycją zakresu i orientacyjną wyceną.
Umów konsultację →