Ustawa o KSC, Microsoft 365, Entra ID
Zabezpieczenia do pokazania audytorowi.
Jestem Michał Jatczak, polski inżynier pracujący z Malty. Wdrażam w Microsoft 365 i Entra ID środki techniczne, których ustawa o KSC wymaga od podmiotów kluczowych i ważnych, i po każdej zmianie zostawiam dowód, który można sprawdzić.
- Dla kogo
- IT manager albo osoba odpowiedzialna za KSC w firmie zatrudniającej od 50 do 249 osób i korzystającej z Microsoft 365 Business Premium, E3 albo E5.
- Termin z ustawy
- 3 kwietnia 2027 r. dla podmiotów, które już 3 kwietnia 2026 r. spełniały przesłanki podmiotu kluczowego lub ważnego: obowiązki z rozdziału 3 ustawy, w tym system zarządzania bezpieczeństwem informacji. Pierwszy audyt podmiotu kluczowego do 3 kwietnia 2028 r. (art. 33 ust. 1 i 2, Dz. U. z 2026 r. poz. 252).
- Kto pracuje
- Michał, osobiście, bez podwykonawców. Z dostępu, który Państwo mi przyznają, korzystam tylko ja.
- Po rozmowie
- Pisemny zakres prac po polsku, kolejność prac i cena, zanim cokolwiek zmienię w Państwa tenancie.
Stałe zakresy
Cztery zakresy z ustalonym limitem i listą tego, co zostaje u Państwa. Każdy zaczyna się od przeglądu luk z uprawnieniami tylko do odczytu i kończy pakietem dowodów. Zasady wyceny są w bloku „Ile to kosztuje”.
Passkeys zamiast SMS i połączeń głosowych
- Dla kogo
- Każda firma, której pracownicy logują się kodem SMS albo połączeniem głosowym. Microsoft przestaje dostarczać SMS i połączenia głosowe do MFA 1 lutego 2027 r. dla wszystkich poza Global Administrators i użytkownikami zewnętrznymi (ci 1 lipca 2027 r.). Po tej dacie użytkownik, który ma tylko SMS albo połączenie głosowe, musi przy logowaniu zarejestrować passkey, bez możliwości rezygnacji. SMS zostaje tylko u płatnego dostawcy telefonii z Microsoft Security Store.
- Co robię
- Analiza użycia SMS i głosu. Polityka metod uwierzytelniania z passkeys. Temporary Access Pass na start. Kampania rejestracji, najpierw na grupie pilotażowej. Logowanie odporne na phishing dla administratorów. Klucze FIDO2 dla kont awaryjnych.
- Czas i limit
- Jeden tenant do 150 użytkowników, 5 dni roboczych.
- Co zostaje u Państwa
- Raport „kto przeszedł, kto został i dlaczego”, eksport polityk, dziennik zmian, pakiet dowodów.
- Licencje
- Rejestracja passkeys działa w każdej edycji Entra ID. Wymuszenie metod odpornych na phishing wymaga Entra ID P1, który jest w Business Premium, E3 i E5.
Tożsamość i dostęp uprzywilejowany
- Dla kogo
- Podmiot kluczowy albo ważny, który ma pokazać środki z art. 8 ust. 1 pkt 2 lit. l i n ustawy: uwierzytelnianie wieloskładnikowe i kontrolę dostępu.
- Co robię
- Conditional Access najpierw w trybie tylko do raportowania, potem wymuszany. Blokada starszych protokołów. Osobne konta administracyjne. PIM, jeśli mają Państwo Entra ID P2 albo Entra ID Governance. Dwa konta awaryjne (break-glass) z alertem przy każdym użyciu i testem procedury. Ochrona poczty: SPF, DKIM i DMARC wprowadzane etapami, ochrona przed phishingiem i podszywaniem się, przekazywanie na zewnątrz i reguły skrzynek. Logi audytowe Entra, Microsoft 365 i Purview z przechowywaniem ustawionym w granicach Państwa licencji.
- Czas i limit
- Jeden tenant do 150 użytkowników, 10 dni roboczych.
- Co zostaje u Państwa
- Eksport polityk Conditional Access z tabelą polityk, mapa dostępu uprzywilejowanego, runbook kont awaryjnych, pakiet dowodów, Exit Kit.
- Licencje
- Business Premium albo E3 wystarczą do Conditional Access i Intune. PIM wymaga Entra ID P2 albo Entra ID Governance, a polityki oparte na ryzyku wymagają Entra ID P2 (E5 albo dodatek). Pełne przeglądy dostępu wymagają Entra ID Governance. Szczegóły w tabeli niżej.
Gotowość na incydent
- Dla kogo
- Osoba odpowiedzialna za zgłaszanie incydentów do CSIRT i zespół, który w pierwszej godzinie ma wiedzieć, co robić.
- Co robię
- Jeden scenariusz na Państwa ustawieniach: przejęta skrzynka pocztowa albo przejęte konto administratora. Kto co powstrzymuje w Entra ID i Exchange Online, jakie logi zabezpieczyć, terminy z art. 11 ust. 1 ustawy dla incydentu poważnego (wczesne ostrzeżenie do 24 godzin i zgłoszenie do 72 godzin od wykrycia, sprawozdanie końcowe do miesiąca od zgłoszenia) oraz 72 godziny z art. 33 ust. 1 RODO od stwierdzenia naruszenia ochrony danych osobowych.
- Czas i limit
- Pół dnia, zdalnie.
- Co zostaje u Państwa
- Runbook pierwszej godziny dopasowany do Państwa tenanta, z listą kontaktów i decyzji, oraz pakiet dowodów.
- Licencje
- Każdy plan. Logi audytu w Audit Standard są przechowywane 180 dni. Rok dla logów Entra ID, Exchange, OneDrive i SharePoint daje Audit Premium (E5 albo Purview Suite); dłużej i dla pozostałych logów: polityki przechowywania albo eksport do Log Analytics.
Urządzenia pracowników
- Dla kogo
- Firma, która ma laptopy z Windows 10 na płatnych aktualizacjach ESU (Extended Security Updates) albo nie zarządza urządzeniami w Intune.
- Co robię
- Intune: zgodność urządzeń, szyfrowanie BitLocker, pierścienie aktualizacji. Ochrona urządzeń: Defender for Business albo Defender for Endpoint, zależnie od Państwa licencji. Przyjęcie, zmiana roli i odejście pracownika z blokadą dostępu w dniu odejścia oraz zapisem, kto i kiedy ją wykonał.
- Czas i limit
- Jeden tenant do 100 urządzeń.
- Co zostaje u Państwa
- Eksport polityk Intune, runbook przyjęć, zmian ról i odejść pracowników, pakiet dowodów.
- Licencje
- Intune Plan 1 i Defender for Business są w Microsoft 365 Business Premium; Microsoft 365 E3 ma Intune i Defender for Endpoint Plan 1, a Microsoft 365 E5 ma Intune i Defender for Endpoint Plan 2. Drugi rok ESU dla Windows 10 trwa do 12 października 2027 r., a wejście teraz oznacza zapłatę za rok pierwszy i drugi.
Dane przed wdrożeniem Copilota
Przegląd uprawnień i udostępniania w SharePoint, OneDrive i Teams przed zakupem licencji Microsoft 365 Copilot, żeby ograniczyć ryzyko, że Copilot pokaże użytkownikom dokumenty, do których nie powinni mieć dostępu. Jeden tenant do 300 użytkowników, 10 dni roboczych. Dostępny jako punkt zakresu prac, na tych samych zasadach co zakresy powyżej.
Praca poza stałymi zakresami, na przykład dni Entra ID dla polskiego partnera Microsoft, to dni pracy według stawki z bloku „Ile to kosztuje”. Zobacz, ile to kosztuje
Które licencje do czego
Bez cen. Stan według learn.microsoft.com z 25 października 2026 r. (zobowiązanie dostawcy); licencje zmieniają się, więc przed każdym zakresem prac sprawdzam je ponownie.
- Business Premium
- tak
- Microsoft 365 E3
- tak
- Microsoft 365 E5
- tak
- Dodatek, gdy brakuje
- Entra ID P1
- Business Premium
- tak
- Microsoft 365 E3
- tak
- Microsoft 365 E5
- tak
- Dodatek, gdy brakuje
- żaden: działa w każdej edycji Entra ID
- Business Premium
- nie
- Microsoft 365 E3
- nie
- Microsoft 365 E5
- tak
- Dodatek, gdy brakuje
- Entra ID P2 albo Defender Suite for Business Premium; samo PIM także Entra ID Governance
- Business Premium
- Plan 1
- Microsoft 365 E3
- Plan 1; Plan 2 od lipca 2026 r. (wdrażane stopniowo)
- Microsoft 365 E5
- Plan 2
- Dodatek, gdy brakuje
- Intune Suite
- Business Premium
- Defender for Business, do 300 użytkowników
- Microsoft 365 E3
- Defender for Endpoint Plan 1 (bez EDR)
- Microsoft 365 E5
- Defender for Endpoint Plan 2
- Dodatek, gdy brakuje
- Defender Suite
- Business Premium
- Defender for Office 365 Plan 1
- Microsoft 365 E3
- Plan 1, od 1 lipca 2026 r.
- Microsoft 365 E5
- Plan 2
- Dodatek, gdy brakuje
- Defender for Office 365 Plan 2
- Business Premium
- 180 dni (Audit Standard)
- Microsoft 365 E3
- 180 dni (Audit Standard)
- Microsoft 365 E5
- rok dla Entra ID, Exchange, OneDrive i SharePoint (Audit Premium), pozostałe 180 dni
- Dodatek, gdy brakuje
- Business Premium: Purview Suite for Business Premium, do 300 miejsc; E3: Purview Suite; 10 lat: dodatkowa licencja na użytkownika
Licencje kupują Państwo u swojego dostawcy, na podstawie własnej umowy z Microsoft. Cena zakresu ich nie obejmuje. Jeśli element zakresu wymaga licencji, której Państwo nie mają, mówię o tym przed zmianą, nie po niej.
Co zostaje u Państwa
Eksport polityk Conditional Access
Każda polityka w formacie JSON oraz tabela polityk: cel, zakres, wyjątki, właściciel każdego wyjątku, tryb działania i zapis testu.
Runbook kont awaryjnych
Dwa konta wyłącznie w chmurze, alert, który uruchamia się przy ich użyciu, i zaplanowany test, który sprawdza, czy procedura odzyskiwania dostępu nadal działa.
Pakiet dowodów
Stan przed zmianą i po niej dla każdego zabezpieczenia, z właścicielem, zatwierdzeniem, wynikiem weryfikacji oraz listą wyjątków i zaległości. To materiał, który audytor może sprawdzić, a nie certyfikat.
Exit Kit
Runbooki, konfiguracje bazowe i mapa miejsc, w których przechowywane są poświadczenia (nigdy same hasła), żeby Państwa zespół albo inny dostawca mógł prowadzić tenant beze mnie.
Jak pracuję
Rozpoznanie prowadzę z uprawnieniami tylko do odczytu, a polityki włączam etapami. Zanim jakakolwiek polityka zacznie być wymuszana, czytają Państwo jej wyniki z trybu tylko do raportowania (report-only), tam, gdzie Microsoft to umożliwia.
Obserwuję
Odczytuję konfigurację, role, logowania i polityki z uprawnieniami tylko do odczytu. Niczego nie zmieniam.
Ustalam
Spisuję cel, zależności licencyjne, osobę zatwierdzającą zmiany i wyjątki.
Testuję
Polityki działają najpierw w trybie tylko do raportowania (report-only), na grupach pilotażowych i kontach testowych, tam, gdzie Microsoft to umożliwia.
Wdrażam
Zatwierdzone zmiany wprowadzam w uzgodnionym oknie serwisowym, z opisaną ścieżką wycofania tam, gdzie platforma na nią pozwala.
Sprawdzam
Po każdej zmianie weryfikuję stan polityk, logowania, przypadki testowe i typowe ścieżki użytkowników.
Przekazuję
Dostają Państwo pakiet dowodów z listą wyjątków i zaległości, mapę dostępu uprzywilejowanego, listę kont, ról, aplikacji i zmian, runbooki i Exit Kit.
Czego potrzebuję od Państwa
- Osoby, która zatwierdza każdą zmianę i każdy wyjątek.
- Dostępu tylko do odczytu na początek: GDAP z minimalnymi niezbędnymi rolami, na określony czas i bez automatycznego przedłużenia, albo konta, które Państwo dla mnie założą.
- Okna serwisowego na każdy etap włączania polityk.
- Listy znanych kont serwisowych, starszych klientów poczty i kont awaryjnych.
Czego nie robię
Nie przeprowadzam audytu KSC.
Wdrażam techniczne środki bezpieczeństwa w Microsoft 365 i Entra ID. Nie przeprowadzam audytu, którego wymaga ustawa o krajowym systemie cyberbezpieczeństwa, a wdrożenie nie zastępuje ani tego audytu, ani szacowania ryzyka przez Państwa organizację.
- Za spełnienie obowiązków z ustawy odpowiada Państwa organizacja. Dostarczam wdrożenie w części dotyczącej Microsoft 365 i Entra ID oraz dowody tego wdrożenia.
- Nie prowadzę SOC ani MDR, nie pełnię dyżuru i nie obsługuję trwającego włamania.
- Nie piszę polityk bezpieczeństwa organizacji ani dokumentacji systemu zarządzania bezpieczeństwem informacji poza częścią dotyczącą Microsoft 365.
- W stałych zakresach opisanych na tej stronie nie przenoszę poczty ani plików i nie wdrażam kopii zapasowych Microsoft 365. To osobne prace z osobnym rozpoznaniem.
- Nie sprzedaję licencji Microsoft firmom z Polski. Kupują je Państwo u swojego dostawcy.
Po wdrożeniu
Po zamknięciu zlecenia mogą Państwo prowadzić tenant sami, z Exit Kitem, albo zostawić mi stałą liczbę godzin w miesiącu.
- Operate (stała liczba godzin w miesiącu)
- Cenę podaję na piśmie przy przekazaniu.
Bez SOC-a i bez okresu minimalnego: Operate ma 30-dniowy okres wypowiedzenia dla obu stron. Celem jest, żeby Państwa zespół albo inny dostawca mógł prowadzić tenant beze mnie.
Ile to kosztuje
- Dzień pracy
- od 600 € bez VAT
- Stały zakres
- Cenę podaję na piśmie przed rozpoczęciem prac, po 30-minutowej rozmowie.
- Od czego zależy cena
- Od liczby tenantów, posiadanych licencji, złożoności polityk, sposobu zatwierdzania zmian i liczby etapów wdrożenia.
- Waluta
- Euro, ceny bez VAT. Kwoty w złotych są orientacyjne, po kursie średnim NBP z podanego dnia; faktura jest w euro.
- Poziom usług
- Bez SLA i bez dyżuru. Terminy zapisuję w zakresie prac.
Dowody
Trzy dokumenty do pobrania, bez podawania adresu e-mail. Pokazują, co dostaje klient i jak wygląda praca, zanim Państwo cokolwiek zamówią.
Mapa: art. 8 ustawy o KSC w Microsoft 365 i Entra ID
Każdy punkt i litera art. 8 ust. 1, z kontrolą w tenancie albo wskazaniem, że obowiązek leży poza tenantem, potrzebną licencją, zapisem dowodu z art. 10 ust. 4 i odniesieniem do CIS Controls. To mapa kontroli, szersza niż cztery zakresy powyżej, i jeden z możliwych sposobów wdrożenia. Ustawa jest neutralna technologicznie. To nie opinia o zgodności ani audyt.
Próbka pakietu dowodów
Cztery kontrolki ze stanem przed i po, właścicielem, zatwierdzeniem, wyjątkami i wyciągiem z dziennika audytu. Dane są fikcyjne, a każda strona ma napis „Przykład”.
Runbook pierwszej godziny
Co robić w pierwszej godzinie po przejęciu konta w Microsoft 365: kto co powstrzymuje, jakie logi zabezpieczyć i kiedy zaczynają biec terminy z art. 11 ustawy.
Dla działu zakupów i księgowości
Informacje, o które podmioty kluczowe i ważne pytają przy ocenie dostawcy (art. 8 ust. 2 ustawy) i przy wpisie do wykazu (art. 7 ust. 2 pkt 16), zebrane w jednym dokumencie.
Karta dostawcy KSC
Kto jest dostawcą, dane do wykazu, pozycja wobec ustawy, sposób dostępu do tenanta, gdzie są Państwa dane i kto je przetwarza, zgłaszanie incydentów, informacja z Krajowego Rejestru Karnego, ubezpieczenie, referencje, czego nie robię. Przy każdym zdaniu stoi, czy jest zmierzone, czy jest zobowiązaniem, czy deklaracją.
Dwa fakty, o które pytają najpierw
- Przed rozpoczęciem prac przedstawię informację z Krajowego Rejestru Karnego o niekaralności za przestępstwa przeciwko ochronie informacji (art. 8f ust. 1 ustawy).
- Nie mam ubezpieczenia odpowiedzialności cywilnej zawodowej ani ubezpieczenia cyber.
Dokumenty umowy po polsku
Zakres prac, załącznik bezpieczeństwa dostawcy i protokół odbioru są po polsku. Zakres prac z załącznikiem podpisują obie strony i to one, a nie ta strona, ustalają dostęp, zgłaszanie incydentów, rozliczenia, zwrot dostępu i usunięcie kopii danych w ciągu 30 dni od zakończenia prac.
Rozliczenia, dla księgowości
- Fakturę w euro wystawia Michal Jatczak, przedsiębiorca zarejestrowany na Malcie, działający pod nazwą handlową ITSailor.
- Dla firmy z Polski to import usług. Jeśli numer VAT UE firmy jest aktywny w systemie VIES w dniu wystawienia faktury, faktura jest bez VAT, z adnotacją o odwrotnym obciążeniu, a VAT rozlicza nabywca (art. 28b w związku z art. 17 ust. 1 pkt 4 ustawy o VAT).
- W pozostałych przypadkach faktura zawiera maltański VAT.
- Faktura nie trafia do KSeF: jestem podatnikiem zagranicznym bez siedziby i stałego miejsca prowadzenia działalności w Polsce.
- Maltański numer VAT jest w stopce tej strony i można go sprawdzić w systemie VIES.
- Przed pierwszą płatnością przekazuję maltański certyfikat rezydencji podatkowej, dzięki któremu polski płatnik może zastosować umowę między Polską a Maltą o unikaniu podwójnego opodatkowania. Skutki podatkowe płatności ocenia płatnik.
Warunki umowy
Umowę tworzą dwa dokumenty: Terms of Service oraz zakres prac, który dla każdego zlecenia przygotowuję po polsku i który obie strony podpisują. Zakres prac ustala, co wykonam, w jakich terminach, za jaką cenę i na jakich warunkach bezpieczeństwa, i w tych sprawach ma pierwszeństwo. W pozostałych sprawach obowiązują Terms of Service. Poniższe streszczenie ma charakter wyłącznie informacyjny: nie jest częścią umowy, a w razie rozbieżności rozstrzyga tekst angielski.
Najważniejsze warunki w skrócie
- Stroną umowy jest Michal Jatczak, przedsiębiorca zarejestrowany na Malcie, działający pod nazwą handlową ITSailor. ITSailor nie jest odrębną osobą prawną.
- Zakres prac (Statement of Work) po polsku określa przedmiot, rezultaty, cenę, terminy i warunki bezpieczeństwa zlecenia. W sprawach, które reguluje, ma pierwszeństwo przed Terms of Service.
- Prace wykonuję z należytą starannością, zgodnie z dobrą praktyką branżową.
- Żadna ze stron nie odpowiada za szkody pośrednie ani za utracone zyski, przychody, oszczędności, renomę lub dane. Terms of Service nie wprowadzają ogólnego limitu odpowiedzialności; może go ustalić podpisany zakres prac lub umowa ramowa. Nie ogranicza się odpowiedzialności za oszustwo, winę umyślną, rażące niedbalstwo, śmierć lub uszkodzenie ciała wskutek niedbalstwa ani w innych przypadkach, w których prawo na to nie pozwala.
- Ceny podaję w euro, bez VAT, chyba że oferta stanowi inaczej. Firmy z UE spoza Malty, których numer VAT potwierdza system VIES, otrzymują fakturę z odwrotnym obciążeniem. Płatność następuje na podstawie faktury, w terminie na niej wskazanym.
- Gdy pracuję w Państwa systemach, przetwarzam dane osobowe jako podmiot przetwarzający na warunkach sekcji 14 Terms of Service (art. 28 RODO) i nie wprowadzam tych danych do narzędzi AI.
- Umowa podlega prawu maltańskiemu, a spory rozstrzygają wyłącznie sądy Malty.
Jak zacząć
Brief
Kilka pól i kilka zdań o tym, co trzeba zrobić. Bez danych z tenanta.
Zakres na piśmie
Zakres prac po polsku, kolejność prac i cena, zanim cokolwiek zmienię.
Bezpłatny test poczty
Test dostarczalności poczty sprawdza w kilka sekund SPF, DKIM, DMARC i MTA-STS Państwa domeny, na podstawie publicznych rekordów DNS.
SPF, DKIM i DMARC to jeden ze sposobów stosowania bezpiecznych środków komunikacji elektronicznej, o których mowa w art. 8 ust. 1 pkt 2 lit. l ustawy. Ustawa nie wymienia tych mechanizmów z nazwy. Wynik testu opisuje tylko publiczne rekordy DNS domeny i nie ocenia obowiązków z ustawy o KSC.
Pytania
Czy oferta jest tylko dla firm objętych ustawą o KSC?
Nie. Te same zabezpieczenia mają sens w każdej firmie na Microsoft 365. Termin 3 kwietnia 2027 r. dotyczy jednak tylko podmiotów, które już 3 kwietnia 2026 r. spełniały przesłanki podmiotu kluczowego lub ważnego.
Dlaczego nie przeprowadza Pan audytu wymaganego przez ustawę?
Audyt z art. 15 ustawy przeprowadza akredytowana jednostka oceniająca zgodność, co najmniej dwóch audytorów z wymaganymi certyfikatami lub praktyką albo CSIRT sektorowy (art. 15 ust. 2). Art. 15 ust. 2a wyklucza z audytu osobę, która w ciągu roku przed jego rozpoczęciem realizowała w podmiocie zadania z art. 8 i art. 9 do 13. Skoro wdrażam, nie mogę audytować tego samego podmiotu. Dostarczam wdrożenie i dowody, które audytor sprawdza.
Czy podmiot ważny potrzebuje audytu?
Ustawa nakazuje podmiotom kluczowym audyt co najmniej raz na 3 lata (art. 15 ust. 1). Podmiot ważny nie ma obowiązku okresowego audytu, ale w razie incydentu poważnego albo innego naruszenia przepisów ustawy organ właściwy może mu nakazać, w drodze decyzji, przeprowadzenie audytu zewnętrznego (art. 15 ust. 1b). Podmiot ważny ma te same obowiązki z art. 8 i podlega nadzorowi następczemu organu właściwego (art. 53 ust. 3 pkt 2). W kontroli organ może żądać dokumentów, a dokumentacji w języku obcym także tłumaczenia na język polski na koszt podmiotu (art. 56 ust. 1 i 3). Dlatego dokumenty, które zostawiam, są po polsku.
W jakim języku są dokumenty?
Po polsku: zakres prac, załącznik bezpieczeństwa, protokół odbioru, pakiet dowodów, Exit Kit i sześć runbooków (pierwsza godzina incydentu, przejęcie konta, konta awaryjne, przyjęcie, zmiana roli i odejście pracownika, wdrożenie MFA i Conditional Access, phishing). Pozostałe runbooki są na razie po angielsku. Art. 56 ust. 3 ustawy pozwala organowi kontrolnemu żądać tłumaczenia obcojęzycznej dokumentacji na koszt podmiotu, więc dokumentów z tej listy nie muszą Państwo tłumaczyć przy kontroli. Nazwy produktów i ustawień Microsoft zostają po angielsku, tak jak w centrach administracyjnych, a eksporty techniczne (JSON, CSV) zachowują nazwy pól źródła. Terms of Service są po angielsku.
Czy przedstawi Pan informację z Krajowego Rejestru Karnego?
Tak. Przed rozpoczęciem prac przedstawiam informację z Krajowego Rejestru Karnego o niekaralności za przestępstwa przeciwko ochronie informacji (art. 8f ust. 1 ustawy). Ustawa nie określa, jak stara może być ta informacja; zobowiązuję się, że będzie wydana nie wcześniej niż 6 miesięcy przed jej przedstawieniem. Na wezwanie z art. 8f ust. 2 przedstawiam ją ponownie.
Czy praca odbywa się zdalnie?
Tak, w całości. Pracuję w tej samej strefie czasowej co Polska. Dostęp daje GDAP na określony czas, bez automatycznego przedłużenia, albo konto, które Państwo dla mnie założą. Roli Global Administrator nie przyjmuję.
Czy podpisze Pan umowę powierzenia przetwarzania danych?
Umową powierzenia jest sekcja 14 Terms of Service wraz z opisem przetwarzania w załączniku bezpieczeństwa do zakresu prac; razem zawierają postanowienia, których wymaga art. 28 ust. 3 RODO. Sekcja 14 wiąże mnie zawsze, gdy pracuję w Państwa systemach. Osobnego wzoru umowy powierzenia nie proponuję. Jeśli Państwa organizacja ma własny wzór, proszę przesłać go przed ustaleniem zakresu: przed rozpoczęciem prac odpowiem, czy mogę go podpisać w całości, ze zmianami, czy wcale.
Czy pracuje Pan dla podmiotów publicznych?
Na razie nie. Oferta na tej stronie jest dla firm. Nie obsługuję podmiotów publicznych wymienionych w art. 4 ustawy o języku polskim ani zamówień publicznych.
Czy sprzedaje Pan licencje Microsoft?
Firmom z Polski nie. Licencje kupują Państwo u swojego dostawcy, na podstawie własnej umowy z Microsoft. Ja mówię, które są potrzebne do zakresu.
Jak wygląda faktura?
W euro. Jeśli numer VAT UE firmy jest aktywny w systemie VIES w dniu wystawienia faktury, faktura jest bez VAT, z adnotacją o odwrotnym obciążeniu; VAT rozlicza nabywca (art. 28b w związku z art. 17 ust. 1 pkt 4 ustawy o VAT). W pozostałych przypadkach faktura zawiera maltański VAT. Faktura nie trafia do KSeF, bo nie mam w Polsce siedziby ani stałego miejsca prowadzenia działalności. Przed pierwszą płatnością przekazuję maltański certyfikat rezydencji podatkowej. Szczegóły są w bloku „Dla działu zakupów i księgowości”.
Proszę opisać, co trzeba zabezpieczyć.
Brief obejmuje liczbę tenantów, licencje, model dostępu i sposób zatwierdzania zmian. Nie wymaga dostępu do Państwa tenanta. Termin rozmowy o zakresie ustalimy po otrzymaniu briefu.