Witaj – JSW ITS

„Na Linii Decyzji” – CyberUpdate dla przemysłu
Newsletter dla zarządzających i kierowników produkcji w polskich firmach

W tym wydaniu dwa tematy, które w tym roku mają szczególne znaczenie dla polskich (i nie tylko polskich) przedsiębiorstw: AI, które już od dawna z eksperymentu stało się codziennym narzędziem pracy, ale nadal rzadko jest wdrażane z jasnym planem oraz local content, czyli jak zmienia się logika wyboru dostawców IT/OT po wejściu w życie nowelizacji KSC i rządowego programu z kwietnia 2026 r. Do tego trzy konkretne zagrożenia, o których warto powiedzieć pracownikom na hali i w biurze.

JSW IT Systems: Local content zmienia zasady gry. Jak ta zmiana wpływa na zakupy rozwiązań IT/OT

Przez lata pojęcie „local content" kojarzyło się w Polsce z hasłem na konferencjach. Po inauguracji rządowego projektu „Local Content. Z korzyścią dla Polski" w kwietniu 2026 roku i wejściu w życie nowelizacji ustawy o KSC (3 kwietnia 2026 r.) to już precyzyjnie skalkulowana strategia zakupowa - szczególnie dla podmiotów infrastruktury kluczowej. Dla decydentów oznacza jedno: stare kryteria wyboru dostawców IT/OT właśnie straciły aktualność. Za tą zmianą stoją trzy siły. Pierwsza to geopolityka - rosnące napięcia skłaniają do suwerenności technologicznej tam, gdzie wcześniej kupowano od najtańszego dostawcy. Druga to NIS2 i KSC, które wymagają nie tylko odpowiednich narzędzi, ale też możliwości ich serwisowania i reagowania na incydenty niemal w czasie rzeczywistym. Trzecia to pieniądze publiczne - programy takie jak „Cyberbezpieczny Wodociąg" czy „Cyberbezpieczny Samorząd" uruchomiły wielomiliardowe granty, a tam gdzie płyną środki publiczne, wymogi dotyczące łańcucha dostaw stają się warunkiem wejścia.

Co konkretnie zmienia się w praktyce zakupowej?

Kryteria oceny dostawców powinny uwzględniać siedzibę podatkową, lokalizację jednostki dominującej i udział obrotów generowanych w Polsce - nie tylko cenę i parametry techniczne.
TCO zamiast tylko ceny zakupu - tanie oprogramowanie z odległym wsparciem technicznym może w efekcie okazać się droższe niż oferta lokalnego dostawcy.
Warunkiem otrzymania grantu jest najczęściej zgodność z NIS2/KSC, co de facto wymusza wybór dostawców zdolnych do certyfikacji i audytu.

Co powinien zrobić zarządzający lub kierownik ds. zakupów?

Przy kolejnym przetargu na systemy IT/OT zadać twarde pytania: gdzie faktycznie powstaje oprogramowanie sterujące? Gdzie przechowywane są klucze i dane procesowe? Kto i w jakim czasie odpowiada za łatanie podatności?
Sprawdzić, czy obecni dostawcy systemów SCADA, automatyki i sieci spełniają kryteria local content w rozumieniu metodologii MAP - szczególnie jeśli organizacja korzysta z dofinansowania publicznego.
Uwzględnić wymogi local content w dokumentacji przetargowej, zanim zrobi to kontrola lub audyt.

Local content nie jest protekcjonizmem dla protekcjonizmu. W przypadku systemów sterujących fizyczną infrastrukturą kluczową bliskość dostawcy, polska jurysdykcja nad danymi i szybka reakcja inżynierska w trybie 24/7 mają bezpośrednie przełożenie na ciągłość usług.

Więcej w naszym artykule: https://www.jswits.pl/wiedza/blog/wpis/local-content-zmienia-zasady-gry-jak-ta-zmiana-wplywa-na-zakupy-rozwiazan-it-ot

„Przeniosłem swój cyfrowy setup do Europy" - dlaczego coraz więcej firm pyta o europejskich dostawców

Autor artykułu przez dwa miesiące przenosił wszystkie swoje usługi cyfrowe od amerykańskich dostawców do europejskich. Powód? Dane trzymane na serwerach poza Europą podlegają innej jurysdykcji. Gdy zmienia się prawo, właściciel usługi lub decyzja polityczna, firma nie ma pełnej kontroli nad tym, co się z nimi stanie. W Europie obowiązuje GDPR, który określa zasady przetwarzania i przechowywania danych. Dla polskich firm produkcyjnych i infrastrukturalnych to temat bardzo bliski local content: artykuł pokazuje, co rzeczywiście można przenieść bez kompromisów jakościowych, gdzie europejskie alternatywy mile zaskoczyły, a gdzie autor zdecydował się jednak zostać przy dostawcy spoza Europy - i dlaczego.

Co to oznacza dla firm produkcyjnych?

Dane z systemów SCADA, MES i ERP często trafiają do chmur publicznych bez wiedzy zarządzających o tym, gdzie fizycznie są przechowywane.
Umowy z dostawcami oprogramowania przemysłowego rzadko precyzują jurysdykcję danych - to luka, którą warto usunąć przy najbliższym odnowieniu kontraktu.
Firmy korzystające z dofinansowania publicznego (KPO, granty UE) mogą wkrótce być zobligowane do wykazania rezydencji danych w UE.

Co powinien zrobić zarządzający?

Poprosić dział IT o mapę: które systemy produkcyjne wysyłają dane na zewnętrzne serwery i gdzie te serwery fizycznie się znajdują?
Uwzględnić lokalizację serwerów jako kryterium w kolejnych przetargach na oprogramowanie.
Zweryfikować umowy SLA z dostawcami chmury - czy zawierają gwarancje dotyczące jurysdykcji i prawa właściwego?

Źródło: https://monokai.com/articles/how-i-moved-my-digital-stack-to-europe/

Co powinien wiedzieć każdy lider, zanim podpisze budżet na AI

Wiele zarządów zatwierdza budżety na AI bez rozumienia technologii, którą finansuje. Autorka artykułu - Anna Shipman, Dyrektor Techniczna z wieloletnim stażem - porządkuje trzy obszary, które każdy decydent bez wiedzy inżynierskiej powinien rozumieć: nieprzewidywalność modeli (te same dane wejściowe mogą dawać różne wyniki), zmieniona ekonomia (AI jest tania w pilotażu, droga w skali) oraz integracja z procesami. Szczególnie cenne jest powiązanie z tematem local content: artykuł zwraca uwagę, że organizacje bez wewnętrznych kompetencji do weryfikacji wyników AI uzależniają się od jednego dostawcy. W kontekście systemów przemysłowych to ryzyko operacyjne, nie tylko zakupowe.

Co to oznacza dla firm produkcyjnych?

Decyzje o AI podejmowane pod presją trendu rynkowego kończą się projektami bez zwrotu i bez możliwości wyjścia z kontraktu.
Brak wewnętrznych kompetencji do oceny AI oznacza, że firma nie może zweryfikować jakości modelu - co jest szczególnie ryzykowne w procesach produkcyjnych.
Zarządy, które rozumieją AI na poziomie operacyjnym, znacznie skuteczniej negocjują z dostawcami.

Co powinien zrobić zarządzający?

Przed kolejnym spotkaniem z dostawcą AI zadać trzy pytania: jak mierzymy wynik, kto odpowiada za jakość modelu, co się dzieje, gdy model się myli?
Traktować pierwsze wdrożenia AI jak eksperymenty z wyraźnym budżetem i jasnym terminem oceny - nie jak wieloletnie projekty transformacyjne.
W kontekście local content sprawdzić, czy dostawca AI przetwarza dane firmowe w Polsce lub UE i czy ma polskojęzyczny zespół wsparcia.

Źródło: https://www.annashipman.co.uk/jfdi/exec-ai-principles.html

3 rzeczy, które warto zrobić w tym miesiącu

Sprawdź łańcuch dostaw swoich systemów IT/OT pod kątem local content Gdzie faktycznie powstaje oprogramowanie sterujące Twoją produkcją? Gdzie są przechowywane dane procesowe? To pytania, które warto zadać zanim zrobi to audyt.
Wprowadź zasadę weryfikacji poleceń finansowych z telefonu Jedno zdanie na zebraniu z działem finansowym i zaopatrzenia może uchronić firmę przed atakiem głosowym. Kosztem jest 15 minut rozmowy.
Oceń, czy Twoje dofinansowanie publiczne wymaga zgodności z local content Jeśli organizacja korzysta z grantów KPO, „Cyberbezpiecznego Wodociągu" lub podobnych programów — sprawdź, czy obowiązki dotyczące local content i NIS2 są już wpisane w warunki rozliczenia.

Chcesz omówić, jak ocenić dostawców IT/OT pod kątem kryteriów local content, lub jak przygotować dokumentację przetargową zgodną z nowymi wymogami KSC? Napisz do nas - nasz zespół chętnie odpowie.

Zespół JSW IT Systems