Czy dostawcy chmury lub SaaS spoza UE potrzebują obu przedstawicieli: GDPR i NIS2?

• Przedstawiciel GDPR Art. 27 i NIS2 Art. 26 często mają zastosowanie łącznie do dostawców chmury/SaaS spoza UE
• Brak progu wielkości dla GDPR; NIS2 dotyczy chmury/CDN/DNS niezależnie od wielkości
• REP27, EU Presence, DataShield Guardian i Regingada oferują oba przedstawicielstwa
• Opublikowane ceny różnią się znacznie; zawsze sprawdzaj, co jest w cenie
• Kary za nieprzestrzeganie mogą sięgać 10 mln € lub 2% obrotu (GDPR)
• Proces wyznaczenia, wyłączenia i ukryte opłaty różnią się w zależności od dostawcy

Zaktualizowano 3 listopada 2026 · 8 sprawdzonych źródeł

Porównanie dostawców

Ceny opublikowane na stronie każdego dostawcy w dniu 3 listopada 2026, bez VAT, chyba że zaznaczono inaczej. Każdy wiersz prowadzi do źródła.

Wymogi prawne: GDPR Art. 27 i NIS2 Art. 26

Dostawcy chmury i SaaS spoza UE świadczący usługi na rzecz UE mają dwa odrębne obowiązki prawne:

• Przedstawiciel GDPR Art. 27: Każdy administrator lub podmiot przetwarzający spoza UE oferujący towary/usługi lub monitorujący osoby z UE musi wyznaczyć przedstawiciela w UE. Dotyczy to dostawców SaaS i chmury, nawet jeśli usługi są B2B, pod warunkiem, że przetwarzane są dane osób z UE. Nie ma minimalnego progu wielkości — każda jednostka spoza UE przetwarzająca dane UE musi przestrzegać przepisów. (GDPR Art. 27)
• Przedstawiciel NIS2 Art. 26: Dostawcy spoza UE usług chmurowych, DNS, CDN, usług zarządzanych, platform handlowych i społecznościowych muszą wyznaczyć przedstawiciela w państwie członkowskim UE, w którym oferują usługi. W przeciwieństwie do innych obowiązków NIS2, dotyczy to niezależnie od wielkości firmy lub obrotu dla tych konkretnych usług cyfrowych. (NIS2 Art. 26)

Te wymagania się kumulują. Wyznaczenie przedstawiciela GDPR nie zwalnia z obowiązków NIS2 i odwrotnie. Obie role służą jako punkty kontaktowe dla organów UE i osób, których dotyczą, ale obejmują różne ramy prawne i obowiązki sprawozdawcze. NIS2 wymaga m.in. obowiązkowego zgłaszania incydentów i rejestracji u władz krajowych do stycznia 2025, podczas gdy GDPR koncentruje się na ochronie danych i prawach osób.

Brak wyznaczenia wymaganych przedstawicieli może skutkować poważnymi karami. Nieprzestrzeganie GDPR może skutkować grzywnami do 10 mln € lub 2% globalnego obrotu. NIS2 pozwala państwom członkowskim na bezpośrednie działania przeciwko dostawcom spoza UE, nawet jeśli przedstawiciel jest wyznaczony. Oznacza to, że zgodność to nie tylko wyznaczenie przedstawiciela, ale także zapewnienie ciągłej współpracy i reakcji na organy UE.

Podsumowując, dostawcy SaaS i chmury spoza UE muszą dokładnie ocenić, czy ich działalność wywołuje jeden lub oba obowiązki i wybrać dostawcę, który może obsłużyć obie role, jeśli to konieczne.

Jak wybrać: macierz decyzyjna dla dostawców spoza UE

Wybór odpowiedniego przedstawiciela zależy od modelu biznesowego, charakteru usług i bazy klientów. Poniższa macierz pomaga określić, czego potrzebujesz w zależności od sytuacji:

Wskazówki praktyczne:

• Przeanalizuj przepływ danych: jeśli przetwarzasz dane osobowe mieszkańców UE, stosuje się GDPR.
• Oceń swoje usługi cyfrowe: jeśli oferujesz chmurę, CDN, DNS lub usługi zarządzane na rzecz UE, NIS2 ma zastosowanie niezależnie od przetwarzania danych osobowych.
• Platformy handlowe: jeśli sprzedajesz tylko towary fizyczne przez Amazon, eBay itp. i nie przetwarzasz danych osobowych UE ani nie oferujesz usług cyfrowych, potrzebujesz osoby odpowiedzialnej za produkt, nie przedstawiciela GDPR lub NIS2.
• Ustanowienie w UE: jeśli firma jest już zarejestrowana w UE, te obowiązki nie dotyczą, chyba że działasz dla spółki matki spoza UE.

Wybór dostawcy oferującego oba przedstawicielstwa (GDPR i NIS2) może uprościć zgodność, zmniejszyć obciążenia administracyjne i zapewnić spójną komunikację z organami. Zawsze potwierdzaj możliwość obsługi obu obowiązków oraz sprawdzaj opublikowane ceny i zakres usług.

Co naprawdę obejmuje cena (i co jest wyłączone)

Opublikowane ceny za reprezentację GDPR i NIS2 różnią się znacznie. Ważne jest, aby zrozumieć, co każdy dostawca zawiera w podstawowej opłacie, a co może generować dodatkowe koszty. Oto porównanie:

Kluczowe informacje od dostawców:

• REP27: Oferuje przedstawicielstwo GDPR i NIS2, certyfikat, publiczną weryfikację oraz jedną umowę na wiele ról. Cena GDPR od 290 €/rok; cena NIS2 na zapytanie. Wszystkie wyznaczenia podpisuje Europe Services SE (UE) i są potwierdzone certyfikatem. (źródło)
• EU Presence: Opłata 127 $/miesiąc za GDPR i 327 $/miesiąc za NIS2 (ceny potwierdzone na stronie). Zawiera workflow zgłaszania incydentów i pokrycie wszystkich 27 państw UE. (źródło)
• DataShield Guardian: Plan Full Presence od 12 000 $/rok, obejmujący GDPR, NIS2, AI Act, zarządzanego IOD i wsparcie zgodności. (źródło)
• Regingada: GDPR od 490 €/rok; NIS2 na zapytanie. Zapewnia dokumentowane przekazywanie, rejestrację terminów i ma siedzibę w Niemczech. (źródło)

Zawsze proś o szczegółową wycenę i umowę. Wiele firm nie publikuje wszystkich dodatkowych opłat, takich jak opłaty za incydent, odpowiedzi organów czy koszty odnowienia. Zapytaj o te kwestie przed podpisaniem umowy.

Ukryte koszty i czego dostawcy zwykle nie mówią

Choć dostawcy reklamują roczne lub miesięczne opłaty za reprezentację, wiele ważnych szczegółów jest często pomijanych w materiałach publicznych. Kupujący powinni być świadomi potencjalnych ukrytych kosztów i wyłączeń:

• Okresy wypowiedzenia: Żaden z powyższych dostawców nie określa minimalnych okresów umowy lub wypowiedzenia. Zawsze sprawdzaj umowę pod tym kątem.
• Opłaty za żądania/incydenty: Żaden dostawca nie publikuje opłat za pojedyncze incydenty lub żądania organów. W przypadku NIS2 zgłaszanie incydentów i komunikacja z organami mogą generować dodatkowe koszty. Poproś o pełny cennik.
• Limity odpowiedzialności: Brak publicznych informacji o limitach odpowiedzialności lub wyłączeniach. Zwykle dostawcy ograniczają odpowiedzialność za kary lub szkody w umowie — poproś o ten fragment przed podpisaniem.
• Wyłączenia usług: Niektórzy dostawcy mogą nie uwzględniać wszystkich komunikacji z organami, zarządzania incydentami lub odnowień certyfikatów w cenie podstawowej. Na przykład Regingada oferuje przedstawicielstwo NIS2 tylko na zapytanie, a szczegóły zgłaszania incydentów nie są publikowane. DataShield Guardian łączy IOD i wsparcie zgodności, ale zakres może być ograniczony do określonych godzin lub typów incydentów.
• Weryfikacja i dokumentacja: REP27 dostarcza publiczny certyfikat i kod weryfikacyjny, co jest przydatne do wykazania zgodności przed organami i platformami. Nie wszyscy dostawcy oferują tę funkcję.

Czego dostawcy zwykle nie mówią:

• Czy odpowiadają na każde żądanie organu lub pobierają dodatkowe opłaty za skomplikowane przypadki
• Czy cena obejmuje bieżące doradztwo zgodności, czy tylko formalne wyznaczenie
• Jak szybko przetwarzają zgłoszenia incydentów lub korespondencję z organami
• Czy umowa automatycznie się odnawia i na jakich warunkach

Aby uniknąć niespodzianek, zawsze żądaj pełnej umowy, proś o szczegółowy wykaz usług wliczonych i wyłączonych oraz wyjaśnij procedury na wypadek pilnych incydentów lub kontroli organów.

Jak przebiega wyznaczenie: krok po kroku

Wyznaczenie przedstawiciela GDPR i/lub NIS2 obejmuje kilka konkretnych etapów. Proces ma na celu zapewnienie, że przedstawiciel jest właściwie upoważniony, a firma przygotowana do współpracy z organami UE i spełniania obowiązków prawnych. Oto typowy przebieg na przykładzie REP27:

1. Ocena obowiązków: Skorzystaj z powyższej macierzy decyzyjnej, aby ustalić, czy potrzebujesz przedstawiciela GDPR i/lub NIS2. Przeanalizuj przetwarzanie danych i oferowane usługi cyfrowe na UE.
2. Wybór dostawcy: Porównaj dostawców pod kątem cen, zakresu usług i reputacji. Potwierdź, że dostawca może obsłużyć oba obowiązki, jeśli to konieczne.
3. Przekazanie informacji o firmie: Będziesz musiał dostarczyć dane prawne firmy, opis usług oraz informacje o klientach lub użytkownikach z UE. REP27 wymaga pliku z tymi danymi do weryfikacji przez człowieka.
4. Weryfikacja przez dostawcę: Dostawca sprawdza kompletność i poprawność informacji. W przypadku REP27 trwa to zwykle do 24 godzin roboczych.
5. Wyznaczenie i podpis: Organ statutowy dostawcy podpisuje list wyznaczenia, formalnie ustanawiając go przedstawicielem. REP27 wydaje podpisany certyfikat, kod QR i kod weryfikacyjny.
6. Otrzymanie dokumentów: Otrzymujesz podpisany dokument wyznaczenia, certyfikat oraz wzór zapisu do polityki prywatności lub na stronę internetową. Dokumentacja ta jest niezbędna do wykazania zgodności przed organami, klientami i platformami.
7. Aktualizacja informacji prawnych: Zaktualizuj politykę prywatności, stronę www oraz (dla NIS2) zarejestruj dane przedstawiciela u właściwego organu krajowego. NIS2 wymaga rejestracji do stycznia 2025.
8. Ciągła współpraca: Utrzymuj kontakt z przedstawicielem w zakresie zgłaszania incydentów, żądań organów i aktualizacji zgodności. Upewnij się, że znasz procedury na wypadek pilnych zgłoszeń i czas reakcji dostawcy.

Lista kontrolna dla kupujących:

1. Potwierdź, czy przetwarzasz dane osobowe UE lub świadczysz usługi chmurowe/cyfrowe na UE.
2. Sprawdź, czy obowiązują Cię zarówno GDPR, jak i NIS2.
3. Zbierz wszystkie niezbędne dokumenty firmy i opisy usług.
4. Skontaktuj się z dostawcami po pełną wycenę i umowę, pytając o dodatkowe opłaty.
5. Przeanalizuj warunki umowy, w tym okresy wypowiedzenia i limity odpowiedzialności.
6. Wyznacz przedstawiciela(-li) i odbierz dokumentację.
7. Zaktualizuj politykę prywatności i zarejestruj przedstawiciela u organów, jeśli wymagane.
8. Utwórz wewnętrzne procedury zgłaszania incydentów i komunikacji z organami.

Przestrzeganie tych kroków zapewnia spełnienie wymogów prawnych UE i unika kosztownych sankcji.

Ryzyka, kary i egzekwowanie

Nieprzestrzeganie GDPR Art. 27 lub NIS2 Art. 26 może narazić dostawców chmury i SaaS spoza UE na poważne ryzyka prawne i finansowe. Zrozumienie tych zagrożeń jest kluczowe dla świadomych decyzji:

• GDPR: Brak wyznaczenia przedstawiciela GDPR jest naruszeniem, za które grożą kary do 10 mln € lub 2% globalnego rocznego obrotu, w zależności od tego, która kwota jest wyższa. Kary te są niezależne od innych sankcji za naruszenia GDPR. Organy mogą również blokować usługi w UE lub nakazać usunięcie nielegalnie przetwarzanych danych.
• NIS2: Zgodnie z NIS2 państwa członkowskie mogą podjąć bezpośrednie działania przeciwko dostawcom spoza UE, którzy nie wyznaczyli przedstawiciela. Może to obejmować dochodzenia, blokowanie usług i sankcje administracyjne. Przedstawiciel nie chroni przed egzekucją; jest jedynie lokalnym punktem kontaktowym dla organów.
• Terminy rejestracji: NIS2 wymaga, aby dostawcy spoza UE zarejestrowali dane kontaktowe przedstawiciela u odpowiedniego organu krajowego do 17 stycznia 2025. Brak rejestracji może skutkować natychmiastowymi działaniami egzekucyjnymi.
• Zgłaszanie incydentów: NIS2 nakłada obowiązek zgłaszania istotnych incydentów bezpieczeństwa. Opóźnienia lub brak zgłoszeń mogą prowadzić do dalszych kar i utraty reputacji.
• Ryzyko reputacyjne: Publiczne działania egzekucyjne lub blokady usług mogą zaszkodzić marce i zaufaniu klientów, szczególnie na rynku UE wrażliwym na prywatność i bezpieczeństwo.

Aby ograniczyć ryzyka, wyznacz wykwalifikowanego przedstawiciela, utrzymuj aktualną dokumentację i ustanów jasne procedury wewnętrzne na wypadek incydentów i kontaktów z organami. Regularnie oceniaj stan zgodności i aktualizuj dane przedstawiciela wraz z rozwojem firmy.

Realistyczne scenariusze: co obowiązuje i najprostsza droga

Poniżej trzy praktyczne scenariusze ilustrujące zastosowanie przepisów i najprostsze sposoby zapewnienia zgodności:

• Scenariusz 1: amerykańska firma SaaS oferująca usługi B2B i B2C klientom z UE
  Obowiązki: wymaga obu przedstawicieli GDPR Art. 27 i NIS2. Firma przetwarza dane osobowe UE (GDPR) i świadczy usługi chmurowe (NIS2).
  Droga zgodności: wyznaczenie dostawcy (np. REP27) obejmującego oba obowiązki. Aktualizacja polityki prywatności o dane przedstawiciela, rejestracja u właściwego organu NIS2 oraz wdrożenie procedur zgłaszania incydentów i komunikacji z organami.
• Scenariusz 2: chiński sprzedawca na Amazon eksportujący tylko towary fizyczne do UE
  Obowiązki: wymaga osoby odpowiedzialnej za produkt w zakresie bezpieczeństwa. Nie potrzebuje przedstawicieli GDPR ani NIS2, chyba że przetwarza dane UE lub oferuje usługi cyfrowe/chmurowe.
  Droga zgodności: wyznaczenie osoby odpowiedzialnej za produkt (nie omawiane tutaj), zapewnienie oznakowania i dokumentacji produktu oraz weryfikacja, czy usługi cyfrowe lub przetwarzanie danych wywołują dodatkowe obowiązki.
• Scenariusz 3: brytyjski sklep internetowy sprzedający konsumentom z UE
  Obowiązki: wymaga przedstawiciela GDPR, jeśli przetwarza dane osobowe UE. NIS2 ma zastosowanie tylko, jeśli sklep oferuje usługi chmurowe lub cyfrowe (nie dotyczy czystego e-commerce).
  Droga zgodności: wyznaczenie przedstawiciela GDPR (np. REP27), aktualizacja polityki prywatności i potwierdzenie, czy usługi cyfrowe wymagają przedstawiciela NIS2. Jeśli nie, dalsze działania w zakresie NIS2 nie są konieczne.

Te scenariusze pokazują, że obowiązki zależą od charakteru działalności i usług. Zawsze dokonuj szczegółowej oceny i konsultuj się z dostawcą doświadczonym w obu reprezentacjach GDPR i NIS2.