Equipment Provisioning Agent

Poniedziałek rano, pierwszy dzień nowej pracy. Pracownik przychodzi do biura, dostaje pustą lawkę. Laptop nie został zamówiony - HR wysłał maila do IT w piątek po południu, IT eskalował do zakupów we wtorek, zakupy czekają na potwierdzenie modelu. Krzesło jest za niskie, monitor stoi pod złym kątem, brak podkładki pod nadgarstki. Pracownik podpisuje protokół przekazania sprzętu, którego nie dostał. Trzy tygodnie później kontrola PIP stwierdza naruszenie KP art. 207 (sprawne narzędzia pracy) i Rozporządzenia VDU z 1.12.1998 (ergonomia stanowiska komputerowego). Kara 18 000 zł.

Ten przypadek nie jest wyjątkiem. Jest stanem normalnym. I nie chodzi tu tylko o produktywność - chodzi o realizację obowiązków pracodawcy z Kodeksu Pracy art. 207 i art. 226-227 oraz Rozporządzenia VDU z 1.12.1998, których naruszenie podlega kontroli PIP z karą do 30 000 zł, a w sektorach regulowanych (NIS2) dodatkowo karze do 10 milionów euro za błędną konfigurację cyberbezpieczeństwa.

Cicha kakofonia w pierwszym dniu

W firmie z 2000 pracownikami wpływa miesięcznie od 15 do 35 wniosków provisioningu sprzętu - nowe zatrudnienia, zmiany ról, wymiany po awarii, kontraktorzy B2B z KP art. 11-3, pracownicy z niepełnosprawnością wymagający sprzętu adaptacyjnego z dofinansowania PFRON. Każdy wniosek przechodzi przez minimum cztery działy: HR rejestruje zatrudnienie w Comarch HR, IT zamawia laptop i konfiguruje konta, zakupy negocjują dostawę z dostawcami, BHP weryfikuje ergonomię stanowiska wobec Rozporządzenia VDU z 1.12.1998. Inspektor Ochrony Danych zatwierdza politykę MDM, związki zawodowe konsultują wprowadzenie monitoringu z Ustawy z 23.05.1991, specjalista cyberbezpieczeństwa wgrywa konfigurację zgodną z NIS2.

To się sumuje. Średni koszt onboardingu IT w Polsce wynosi od 8 600 do 34 400 zł na pracownika - laptop biznesowy 6 000-12 000 zł, monitor 1 500-3 500 zł, krzesło z atestem CIOP-PIB 1 200-3 800 zł, telefon służbowy 2 000-5 000 zł, akcesoria ergonomiczne 800-2 200 zł, licencje oprogramowania 3 000-8 000 zł. Jedna trzecia tego ginie w niezgodności BHP, podwójnych zamówieniach, opóźnieniach dostaw i błędnej konfiguracji MDM. Przy 200 zatrudnieniach rocznie to potencjał oszczędności od 1 700 000 do 4 500 000 zł, bez kosztu kary PIP z KP art. 281 do 30 000 zł, bez kosztu chorobowego z chorób zawodowych (zespół cieśni nadgarstka, wady wzroku) i bez ryzyka kary UODO za naruszenie RODO art. 25 (privacy by design w MDM) lub kary NIS2 za niezgodność cyberbezpieczeństwa.

Cztery wymiary zgodności w jednym pakiecie sprzętu

Provisioning sprzętu w Polsce nie jest tylko logistyką. Jest skrzyżowaniem czterech wymiarów regulacyjnych, których pominięcie generuje natychmiastowe ryzyko prawne:

Wyzwalacz provisioningu
    │
    ├── BHP - KP art. 207+226-227 ───── Pakiet zgodny z VDU 1.12.1998,
    │   Rozp. VDU 1.12.1998              ergonomia, atest CIOP-PIB,
    │   Rozp. szkolenia 27.07.2004       szkolenie BHP stanowiskowe
    │
    ├── RODO + MDM ─────────────────── Privacy by design RODO art. 25,
    │   Art. 22+25+88                    konsultacja związków zawodowych,
    │   Ustawa o związkach 23.05.1991    DPIA z RODO art. 35
    │
    ├── CYBERBEZPIECZEŃSTWO NIS2 ──── Antywirus, EDR, MFA, segmentacja,
    │   Ust. krajowy system cyber       zarządzanie podatnościami,
    │   z 5.07.2018                      zgłaszanie incydentów do CERT Polska
    │
    └── KOSZTY + PODATKI ──────────── Polski Ład 2.0, ZUS świadczenia
        Polski Ład 2.0                 rzeczowe, biała lista VAT,
        Ust. systemie ubezp. 13.10.1998  KSeF FA(2), MPP > 15 000 zł

Wymiar BHP jest nienegocjowalny. KP art. 207 wymaga dostarczenia sprawnych narzędzi pracy, art. 226-227 obowiązuje dostarczenie środków ochrony indywidualnej bez kosztów po stronie pracownika, Rozporządzenie z 1.12.1998 określa ergonomię stanowiska komputerowego (regulowane krzesło, oświetlenie 500 luksów, monitor ze statywem regulującym), Rozporządzenie z 27.07.2004 wymaga szkolenia stanowiskowego BHP przed dopuszczeniem do pracy. PIP może wejść z kontrolą w każdej chwili - kara z KP art. 281 do 30 000 zł, a w przypadku choroby zawodowej (zespół cieśni nadgarstka z RVS) odpowiedzialność z ZUS.

Wymiar RODO i MDM jest najbardziej polityczny. Każda nowa polityka MDM (Microsoft Intune, Jamf Pro, VMware Workspace ONE) wymaga konsultacji z reprezentatywnym związkiem zawodowym z Ustawy z 23.05.1991, DPIA z RODO art. 35 dla systematycznego monitoringu, privacy by design z RODO art. 25 (separacja kontenera służbowego od prywatnego, ograniczenie danych do minimum), informacji dla pracownika z KP art. 22-2. Naruszenie oznacza karę UODO do 4 procent obrotu i pozew z RODO art. 82.

Wymiar cyberbezpieczeństwa NIS2 jest najnowszy i najmocniejszy w sankcjach. Ustawa o krajowym systemie cyberbezpieczeństwa z 5.07.2018 (transpozycja Dyrektywy NIS2) nakłada obowiązki na podmioty kluczowe (energetyka, bankowość, zdrowie, telekomunikacja, transport) i ważne (digital providers, produkcja krytyczna). Sprzęt pracowniczy w tych sektorach musi mieć: antywirus z aktualizacjami, EDR, MFA, automatyczne aktualizacje, zarządzanie podatnościami z CVSS, segmentację sieci. Incydenty zgłaszane do CERT Polska w 24 godziny. Kara do 10 milionów euro lub 2 procent rocznego obrotu plus odpowiedzialność osobista zarządu z KSH art. 233.

Wymiar kosztowy i podatkowy wymaga precyzji. Polski Ład 2.0 wpływa na rozliczenie sprzętu mieszanego (BYOD) - składki ZUS od użytku prywatnego, zaliczka PIT (12 procent do 120 000 zł, 32 procent powyżej). Faktury zakupu sprzętu wymagają weryfikacji białej listy VAT (whitelist.gov.pl), KSeF FA(2) od 1.07.2026, MPP dla kwot powyżej 15 000 zł.

Dlaczego email i Excel nie wystarczają

Większość polskich firm zarządza provisioningiem sprzętu przez email i Excel - HR wysyła plik z listą nowych pracowników do IT, IT przepisuje do swojego systemu zgłoszeniowego, zakupy dostają osobny mail z modelami, BHP dostaje zapytanie ad-hoc, Inspektor Ochrony Danych dowiaduje się dopiero przy konfiguracji MDM. Każdy z tych przekazań jest okazją do błędu: zapomniany pracownik, zły model laptopa, brak konsultacji ze związkami przed wdrożeniem nowej polityki, niezarejestrowany sprzęt w IT Asset Management, brak szkolenia BHP stanowiskowego.

Różnica między emailowym chaosem a agentem orkiestrującym to różnica między ratowaniem każdego przypadku z osobna a deterministyczną infrastrukturą. Agent nie wymyśla pakietu sprzętu - czyta regułę z polityki firmy zgodną z VDU z 1.12.1998. Nie pyta o stan magazynowy - integruje się z Comarch IT Asset, ServiceNow ITAM lub Snipe-IT i widzi w czasie rzeczywistym. Nie negocjuje z dostawcą - generuje zamówienie w SAP Ariba lub Workday Procurement z weryfikacją białej listy VAT. Nie pomija konsultacji ze związkami - eskaluje proces do dialogu społecznego automatycznie. Nie zapomina o szkoleniu BHP - aktywuje moduł szkoleniowy zgodny z Rozporządzeniem z 27.07.2004 przed wręczeniem sprzętu.

W projektach z systemami orkiestrującymi czas przygotowania stanowiska spada z 10-14 dni do 2-3 dni, koszt onboardingu IT spada o 25-35 procent, niezgodność BHP w kontroli PIP spada do zera, a incydenty cyberbezpieczeństwa NIS2 są wykrywane w 24 godzinach (wymóg ustawowy).

Co zmienia agent

Agent nie zastępuje ekspertyzy IT, BHP, Inspektora Ochrony Danych ani CISO. Zastępuje ręczną koordynację między czterema do siedmiu działami, która w praktyce zawodzi przy 25 wnioskach miesięcznie.

Pakiet sprzętu zgodny z VDU z 1.12.1998. Agent automatycznie wybiera pakiet według roli: laptop biznesowy minimum 14 cali, monitor z regulowanym statywem, klawiatura ergonomiczna, mysz, słuchawki, krzesło z atestem CIOP-PIB, podkładka pod nadgarstki, oświetlenie 500 luksów, telefon służbowy. Każdy element ma certyfikat CE i instrukcję w języku polskim. Niezgodność oznacza karę PIP do 30 000 zł i ryzyko choroby zawodowej.

Konfiguracja MDM z privacy by design RODO art. 25. Microsoft Intune, Jamf Pro lub VMware Workspace ONE są konfigurowane z separacją kontenera służbowego od prywatnego, szyfrowaniem BitLocker/FileVault, VPN, MFA, blokadą portów USB. Monitoring ograniczony do logów technicznych - bez treści, bez lokalizacji prywatnej. DPIA z RODO art. 35 dokumentuje proporcjonalność. Konsultacja ze związkami z Ustawy z 23.05.1991 jest aktywowana automatycznie przed deploymentem.

Polityka cyberbezpieczeństwa NIS2. Sprzęt w podmiotach kluczowych i ważnych otrzymuje konfigurację zgodną z Ustawą z 5.07.2018: antywirus, EDR, MFA, segmentacja sieci, zarządzanie podatnościami. Każde urządzenie jest klasyfikowane według ryzyka i monitorowane w SIEM zintegrowanym z Krajowym Systemem Cyberbezpieczeństwa. Incydenty zgłaszane do CERT Polska w 24 godziny.

Kanał sygnalistów oddzielony od kontenera służbowego. Aplikacja kanału z Ustawy z 14.06.2024 jest pre-instalowana w architekturze chroniącej tożsamość: oddzielny kontener niewidoczny dla MDM, ruch przez VPN, brak logów w SIEM. AAI może kontrolować zgodność. Sygnalista uzyskuje 24-miesięczną ochronę przed odwetem.

Sprzęt adaptacyjny dla pracowników z niepełnosprawnością. Agent identyfikuje potrzeby, konsultuje z lekarzem medycyny pracy i przygotowuje wniosek do PFRON o dofinansowanie do 25 000 zł. Pakiet może obejmować czytniki NVDA i JAWS, klawiatury Braille’a, oprogramowanie powiększające, sterowanie głosem. Sektor publiczny ma dodatkowy obowiązek WCAG 2.1 AA z Ustawy z 4.04.2019.

Cykl życia aktywu w IT Asset Management. Każdy sprzęt jest rejestrowany w Comarch IT Asset, ServiceNow ITAM lub Snipe-IT z numerem seryjnym, wartością bilansową i kosztem uzyskania z Polskiego Ładu 2.0. Faktury weryfikowane wobec białej listy VAT i KSeF FA(2). Zwrot przy offboardingu jest deterministyczny: czyszczenie danych DoD 5220.22-M lub NIST 800-88 Purge, wyrejestrowanie w MDM, prawo do bycia zapomnianym z RODO art. 17.

Gdzie leżą decyzje

Agent nie podejmuje decyzji, które wpływają na warunki zatrudnienia. Czy wprowadzić MDM monitorujący lokalizację, czy rozszerzyć politykę cyberbezpieczeństwa, czy zatwierdzić niestandardowe zamówienie, czy uznać sprzęt adaptacyjny za niezbędny, czy zwolnić pracownika, który zniszczył sprzęt - to pozostaje przy człowieku. Przy Inspektorze Ochrony Danych, CISO, dyrektorze IT, dyrektorze HR, lekarzu medycyny pracy, zarządzie z odpowiedzialnością z KSH art. 233.

Co agent steruje: warstwę logistyczno-konfiguracyjną. Zapewnia, że pakiet sprzętu jest zgodny z VDU z 1.12.1998, że konfiguracja MDM realizuje privacy by design z RODO art. 25, że polityka cyberbezpieczeństwa spełnia NIS2, że konsultacje ze związkami z Ustawy z 23.05.1991 są przeprowadzone, że szkolenie BHP z Rozporządzenia z 27.07.2004 jest aktywowane, że sprzęt adaptacyjny jest zgłoszony do PFRON, że cykl życia aktywu jest dokumentowany w IT Asset Management, że zwrot przy offboardingu czyści dane zgodnie z RODO art. 17. Decyzja sama leży tam, gdzie powinna - przy człowieku ponoszącym odpowiedzialność z KP art. 207, KSH art. 233 i Ustawy o krajowym systemie cyberbezpieczeństwa.

Infrastruktura stojąca za sprzętem

Ten agent to nie tylko zysk produktywności dla IT Service Desk. Buduje fundamenty infrastruktury cyfrowej cyklu życia sprzętu potrzebne każdemu kolejnemu agentowi:

Standaryzacja pakietów BHP uczy się reguł VDU z 1.12.1998 i atestów CIOP-PIB. Ten model jest reużywany przez Workplace Health Agent, Hybrid Work Agent (home office wymaga audytu ergonomii w domu z KP art. 207-1), Travel Equipment Agent (sprzęt na delegacje).

Konfiguracja MDM z RODO art. 25 definiuje standard separacji kontenera służbowego od prywatnego dla wszystkich urządzeń. Raz zbudowana, obowiązuje dla każdego agenta dotykającego MDM - Onboarding Workflow Agent, Offboarding Agent, BYOD Policy Agent.

Polityka cyberbezpieczeństwa NIS2 staje się szablonem dla każdego sprzętu w podmiotach kluczowych i ważnych. Ten routing klasyfikacji ryzyka, integracji z SIEM i zgłaszania incydentów do CERT Polska stanowi fundament każdego systemu cyberbezpieczeństwa w całym Decision Layer.

IT Asset Management i Audit Trail dokumentują każdy etap cyklu życia urządzenia od zakupu do utylizacji. Wykorzystywane przez Decision Layer do zapewnienia możliwości śledzenia każdego sprzętu w organizacji - kluczowe dla obrony przed roszczeniami z KP art. 124, audytu PIP, kontroli UODO i wymogów NIS2.

Dlatego ten agent stoi na początku. Nie dlatego, że jest najbardziej spektakularny, lecz dlatego, że dostarcza infrastrukturę, na której opiera się wszystko kolejne - i jednocześnie najbardziej widoczny dowód, że inwestycja się opłaca. Każdego pierwszego dnia pracy, w pełnej zgodności z Kodeksem Pracy, RODO, Rozporządzeniem VDU z 1.12.1998, Ustawą o krajowym systemie cyberbezpieczeństwa (NIS2), Ustawą o ochronie sygnalistów z 14.06.2024 i Ustawą o dostępności cyfrowej z 4.04.2019.