Kontrola dostępu w modelu SaaS – na czym polega i jakie zapewnia korzyści?

Spis treści

1. Czym jest kontrola dostępu w modelu SaaS?

2. Dlaczego model SaaS zmienia rynek kontroli dostępu?

3. Jakie są najważniejsze zalety kontroli dostępu w chmurze?

4. Jakie są wady i ograniczenia modelu SaaS?

5. Co się dzieje, gdy dostęp do internetu nie działa lub nastąpiła przerwa w dostawie prądu?

6. Czy chmurowy system kontroli dostępu jest bezpieczny?

7. Jakie przepisy regulują kontrolę dostępu w chmurze?

8. Dla kogo model SaaS będzie najlepszym wyborem?

9. Jak wdrożyć kontrolę dostępu w modelu SaaS krok po kroku?

10. Najczęściej zadawane pytania.

Czym jest kontrola dostępu w modelu SaaS?

Kontrola dostępu w modelu SaaS to usługa, w której warstwa oprogramowania: baza użytkowników, harmonogramy, uprawnienia i rejestr zdarzeń, działa w centrum danych dostawcy, a klient korzysta z niej przez przeglądarkę lub aplikację mobilną w zamian za opłatę abonamentową. Na obiekcie pozostaje wyłącznie warstwa sprzętowa. W literaturze branżowej ten model funkcjonuje pod skrótem ACaaS (Access Control as a Service), czyli kontrola dostępu realizowana jako usługa. Różnica względem klasycznego wdrożenia jest fundamentalna i dotyczy własności infrastruktury. W modelu tradycyjnym klient kupuje serwer, licencję bezterminową, instaluje oprogramowanie w swojej serwerowni i sam odpowiada za backupy, aktualizacje i utrzymanie. W modelu chmurowym klient korzysta z usługi, a odpowiedzialność za infrastrukturę spoczywa na dostawcy danego rozwiązania.

Co dokładnie znajduje się w chmurze, a co zostaje na obiekcie?

Podział jest dość konsekwentny u większości producentów. W chmurze znajduje się m.in: baza danych użytkowników i poświadczeń, silnik reguł dostępu, harmonogramy czasowe, dziennik zdarzeń, moduł raportowania oraz interfejs administratora. Na obiekcie pozostaje warstwa fizyczna: czytniki uwierzytelniające, kontrolery drzwiowe, zamki elektromechaniczne i elektromotoryczne, elektrozaczepy, zwory elektromagnetyczne, zasilacze buforowe oraz okablowanie. Między obiema warstwami znajduje się urządzenie brzegowe, którym jest kontroler sieciowy lub bramka. To ono utrzymuje szyfrowaną łączność z chmurą, pobiera aktualne uprawnienia i wysyła zdarzenia. Dobrym przykładem takiego elementu jest Smart Gateway w ekosystemie ISEO: urządzenie to pośredniczy w komunikacji pomiędzy zamkiem, a serwerem i przekształca zamki pracujące offline w urządzenia zarządzane online w czasie rzeczywistym. Warto zaznaczyć, że w tej architekturze chmura służy do tunelowania komunikacji, a nie do przechowywania wrażliwych danych samego zamka.

Czym różni się chmurowa kontrola dostępu od systemu on-premise?

Najkrócej: modelem własności, modelem kosztowym i modelem odpowiedzialności. System on-premise oznacza jednorazowy wydatek inwestycyjny (CAPEX), pełną kontrolę nad danymi i pełną odpowiedzialność za utrzymanie. Chmurowa kontrola dostępu to wydatek operacyjny (OPEX), niższa bariera wejścia i przeniesienie ciężaru administracji na dostawcę. Praktyczna konsekwencja jest taka, że w systemie lokalnym aktualizacja oprogramowania to projekt: trzeba zaplanować okno serwisowe, wykonać kopię zapasową, przetestować zgodność sterowników. W systemie chmurowym aktualizacje wdraża dostawca, zwykle bez udziału klienta. To ma znaczenie także dla bezpieczeństwa, gdyż ewentualne luki w oprogramowaniu zostają załatane u wszystkich klientów naraz, a nie dopiero wtedy, gdy administrator znajdzie na to czas.

Hosted, managed czy model hybrydowy - trzy warianty tej samej usługi

W wariancie hosted dostawca udostępnia platformę, ale to klient administruje użytkownikami i uprawnieniami. To najczęstszy model dla firm, które posiadają własny dział bezpieczeństwa lub administracji. W wariancie managed dostawca przejmuje również obsługę operacyjną: dodawanie i odbieranie uprawnień, reagowanie na alarmy, przygotowywanie raportów. Ten model wybierają obiekty bez wewnętrznych zasobów IT, na przykład sieci placówek handlowych czy wspólnoty i zarządcy nieruchomości. W wariancie hybrydowym krytyczne funkcje pozostają zarządzane lokalnie, a chmura pełni rolę nadrzędnej warstwy zarządzania i raportowania. To rozwiązanie stanowi pewien kompromis i jest coraz częściej wybierane w obiektach objętych rygorami regulacyjnymi, gdzie decyzja o otwarciu drzwi musi zapadać lokalnie, niezależnie od stanu łącza.

Dlaczego model SaaS zmienia rynek kontroli dostępu?

Model SaaS zmienia rynek kontroli dostępu, gdyż rozwiązuje problem, którego lokalne systemy nie rozwiązywały dobrze: zarządzanie wieloma lokalizacjami z jednego miejsca. Rynek ACaaS rośnie w tempie dwucyfrowym: według analizy The Business Research Company jego wartość wzrosła z 1,53 mld USD w 2025 roku do 1,78 mld USD w 2026 roku, przy średniorocznym tempie wzrostu na poziomie ok. 16%. Prognozy różnych ośrodków badawczych rozchodzą się co do wartości bezwzględnych, ale kierunek jest zgodny.

Za tym wzrostem stoją cztery zjawiska, które widać także na polskim rynku.

Pierwsze to rozproszenie organizacji. Firma z piętnastoma punktami sprzedaży w różnych województwach nie utrzyma piętnastu osobnych serwerów i piętnastu osobnych baz z uprawnieniami. Jeden panel zarządzania to nie wygoda, tylko warunek skutecznego działania. Drugie to rotacja i elastyczne formy zatrudnienia. Pracownicy tymczasowi, podwykonawcy, serwisanci, ekipy sprzątające - każda z tych grup potrzebuje dostępu ograniczonego czasowo. Ręczne wydawanie i odbieranie kart przestaje mieć sens przy kilkudziesięciu zmianach miesięcznie. Trzecie to poświadczenia mobilne. Smartfon zastępuje kartę, a wydanie uprawnienia trwa kilkanaście sekund zamiast dnia roboczego. Bez zaplecza chmurowego zdalne wydanie klucza mobilnego jest technicznie kłopotliwe. Czwarte i w 2026 roku najsilniejsze, to presja regulacyjna. Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, wdrażająca dyrektywę NIS2, weszła w życie 3 kwietnia 2026 roku i objęła według szacunków branżowych kilkadziesiąt tysięcy polskich podmiotów. Wymagania dotyczące uwierzytelniania wieloskładnikowego, rozliczalności i dowodów kontroli dostępu znacznie łatwiej spełnić w systemie, który sam generuje pełny, zdefiniowany czasowo rejestr zdarzeń.

Jakie są najważniejsze zalety kontroli dostępu w chmurze?

Najważniejsze zalety to: zdalne zarządzanie uprawnieniami dostępu z jednego panelu, niższa bariera wejścia finansowego, automatyczne aktualizacje bezpieczeństwa, płynna skalowalność oraz gotowe raporty audytowe. Poniżej rozkładamy każdą z nich na czynniki pierwsze z zaznaczeniem, kiedy dana korzyść jest realna, a kiedy tylko deklarowana w materiałach marketingowych.

Zdalne zarządzanie uprawnieniami dostępu z jednego panelu

To korzyść najczęściej wymieniana i jednocześnie najłatwiejsza do zweryfikowania. Administrator odbiera uprawnienia zwolnionemu pracownikowi w kilka sekund, z telefonu, o dowolnej porze. W systemie lokalnym ta sama operacja wymagała fizycznego dostępu do stanowiska administracyjnego lub połączenia VPN. Praktyczne znaczenie najłatwiej zauważyć w sytuacjach kryzysowych. Zgubiona karta o godzinie drugiej w nocy, zwolnienie dyscyplinarne w piątek po godzinach, konieczność wpuszczenia serwisu chłodniczego do magazynu w niedzielę: w każdym z tych przypadków czas reakcji spada z godzin do minut.

Niższy koszt wejścia i przewidywalny budżet

Model abonamentowy przenosi wydatek z kolumny inwestycyjnej do operacyjnej. Nie trzeba kupować serwera, licencji bezterminowej ani nadmiarowej infrastruktury. Opłata obejmuje jedynie faktycznie obsługiwane drzwi / użytkowników. Dla wielu firm istotniejsza od samej kwoty jest jednak przewidywalność. W systemie lokalnym koszty pojawiają się skokowo: awaria serwera, wymuszona migracja bazy danych, koniec wsparcia dla wersji systemu operacyjnego. W modelu subskrypcyjnym te zdarzenia znajdują się po stronie dostawcy i mieszczą się w stałej stawce.

Automatyczne aktualizacje i szybsze łatanie ewentualnych luk w zabezpieczeniach

To argument techniczny, ale w 2026 roku również regulacyjny. Systemy kontroli dostępu są urządzeniami sieciowymi i podlegają tym samym ryzykom, co reszta infrastruktury IT. Aktualizacja firmware'u i oprogramowania zarządzającego przestała być czynnością fakultatywną. W praktyce serwisowej to jeden z najczęstszych problemów, jaki spotyka się w starszych instalacjach: systemy działające latami na wersji oprogramowania, dla której producent dawno zakończył wsparcie. W modelu chmurowym taki scenariusz jest wykluczony, gdyż aktualizacje są wdrażane centralnie.

Skalowalność

Rozbudowa systemu lokalnego często oznaczała wymianę centrali lub zakup dodatkowych licencji. W modelu chmurowym dodanie drzwi oznacza jedynie dołożenie sprzętu i zwiększenie abonamentu, bez konieczności przebudowy architektury. To szczególnie istotne przy systemie kontroli dostępu w chmurze obejmującym wiele lokalizacji, gdzie nowe punkty dodawane są stopniowo. Sieć handlowa otwierająca pięć sklepów rocznie nie musi za każdym razem projektować systemu od nowa.

Poświadczenia mobilne zamiast kart i kluczy

Klucz mobilny w smartfonie eliminuje kwestie związane z obsługą logistyczną nośników: zamawianie, personalizację, wydawanie, odbieranie i utylizację kart. Redukuje też najczęstszy problem operacyjny każdego systemu, czyli pożyczanie kart między pracownikami, bo smartfonów ludzie sobie nie pożyczają. Warto jednak zachować zdrowy rozsądek. Poświadczenie mobilne nie zastąpi karty wszędzie: w środowisku produkcyjnym z zakazem wnoszenia telefonów, w strefach zagrożonych wybuchem czy przy pracy w rękawicach ochronnych, karta lub tag pozostaje rozwiązaniem lepszym. Dobrze zaprojektowany system potrafi obsłużyć równolegle oba nośniki.

Audyt, raporty i gotowe dowody zgodności

Każde zdarzenie, takie jak otwarcie, odmowa dostępu, drzwi pozostawione otwarte, alarm sabotażowy trafia do rejestru ze znacznikiem czasu i identyfikatorem użytkownika. Wyciągnięcie raportu „kto wchodził do serwerowni w ostatnim kwartale" zajmuje minutę zamiast dnia pracy. Dla podmiotów objętych ustawą o KSC, wymogami ubezpieczyciela albo standardem branżowym typu ISO/IEC 27001 nie jest to funkcja dodatkowa, tylko materiał dowodowy podczas audytu. Zdolność do wykazania, kto miał dostęp do jakiej strefy i na jakiej podstawie, jest dokładnie tym, o co pytają audytorzy.

Integracje z innymi systemami poprzez API

Nowoczesne platformy udostępniają interfejsy programistyczne, które pozwalają połączyć kontrolę dostępu z systemem kadrowym, rezerwacją sal, monitoringiem wizyjnym czy automatyką budynkową. Zatrudnienie pracownika w systemie HR automatycznie tworzy jego uprawnienia; rozwiązanie umowy je odbiera. To eliminuje najbardziej niebezpieczną kategorię błędów w kontroli dostępu, a dokładniej „osierocone" uprawnienia, należące do osób, które od dawna nie pracują już w firmie.  

Ciągłość działania i odporność infrastruktury

Centrum danych profesjonalnego dostawcy posiada redundantne zasilanie, replikację danych i kopie zapasowe wykonywane automatycznie. Serwer stojący w szafie w pomieszczeniu gospodarczym zwykle nie oferuje tego rodzaju rozwiązań. To argument, który brzmi abstrakcyjnie do momentu pierwszej awarii dysku. Utrata bazy uprawnień w systemie bez kopii zapasowej oznacza konieczność odtworzenia całej konfiguracji ręcznie dla obiektu ze stu drzwiami i trzystoma użytkownikami oznacza to wiele tygodni pracy.

Jakie są wady i ograniczenia modelu SaaS?

Główne ograniczenia to: rosnący koszt całkowity w długim horyzoncie, zależność od dostawcy i jego kondycji, powierzenie danych osobowych podmiotowi zewnętrznemu oraz uzależnienie funkcji zarządczych od jakości łącza internetowego. Żadne z nich nie dyskwalifikuje modelu, ale każde powinno zostać świadomie zaakceptowane przed podpisaniem umowy.

Koszt całkowity rośnie z czasem

Abonament nigdy się nie kończy. W perspektywie trzech–czterech lat model chmurowy zwykle wygrywa z lokalnym, ale przy horyzoncie ośmiu–dziesięciu lat rachunek może się odwrócić, szczególnie w obiektach o stałej liczbie drzwi i niewielkiej rotacji użytkowników. Rozwiązanie: zażądaj od dostawcy kalkulacji TCO (całkowitego kosztu posiadania) na pięć i osiem lat, uwzględniającej klauzule waloryzacyjne. Jeśli umowa przewiduje indeksację o wskaźnik inflacji, poproś o symulację przy założeniu 4% rocznie.

Zależność od dostawcy i ryzyko uwięzienia w ekosystemie

Jeżeli dostawca zmieni cennik, zostanie przejęty albo zakończy działalność, jego klienci mają problem, zwłaszcza gdy sprzęt jest zamknięty w firmowym protokole i nie współpracuje z innymi platformami. Rozwiązanie ma dziś także wymiar prawny. Rozporządzenie UE 2023/2854 (Data Act), stosowane od 12 września 2025 roku, nakłada na dostawców usług przetwarzania danych (w tym SaaS), obowiązki dotyczące przenoszenia danych i ułatwiania zmiany dostawcy. Do 12 stycznia 2027 roku obowiązuje okres przejściowy z obniżonymi opłatami migracyjnymi, a po tej dacie dostawca nie może już pobierać opłat za zmianę dostawcy. Przy negocjacjach warto powołać się na te przepisy wprost i wpisać do umowy format eksportu danych. Drugie zabezpieczenie jest techniczne: wybieraj sprzęt oparty na otwartych standardach nośników (MIFARE DESFire EV3) i urządzenia z udokumentowanym API, a nie zamknięte rozwiązania jednego producenta.

Powierzenie danych osobowych podmiotowi zewnętrznemu

Rejestr wejść i wyjść to dane osobowe w rozumieniu RODO, a często również dane o czasie pracy. Przekazanie ich do chmury oznacza powierzenie przetwarzania i wymaga formalnej umowy. Rozwiązanie: zawrzyj umowę powierzenia zgodną z art. 28 RODO, ustal lokalizację serwerów (najlepiej w EOG), sprawdź, czy dostawca posiada certyfikat ISO/IEC 27001, i określ w umowie okres retencji logów. Jeśli system ma obejmować biometrię, przygotuj ocenę skutków dla ochrony danych - do tego wątku wracamy w części poświęconej przepisom.

Uzależnienie od łącza internetowego

To najczęściej podnoszona obawa i zarazem najbardziej przeceniana. Utrata łącza w poprawnie zaprojektowanym systemie nie oznacza, że drzwi przestają działać, ale oznacza, że tracisz możliwość zdalnego zarządzania. Szczegóły opisujemy w osobnej sekcji poniżej.

Mniejsza elastyczność konfiguracji

Platforma chmurowa oferuje to, co przewidział producent. Jeżeli Twój obiekt wymaga nietypowej logiki, na przykład sterowania śluzą osobową z podwójnym potwierdzeniem albo integracji z leciwym systemem produkcyjnym, może się okazać, że rozwiązanie lokalne lub hybrydowe jest jedyną realną opcją.

Co się dzieje, gdy dostęp do internetu nie działa lub nastąpiła przerwa w dostawie prądu?

W poprawnie zaprojektowanym systemie brak internetu nie blokuje drzwi - kontrolery przechowują lokalnie kopię uprawnień i podejmują decyzje autonomicznie, a zdarzenia są buforowane do czasu odzyskania łączności. Tracisz zdalne zarządzanie i podgląd w czasie rzeczywistym, nie tracisz kontroli dostępu jako takiej. To rozróżnienie jest kluczowe i warto je zweryfikować u każdego dostawcy, zadając jedno konkretne pytanie: gdzie zapada decyzja o otwarciu drzwi - w kontrolerze na obiekcie czy w chmurze? Jeśli w chmurze, każda awaria łącza jest awarią systemu bezpieczeństwa. Jeśli w kontrolerze, łącze służy wyłącznie do synchronizacji.

Ile uprawnień przechowuje kontroler lokalnie?

Parametr, o który należy zapytać, to pojemność bufora offline, zwykle podawana jako liczba użytkowników i liczba zdarzeń przechowywanych bez łączności. Sprawdź też, jak długo urządzenie utrzymuje pracę autonomiczną, zanim uprawnienia wygasną, bo niektóre platformy stosują mechanizm wygasania poświadczeń jako zabezpieczenie.

A co przy zaniku zasilania?

Odpowiedź na powyższe pytanie zależy od przyjętej logiki drzwi i ma bezpośrednie konsekwencje prawne. Urządzenia rewersyjne (fail-safe) po zaniku napięcia zwalniają drzwi, urządzenia standardowe (fail-secure) pozostają zaryglowane. Na drogach ewakuacyjnych stosuje się rozwiązania zapewniające możliwość wyjścia w każdych warunkach i to wymaganie ma pierwszeństwo przed wszelką logiką systemu kontroli dostępu. Niezależnie od modelu wdrożenia obiekt powinien być wyposażony w zasilacze buforowe z akumulatorami podtrzymującymi pracę systemu przez czas określony w projekcie.

Czy chmurowy system kontroli dostępu jest bezpieczny?

Tak pod warunkiem, że dostawca stosuje szyfrowanie komunikacji, uwierzytelnianie wieloskładnikowe dla administratorów, nowoczesne nośniki poświadczeń oraz posiada potwierdzony certyfikatem system zarządzania bezpieczeństwem informacji. Paradoksalnie w wielu wdrożeniach chmura okazuje się bezpieczniejsza od serwera stojącego w pomieszczeniu socjalnym, do którego dostęp ma sprzątaczka i trzech pracowników administracji. Największe ryzyko w systemach kontroli dostępu nie leży zresztą po stronie chmury, tylko po stronie warstwy nośników. Karty pracujące w standardzie 125 kHz można skopiować korzystając z urządzenia kosztującego kilkadziesiąt złotych i to wciąż najczęstsza luka, jaką spotyka się w istniejących instalacjach.

O co konkretnie zapytać dostawcę?

Poniżej lista pytań, które w praktyce najszybciej weryfikują poziom zabezpieczeń oferowanego rozwiązania:

Jaki jest standard poświadczenia? MIFARE DESFire (EV2 lub EV3) z szyfrowaniem AES to obecnie rozsądne minimum dla nowych instalacji. Standardy 125 kHz nadają się wyłącznie do stref o niskim ryzyku.

W jaki sposób jest szyfrowana komunikacja? Dotyczy to zarówno odcinka czytnik–kontroler (OSDP z Secure Channel zamiast Wieganda), jak i kontroler–chmura (TLS). W urządzeniach ISEO Smart komunikacja z poświadczeniami opiera się na symetrycznym szyfrze blokowym z kluczami 128-bitowymi.

Czy panel administratora wymaga MFA? Konto administratora chronione wyłącznie hasłem to pojedynczy punkt awarii całego systemu. Więcej o tym mechanizmie piszemy w artykule o uwierzytelnianiu dwuetapowym w systemach kontroli dostępu.

Czy dostawca posiada ISO/IEC 27001? A jeśli deklaruje zgodność bez certyfikatu - na jakiej podstawie.

Jak wygląda proces zgłaszania podatności? Od 11 września 2026 roku producenci produktów z elementami cyfrowymi mają obowiązki raportowania podatności wynikające z rozporządzenia CRA.

Czy system jest odseparowany od sieci biurowej? Urządzenia kontroli dostępu powinny pracować w wydzielonym segmencie sieci (VLAN).

Typowe błędy, które osłabiają nawet dobry system

Z praktyki wdrożeniowej wynika, że najwięcej szkód wyrządzają nie luki technologiczne, lecz zaniedbania organizacyjne. Domyślne hasła administratora pozostawione po uruchomieniu systemu, uprawnienia nadane „na wszelki wypadek" całemu działowi, brak procedury odbierania dostępu przy rozwiązaniu umowy, karty niezablokowane po zgłoszeniu zgubienia, jest to lista, którą można odtworzyć w większości obiektów. Model chmurowy nie naprawia tych problemów automatycznie, ale znacząco ułatwia ich wykrycie, bo raport o nieużywanych od pół roku uprawnieniach generuje się jednym kliknięciem.

Jakie przepisy regulują kontrolę dostępu w chmurze?

W 2026 roku wdrożenie chmurowego systemu kontroli dostępu obejmują cztery obszary regulacyjne: RODO, ustawa o KSC wdrażająca NIS2, rozporządzenie Data Act oraz Cyber Resilience Act, a do tego normy techniczne dotyczące samych urządzeń i dróg ewakuacyjnych. Poniżej najważniejsze punkty, o które pytają audytorzy i inspektorzy.

RODO - powierzenie przetwarzania i retencja logów

Rejestr zdarzeń z systemu kontroli dostępu zawiera dane osobowe, a jego przekazanie do chmury stanowi powierzenie przetwarzania w rozumieniu art. 28 RODO. Wymaga to zawarcia pisemnej umowy powierzenia, która określa zakres, cel i czas przetwarzania oraz obowiązki podmiotu przetwarzającego.

Kluczowe konsekwencje praktyczne:

Art. 5 ust. 1 lit. e RODO (ograniczenie przechowywania) - logi nie mogą być przechowywane bezterminowo. Ustal i udokumentuj okres retencji adekwatny do celu.

Art. 32 RODO - obowiązek wdrożenia środków technicznych i organizacyjnych odpowiednich do ryzyka, w tym szyfrowania i zdolności do przywrócenia dostępności danych.

Art. 44–49 RODO - jeżeli serwery znajdują się poza EOG, potrzebna jest odpowiednia podstawa transferu. Najprostszym rozwiązaniem jest wybór dostawcy przechowującego dane na terenie Unii Europejskiej.

Art. 9 i art. 35 RODO - biometria to szczególna kategoria danych. Systemy z czytnikami linii papilarnych czy rozpoznawaniem twarzy wymagają odrębnej podstawy prawnej i zwykle oceny skutków dla ochrony danych (DPIA). W relacji pracodawca–pracownik zgoda bywa uznawana za niewystarczającą ze względu na nierównowagę stron.

NIS2 i ustawa o KSC

Nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC), wdrażająca dyrektywę Parlamentu Europejskiego i Rady (UE) 2022/2555 (NIS2), weszła w życie 3 kwietnia 2026 roku. Uruchomiła harmonogram, który dla wielu podmiotów oznacza konkretne zadania w najbliższych miesiącach:

do 3 października 2026 r. - obowiązek samoidentyfikacji i złożenia wniosku o wpis do wykazu podmiotów kluczowych i ważnych,

do 3 kwietnia 2027 r. - wdrożenie pełnego systemu zarządzania bezpieczeństwem informacji, obejmującego zarządzanie ryzykiem, w tym ryzykiem łańcucha dostaw.

Dla kontroli dostępu istotne jest, że ustawa traktuje zabezpieczenie fizyczne jako element cyberbezpieczeństwa, a wśród wymaganych środków wskazuje uwierzytelnianie wieloskładnikowe i politykę minimalnych uprawnień. Szerzej opisaliśmy to w artykule o dyrektywie NIS2 a kontroli dostępu w obiektach infrastruktury krytycznej. Warto pamiętać, że wymogi dotyczące łańcucha dostaw obejmują również dostawców, jeżeli Twój klient jest podmiotem kluczowym, jego wymagania spłyną na Ciebie umownie.

Data Act - koniec opłat za zmianę dostawcy chmury

Rozporządzenie (UE) 2023/2854, stosowane od 12 września 2025 roku, adresuje dokładnie ten problem, który najbardziej niepokoi kupujących usługi SaaS: uzależnienie od jednego dostawcy. Przepisy wprowadzają minimalne wymogi umowne dotyczące przenoszenia danych, standardów interoperacyjności oraz procedury zmiany dostawcy. Najważniejsza data z perspektywy negocjacji: od 12 stycznia 2027 roku dostawcy nie będą mogli nakładać opłat z tytułu zmiany dostawcy. W okresie przejściowym dopuszczalne są wyłącznie opłaty obniżone, nieprzekraczające rzeczywistych kosztów migracji.

Cyber Resilience Act (CRA) - cyberbezpieczeństwo jako warunek oznakowania CE

Rozporządzenie (UE) 2024/2847 obejmuje produkty z elementami cyfrowymi, a więc również czytniki, kontrolery i zamki elektroniczne z firmware'em. Obowiązki wchodzą etapami: raportowanie aktywnie wykorzystywanych podatności i poważnych incydentów obowiązuje od 11 września 2026 roku, a pełne stosowanie rozporządzenia od 11 grudnia 2027 roku. Po tej dacie brak zgodności oznacza zakaz udostępniania produktu na rynku UE. Dla inwestora praktyczny wniosek jest prosty: kupując dziś sprzęt, który ma pracować dekadę, warto zapytać producenta o plan zgodności z CRA i deklarowany okres wsparcia dla oprogramowania. Zasada nadrzędna, o której nie wolno zapominać: żadne rozwiązanie kontroli dostępu nie może ograniczać możliwości ewakuacji. Drzwi na drodze ewakuacyjnej muszą dać się otworzyć od wewnątrz bez klucza, kodu i karty, jednym ruchem, w kierunku wyjścia. Dobór osprzętu do takich przejść wymaga sprawdzenia klasyfikacji całego zestawu drzwiowego.

Dla kogo model SaaS będzie najlepszym wyborem?

Kontrola dostępu w modelu SaaS sprawdza się najlepiej w obiektach rozproszonych, z wysoką rotacją użytkowników i bez rozbudowanego działu IT. Systemy lokalne pozostają lepszym rozwiązaniem wszędzie tam, gdzie liczy się pełna kontrola nad danymi, praca w sieci odizolowanej albo nietypowa logika sterowania. Poniżej scenariusze z praktyki rynkowej.

Sieć placówek handlowych lub usługowych

To scenariusz modelowy. Kilkanaście lokalizacji, personel często rotujący, dostawy poza godzinami pracy, brak lokalnego zaplecza IT. Chmurowa kontrola dostępu pozwala centralnie zarządzać uprawnieniami i sprawdzić, kto otwierał zaplecze w niedzielę o szóstej rano.

Biurowiec i przestrzenie coworkingowe

Najemcy zmieniają się, goście przychodzą na spotkania, sale wymagają rezerwacji. Integracja systemu rezerwacji z kontrolą dostępu pozwala automatycznie wydawać uprawnienie na czas trwania spotkania. Klucz mobilny wysłany gościowi e-mailem eliminuje kolejkę w recepcji.

Magazyn i centrum logistyczne

Kierowcy, ekipy załadunkowe, agencje pracy tymczasowej. Uprawnienia czasowe wygasające automatycznie po zakończeniu zlecenia to funkcja, która realnie redukuje ryzyko. Warto tu jednak zadbać o czytniki posiadające odpowiednią klasę szczelności – na przykład w dokach i w środowiskach charakteryzujących się wysoką wilgotnością, najlepiej sprawdzają się urządzenia w klasie IP66.

Zakład produkcyjny

Jeśli sieć produkcyjna (OT) jest odizolowana od internetu, co jest dobrą praktyką bezpieczeństwa, pełny model chmurowy może być niemożliwy do zastosowania. Rozwiązaniem bywa architektura hybrydowa: sterowanie lokalne, chmura wyłącznie sprawdza się wówczas jako warstwa służąca do raportowania.

Budynki mieszkalne, PRS i obiekty noclegowe

Tutaj model usługowy ujawnia inną zaletę: brak konieczności utrzymywania jakiejkolwiek infrastruktury przez zarządcę. Zmiana najemcy oznacza przypisanie nowego poświadczenia zamiast wymiany wkładki. W mniejszych obiektach dobrze sprawdzają się rozwiązania oparte na aplikacjach mobilnych.

Infrastruktura krytyczna i obiekty podlegające ustawie o KSC

Model chmurowy nie jest wykluczony, ale wymaga starannej analizy: lokalizacja danych, klauzule audytowe, procedury reagowania na incydenty, wymogi łańcucha dostaw. W tej kategorii obiektów decyzja powinna zapadać po konsultacji z osobą odpowiedzialną za zgodność, a nie wyłącznie na podstawie porównania cen.

Checklista wyboru modelu

Jeżeli większość odpowiedzi wskazuje na jedną kolumnę, decyzja jest w zasadzie podjęta. Jeżeli układ jest mieszany, warto rozważyć wariant hybrydowy.

Jak wdrożyć kontrolę dostępu w modelu SaaS krok po kroku?

Wdrożenie zaczyna się od inwentaryzacji przejść i klasyfikacji stref, a nie od wyboru platformy. Kolejność ma znaczenie: dobór oprogramowania nie powinien mieć miejsca przed rozpoznaniem i ustaleniem, co faktycznie fizycznie da się zamontować w istniejących drzwiach.

Krok 1. Inwentaryzacja przejść. Dla każdych drzwi zanotuj: materiał i konstrukcję skrzydła, rodzaj i wymiary zamka, dostępność zasilania, kierunek otwierania, funkcję pożarową lub ewakuacyjną oraz warunki środowiskowe. To dokument, na podstawie którego powstaje wycena.

Krok 2. Klasyfikacja stref. Podziel obiekt na strefy według poziomu ryzyka: ogólnodostępne, pracownicze, ograniczone (serwerownia, kadry, magazyn). Do każdej strefy przypisz wymagany sposób uwierzytelnienia: od karty po dwa niezależne czynniki.

Krok 3. Wybór poświadczeń. Karta, telefon, kod PIN, biometria lub kombinacja kilku rodzajów poświadczeń. Decyzja rzutuje na dobór czytników, więc musi zapaść przed zakupem sprzętu. Należy uwzględnić przed jej podjęciem warunki pracy (np. noszenie rękawic przez pracowników) oraz regulamin w danym obiekcie (np. zakaz wnoszenia smartfonów na teren danego budynku).

Krok 4. Weryfikacja zgodności z ppoż. i ewakuacją. Ten etap wymaga uzgodnienia z rzeczoznawcą lub projektantem. Dobór osprzętu do drzwi przeciwpożarowych i ewakuacyjnych musi opierać się na klasyfikacji całego zestawu drzwiowego.

Krok 5. Pilotaż na wybranej grupie drzwi. Uruchom system na 5–10 przejściach reprezentujących różne rodzaje drzwi i przetestuj go przez pełny cykl operacyjny, łącznie z symulacją utraty łącza i zaniku zasilania. Pilotaż wykrywa problemy, których nie widać w prezentacji handlowej.

Krok 6. Umowy i dokumentacja. Umowa powierzenia przetwarzania danych, SLA z określonymi czasami reakcji, zapisy o eksporcie danych i procedurze zakończenia współpracy, warunki waloryzacji abonamentu.

Krok 7. Migracja i szkolenie. Import bazy użytkowników, wydanie nowych poświadczeń, wycofanie starych nośników. Przeszkol administratorów i przygotuj instrukcję postępowania na wypadek awarii, najlepiej w wersji papierowej, dostępnej także przy braku prądu.

Trzy błędy, które w praktyce kosztują najwięcej

Pominięcie inwentaryzacji przed wyceną. Skutkuje koniecznością tworzenia aneksów do umowy i opóźnieniami. Drzwi aluminiowe z wąskim profilem albo skrzydło szklane potrafią całkowicie zmienić dobór osprzętu. Zaniżenie klasy sprzętu przy przejściach zewnętrznych. Czytnik bez odpowiedniej klasy szczelności zamontowany przy bramie wjazdowej to gwarantowana awaria podczas pierwszych chłodniejszych dni. Brak procedury odbierania uprawnień. System nadaje uprawnienia sprawnie, ale jeśli nikt nie ma obowiązku ich odbierać, po dwóch latach w bazie znajdziesz dostępy osób, które dawno nie pracują w firmie. To słabość organizacyjna, nie techniczna i żadna platforma jej za Ciebie nie usunie.

Najczęściej zadawane pytania

Poniżej zamieszczamy listę najczęściej zadawanych pytań w kontekście wyboru systemu kontroli dostępu dostarczanego jako usługa w modelu SaaS.

Czym różni się kontrola dostępu w modelu SaaS od zwykłego systemu elektronicznego?

Różnica dotyczy wyłącznie warstwy oprogramowania. Sprzęt na drzwiach: czytniki, zamki, elektrozaczepy, jest w obu przypadkach podobny. W modelu SaaS oprogramowanie zarządzające działa w chmurze dostawcy i jest rozliczane abonamentowo, w modelu klasycznym pracuje na serwerze klienta i kupuje się je jednorazowo.

Co to jest ACaaS?

ACaaS (Access Control as a Service) to angielski termin oznaczający kontrolę dostępu jako usługę, czyli dokładnie ten sam model, który w polskiej terminologii opisujemy jako chmurową kontrolę dostępu lub kontrolę dostępu w modelu SaaS. Spotkasz go w materiałach producentów i w raportach rynkowych.

Czy w przypadku braku internetu drzwi przestaną się otwierać?

Nie, o ile system jest poprawnie zaprojektowany. Kontrolery na obiekcie przechowują lokalną kopię uprawnień i podejmują decyzje samodzielnie. Utrata łącza oznacza brak zdalnego zarządzania i podglądu na żywo, a nie zablokowanie przejść. Przed podpisaniem umowy zapytaj wprost, gdzie zapada decyzja o otwarciu drzwi.

Czy korzystanie z modelu SaaS jest opłacalne w przypadku małego obiektu?

Model abonamentowy powstał między innymi po to, żeby obniżyć próg wejścia. W przypadku pięciu lub dziesięciu drzwi, początkowy koszt jest zwykle wyraźnie niższy niż w systemie wymagającym serwera i licencji. Warto natomiast policzyć TCO na pięć lat, bo przy bardzo małych i stabilnych instalacjach, prosty system offline zarządzany z poziomu aplikacji może wypaść korzystniej.

Czy mogę zmigrować istniejący system do chmury bez wymiany całego sprzętu?

Czasem tak, ale zależy to od tego, czym dysponujesz. Elektrozaczepy, zwory i zasilanie zwykle można wykorzystać w nowym systemie. Czytniki i kontrolery już niestety rzadziej, szczególnie jeśli pracują w starym standardzie transmisji danych lub obsługują wyłącznie karty 125 kHz. Realną odpowiedź dostarcza dopiero audyt istniejącej instalacji.

Kto odpowiada za dane osobowe w rejestrze wejść?

Administratorem danych pozostaje Twoja firma. Dostawca chmury jest podmiotem przetwarzającym i działa na podstawie umowy powierzenia zgodnej z art. 28 RODO. To Ty ustalasz cel, zakres i okres przechowywania logów, a także odpowiadasz przed osobami, których dane dotyczą.

Czy kontrola dostępu w modelu SaaS spełnia wymagania NIS2?

Sam model ani nie zapewnia, ani nie wyklucza zgodności, gdyż decydują o tym konkretne funkcje i konfiguracja. Platformy chmurowe zwykle ułatwiają spełnienie wymagań dotyczących uwierzytelniania wieloskładnikowego, rozliczalności i raportowania, ale trzeba też zweryfikować dostawcę pod kątem wymogów łańcucha dostaw. Pamiętaj o terminie 3 kwietnia 2027 roku na wdrożenie pełnych obowiązków.

Co się stanie, jeśli dostawca zbankrutuje albo podniesie ceny?

To realne ryzyko, które warto zaadresować w umowie: zapisz format i częstotliwość eksportu danych, okres wypowiedzenia, zasady waloryzacji i warunki zakończenia współpracy. Wsparciem jest tu Data Act zgodnie z którym od 12 stycznia 2027 roku dostawcy nie mogą pobierać opłat za zmianę dostawcy usług przetwarzania danych. Dodatkowe zabezpieczenie zapewnia wybór sprzętu opartego na otwartych standardach.

Czy można używać jednocześnie kart i telefonów jako poświadczeń?

Tak i w większości obiektów jest to rozwiązanie optymalne. Czytniki obsługujące jednocześnie karty zbliżeniowe RFID i komunikację Bluetooth pozwalają przypisać poświadczenie do roli: telefon dla pracowników biurowych, kartę dla produkcji, kod PIN jako rozwiązanie awaryjne. Takie urządzenia znajdziesz w kategorii czytniki uwierzytelniające.

Jak często trzeba wymieniać baterie w zamkach i urządzeniach bezprzewodowych?

Zależy to od urządzenia i intensywności użycia. Producenci podają zwykle wartości rzędu kilkudziesięciu tysięcy cykli lub kilkunastu–kilkudziesięciu miesięcy pracy. Kluczowe jest to, żeby system sygnalizował niski poziom baterii z wyprzedzeniem i żeby procedura wymiany była opisana w instrukcji utrzymania obiektu. Konkretne parametry sprawdzisz w dokumentacji technicznej danego modelu.

Chcesz wiedzieć więcej?

Masz pytanie odnośnie kontroli dostępu realizowanej w ramach modelu SaaS?

Zapraszamy do skorzystania z formularza kontaktowego aby dowiedzieć się więcej. 

Nasi specjaliści udzielą zwrotnej informacji na wskazany przez Państwa kontakt mailowy lub telefoniczny, najszybciej jak to możliwe.

Imię: *

Nazwisko: *

Nazwa firmy: *

Numer NIP: *

Adres email: *

Numer telefonu: *

Treść wiadomości: *

* Administratorem danych osobowych jest firma NOVET Spółka z ograniczoną odpowiedzialnością. Dane wprowadzone w formularzu będą przetwarzane zgodnie z zasadami określonymi w regulaminie. Zaznaczenie tej zgody oraz kliknięcie przycisku Wyślij jest równoznaczne z zapoznaniem się z polityką prywatności oraz akceptacją regulaminu.