NIS2 i krajowy system cyberbezpieczeństwa: czy dotyczy Twojej firmy

Czy NIS2 dotyczy Twojej firmy? Zarządy pytają o to coraz częściej, bo nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC), która przenosi dyrektywę NIS2 do polskiego prawa, weszła w życie 3 kwietnia 2026 r. Przepisy obejmują dużo szerszy krąg podmiotów niż wcześniej, a obowiązki spadają bezpośrednio na kierownictwo. Poniżej wyjaśniamy, jak to sprawdzić i co zrobić w zależności od odpowiedzi.

NIS2 w Polsce: stan na listopad 2026

Ustawę nowelizującą opublikowano w Dzienniku Ustaw 2 marca 2026 r. (Dz.U. 2026 poz. 252). Od 3 kwietnia 2026 r. obowiązuje nowy podział na podmioty kluczowe i podmioty ważne. Zastąpił on dawną kategorię operatorów usług kluczowych.

Terminy do wpisania w kalendarz:

• do 3 października 2026 r. podmioty, które nie zostały wpisane z urzędu, miały złożyć wniosek o wpis do wykazu podmiotów kluczowych i ważnych (przez system S46),
• do 3 kwietnia 2027 r. podmioty spełniające kryteria w dniu wejścia ustawy w życie mają wdrożyć system zarządzania bezpieczeństwem informacji (SZBI),
• pierwszy audyt podmiotu kluczowego ma się odbyć w ciągu 24 miesięcy od spełnienia przesłanek, a kolejne co najmniej co trzy lata.

Jeśli Twoja firma spełnia kryteria, a termin na wniosek o wpis minął, nie czekaj. Brak rejestracji to jedno z naruszeń, za które ustawa przewiduje kary. Aktualne komunikaty i odpowiedzi na pytania publikuje Ministerstwo Cyfryzacji na stronie gov.pl poświęconej nowelizacji KSC.

Jak sprawdzić, czy NIS2 dotyczy Twojej firmy

Ustawa opiera się na samoidentyfikacji. Nikt nie przyśle Ci pisma z informacją, że jesteś podmiotem ważnym, musisz to ocenić sam. Odpowiedz na trzy pytania.

1. Czy działasz w objętym sektorze? Sprawdź, czy Twoja działalność mieści się w sektorach z załączników do ustawy. Lista jest długa: energetyka, transport, zdrowie, woda i ścieki, gospodarka odpadami, usługi pocztowe i kurierskie, zarządzanie usługami ICT, a także produkcja, m.in. chemikaliów, żywności, maszyn i urządzeń, wyrobów medycznych czy pojazdów. Liczy się faktyczna działalność, a nie tylko kod PKD w rejestrze.
2. Jak duża jest firma? Co do zasady przepisy obejmują średnie i duże przedsiębiorstwa w tych sektorach. Mikro i małe firmy są zwykle poza bezpośrednim zakresem, ale są wyjątki. Niektórzy dostawcy usług cyfrowych i telekomunikacyjnych podlegają przepisom niezależnie od rozmiaru.
3. Do której kategorii trafisz? Od sektora i wielkości zależy, czy będziesz podmiotem kluczowym, czy ważnym. Różnica dotyczy głównie nadzoru. Podmioty kluczowe podlegają kontroli z wyprzedzeniem i obowiązkowym audytom, podmioty ważne przede wszystkim nadzorowi po fakcie, np. po incydencie.

Przy ocenie wielkości uwzględnij powiązania kapitałowe. Spółka zatrudniająca 40 osób, ale należąca do większej grupy, może zostać zakwalifikowana inaczej, niż wynikałoby z jej własnych danych.

Co musi zrobić podmiot kluczowy lub ważny

Obowiązki są podobne dla obu kategorii. Różni się sposób nadzoru i wysokość możliwych sankcji.

• System zarządzania bezpieczeństwem informacji obejmuje szacowanie ryzyka, polityki i procedury, kontrolę dostępu, kopie zapasowe, ciągłość działania oraz bezpieczeństwo łańcucha dostaw.
• Obsługa incydentów to ich wykrywanie, rejestrowanie i zgłaszanie poważnych incydentów do właściwego CSIRT w krótkich terminach. Dyrektywa NIS2 przewiduje wczesne ostrzeżenie w ciągu 24 godzin i zgłoszenie w ciągu 72 godzin.
• Kierownik podmiotu odpowiada za realizację zadań z cyberbezpieczeństwa i musi przejść szkolenie w tym zakresie. Kary mogą zostać nałożone także na niego osobiście.
• Audyty są obowiązkowe dla podmiotów kluczowych i przeprowadzają je uprawnieni audytorzy.

Kary finansowe dla firm są w dyrektywie powiązane z obrotem i liczone w milionach euro. Tego obszaru nie da się odłożyć „na później”.

Twoja firma nie podlega NIS2? Nadal możesz odczuć skutki

Ten wątek pomija się najczęściej. Podmioty kluczowe i ważne muszą zarządzać ryzykiem w łańcuchu dostaw, więc zaczną wymagać od swoich dostawców konkretnych zabezpieczeń.

Weźmy małą firmę produkującą komponenty dla dużego zakładu spożywczego. Dostaje ankietę bezpieczeństwa z pytaniami o MFA, kopie zapasowe, aktualizacje systemów, sposób przechowywania haseł i procedurę zgłaszania incydentów. Brak sensownych odpowiedzi nie oznacza kary od państwa, ale może oznaczać utratę kontraktu.

Nawet przy negatywnym wyniku samoidentyfikacji uporządkuj więc podstawy. Większość wymagań z ankiet dostawców pokrywa się z dobrą praktyką: uwierzytelnianie wieloskładnikowe, przemyślane kopie zapasowe i spisane zasady bezpieczeństwa.

Sześć kroków do kwietnia 2027

1. Udokumentuj samoidentyfikację. Nawet przy wyniku negatywnym zapisz, na jakiej podstawie doszedłeś do tego wniosku. Przyda się przy pytaniach klientów lub organów.
2. Jeśli podlegasz przepisom, sprawdź wpis do wykazu. Upewnij się, że wniosek został złożony, a dane kontaktowe są aktualne.
3. Wyznacz osobę odpowiedzialną. Może to być pracownik lub zewnętrzny partner IT, ale odpowiedzialność kierownictwa pozostaje.
4. Zrób analizę luk. Porównaj stan obecny z wymaganiami: inwentaryzacja zasobów, kontrola dostępu, kopie, monitoring, procedury incydentowe. Dobrym punktem startu jest audyt IT w firmie.
5. Ustal harmonogram do 3 kwietnia 2027 r. Podziel wdrożenie SZBI na etapy: najpierw działania o największym wpływie na ryzyko, potem dokumentacja i szkolenia.
6. Przeszkol zarząd. Szkolenie kierownictwa jest obowiązkiem, a przy okazji ułatwia świadome decyzje budżetowe.

Trzy błędy przy dostosowaniu do NIS2

Pierwszy błąd to traktowanie NIS2 jak projektu wyłącznie dla działu IT. Ustawa wprost obciąża kierownictwo, a wiele wymagań dotyczy procesów, umów z dostawcami i ciągłości działania, czyli obszarów poza samą techniką.

Drugi to kupowanie gotowego pakietu dokumentów bez zmiany praktyki. Polityka, której nikt nie stosuje, nie obroni się w audycie ani przy incydencie. Trzeci to pominięcie łańcucha dostaw: zarówno Twoich dostawców, jak i Twojej roli jako dostawcy dla innych.

Pytania o rejestrację, kary i outsourcing

Czy mała firma musi rejestrować się w wykazie podmiotów kluczowych i ważnych?

Co do zasady nie, jeśli nie jest średnim lub dużym przedsiębiorstwem w sektorze objętym ustawą. Wyjątki dotyczą m.in. części dostawców usług cyfrowych i telekomunikacyjnych. Samoidentyfikację przeprowadź i udokumentuj niezależnie od wielkości firmy.

Co grozi za brak wpisu do wykazu?

Nowelizacja przewiduje kary m.in. za brak rejestracji w wykazie i brak wdrożenia SZBI. Odpowiedzialność może ponieść również kierownik podmiotu, dlatego zaległości trzeba nadrobić jak najszybciej.

Czy obsługę cyberbezpieczeństwa można zlecić firmie zewnętrznej?

Tak, ustawa dopuszcza powierzenie zadań podmiotom zewnętrznym. Odpowiedzialność jednak się nie przenosi: kierownictwo nadal odpowiada za to, czy obowiązki są realizowane.

Ile czasu jest na wdrożenie wymagań?

Podmioty spełniające kryteria w dniu wejścia ustawy w życie mają czas do 3 kwietnia 2027 r. na wdrożenie systemu zarządzania bezpieczeństwem informacji. Firmy, które zaczną spełniać kryteria później, mają 12 miesięcy od tego momentu.

Pomożemy ocenić, czy Twoja firma podlega przepisom, i przygotować wykonalny plan dostosowania infrastruktury. Napisz do nas w sprawie obsługi IT Twojej firmy.