Od 3 kwietnia 2026 r. obowiązuje w Polsce znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252). Środki cyberbezpieczeństwa i obowiązek zgłaszania incydentów przestały być dla tysięcy firm opcją – stały się wymogiem ustawowym.
Nasze pytania i odpowiedzi to neutralna baza wiedzy, która ma ułatwić poruszanie się po wymaganiach regulacyjnych. Złożone przepisy dyrektywy przełożyliśmy na praktyczne odpowiedzi, abyś mógł skupić się na tym, co najważniejsze: odporności swojej organizacji.
NIS2 (dyrektywa (UE) 2022/2555) to znowelizowane europejskie ramy cyberbezpieczeństwa w sektorach krytycznych. Zastępuje dyrektywę NIS z 2016 r. i znacznie poszerza zarówno krąg objętych podmiotów, jak i zakres wymagań. W Polsce wdraża ją ustawa o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252) am obowiązująca od 3 kwietnia 2026 r. – obowiązki objęły tysiące podmiotów w 18 sektorach.
Dyrektywa nakłada na objęte podmioty dwa bloki obowiązków: po pierwsze trzeba wdrożyć konkretne środki zarządzania ryzykiem z art. 21 (m.in. obsługa incydentów, bezpieczeństwo łańcucha dostaw, MFA i ciągłość działania), po drugie obowiązują stopniowane obowiązki zgłoszeniowe z art. 23 – wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie incydentu poważnego w ciągu 72 godzin, sprawozdanie końcowe po miesiącu.
Nowość względem NIS1: odpowiedzialność spoczywa wprost na kierownictwie – zgodnie z art. 20 dyrektywy organ zarządzający musi zatwierdzać środki zarządzania ryzykiem i nadzorować ich wdrożenie oraz odbywać szkolenia z cyberbezpieczeństwa. Kary dla podmiotów kluczowych sięgają 10 mln EUR lub 2 % rocznego obrotu światowego.
Obowiązki dotyczą zwykle średnich i dużych przedsiębiorstw działających w jednym z 18 sektorów NIS2. Za średnie przedsiębiorstwo uznaje się podmiot zatrudniający co najmniej 50 pracowników lub osiągający roczny obrót co najmniej 10 mln EUR. Za duże przedsiębiorstwo uznaje się podmiot zatrudniający co najmniej 250 pracowników albo osiągający obrót co najmniej 50 mln EUR przy sumie bilansowej powyżej 43 mln EUR.
Poza tym istnieją podmioty objęte NIS2 niezależnie od wielkości – m.in. kwalifikowani dostawcy usług zaufania, rejestry nazw domen TLD, dostawcy usług DNS oraz publiczne sieci łączności elektronicznej.
W grupach kapitałowych spółki zależne ocenia się co do zasady samodzielnie. Rzetelna kwalifikacja wymaga: (1) porównania z sektorami NIS2, (2) ustalenia wielkości i powiązań kapitałowych, (3) sprawdzenia przepisów krajowych. Zgłoszenia dokonuje się przez wykaz KSC prowadzony pod adresem wykaz-ksc.gov.pl; termin samoidentyfikacji upływa 3 października 2026 r.
NIS2 obejmuje łącznie 18 sektorów w dwóch załącznikach o różnych reżimach nadzoru.
Załącznik I (11 sektorów o wysokiej krytyczności): energetyka (energia elektryczna, ciepło i chłód sieciowy, ropa naftowa, gaz, wodór), transport (lotniczy, kolejowy, wodny, drogowy), bankowość, infrastruktura rynków finansowych, ochrona zdrowia, woda pitna, ścieki, infrastruktura cyfrowa (m.in. IXP, DNS, TLD, chmura, centra danych, CDN, usługi zaufania, telekomunikacja), zarządzanie usługami ICT B2B (w szczególności MSP i MSSP), administracja publiczna oraz przestrzeń kosmiczna.
Załącznik II (7 sektorów, pozostałe sektory krytyczne): usługi pocztowe i kurierskie, gospodarowanie odpadami, chemikalia, żywność, produkcja (m.in. wyroby medyczne, komputery i elektronika, maszyny, pojazdy samochodowe), dostawcy usług cyfrowych (internetowe platformy handlowe, wyszukiwarki, serwisy społecznościowe) oraz jednostki naukowe.
Podmioty z załącznika I podlegają surowszemu nadzorowi i wyższym karom. Wobec części dostawców infrastruktury cyfrowej NIS2 stosuje się niezależnie od wielkości przedsiębiorstwa. Sama przynależność sektorowa nie wystarczy – progi wielkości i przepisy szczególne trzeba zawsze sprawdzić odrębnie.
NIS2 dzieli objęte podmioty na dwie kategorie, które różnią się wysokością kar i intensywnością nadzoru.
Podmioty kluczowe to co do zasady duże przedsiębiorstwa zatrudniające od 250 pracowników (albo o obrocie od 50 mln EUR i sumie bilansowej powyżej 43 mln EUR) w sektorach z załącznika I, a także niektóre podmioty niezależnie od wielkości – m.in. kwalifikowani dostawcy usług zaufania, rejestry nazw domen TLD i dostawcy usług DNS. Obowiązuje wobec nich nadzór uprzedni: organ nadzoru może w każdej chwili zarządzić kontrolę i zażądać dowodów zgodności.
Podmioty ważne to zwykle średnie przedsiębiorstwa (50–249 pracowników lub 10–50 mln EUR obrotu) w sektorach z załącznika I oraz duże przedsiębiorstwa w sektorach z załącznika II. Obowiązuje wobec nich nadzór następczy – organ nadzoru działa co do zasady dopiero przy konkretnych sygnałach o naruszeniu.
Kary: podmioty kluczowe do 10 mln EUR lub 2 % rocznego obrotu światowego; podmioty ważne do 7 mln EUR lub 1,4 %. Każdorazowo stosuje się kwotę wyższą.
Dla firm zatrudniających ok. 50–500 osób najważniejsze pierwsze pytanie brzmi: czy ze względu na działalność i branżę mieścimy się w jednym z sektorów NIS2 i czy spełniamy progi wielkości? Oto progi krytyczne: średnie przedsiębiorstwa od 50 pracowników lub od 10 mln EUR obrotu; duże przedsiębiorstwa od 250 pracowników lub od 50 mln EUR obrotu.
Praktyczny tok postępowania: (1) porównać działalność i świadczone usługi z sektorami NIS2, (2) sprawdzić wielkość przedsiębiorstwa oraz ewentualne powiązania kapitałowe – spółki zależne ocenia się co do zasady samodzielnie, (3) ustalić, czy firma może być objęta jako krytyczna usługa cyfrowa lub dostawca ICT albo jako ogniwo krytycznego łańcucha wartości, (4) udokumentować wynik wewnętrznie (data, założenia, źródła).
Samoidentyfikacji dokonuje się przez wykaz KSC prowadzony pod adresem wykaz-ksc.gov.pl. Wpis jest deklaracją podmiotu i nie zastępuje prawnie wiążącej oceny własnego statusu. Zalecenie: wynik analizy utrwalić na piśmie i raz w roku sprawdzać jego aktualność. Termin samoidentyfikacji upływa 3 października 2026 r.
Rdzeń tworzą trzy nierozłączne obszary:
Bez ładu korporacyjnego nie ma priorytetów, bez środków nie ma odporności, bez raportowania nie ma terminowej reakcji na incydenty.
Art. 21 dyrektywy NIS2 wymienia dziesięć minimalnych obszarów środków zarządzania ryzykiem, wdrażanych proporcjonalnie do ryzyka i wielkości podmiotu:
Kluczowe pojęcie to proporcjonalność: wymagana głębokość wdrożenia zależy od ryzyka, wielkości podmiotu i możliwych skutków przerwy w świadczeniu usług. Punktem wyjścia zawsze jest udokumentowana analiza ryzyka – to ona wskazuje, które obszary trzeba zamknąć natychmiast, a gdzie dopuszczalne jest budowanie etapami. Firmy zaczynają zwykle od trzech priorytetów: udokumentowanej analizy ryzyka, przetestowanego procesu obsługi incydentów i działającego odtwarzania z kopii zapasowych. Te obszary tworzą podstawę i najczęściej decydują o przebiegu rzeczywistych incydentów.
NIS2 nie wymaga certyfikacji ISO 27001 jako obowiązku, lecz odpowiednich i proporcjonalnych środków bezpieczeństwa. Podmioty mogą opierać się na uznanych standardach, takich jak ISO 27001, ISO 27002, SOC 2 czy NIST CSF – obowiązku certyfikacji nie ma.
W praktyce certyfikat ISO 27001 bywa jednak przydatny: porządkuje proces wdrożenia, daje dowód gotowy do audytu i ułatwia komunikację z klientami, dostawcami oraz organami.
Decydujące znaczenie ma rzeczywista skuteczność środków i działający nadzór kierownictwa – nie sam certyfikat. Podmioty już certyfikowane mają dobrą bazę wyjściową, ale muszą sprawdzić, czy wymagania specyficzne dla NIS2 – zwłaszcza terminy zgłoszeń i bezpieczeństwo łańcucha dostaw – są w pełni pokryte. Kto nie ma jeszcze certyfikatu, powinien zacząć pragmatycznie i zaplanować certyfikację jako cel średnioterminowy. Udokumentowane uzasadnienie wyboru standardu istotnie podnosi gotowość audytową.
NIS2 wymaga środków odpowiednich i proporcjonalnych. Oznacza to, że ryzyko, wielkość podmiotu, prawdopodobieństwo wystąpienia zagrożenia i potencjalna szkoda wpływają na to, jak głęboko i szeroko wdraża się poszczególne środki.
W praktyce proporcjonalność to logika decyzyjna i dokumentacyjna: dlaczego priorytetem jest X, a nie Y, jakie ryzyka akceptujemy czasowo, a które trzeba ograniczyć natychmiast.
Przykład: firma zatrudniająca 60 osób o nieskomplikowanym środowisku IT nie musi wdrażać środków tak głęboko jak grupa kapitałowa zarządzająca infrastrukturą krytyczną – powinna jednak zaadresować co do zasady te same obszary. Istotne jest, aby każda priorytetyzacja opierała się na udokumentowanej ocenie ryzyka i była możliwa do uzasadnienia. W razie kontroli organ właściwy bada nie to, czy wdrożono każdy wyobrażalny środek, lecz czy podjęte decyzje są adekwatne do ryzyka, udokumentowane i skuteczne. Rzetelne uzasadnienie proporcjonalności samo w sobie jest zatem kluczowym dowodem gotowości audytowej.
Incydent jest w rozumieniu NIS2 poważny, jeżeli powoduje lub może spowodować dotkliwe zakłócenia działalności albo znaczne straty finansowe lub istotną szkodę dla innych osób i organizacji. Decyduje nie samo wycieknięcie danych, lecz wpływ na dostępność, integralność lub poufność świadczonej usługi.
Rozporządzenie wykonawcze (UE) 2024/2690 doprecyzowuje dla części sektorów dodatkowe kryteria – m.in. liczbę dotkniętych użytkowników, czas niedostępności i zasięg geograficzny incydentu.
W praktyce podmiot musi wypracować wewnętrzną logikę klasyfikacji incydentów: kto decyduje, czy incydent podlega zgłoszeniu? Na podstawie jakich kryteriów? Decyzje te muszą zapaść przed incydentem – termin 24 godzin biegnie bowiem od chwili powzięcia wiadomości o incydencie – a nie od zakończenia wewnętrznych ustaleń. Sprawdzonym narzędziem jest wcześniej przygotowana tabela progów ze scenariuszami przykładowymi i jasnymi ścieżkami decyzyjnymi. Tabelę należy weryfikować co najmniej raz w roku.
NIS2 przewiduje dla incydentów poważnych stopniowaną ścieżkę zgłoszeń do właściwego zespołu CSIRT – w Polsce są to CSIRT NASK, CSIRT GOV i CSIRT MON. Terminy biegną od chwili, w której podmiot powziął wiadomość o incydencie:
Warunkiem dotrzymania terminów jest przygotowanie: kto nie ustali z wyprzedzeniem ról, ścieżek eskalacji i minimalnych szablonów zgłoszeń, w realnej sytuacji terminów nie dotrzyma. W Polsce zgłoszenia składa się przez system S46; objęte podmioty powinny mieć dostępy i przebieg zgłoszenia skonfigurowane jeszcze w warunkach normalnej pracy.
Wczesne ostrzeżenie nie jest końcowym raportem szczegółowym. Ma wcześnie zasygnalizować właściwemu zespołowi CSIRT, że może wystąpić incydent poważny, wraz ze wskazaniem możliwych przyczyn i potencjalnego skutku transgranicznego.
W praktyce pomaga przygotowany wcześniej minimalny szablon: czas i sposób wykrycia, dotknięte usługi, pierwsze skutki, pierwsza hipoteza, osoba kontaktowa, termin kolejnej aktualizacji.
Sprawozdanie końcowe (najpóźniej po miesiącu) obejmuje:
Wymaga to, aby w trakcie incydentu prowadzony był „dziennik zdarzeń”, bez którego późniejsze odtworzenie przebiegu jest bardzo trudne.
NIS2 i RODO to dwa odrębne reżimy prawne o różnych celach ochronnych, które przy incydencie bezpieczeństwa mogą zadziałać jednocześnie. RODO chroni dane osobowe i wymaga zgłoszenia naruszenia organowi nadzorczemu w ciągu 72 godzin. NIS2 koncentruje się na dostępności i integralności systemów i wymaga wczesnego ostrzeżenia już w ciągu 24 godzin.
Przy ataku ransomware, który unieruchamia systemy i powoduje wyciek danych, oba obowiązki biegną równolegle – z różnymi terminami i do różnych organów. NIS2 przewiduje współpracę organów właściwych z organami ochrony danych osobowych, gdy incydent dotyka obu obszarów.
W praktyce: proces reagowania na incydenty musi od początku sprawdzać, czy równolegle powstają obowiązki zgłoszeniowe z RODO, tak aby obie ścieżki i terminy przebiegały w sposób skoordynowany. Zalecenie: w dzienniku incydentu odnotować, które obowiązki zgłoszeniowe zbadano oraz jakie decyzje i z jakim uzasadnieniem podjęto. Dzięki temu można w pełni wykazać dotrzymanie wszystkich terminów.
Bezpieczeństwo łańcucha dostaw według NIS2 (art. 21 ust. 2 lit. d) oznacza, że objęte podmioty muszą ryzyka cyberbezpieczeństwa swoich bezpośrednich dostawców i usługodawców systematycznie oceniać i nimi zarządzać – nie jednorazowo, lecz w ramach powtarzalnego procesu. Obejmuje to co najmniej:
Szczególnie istotne: jeżeli krytyczny dostawca sam padnie ofiarą ataku, podmiot musi umieć ocenić, czy powstaje po jego stronie własny obowiązek zgłoszenia wobec właściwego CSIRT. W praktyce większość firm zaczyna od listy krytyczności dziesięciu najważniejszych dostawców. Wobec dostawców o najwyższej krytyczności warto dodatkowo przeprowadzić audyt na miejscu lub rozszerzony kwestionariusz.
NIS2 wymienia bezpieczne nabywanie, rozwój i utrzymanie systemów wraz z postępowaniem z podatnościami oraz ich obsługą i ujawnianiem. W praktyce obejmuje to:
Bez tej struktury powstają zaległości, które zwiększają ryzyko audytowe i incydentowe.
NIS2 umieszcza cyberbezpieczeństwo wprost na poziomie ładu korporacyjnego: zgodnie z art. 20 dyrektywy NIS2 organ zarządzający – zarząd, rada dyrektorów lub organ równoważny – musi zatwierdzać środki zarządzania ryzykiem i nadzorować ich wdrożenie. To zasadnicza nowość względem NIS1.
Konkretnie oznacza to trzy obowiązki kierownictwa:
Dla MŚP oznacza to: zarząd musi włączyć NIS2 do bieżącego zarządzania firmą. Samo przekazanie tematu działowi IT, bez udziału kierownictwa, nie zwalnia z obowiązku zatwierdzania i nadzoru. Zalecenie: wprowadzić coroczny przegląd zarządczy dokumentujący, że środki zostały zatwierdzone, wdrożone i zweryfikowane. Taki protokół stanowi w razie kontroli dowód wykonania obowiązku nadzorczego.
Za naruszenie obowiązków NIS2 dyrektywa przewiduje wiążące minimalne górne granice kar, których państwa członkowskie nie mogą obniżyć. W Polsce wdraża je ustawa o krajowym systemie cyberbezpieczeństwa. Dyrektywa wskazuje jako minimum:
Każdorazowo stosuje się kwotę wyższą. Kary pieniężne nie są jednak jedynym instrumentem: wobec podmiotów kluczowych dyrektywa NIS2 przewiduje przy poważnych naruszeniach także czasowy zakaz pełnienia funkcji kierowniczych.
Do tego dochodzą obowiązki organu zarządzającego z art. 20 dyrektywy NIS2: zatwierdzanie środków zarządzania ryzykiem, nadzór nad ich wdrożeniem oraz udział w szkoleniach z cyberbezpieczeństwa. Rzeczywista wysokość sankcji zależy od wagi naruszenia, czasu jego trwania i gotowości podmiotu do współpracy. Organy mogą ponadto nakazać poinformowanie opinii publicznej o naruszeniu, jeżeli przemawia za tym interes publiczny.
NIS2 to nie tylko „zadanie działu IT” – wymaga jasnego podziału odpowiedzialności. W MŚP sprawdza się minimalny model ról:
Zakresy odpowiedzialności utrwalić na piśmie, ustalić ścieżkę eskalacji – i dopiero potem wdrażać zabezpieczenia.
NIS2 jest doprecyzowywana przez wytyczne, wykładnię krajową i propozycje zmian. Dobra praktyka to zatem:
Data ostatniej aktualizacji i krótkie noty o zmianach zwiększają przejrzystość wobec organów i audytorów.
Na początku Excel może w MŚP pomóc (inwentarz, lista środków, zakresy odpowiedzialności) – ale NIS2 wymaga więcej niż „jednej listy”: powtarzalnych procesów, zgłoszeń w terminie, kontroli łańcucha dostaw i dowodów skuteczności.
Najpóźniej przy kilku lokalizacjach, wielu systemach lub częstych zmianach Excel staje się problemem: chaos wersji, brak ścieżki audytu, niejasna odpowiedzialność, ręczne przypomnienia, kruche dowody.
Zalecenie: zacznij pragmatycznie, ale wcześnie zdefiniuj obraz docelowy, żeby nie utknąć w rozwiązaniach wyspowych.
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252), która wdraża dyrektywę NIS2 do prawa polskiego, weszła w życie 3 kwietnia 2026 roku. Od tej daty obowiązują wiążące wymagania, m.in. w zakresie bezpieczeństwa i zgłaszania incydentów.
Na samoidentyfikację i wpis do Wykazu podmiotów kluczowych i podmiotów ważnych ustawa daje czas do 3 października 2026 roku. Termin ten wciąż biegnie.
Ważne: obowiązki wynikające z NIS2 obowiązują niezależnie od terminu samoidentyfikacji. Podmioty, które nie zgłosiły się jeszcze przez wykaz KSC prowadzony pod adresem wykaz-ksc.gov.pl, powinny zrobić to bez zwłoki – termin upływa 3 października 2026 r. Brak wpisu nie zwalnia ani z obowiązku zgłaszania incydentów poważnych, ani z obowiązków organu zarządzającego. Pełny zakres obowiązków stosuje się od 3 kwietnia 2027 r.; nadzór nad krajowym systemem cyberbezpieczeństwa koordynuje Ministerstwo Cyfryzacji – dlatego szybki wpis do wykazu i budowa środków minimalnych są zdecydowanie wskazane.
Najpierw: potwierdzić status. Czy firma ze względu na sektor i wielkość podlega NIS2? Ocenę tę podmiot przeprowadza samodzielnie, a jej wynik zgłasza do wykazu KSC pod adresem wykaz-ksc.gov.pl. Po potwierdzeniu statusu warto działać według pragmatycznego planu pięciu kroków:
Te pięć kroków tworzy bazę do działania, zanim ruszy pełna budowa środków z art. 21. Harmonogram: ocena statusu i wpis do wykazu w pierwszych czterech tygodniach; kroki 4 i 5 mogą biec równolegle w tygodniach 2–8. Równolegle powstaje pierwsza analiza ryzyka – to ona jest podstawą wszystkich dalszych środków z art. 21.
Wpis do wykazu opiera się na samoidentyfikacji: to podmiot sam ocenia swój status i zgłasza się przez wykaz-ksc.gov.pl – serwis, w którym prowadzony jest Wykaz podmiotów kluczowych i podmiotów ważnych.
Zaplanuj czas na przygotowanie: potrzebne będą przede wszystkim aktualne dane rejestrowe podmiotu oraz opis usług objętych ustawą o KSC – ich zebranie wymaga czasu.
W wykazie podaje się dane podstawowe, kwalifikację podmiotu oraz dane kontaktowe. Ustal wewnętrznie, kto administruje wpisem i kto pełni funkcję punktu kontaktowego.
Zgłoszenia dokonuje się przez wykaz-ksc.gov.pl – termin upływa 3 października 2026 r.
Samoidentyfikacja: ustawa o KSC weszła w życie 3 kwietnia 2026 r., a termin wpisu do wykazu upływa 3 października 2026 roku – termin ten wciąż biegnie. Zgłoszenia dokonuje się przez wykaz KSC pod adresem wykaz-ksc.gov.pl; podmioty, które spełnią kryteria później, mają na to 6 miesięcy.
Zgłoszenia incydentów (stopniowane):
Terminy są realne tylko wtedy, gdy role, ścieżki komunikacji i minimalne szablony zostaną ustalone z wyprzedzeniem.
Organy nie podają zryczałtowanych kosztów, ponieważ NIS2 wdraża się w sposób oparty na ryzyku i proporcjonalny. Typowe czynniki kosztowe w MŚP:
Ważne: zakres i głębokość środków wyznacza ryzyko, dlatego jednego uniwersalnego budżetu nie da się wskazać. Nakłady warto planować falami: najpierw zdolności minimalne, potem stopniowe podnoszenie dojrzałości.
Trzy szczególnie przydatne oficjalne ścieżki:
Wskazówka: prowadź wewnętrzną listę źródeł NIS2 (ustawa o KSC, komunikaty Ministerstwa Cyfryzacji, materiały właściwego CSIRT) i sprawdzaj ją co kwartał.
Od pierwszej inwentaryzacji po zabezpieczenie łańcucha dostaw – w sposób uporządkowany i realistyczny.
Ponad 59 pojęć z zakresu NIS2, RODO i cyberbezpieczeństwa – wyjaśnionych przystępnie i zebranych w jednym miejscu.
Compliance Compass automatyzuje wszystkie wymagania NIS2 – od analizy ryzyka po zgłaszanie incydentów. Zgodność w 4–8 tygodni.