NIS2 bez tajemnic

Czym jest NIS2?

NIS2 (skrót od „Network and Information Security 2”) to znowelizowana dyrektywa UE o cyberbezpieczeństwie. Zastępuje pierwotną dyrektywę NIS z 2016 r. i znacznie poszerza krąg objętych nią firm. Celem jest jednolicie wysoki poziom cyberbezpieczeństwa w całej Unii Europejskiej.

Do polskiego porządku prawnego NIS2 wdraża ustawa o KSC obowiązująca od 3 kwietnia 2026 r. Od tej daty środki cyberbezpieczeństwa nie są dla objętych nią podmiotów dobrowolną opcją, lecz obowiązkiem ustawowym. Inaczej niż rozporządzenie unijne dyrektywa nie obowiązuje wprost – wiążące dla polskich firm stają się dopiero przepisy ustawy krajowej.

Kogo dotyczy NIS2?

NIS2 rozróżnia podmioty kluczowe (np. energetyka, ochrona zdrowia, bankowość, transport, infrastruktura cyfrowa) oraz podmioty ważne (np. usługi pocztowe, gospodarka odpadami, chemia, żywność, przetwórstwo przemysłowe, dostawcy usług cyfrowych). W uproszczeniu obowiązki dotyczą firm o zatrudnieniu od 50 pracowników lub rocznym obrocie od 10 mln EUR działających w jednym z regulowanych sektorów – w części obszarów niezależnie od wielkości. Objęte podmioty muszą samodzielnie zgłosić się do wykazu podmiotów kluczowych i podmiotów ważnych, prowadzonego przez Ministerstwo Cyfryzacji – termin samoidentyfikacji upływa 3 października 2026 r. Zgłoszenia dokonuje się przez wykaz-ksc.gov.pl, a podmioty, które spełnią kryteria później, mają na to 6 miesięcy od chwili ich spełnienia.

Jakie obowiązki wprowadza NIS2?

• Zarządzanie ryzykiem: systematyczne identyfikowanie, ocena i postępowanie z ryzykami cyberbezpieczeństwa.
• Środki techniczne: m.in. uwierzytelnianie wieloskładnikowe, kopie zapasowe, szyfrowanie i kontrola dostępu.
• Zgłaszanie incydentów: wczesne ostrzeżenie do właściwego CSIRT (CSIRT NASK, CSIRT GOV lub CSIRT MON) w ciągu 24 godzin, zgłoszenie incydentu poważnego w ciągu 72 godzin oraz sprawozdanie końcowe w ciągu miesiąca.
• Nadzór kierownictwa: organ zarządzający zatwierdza środki zarządzania ryzykiem, nadzoruje ich wdrożenie i odbywa szkolenia z cyberbezpieczeństwa.
• Bezpieczeństwo łańcucha dostaw: uwzględnić trzeba także ryzyka związane z dostawcami i usługodawcami.

Dziesięć minimalnych środków z art. 21 dyrektywy NIS2

Artykuł 21 dyrektywy zawiera zamknięty katalog. Każdy objęty podmiot musi w sposób udokumentowany pokryć wszystkie dziesięć punktów – pominięcie któregokolwiek to nie niedopatrzenie, lecz naruszenie. Poniższa tabela wyjaśnia, co kryje się za tymi często nieprzystępnymi pojęciami.

Jakie kary grożą?

Podmiotom kluczowym za naruszenia grożą kary pieniężne do 10 mln EUR lub 2 % rocznego obrotu światowego – podmiotom ważnym do 7 mln EUR lub 1,4 %. Dyrektywa NIS2 wymaga ponadto, aby organ zarządzający zatwierdzał środki zarządzania ryzykiem i nadzorował ich wdrożenie.

Co konkretnie trzeba zrobić?

Sama teoria niewiele tu daje. Poniższe kroki to kolejność, w jakiej NIS2 wdraża się w praktyce – od pytania „czy to w ogóle mnie dotyczy?” po moment, w którym przedstawiasz kontrolerowi swoje działania czarno na białym:

• Ustal, czy obowiązki Cię dotyczą. Sprawdź na podstawie sektora, liczby pracowników i obrotu, czy jesteś podmiotem kluczowym, czy podmiotem ważnym.
• Zgłoś się do wykazu KSC. Samoidentyfikacja przez wykaz-ksc.gov.pl jest obowiązkowa – termin upływa 3 października 2026 r.
• Zinwentaryzuj zasoby i ryzyka. Spisz swoje systemy IT i oceń ryzyka, które ich dotyczą.
• Wdróż katalog z art. 21. Zamknij dziesięć minimalnych środków z tabeli powyżej – i udokumentuj każdy z nich.
• Ustaw ścieżkę zgłoszeń. Ustal już dziś, kto w razie incydentu wysyła wczesne ostrzeżenie do właściwego CSIRT w ciągu 24 godzin.

Jak zrobić to krok po kroku, pokazuje nasz szczegółowy Przewodnik NIS2 wraz z 30-dniowym planem startowym.

Przykład z praktyki: Średniej wielkości producent maszyn zatrudniający 120 osób jest podmiotem ważnym. Jeśli ransomware zaszyfruje sterowanie jego produkcją, zaczyna biec zegar: w ciągu 24 godzin do właściwego CSIRT musi trafić wczesne ostrzeżenie, po 72 godzinach – zgłoszenie incydentu poważnego z pierwszą oceną, a najpóźniej po miesiącu sprawozdanie końcowe. Zaniedbanie zarządzania ryzykiem lub zgłoszenia grozi dotkliwymi karami pieniężnymi, a za zatwierdzenie i nadzór nad środkami odpowiada kierownictwo. Przygotowanie jest tańsze niż gaszenie pożaru.

Źródło uzupełniające: Pełny tekst dyrektywy (UE) 2022/2555 (NIS2) na EUR-Lex