NIS2

Niektóre mniejsze podmioty mogą zostać objęte regulacją niezależnie od wielkości, jeśli należą do kategorii wskazanych w ustawie lub zostaną uznane za szczególnie istotne dla funkcjonowania usług kluczowych. Dotyczy to m.in. określonych dostawców usług DNS, usług zaufania, usług chmurowych czy usług zarządzanych.

Dla zarządów oznacza to jedno: konieczność samodzielnej oceny czy organizacja podlega ustawie, a następnie systematycznego dostosowania procesów. Brak takiej oceny nie zwalnia z odpowiedzialności.

 

Co realnie zmienia się w firmie

NIS2 opiera się na podejściu opartym na ryzyku. Organizacja musi:

• wdrożyć system zarządzania ryzykiem cyberbezpieczeństwa,
• posiadać procedury pozwalające na wykrywanie, obsługę i terminowe raportowanie poważnych incydentów zgodnie z wymaganiami ustawy,
• zadbać o bezpieczeństwo łańcucha dostaw,
• zapewnić ciągłość działania i plany odtwarzania,
• regularnie szkolić pracowników i członków zarządu,
• prowadzić aktualną dokumentację i polityki bezpieczeństwa,
• w przypadku podmiotów kluczowych – przeprowadzać obowiązkowe audyty.

Najistotniejszą zmianą jest jednak odpowiedzialność kierownictwa. Zarząd musi aktywnie nadzorować cyberbezpieczeństwo, zatwierdzać działania, monitorować zgodność i sam przechodzić szkolenia. Polska ustawa przewiduje odpowiedzialność osobistą członków zarządu – to już nie jest tylko kwestia reputacji firmy, ale także osobistych konsekwencji.

• Plan naprawczy z jasnym harmonogramem, budżetem i odpowiedzialnościami.
• Wdrożenie procesów zarządzania ryzykiem, incydentami, ciągłością działania i bezpieczeństwem dostawców.
• Szkolenia – zarówno operacyjne, jak i dla zarządu.
• Rejestracja w oficjalnym wykazie w wymaganym terminie.
• Ciągłe doskonalenie oparte na uznanych standardach (ISO 27001, NIST CSF, ISO 22301).

ISO 27001 stanowi solidną podstawę, ale nie pokrywa automatycznie wszystkich wymogów NIS2 – szczególnie w zakresie raportowania, odpowiedzialności zarządu i bezpieczeństwa łańcucha dostaw.

 

NIS2 jako element przewagi, a nie tylko koszt

Firmy, które zaczęły przygotowania odpowiednio wcześnie, nie tylko unikają ryzyka sankcji. Budują:

• większą odporność na zakłócenia operacyjne,
• wyższe zaufanie klientów i partnerów biznesowych,
• lepszą pozycję w negocjacjach z kontrahentami i inwestorami,
• kulturę bezpieczeństwa, która realnie zmniejsza liczbę incydentów.

Cyberbezpieczeństwo w erze NIS2 to połączenie technologii, procesów i ludzi. Organizacje, które potrafią je skutecznie połączyć, zyskują nie tylko zgodność regulacyjną, ale trwałą przewagę w coraz bardziej wymagającym otoczeniu rynkowym.

Jeśli Państwa organizacja działa w sektorze objętym regulacją lub dostarcza usługi podmiotom z tych sektorów – czas na konkretne działania jest już teraz. Im wcześniej rozpocznie się systematyczne przygotowania, tym niższy będzie koszt dostosowania i tym większe korzyści biznesowe.

Chcesz wiedzieć, od czego dokładnie zacząć w Twojej firmie? Pierwszym krokiem jest zawsze rzetelna ocena, czy i w jakim zakresie podlegacie NIS2 oraz jaka jest skala luki do zamknięcia.

 

 

 

 

1. Czy moja firma na pewno podlega NIS2?

NIS2 nie podlegają wszystkie firmy. Podlegają podmioty, które:

• działają w jednym z sektorów wymienionych w załącznikach do ustawy o krajowym systemie cyberbezpieczeństwa;
• spełniają kryteria wielkości (średnie lub duże przedsiębiorstwo według unijnej definicji MŚP);
• należą do wyjątków niezależnych od wielkości (m.in. dostawcy DNS, kwalifikowani dostawcy usług zaufania, niektórzy dostawcy zarządzanych usług cyberbezpieczeństwa).

Najlepiej zacząć od samodzielnej oceny sektora i wielkości firmy.

 

2. Jakie są progi wielkości?

Zasadniczo stosuje się unijną definicję MŚP:

• średnie przedsiębiorstwo – poniżej 250 pracowników oraz roczny obrót ≤ 50 mln euro lub suma bilansowa ≤ 43 mln euro,
• duże przedsiębiorstwo – powyżej tych progów.

Uwaga: w grupach kapitałowych liczy się dane całej grupy (powiązane i partnerskie przedsiębiorstwa).

 

3. Jaka jest różnica między podmiotem kluczowym a ważnym?

	Podmiot kluczowy	Podmiot ważny
Nadzór	Restrykcyjny	Łagodniejszy
Kary maksymalne	10 mln euro lub 2% obrotu	7 mln euro lub 1,4% obrotu
Obowiązkowy audyt	Regularne obowiązkowe audyty	Audyty wynikające z działań nadzorczych lub szczególnych okoliczności
Priorytet nadzoru	Wysoki	Średni

 

4. Do kiedy muszę się zarejestrować?

Podmioty, które spełniały kryteria w dniu wejścia ustawy w życie (3 kwietnia 2026 r.), powinny złożyć wniosek o wpis do Wykazu podmiotów kluczowych i ważnych najpóźniej do 3 października 2026 r.

Podmioty, które spełnią kryteria później – w ciągu 6 miesięcy od momentu spełnienia warunków.

 

5. Do kiedy trzeba wdrożyć wszystkie obowiązki?

Pełne wdrożenie środków zarządzania ryzykiem i obsługi incydentów – do 3 kwietnia 2027 r. Pierwszy obowiązkowy audyt bezpieczeństwa dla podmiotów kluczowych – do 3 kwietnia 2028 r.

 

6. Jakie są kary za brak zgodności?

• Podmioty kluczowe: do 10 mln euro lub 2% globalnego rocznego obrotu (wyższa wartość).
• Podmioty ważne: do 7 mln euro lub 1,4% globalnego rocznego obrotu.

Dodatkowo możliwe są:

• kary dzienne,
• odpowiedzialność osobista członków zarządu (m.in. kara do 300% wynagrodzenia miesięcznego),
• w skrajnych przypadkach kara do 100 mln zł.

Większość kar administracyjnych ma okres przejściowy do kwietnia 2028 r., ale obowiązki materialne obowiązują wcześniej.

 

7. Czy zarząd naprawdę odpowiada osobiście?

Tak. NIS2 i polska ustawa nakładają na kierownictwo obowiązek aktywnego nadzoru nad cyberbezpieczeństwem. Zarząd musi m.in. zatwierdzać polityki, monitorować zgodność i przechodzić szkolenia. Przewidziana jest odpowiedzialność osobista.

 

8. Co z małymi firmami?

Małe i mikro firmy są co do zasady wyłączone, ale istnieją wyjątki. Nawet niewielki dostawca usług (np. chmura, zarządzane usługi IT, DNS, cyberbezpieczeństwo) może zostać objęty regulacją, jeśli świadczy usługi o istotnym znaczeniu dla sektorów krytycznych.

 

9. Czy muszę raportować każdy incydent?

Nie. Obowiązek dotyczy incydentów poważnych. Terminy:

• wczesne ostrzeżenie – 24 godziny od wykrycia,
• zgłoszenie – 72 godziny,
• raport końcowy – do 1 miesiąca.

 

10. Od czego zacząć przygotowania?

1. Sprawdź, czy Twoja firma podlega ustawie (sektor + wielkość).
2. Przeprowadź gap analysis (analizę luk).
3. Zarejestruj się w Wykazie (jeśli dotyczy).
4. Wdróż system zarządzania ryzykiem, procedury incydentów i ciągłości działania.
5. Przeszkol pracowników i zarząd.
6. Uporządkuj dokumentację i bezpieczeństwo łańcucha dostaw.

 

11. Czy ISO 27001 wystarczy do zgodności z NIS2?

ISO 27001 bardzo pomaga i pokrywa dużą część wymagań, ale nie jest automatycznie równoznaczne ze zgodnością. NIS2 ma własne, konkretne obowiązki (m.in. raportowanie, odpowiedzialność zarządu, bezpieczeństwo łańcucha dostaw), które trzeba dodatkowo spełnić.

 

12. Czy NIS2 dotyczy też firm z innych krajów UE działających w Polsce?

Tak. W zależności od rodzaju świadczonych usług zastosowanie mogą mieć zasady jurysdykcji określone w NIS2 oraz w krajowych przepisach wdrażających dyrektywę.

13. Gdzie znaleźć oficjalne informacje?

• Ustawa o krajowym systemie cyberbezpieczeństwa (tekst jednolity + nowelizacja z 2026 r.)
• Ministerstwo Cyfryzacji
• System S46 / Wykaz podmiotów kluczowych i ważnych
• CSIRT NASK, CSIRT GOV, CSIRT MON