NIS2 w Polsce – co w praktyce oznacza dla firm

Wdrożenie dyrektywy NIS2 do polskiego porządku prawnego przez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa (ustawa o KSC) to jedna z największych zmian regulacyjnych w obszarze IT ostatnich lat.

Nie jest to jednak kolejna „compliance’owa formalność”. To zmiana, która realnie wpływa na sposób zarządzania IT, bezpieczeństwem i ciągłością działania w firmach – a odpowiedzialność za nią spoczywa na zarządzie.

W tym artykule pokazujemy nie tylko, co mówi ustawa, ale przede wszystkim, co to oznacza w praktyce dla organizacji.

NIS2 - o co tak naprawdę chodzi?

Dyrektywa NIS2 ma jeden główny cel: zwiększenie odporności organizacji i państwa na cyberzagrożenia oraz zapewnienie ciągłości działania usług kluczowych dla gospodarki i społeczeństwa.

W praktyce oznacza to trzy rzeczy:

• Cyberbezpieczeństwo przestaje być wyłącznie domeną działu IT,
• Odpowiedzialność przenoszona jest na poziom kierownictwa (zarządu),
• Bezpieczeństwo musi być zarządzane systemowo, a nie „projektowo”.

Polska implementacja opiera się na ustawie o KSC, która definiuje konkretne obowiązki, terminy i sankcje. Krajowy system cyberbezpieczeństwa obejmuje m.in. podmioty kluczowe i ważne, zespoły reagowania na incydenty (CSIRT NASK, CSIRT GOV, CSIRT MON oraz CSIRT sektorowe) i organy właściwe do spraw cyberbezpieczeństwa dla poszczególnych sektorów.

Kogo dotyczy NIS2 - więcej firm, niż się wydaje

Zakres regulacji jest bardzo szeroki, a pełną listę branż zawierają załączniki nr 1 i 2 do ustawy o KSC.

Sektory kluczowe (wysoka krytyczność)

• Energia (elektroenergetyka, gaz, paliwa i ropa, ciepło),
• Transport (lotniczy, kolejowy, wodny, drogowy),
• Bankowość i infrastruktura rynku finansowego,
• Ochrona zdrowia (w tym producenci kluczowych leków i wyrobów medycznych, laboratoria referencyjne UE),
• Woda pitna oraz ścieki,
• Infrastruktura cyfrowa (centra danych, chmura, sieci i usługi łączności elektronicznej),
• Zarządzanie usługami ICT,
• Przestrzeń kosmiczna,
• Wybrane podmioty publiczne.

Sektory ważne

To tutaj znajduje się największa grupa firm, które nie spodziewają się objęcia regulacją:

• Usługi pocztowe i kurierskie,
• Gospodarka odpadami,
• Produkcja, przetwarzanie i dystrybucja chemikaliów oraz żywności,
• Produkcja (m.in. wyrobów medycznych, elektroniki, maszyn, pojazdów, sprzętu transportowego),
• Dostawcy usług cyfrowych (platformy handlowe, wyszukiwarki, sieci społecznościowe),
• Badania naukowe,
• Inwestycje w energetykę jądrową,
• Wybrane regionalne podmioty publiczne.

NIS2 obejmuje więc znaczną część sektora MŚP – szczególnie firmy będące częścią większych łańcuchów dostaw.

Podmiot kluczowy a podmiot ważny - kluczowa różnica

O objęciu regulacją decyduje nie tylko branża, ale też wielkość firmy (progi z rozporządzenia UE 651/2014):

• Podmioty kluczowe – przede wszystkim duże firmy z sektorów kluczowych oraz wybrane podmioty objęte niezależnie od wielkości (m.in. dostawcy DNS, rejestry domen TLD, kwalifikowani dostawcy usług zaufania, operatorzy obiektów jądrowych, niektóre podmioty publiczne),
• Podmioty ważne – najczęściej średni przedsiębiorcy z sektorów kluczowych oraz średni i duzi z sektorów ważnych.

Najważniejsze: to firma sama musi się zaklasyfikować i zgłosić. Nikt nie przyśle zawiadomienia – błędna klasyfikacja albo jej brak to realne ryzyko sankcji.

Kiedy ustawa ma zastosowanie (warunki terytorialne)

Przepisy stosuje się m.in. do podmiotów działających w Polsce (siedziba, oddział lub działalność transgraniczna) oraz do firm spoza UE oferujących usługi w Polsce – te ostatnie muszą wyznaczyć przedstawiciela z jednostką organizacyjną w UE. Dostawcy usług cyfrowych podlegają przepisom według głównego miejsca prowadzenia działalności.

Terminy – kiedy trzeba działać

Ustawa o KSC obowiązuje od 3 kwietnia 2026 r., a wdrożenie obowiązków jest rozłożone w czasie. Liczy się to, kiedy firma spełniła kryteria uznania za podmiot kluczowy lub ważny.

W praktyce: większość firm powinna być już w trakcie wdrożenia, a nie dopiero analizy.

Rejestracja w wykazie podmiotów kluczowych i ważnych

Wykaz prowadzą organy właściwe w systemie teleinformatycznym S46. Wniosek o wpis składa elektronicznie kierownik podmiotu (lub osoba upoważniona) w ciągu 6 miesięcy od spełnienia kryteriów; zmiany danych zgłasza się w 14 dni. Wpis ma charakter deklaratoryjny – jeśli firma nie dopełni obowiązku, może zostać wpisana z urzędu. Dane z wykazu nie są informacją publiczną; publicznie dostępne są jedynie statystyki zbiorcze.

Najważniejsze obowiązki

1. Zarządzanie ryzykiem i środki bezpieczeństwa

Ustawa nie narzuca jednego zestawu narzędzi – środki mają być proporcjonalne do ryzyka i dostosowane do wielkości firmy. Minimalny zakres obejmuje jednak m.in.:

• Politykę analizy ryzyka i bezpieczeństwa systemów informacyjnych,
• Obsługę incydentów,
• Ciągłość działania i kopie zapasowe (backup, plany odtworzeniowe, zarządzanie kryzysowe),
• Bezpieczeństwo łańcucha dostaw,
• Bezpieczeństwo w nabywaniu, rozwoju i utrzymaniu systemów, w tym zarządzanie podatnościami,
• Ocenę skuteczności wdrożonych środków,
• Cyberhigienę i szkolenia personelu,
• Kryptografię i szyfrowanie,
• Bezpieczeństwo zasobów ludzkich, kontrolę dostępu i zarządzanie aktywami,
• Uwierzytelnianie wieloskładnikowe (MFA) i zabezpieczoną komunikację.

2. System zarządzania bezpieczeństwem informacji (SZBI)

Podmioty kluczowe i ważne muszą wdrożyć SZBI obejmujący cały cykl życia systemów IT używanych do świadczenia usług – polityki, role i odpowiedzialności, procedury operacyjne, monitoring i testowanie zabezpieczeń oraz systematyczną analizę ryzyka. Istniejący certyfikat ISO/IEC 27001 realnie skraca drogę do zgodności.

3. Zarządzanie incydentami – z konkretnymi terminami

To jedna z najbardziej praktycznych części NIS2. Poważny incydent zgłasza się do właściwego CSIRT etapami:

• 24 godziny – wczesne ostrzeżenie (czy incydent był celowy, czy ma wymiar transgraniczny),
• 72 godziny – właściwe zgłoszenie z oceną wpływu, przyczyn i podjętych działań,
• Na żądanie – sprawozdanie okresowe,
• 1 miesiąc – sprawozdanie końcowe (a gdy incydent trwa – w miesiąc od zakończenia jego obsługi).

W praktyce oznacza to, że firma musi mieć gotowy proces i osoby zdolne do zareagowania w ciągu jednej doby – tego nie da się „dorobić” w trakcie ataku. Uwaga: dostawcy usług zaufania zgłaszają incydent w 24 godziny.

4. Łańcuch dostaw

Firma odpowiada również za bezpieczeństwo swoich dostawców i partnerów ICT – musi oceniać ich ryzyko i ujmować wymagania bezpieczeństwa w relacjach biznesowych. W praktyce nawet MŚP spoza zakresu ustawy bywają zobowiązane do wdrożenia adekwatnych środków, bo wymagają tego ich więksi klienci.

5. Dokumentacja i audyty

Wymagana jest pełna ścieżka dowodowa: dokumentacja normatywna (polityki, procedury, plany) i operacyjna (zapisy realizacji, dzienniki systemów), chroniona, wersjonowana i przechowywana co najmniej 2 lata po zakończeniu korzystania z systemu. Podmioty kluczowe przeprowadzają audyt bezpieczeństwa co najmniej raz na 3 lata; organ może też nakazać audyt zewnętrzny.

Odpowiedzialność kierownictwa

Za realizację obowiązków odpowiada kierownik podmiotu (np. zarząd spółki) – również wtedy, gdy zadania powierzono komuś innemu. Kierownictwo w szczególności:

• Zatwierdza środki bezpieczeństwa i nadzoruje ich wdrożenie,
• Zapewnia zasoby organizacyjne i finansowe,
• Wyznacza co najmniej 2 osoby do kontaktu z KSC (1 osobę w mikro- i małych firmach),
• Ma obowiązek odbyć szkolenia z cyberbezpieczeństwa.

Ustawa przewiduje kary pieniężne nakładane bezpośrednio na osoby zarządzające oraz wymóg niekaralności dla osób realizujących zadania z zakresu cyberbezpieczeństwa.

Kary

Zanim organ nałoży karę, zwykle stosuje środki „miękkie” – zalecenia, nakaz wdrożenia konkretnych środków, kontrolę lub audyt, termin na usunięcie naruszeń. Brak reakcji oznacza jednak sankcje finansowe.

Maksymalna kara administracyjna w systemie krajowym może sięgać 100 mln zł. Organ może również wymusić wdrożenie środków, przeprowadzić audyt lub nałożyć ograniczenia operacyjne.

Dostawca wysokiego ryzyka - nowe ryzyko w łańcuchu dostaw

Minister właściwy do spraw informatyzacji może uznać dostawcę sprzętu lub oprogramowania za dostawcę wysokiego ryzyka, jeśli stanowi on zagrożenie dla bezpieczeństwa państwa. Decyzja (publikowana w Monitorze Polskim) oznacza dla firm korzystających z takich produktów m.in.:

• Zakaz wprowadzania do użytku objętych decyzją produktów, usług lub procesów ICT,
• Obowiązek wycofania już używanych rozwiązań – co do zasady w ciągu 7 lat (4 lata dla krytycznych funkcji telekomunikacyjnych).

To realny element planowania zakupów i architektury IT – warto już dziś mapować zależność od kluczowych dostawców.

Polecenia zabezpieczające przy incydentach krytycznych

Przy incydencie krytycznym minister właściwy do spraw informatyzacji może wydać natychmiast wykonalne polecenie zabezpieczające (np. nakaz instalacji poprawki, określonej konfiguracji, wstrzymania dystrybucji oprogramowania czy ograniczenia ruchu sieciowego), obowiązujące nawet do 2 lat. Firmy muszą być zdolne wdrożyć takie polecenie szybko.

Co NIS2 naprawdę zmienia w firmach

1. IT przestaje być „supportem”

Cyberbezpieczeństwo staje się elementem zarządzania firmą – nie tylko operacyjnym, ale strategicznym.

2. Zarząd odpowiada osobiście

Decyzje o tolerancji ryzyka, budżecie bezpieczeństwa i priorytetach inwestycyjnych przestają być delegowane wyłącznie do IT.

3. Compliance bez wdrożenia nie działa

Dokumenty bez realnych procesów nie przejdą audytu, nie ograniczą ryzyka i nie zabezpieczą przed karami.

Najczęstsze błędy, które obserwujemy

• „Jeszcze mamy czas” – wdrożenie zajmuje zwykle 6-12 miesięcy.
• „Zrobimy dokumentację” – NIS2 wymaga działania, nie papieru.
• „Nie jesteśmy sektorem krytycznym” – większość firm trafia do kategorii „ważnych”, część wchodzi przez łańcuch dostaw.

Jak podejść do NIS2

• Szybka diagnoza (2–4 tygodnie): czy firma podlega NIS2, jaka klasyfikacja, jaka luka względem wymagań.
• Plan wdrożenia: priorytety, roadmapa, budżet.
• Wdrożenie systemowe: SZBI, procesy, narzędzia, podłączenie do S46.
• Przygotowanie do audytu i bieżące raportowanie incydentów.

Podsumowanie

NIS2 to nie projekt IT ani jednorazowe wdrożenie – to zmiana modelu funkcjonowania organizacji w obszarze bezpieczeństwa. Firmy, które podejdą do tego strategicznie, zwiększą odporność operacyjną, uporządkują procesy IT i zyskają przewagę konkurencyjną. Pozostałe będą działać pod presją czasu i ryzyka sankcji.

Źródła:

• Dyrektywa NIS2 (UE) 2022/2555 oraz ustawa o krajowym systemie cyberbezpieczeństwa (załączniki nr 1 i 2).
• biznes.gov.pl
• cyber.gov.pl