NIS2 w Polsce – co w praktyce oznacza dla firm

Wdrożenie dyrektywy NIS2 do polskiego porządku prawnego przez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa (ustawa o KSC) to jedna z największych zmian regulacyjnych w obszarze IT ostatnich lat.

Nie jest to jednak kolejna „compliance’owa formalność”. To zmiana, która realnie wpływa na sposób zarządzania IT, bezpieczeństwem i ciągłością działania w firmach – a odpowiedzialność za nią spoczywa na zarządzie.

W tym artykule pokazujemy nie tylko, co mówi ustawa, ale przede wszystkim, co to oznacza w praktyce dla organizacji.

Podstawa prawna informacji zawartych w tym wpisie: ustawa z 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 20 – tekst jednolity), w brzmieniu nadanym ustawą z 23 stycznia 2026 r. (Dz.U. 2026 poz. 252, obowiązującą od 3 kwietnia 2026 r.) oraz zmianami z Dz.U. 2026 poz. 815 i 1003, wdrażająca dyrektywę (UE) 2022/2555. Terminy rejestracji: Komunikat Ministra Cyfryzacji z 8 kwietnia 2026 r. (Dz. Urz. MC 2026 poz. 7).

NIS2 - o co tak naprawdę chodzi?

Dyrektywa NIS2 ma jeden główny cel: zwiększenie odporności organizacji i państwa na cyberzagrożenia oraz zapewnienie ciągłości działania usług kluczowych dla gospodarki i społeczeństwa.

W praktyce oznacza to trzy rzeczy:

• Cyberbezpieczeństwo przestaje być wyłącznie domeną działu IT,
• Odpowiedzialność przenoszona jest na poziom kierownictwa (zarządu),
• Bezpieczeństwo musi być zarządzane systemowo, a nie „projektowo”.

Polska implementacja opiera się na ustawie o KSC, która definiuje konkretne obowiązki, terminy i sankcje. Krajowy system cyberbezpieczeństwa obejmuje m.in. podmioty kluczowe i ważne, zespoły reagowania na incydenty (CSIRT NASK, CSIRT GOV, CSIRT MON oraz CSIRT sektorowe) i organy właściwe do spraw cyberbezpieczeństwa dla poszczególnych sektorów.

Kogo dotyczy NIS2 - więcej firm, niż się wydaje

Zakres regulacji jest bardzo szeroki, a pełną listę branż zawierają załączniki nr 1 i 2 do ustawy o KSC.

Sektory kluczowe (wysoka krytyczność)

• Energia (elektroenergetyka, gaz, paliwa i ropa, ciepło),
• Transport (lotniczy, kolejowy, wodny, drogowy),
• finanse: bankowość i infrastruktura rynku finansowego (dla podmiotów finansowych regulacją szczególną jest rozporządzenie DORA – zakres wyłączenia opisujemy niżej),
• Ochrona zdrowia (w tym producenci kluczowych leków i wyrobów medycznych, laboratoria referencyjne UE),
• Woda pitna oraz ścieki,
• Infrastruktura cyfrowa (centra danych, chmura, sieci i usługi łączności elektronicznej),
• Zarządzanie usługami ICT,
• Przestrzeń kosmiczna,
• Wybrane podmioty publiczne.

Bankowość i rynki finansowe – co zostaje z ustawy o KSC. Dla podmiotów z sektora bankowości i infrastruktury rynków finansowych reżimem podstawowym jest DORA. Ustawa o KSC nie stosuje do nich przepisów o systemie zarządzania bezpieczeństwem informacji ani o zgłaszaniu incydentów poważnych, ale art. 8i ust. 1 wylicza wyjątki. Z katalogu środków zostają dwa: systematyczne szacowanie ryzyka (art. 8 ust. 1 pkt 1) oraz podstawowe zasady cyberhigieny (art. 8 ust. 1 pkt 2 lit. j). Odpowiednio stosuje się też przepisy o odpowiedzialności kierownika, jego zadaniach, rocznym szkoleniu i weryfikacji niekaralności (art. 8c–8f).

Sektory ważne

To tutaj znajduje się największa grupa firm, które nie spodziewają się objęcia regulacją:

• Usługi pocztowe i kurierskie,
• Gospodarka odpadami,
• Produkcja, przetwarzanie i dystrybucja chemikaliów oraz żywności,
• Produkcja (m.in. wyrobów medycznych, elektroniki, maszyn, pojazdów, sprzętu transportowego),
• Dostawcy usług cyfrowych (platformy handlowe, wyszukiwarki, sieci społecznościowe),
• Badania naukowe,
• Inwestycje w energetykę jądrową,
• Wybrane regionalne podmioty publiczne.

NIS2 obejmuje więc znaczną część sektora MŚP – szczególnie firmy będące częścią większych łańcuchów dostaw.

Podmiot kluczowy a podmiot ważny - kluczowa różnica

O objęciu regulacją decyduje nie tylko branża, ale też wielkość firmy (progi z rozporządzenia UE 651/2014):

• Podmioty kluczowe – przede wszystkim duzi przedsiębiorcy w sektorach kluczowych oraz wybrane podmioty niezależnie od wielkości (m.in. dostawcy usług DNS, rejestry nazw domen najwyższego poziomu (TLD), podmioty świadczące usługi rejestracji nazw domen, kwalifikowani dostawcy usług zaufania, podmioty krytyczne, operatorzy obiektów energetyki jądrowej oraz podmioty publiczne wskazane w załączniku nr 1),
• Podmioty ważne – najczęściej średni przedsiębiorcy w sektorach kluczowych oraz średni i duzi przedsiębiorcy w sektorach ważnych.

Dwie kategorie wynikają nie z sektora, lecz z rodzaju działalności - i łatwo je przeoczyć:

• Przedsiębiorca komunikacji elektronicznej – podmiot kluczowy od progu średniego przedsiębiorcy; mikro- i mały przedsiębiorca jest podmiotem ważnym,
• Dostawca usług zarządzanych w zakresie cyberbezpieczeństwa (MSSP) – podmiot kluczowy już od progu małego albo średniego przedsiębiorcy (art. 5 ust. 1 pkt 3 ustawy); poza ustawą pozostaje jedynie MSSP będący mikroprzedsiębiorcą,
• Niekwalifikowany dostawca usług zaufania – podmiot ważny jako mikro-, mały lub średni przedsiębiorca.

Przy ocenie progu wielkościowego firmy nie analizuje się w oderwaniu od jej otoczenia. Zgodnie z rozporządzeniem 651/2014/UE sumuje się zatrudnienie i dane finansowe przedsiębiorstw powiązanych i partnerskich (udział powyżej 25%). Spółka zatrudniająca 80 osób może więc zostać uznana za dużego przedsiębiorcę, ponieważ należy do większej grupy – i odwrotnie: system informacyjny rzeczywiście niezależny, niesłużący świadczeniu usługi objętej regulacją, może pozostać poza zakresem ustawy. Weryfikacja struktury właścicielskiej to obowiązkowy krok przed klasyfikacją, nie formalność na koniec.

Najważniejsze: to firma sama musi się zaklasyfikować i zgłosić. Nikt nie przyśle zawiadomienia – błędna klasyfikacja albo jej brak to realne ryzyko sankcji.

Kiedy ustawa ma zastosowanie (warunki terytorialne)

Przepisy stosuje się między innymi do podmiotów działających w Polsce (siedziba, oddział lub działalność transgraniczna) oraz do przedsiębiorców spoza UE oferujących usługi na terytorium Polski – ci ostatni muszą wyznaczyć przedstawiciela posiadającego jednostkę organizacyjną na terytorium Polski, chyba że wyznaczyli go już w innym państwie członkowskim UE. Dostawcy usług cyfrowych podlegają przepisom według głównego miejsca prowadzenia działalności w Polsce.

Terminy – kiedy trzeba działać

Ustawa o KSC obowiązuje od 3 kwietnia 2026 r., a wdrożenie obowiązków jest rozłożone w czasie. Liczy się to, kiedy firma spełniła kryteria uznania za podmiot kluczowy lub ważny.

W praktyce: większość firm powinna być już w trakcie wdrożenia, a nie dopiero analizy.

Rejestracja w wykazie podmiotów kluczowych i ważnych

Wykaz prowadzą organy właściwe w systemie teleinformatycznym S46. Część podmiotów – dotychczasowi operatorzy usług kluczowych, dostawcy usług zaufania, przedsiębiorcy komunikacji elektronicznej, podmioty krytyczne i podmioty publiczne – jest wpisywana z urzędu: otrzymują zawiadomienie o wpisie oraz wezwanie do uzupełnienia danych i mają na to 6 miesięcy od dnia doręczenia wezwania. Pozostałe podmioty, które spełniały przesłanki 3 kwietnia 2026 r., składają wniosek samodzielnie w okresie od 7 maja do 3 października 2026 r., zgodnie z harmonogramem ogłoszonym przez Ministra Cyfryzacji (komunikat z 8 kwietnia 2026 r.); podmioty spełniające przesłanki później mają na złożenie wniosku 6 miesięcy od dnia ich spełnienia. Zmiany danych zgłasza się w 14 dni. Dane z wykazu nie są informacją publiczną; publicznie dostępne są jedynie statystyki zbiorcze.

Najważniejsze obowiązki

1. Zarządzanie ryzykiem i środki bezpieczeństwa

Ustawa nie narzuca jednego zestawu narzędzi – środki mają być proporcjonalne do ryzyka i dostosowane do wielkości firmy. Minimalny zakres obejmuje jednak m.in.:

• Politykę analizy ryzyka i bezpieczeństwa systemów informacyjnych,
• Obsługę incydentów,
• Ciągłość działania i kopie zapasowe (backup, plany odtworzeniowe, zarządzanie kryzysowe),
• Bezpieczeństwo łańcucha dostaw,
• Bezpieczeństwo w nabywaniu, rozwoju i utrzymaniu systemów, w tym zarządzanie podatnościami,
• Ocenę skuteczności wdrożonych środków,
• Cyberhigienę i szkolenia personelu,
• Kryptografię i szyfrowanie,
• Bezpieczeństwo zasobów ludzkich, kontrolę dostępu i zarządzanie aktywami,
• Uwierzytelnianie wieloskładnikowe (MFA) i zabezpieczoną komunikację.

Dla części podmiotów katalog jest bardziej szczegółowy. Dostawcy usług DNS, rejestry TLD, dostawcy usług chmurowych, centrów przetwarzania danych i CDN, dostawcy usług zarządzanych (MSP) oraz usług zarządzanych w zakresie cyberbezpieczeństwa (MSSP), a także dostawcy internetowych platform handlowych, wyszukiwarek i platform społecznościowych stosują w ramach SZBI środki określone wprost w rozporządzeniu wykonawczym Komisji (UE) 2024/2690 (art. 8b ust. 1 ustawy). Dla nich powyższa lista jest minimum, nie całością wymagań. Pozostałe podmioty kluczowe i ważne stosują akty wykonawcze wydane dla ich rodzaju podmiotu, jeżeli zostaną wydane.

Podmioty publiczne – inny katalog. Podmiot ważny będący podmiotem publicznym nie stosuje art. 8 ust. 1 ustawy. Jego system zarządzania bezpieczeństwem informacji opiera się na załączniku nr 4 do ustawy: 18 wymogów obowiązkowych (m.in. inwentaryzacja produktów i usług ICT, minimalne uprawnienia, kopie zapasowe odseparowane logicznie i fizycznie, testowanie odtwarzania, kontrola poczty elektronicznej, stosowanie stabilnych wersji bez znanych krytycznych podatności, szkolenia z cyberhigieny), 9 wymogów opcjonalnych oraz przegląd SZBI co najmniej raz w roku albo bezzwłocznie po rekomendacji Pełnomocnika Rządu. To samo dotyczy podmiotów z art. 7 ust. 1 pkt 1–4 i 6–7 Prawa o szkolnictwie wyższym i nauce niebędących organizacjami badawczymi, w zakresie zadań publicznych. Niewykonanie obowiązku z art. 8 ust. 3 jest odrębną podstawą kary (art. 73 ust. 1c).

Dane w aplikacjach SaaS

Wymóg zarządzania kopiami zapasowymi obejmuje również dane w usługach chmurowych, a to obszar, w którym najczęściej widzimy lukę. Wynika ona z modelu współodpowiedzialności: dostawca SaaS odpowiada za dostępność platformy i jej infrastruktury, natomiast za dane i konfigurację w platformie odpowiada klient. Kosz, polityki retencji i archiwum ograniczają skutki pojedynczego usunięcia, ale nie dają odtworzenia stanu z wybranego punktu w czasie, nie obejmują konfiguracji tożsamości – na przykład polityk dostępu warunkowego czy rejestracji aplikacji – i nie są niezależne od dostawcy środowiska produkcyjnego.

W praktyce audytowej liczy się wykazanie zdolności odtworzenia, a nie jej założenie: określone RTO i RPO, niemodyfikowalność kopii, niezależność miejsca przechowywania oraz cykliczne, udokumentowane testy odtwarzania. Ten wymóg zamyka się z bezpieczeństwem łańcucha dostaw, bo dostawca backupu sam staje się dostawcą ICT do oceny – jego certyfikaty i raporty z niezależnych audytów są wtedy częścią dokumentacji, nie dodatkiem marketingowym.

Temu zagadnieniu poświęcamy osobny bezpłatny webinar oraz stronę backupu danych SaaS.

2. System zarządzania bezpieczeństwem informacji (SZBI)

Podmioty kluczowe i ważne muszą wdrożyć SZBI obejmujący cały cykl życia systemów IT używanych do świadczenia usług – polityki, role i odpowiedzialności, procedury operacyjne, monitoring i testowanie zabezpieczeń oraz systematyczną analizę ryzyka. Z naszego doświadczenia wdrożony system ISO/IEC 27001 znacząco skraca pracę, bo proces zarządzania ryzykiem, polityki i duża część dokumentacji już istnieją. Warto jednak jasno postawić granicę: ustawa o KSC nie traktuje certyfikatu jako dowodu zgodności – organ ocenia same środki bezpieczeństwa, a nie certyfikat.

3. Zarządzanie incydentami – z konkretnymi terminami

To jedna z najbardziej praktycznych części NIS2.

Klasyfikacja incydentu jako poważnego jest obowiązkiem podmiotu, nie CSIRT. Progi określa rozporządzenie Rady Ministrów – do wejścia w życie nowego aktu obowiązuje rozporządzenie z 31 października 2018 r. (Dz.U. 2018 poz. 2180), jednak nie dłużej niż 12 miesięcy od 3 kwietnia 2026 r. Nowe rozporządzenie, obejmujące wszystkie sektory dodane nowelizacją, jest w przygotowaniu. Dla części podmiotów progi określiła bezpośrednio Komisja Europejska w akcie wykonawczym.

Poważny incydent zgłasza się do właściwego CSIRT etapami:

• 24 godziny – wczesne ostrzeżenie (czy incydent był celowy, czy ma wymiar transgraniczny),
• 72 godziny – właściwe zgłoszenie z oceną wpływu, przyczyn i podjętych działań,
• Na żądanie – sprawozdanie okresowe,
• 1 miesiąc od zgłoszenia 72-godzinnego – sprawozdanie końcowe. Jeżeli obsługa incydentu wciąż trwa, w tym terminie składa się sprawozdanie z postępu, a sprawozdanie końcowe – w ciągu miesiąca od zakończenia obsługi.

Adresatem zgłoszenia jest właściwy CSIRT sektorowy, ale dopiero od dnia następującego po opublikowaniu komunikatu o osiągnięciu przez niego zdolności operacyjnej. Organy właściwe mają na powołanie zespołów sektorowych 18 miesięcy od 3 kwietnia 2026 r., więc dziś większość podmiotów zgłasza incydenty poważne do właściwego CSIRT MON, CSIRT NASK albo CSIRT GOV. Wyjątek dotyczy sektorów, w których zespół sektorowy powołano przed 2025 r. Zanim wpiszesz adresata do procedury incydentowej, sprawdź komunikaty swojego organu właściwego.

Zgłoszenie do CSIRT nie wyczerpuje obowiązku. Podmiot musi także poinformować odbiorców usług, jeżeli incydent może wpłynąć na usługi, z których korzystają, a w razie poważnego cyberzagrożenia – wskazać im możliwe działania ochronne, a w stosownych przypadkach poinformować o samym zagrożeniu. W praktyce oznacza to przygotowaną ścieżkę komunikacji z klientami, nie tylko z organem.

W praktyce oznacza to, że firma musi mieć gotowy proces i osoby zdolne do zareagowania w ciągu jednej doby – tego nie da się „dorobić” w trakcie ataku. Uwaga: w przypadku dostawców usług zaufania termin 24 godzin dotyczy pełnego zgłoszenia incydentu, nie tylko wczesnego ostrzeżenia.

4. Łańcuch dostaw

Firma odpowiada również za bezpieczeństwo swoich dostawców i partnerów ICT – musi oceniać ich ryzyko i ujmować wymagania bezpieczeństwa w relacjach biznesowych. W praktyce nawet MŚP spoza zakresu ustawy bywają zobowiązane do wdrożenia adekwatnych środków, bo wymagają tego ich więksi klienci.

Ustawa idzie tu dalej niż dyrektywa i wskazuje wprost, co należy uwzględnić przy doborze środków w łańcuchu dostaw (art. 8 ust. 2):

1. podatności związane z dostawcą sprzętu lub oprogramowania,
2. ogólną jakość produktów, usług i procesów ICT tego dostawcy,
3. wyniki skoordynowanej oceny bezpieczeństwa przeprowadzonej przez Grupę Współpracy (art. 22 ust. 1 dyrektywy 2022/2555),
4. wyniki postępowania w sprawie uznania dostawcy za dostawcę wysokiego ryzyka (art. 67b – opisujemy je niżej).

Ocena dostawcy, która nie odnosi się do tych czterech punktów, nie spełnia wymogu ustawowego. Warto też przejrzeć obowiązujące umowy: postanowienia uniemożliwiające przeprowadzenie badania produktu lub usługi ICT przez CSIRT są nieważne z mocy prawa (art. 40 ust. 1 ustawy zmieniającej).

5. Dokumentacja i audyty

Wymagana jest pełna ścieżka dowodowa: dokumentacja normatywna (polityki, procedury, plany) i operacyjna (zapisy realizacji, dzienniki systemów), chroniona i wersjonowana. Dokumentację przechowuje się co najmniej 2 lata od wycofania jej z użytkowania lub zakończenia świadczenia usługi, przy czym okres liczy się od 1 stycznia roku następującego po roku, w którym wygasa termin przechowywania. Zniszczenie potwierdza się protokołem brakowania, przechowywanym trwale. Przepisu nie stosuje się do podmiotów objętych ustawą o narodowym zasobie archiwalnym i archiwach. Podmioty kluczowe przeprowadzają audyt bezpieczeństwa systemu informacyjnego co najmniej raz na 3 lata, licząc od podpisania poprzedniego raportu i na własny koszt, oraz przekazują raport organowi właściwemu do spraw cyberbezpieczeństwa w postaci elektronicznej w ciągu 3 dni roboczych od jego otrzymania. Pierwszy audyt podmioty kluczowe przeprowadzają do 3 kwietnia 2028 r. Wyjątek dotyczy dotychczasowych operatorów usług kluczowych, którzy przeprowadzili już audyt – nie stosuje się do nich terminu pierwszego audytu i kontynuują trzyletni cykl liczony od dnia sporządzenia i podpisania raportu z ostatniego audytu (art. 25 ustawy nowelizującej). Dotychczasowy operator bez przeprowadzonego audytu podlega terminowi ogólnemu. Organ może też nakazać audyt zewnętrzny – podmiotowi kluczowemu w dowolnym momencie, podmiotowi ważnemu po incydencie poważnym lub innym naruszeniu. Nakaz jest natychmiast wykonalny.

Przy planowaniu audytu łatwo wpaść na ograniczenie dotyczące audytora: audytu nie może przeprowadzić osoba realizująca w audytowanym podmiocie zadania z art. 8 oraz art. 9–13 ani osoba, która realizowała je w ciągu roku przed rozpoczęciem audytu. W praktyce wyklucza to własny zespół bezpieczeństwa i konsultanta, który wdrażał SZBI – audyt trzeba zaplanować z innym wykonawcą.

Odpowiedzialność kierownictwa

Za realizację obowiązków odpowiada kierownik podmiotu (np. zarząd spółki) – również wtedy, gdy zadania powierzono komuś innemu. Kierownictwo w szczególności:

• Zatwierdza środki bezpieczeństwa i nadzoruje ich wdrożenie,
• Zapewnia zasoby organizacyjne i finansowe,
• Wyznacza co najmniej 2 osoby do kontaktu z KSC (co najmniej 1 osobę w przypadku mikro- i małego przedsiębiorcy oraz podmiotu publicznego będącego podmiotem ważnym),
• Zapewnia użytkownikom usługi dostęp do wiedzy o cyberzagrożeniach, w szczególności na stronie internetowej – wystarczy hiperłącze do stron organu właściwego lub CSIRT,
• Zapewnia użytkownikom możliwość zgłoszenia cyberzagrożenia, incydentu lub podatności związanych ze świadczoną usługą.

Kierownik podmiotu oraz osoba, której powierzono jego obowiązki w zakresie cyberbezpieczeństwa, przechodzą też szkolenie raz w roku kalendarzowym. Ustawa określa jego zakres – obejmuje wykonywanie obowiązków m.in. z art. 8, 8d, 8f, 9–12b, 14 i 15 – a udział musi być udokumentowany. Brak takiego szkolenia jest samodzielną podstawą kary nakładanej na kierownika, podobnie jak niezapewnienie użytkownikom kanału zgłoszeń.

Ustawa przewiduje kary pieniężne nakładane bezpośrednio na osoby zarządzające oraz wymóg niekaralności dla osób realizujących zadania z zakresu cyberbezpieczeństwa.

Kary

Zanim organ nałoży karę, zwykle stosuje środki „miękkie” – zalecenia, nakaz wdrożenia konkretnych środków, kontrolę lub audyt, termin na usunięcie naruszeń. Brak reakcji oznacza jednak sankcje finansowe.

Jeżeli okres wykonywania działalności gospodarczej jest krótszy niż 12 miesięcy albo podmiot nie osiągnął przychodu, za podstawę wymiaru kary przyjmuje się równowartość 500 000 EUR dla podmiotu kluczowego i 250 000 EUR dla podmiotu ważnego; kara nie może być niższa niż odpowiednio 20 000 zł i 15 000 zł. Ustalając wysokość kary, organ uwzględnia między innymi wysokość przychodu z roku obrotowego poprzedzającego jej wymierzenie, a w przypadku podmiotu publicznego oraz kierownika podmiotu – także ich możliwości finansowe.

Niezależnie od kary za samo naruszenie organ może nałożyć okresową karę pieniężną w celu przymuszenia do wykonania decyzji nadzorczej – od 500 zł do 100 000 zł za każdy dzień opóźnienia (art. 76b ust. 1 ustawy o KSC). Kara ta jest jednak objęta tą samą dwuletnią karencją co pozostałe kary pieniężne: art. 35 ustawy zmieniającej wymienia art. 76b wprost, więc pierwsze jej nałożenie możliwe jest od 3 kwietnia 2028 r.

Ustawa przewiduje też karę nadzwyczajną do 100 000 000 zł (art. 73 ust. 5 ustawy o KSC). Przesłanki są dwie, alternatywne: bezpośrednie i poważne cyberzagrożenie dla obronności, bezpieczeństwa państwa, bezpieczeństwa i porządku publicznego lub życia i zdrowia ludzi, albo zagrożenie wywołania poważnej szkody majątkowej lub poważnych utrudnień w świadczeniu usług. Druga przesłanka nie wymaga wątku państwowego, więc przepis nie dotyczy wyłącznie infrastruktury krytycznej. Co istotne, kara jest obligatoryjna – ustawa mówi „organ nakłada”, a nie „może nałożyć”; uznaniowość dotyczy jej wysokości, a nie samej decyzji.

Kary nakłada się także na kierownika podmiotu osobiście, niezależnie od kary wymierzonej podmiotowi: do 300% wynagrodzenia w podmiocie prywatnym i do 100% w podmiocie publicznym, chyba że podmiot publiczny podlega ustawie także z tytułu sektora z załącznika 1 lub 2 – wtedy stosuje się limit 300%; kwotę liczy się według zasad ustalania ekwiwalentu pieniężnego za urlop. Organ może również nakazać wdrożenie określonych środków, przeprowadzić audyt, czasowo zakazać danej osobie pełnienia funkcji kierowniczych, a w przypadku podmiotu kluczowego – wstrzymać świadczenie usługi.

Uwaga o terminach: dla podmiotów, które spełniały przesłanki 3 kwietnia 2026 r., organy nadzoru mogą nakładać kary pieniężne od 3 kwietnia 2028 r. (art. 35 ustawy nowelizującej). Dwuletnia karencja nie obejmuje jednak kary nadzwyczajnej do 100 000 000 zł z art. 73 ust. 5 ustawy o KSC – art. 35 ustawy nowelizującej wymienia art. 73 ust. 1–4, art. 73a–73c i art. 76b, ale nie ust. 5. Ta kara jest więc nakładana od dnia wejścia ustawy w życie. Termin karencji nie przesuwa terminów wdrożenia. Obowiązki z rozdziału 3 ustawy – w tym zgłaszanie incydentów i obowiązki kierownika – podmioty realizują w ciągu 12 miesięcy od wejścia ustawy w życie, czyli do 3 kwietnia 2027 r. (art. 33 ust. 1 ustawy nowelizującej). Wyjątek stanowią dotychczasowi operatorzy usług kluczowych, którzy zgłaszają incydenty według nowych zasad już po 6 miesiącach (art. 33 ust. 4).

Dostawca wysokiego ryzyka - nowe ryzyko w łańcuchu dostaw

Minister właściwy do spraw informatyzacji może uznać dostawcę sprzętu lub oprogramowania za dostawcę wysokiego ryzyka, jeśli stanowi on zagrożenie dla bezpieczeństwa państwa. Decyzja (publikowana w Monitorze Polskim) oznacza dla firm korzystających z takich produktów m.in.:

• Zakaz wprowadzania do użytku objętych decyzją produktów, usług lub procesów ICT,
• Obowiązek wycofania już używanych rozwiązań – co do zasady w ciągu 7 lat (4 lata dla krytycznych funkcji telekomunikacyjnych).

To realny element planowania zakupów i architektury IT – warto już dziś mapować zależność od kluczowych dostawców.

Polecenia zabezpieczające przy incydentach krytycznych

Przy incydencie krytycznym minister właściwy do spraw informatyzacji może wydać natychmiast wykonalne polecenie zabezpieczające (np. nakaz instalacji poprawki, określonej konfiguracji, wstrzymania dystrybucji oprogramowania czy ograniczenia ruchu sieciowego), obowiązujące nawet do 2 lat. Firmy muszą być zdolne wdrożyć takie polecenie szybko.

Co NIS2 naprawdę zmienia w firmach

1. Zarząd odpowiada osobiście za cyberbezpieczeństwo

Cyberbezpieczeństwo przestaje być wyłącznie domeną IT – decyzje o tolerancji ryzyka, budżecie bezpieczeństwa i priorytetach inwestycyjnych trafiają na poziom zarządu, razem z odpowiedzialnością za nie.

2. Compliance bez wdrożenia nie działa

Dokumenty bez realnych procesów nie przejdą audytu, nie ograniczą ryzyka i nie zabezpieczą przed karami. Organ nie ocenia deklaracji. Wobec podmiotów kluczowych ustawa daje mu wprost uprawnienie do wystąpienia o przedstawienie dowodów realizacji wymogów z art. 8 ust. 1 oraz o informacje niezbędne do oceny wdrożonych środków (art. 53 ust. 2 pkt 4 i 6). Wobec podmiotów ważnych nadzór jest następczy, ale te same dokumenty sprawdza kontrola. W praktyce oznacza to, że dla każdego z obszarów trzeba wiedzieć, który dokument albo zapis go potwierdza – i gdzie on leży.

Najczęstsze błędy, które obserwujemy

• „Jeszcze mamy czas” – wdrożenie zajmuje zwykle 6-12 miesięcy.
• „Zrobimy dokumentację” – NIS2 wymaga działania, nie papieru.
• „Nie jesteśmy sektorem krytycznym” – większość firm trafia do kategorii „ważnych”, część wchodzi przez łańcuch dostaw.

Jak podejść do NIS2

• Szybka diagnoza (2–4 tygodnie): czy firma podlega NIS2, jaka klasyfikacja, jaka luka względem wymagań.
• Plan wdrożenia: priorytety, roadmapa, budżet.
• Wdrożenie systemowe: SZBI, procesy, narzędzia, podłączenie do S46.
• Przygotowanie do audytu i bieżące raportowanie incydentów.

Podsumowanie

NIS2 to nie projekt IT ani jednorazowe wdrożenie – to zmiana modelu funkcjonowania organizacji w obszarze bezpieczeństwa. Firmy, które podejdą do tego strategicznie, zwiększą odporność operacyjną, uporządkują procesy IT i zyskają przewagę konkurencyjną. Pozostałe wdrożą te same wymagania później, zwykle pod większą presją czasu.

Nie wiesz, czy Twoja organizacja podlega ustawie? Zacznij od kwestionariusza samooceny na biznes.gov.pl. Jeśli chcesz przejść klasyfikację i analizę luk z kimś, kto robił to wcześniej – napisz do nas.

Stan prawny na 15 września 2026 r. Artykuł ma charakter ogólnoinformacyjny i nie stanowi porady prawnej; klasyfikacja konkretnej firmy wymaga indywidualnej analizy jej działalności, wielkości i struktury właścicielskiej.

Źródła:

• Dyrektywa NIS2 (UE) 2022/2555 oraz ustawa o krajowym systemie cyberbezpieczeństwa (załączniki nr 1 i 2).
• biznes.gov.pl
• cyber.gov.pl
• ISAP – ustawa z 23 stycznia 2026 r. (Dz.U. 2026 poz. 252): isap.sejm.gov.pl
• Wykaz podmiotów kluczowych i podmiotów ważnych: wykaz-ksc.gov.pl
• System S46: gov.pl/web/system-s46
• Ankieta samooceny NIS2 (biznes.gov.pl): biznes.gov.pl